你該僱用一名黑客嗎？ 道德駭客服務的好處

為什麼組織會僱用駭客來嘗試滲透其係統？ 儘管存在風險，越來越多的組織正在轉向白帽駭客（也稱為道德駭客）來測試他們對網路攻擊的脆弱性。 如果組織了解並做好應對風險的準備，那麼僱用駭客服務可以提供專家見解，了解組織如何有效增強對其網路和系統的保護。

正如醫生是醫學界的專家一樣，駭客也被認為是網路安全領域的專家 破解instagram密码，或者更準確地說，是網路入侵方法的專家。 駭客知道如何滲透網路並獲取組織的寶貴資料。 道德駭客了解惡意駭客的方法，但他們的動機是幫助組織識別和保護漏洞，而不是利用漏洞。

駭客層次結構

大多數電腦使用者都知道，有些駭客是惡意的且不值得信任。 凱文·米特尼克（Kevin Mitnick）是從「壞」到「好」的駭客轉變的一個值得注意的例子。 米特尼克是一位臭名昭著的美國駭客，曾因入侵40 家大公司而入獄，但他現在被認為是美國最有知識的灰帽駭客之一，並已被許多組織僱用來幫助檢測漏洞。

腳本小子 – 腳本小子是駭客層次結構的最低等級之一。 他們通常是年輕且精通技術的個人，他們對探索暗網和測試自己的能力比執行有針對性的攻擊更感興趣。 腳本小子經常透過研究技術意外地發現漏洞。 一旦發現有價值的或私人的信息，例如名人的密碼，腳本小子通常會繼續他們的活動，直到他們被抓住或訪問被拒絕。

白帽駭客 – 白帽駭客（也稱為道德駭客）比腳本小子技術更高，通常更受尊重。 此類個人比其他駭客更容易贏得公眾的信任，因為他們以前沒有參與過非法活動。 道德駭客專注於利用他們的技能造福社會，而不是造成傷害。

灰帽駭客－灰帽駭客，如凱文·米特尼克，是改過自新的「壞」駭客，他們之前曾參與過未經授權的駭客攻擊。 這些駭客曾經在「黑暗面」工作，意圖透過非法活動傷害用戶，但通常由於改變生活的事件，他們現在運用自己的技能幫助用戶和組織發現系統中的漏洞並防範網路攻擊。

黑帽駭客 – 黑帽駭客專注於透過其既定意圖的行為來違反法律。 該群體包括對企業進行破壞性活動的駭客，通常是為了經濟利益。 這些駭客經常利用他們的技能謀取個人利益，他們的議程被認為是犯罪或與犯罪分子的行為密切相關。

自殺式駭客－自殺式駭客通常與恐怖分子或治安組織有聯繫。 其中一個組織是 Anonymous，這是一個分散的國際組織，以攻擊政府和其他知名公共公司而聞名。 此類駭客採取反建制立場，原因包括政治、恐怖主義或其他破壞性活動。

有必要雇用黑客嗎？

組織領導者對其 IT 部門的能力給予極大的信任和信心。 這些部門充滿了有能力、勤奮的個人，致力於保護公司的系統，那麼為什麼領導階層會覺得有必要引進外部團體呢？

雖然 IT 專業人員通常非常擅長設計和實施安全措施，但駭客卻擁有跳出框框思考並繞過這些安全措施的能力。 他們使用的方法可能不會受到經過正式訓練的 IT 專業人員的關注。 僱用道德駭客，他們與惡意駭客具有相同的自然好奇心和心態，可以幫助組織在真正的網路攻擊之前「測試」其網路安全性。

這種方法在 IT 部門的支持下完成，有助於識別漏洞並驗證設備和系統的安全措施。 所獲得的資訊可以幫助IT部門加強其保護。

重要的是，組織領導者必須解釋，僱用道德駭客服務並不是對 IT 部門能力的測試，而是幫助建立盡可能安全的基礎設施的額外措施。

審查黑客或黑客服務

在考慮是否聘用道德駭客服務時，首要的障礙之一是駭客是否值得信任。 這些人的任務是識別系統的漏洞，這可能會導致存取高價值和敏感資訊。 必須正確評估這種風險並仔細審查駭客。 為了評估和選擇駭客服務，組織應考慮以下因素：

組織的需求

目標是識別系統中未知的漏洞嗎？ 是為了測試員工的網路準備嗎？ 或者目標是驗證組織網路的穩健性？ 明確說明僱用駭客服務的目標和目的將有助於確定需要哪些技能和服務。

進行組織範圍內的庫存評估

作為準備過程的一部分，對組織資產進行徹底盤點。 組織庫存評估可識別系統內的所有連網設備以及系統中儲存的有價值的資訊。 該清單將有助於確定與每項資產相關的風險（漏洞）以及駭客應測試哪些設備。

審查和背景調查

在此階段，組織必須諮詢人力資源專家，以確保對選定的個人或服務進行適當的審查。 至少，此過程應包括徹底且可靠的背景調查、多字元參考驗證以及過去的客戶推薦。

評估駭客的技能和熟練程度

作為審查過程的一部分，組織領導者應驗證候選人的能力和技能，以確保他們擁有評估組織系統所需的技術和物理控制技能。 技術控制包括軟體和硬體設備的知識，例如防火牆和入侵防禦系統（IPS）。 考生必須了解防止物理進入建築物的物理控制系統。 他們還必須了解涉及這些系統的組織的政策和程序，以便他們可以提出修改和支援的建議。

法律考慮

讓組織的法律團隊參與選擇和審查過程也很重要。 執行道德駭客攻擊過程的人員是公司的代理人，公司對其係統或外部各方可能發生的任何損害負責。 監控道德駭客的行為有助於最大限度地減少財產損失並減少責任。 組織仍然對代表該組織的任何實體的行為負責——這是一項不能委託的責任，被視為盡職調查。 因此，組織必須徹底了解與道德駭客服務行為相關的責任。

黑客服務的預期結果

組織透過使用道德駭客服務發現漏洞可以期望獲得什麼？ 簡短的回答是內心的平靜。

使用駭客服務可以讓組織發現是否有人對其電腦或網路進行了不當存取。 它還可能發現其軟體尚未使用最新的安全性修補程式進行正確更新或不再受到供應商的支援。

駭客服務也可能暴露內部威脅和弱點。 無論是有意或無意，員工經常透過日常互動暴露組織內的盲點。 漏洞掃描可以發現員工或合作夥伴對組織造成風險的行為。

第三方供應商風險的一個例子是 2013 年 Target 的大規模資料外洩事件，當時一家分包商竊取了網路憑證並存取了超過 4000 萬客戶的信用卡和金融卡。 這次入侵使 Target 損失了 1,850 萬美元。 如果塔吉特完成了全面的漏洞評估並接受了安全建議，那麼發生此類資料外洩的可能性就會大大降低。

採用道德駭客服務的策略決策對組織來說非常有利，可以提高對未知漏洞的認識，並實施更強大的安全措施和網路保護。