موضوع مقاله: کلاه سفید (امنیت رایانه) | مخاطب: عمومی | لحن: دانشنامه‌ای | ساختار: عنوان، مقدمه، 3 بخش، جمع‌بندی | مقاله: | # کلاه سفید (امنیت رایانه) | مقدمه: هک اخلاقی اصطلاحی است که معنای آن به مقوله وسیع تری نسبت به آزمایش نفوذ، اشاره دارد. | ## بخش 1: کلاه سفید (امنیت رایانه) | در مقایسه با کلاه سیاه، یک هکر مخرب، باید گفت که این اسم‌ها از فیلم‌های غربی گرفته شده است، جایی که کابوی‌های قهرمان و متضاد یکدیگر به‌طور سنتی در مقابل یکدیگر یک کلاه سفید و یک کلاه سیاه بر سر می‌گذاشتند. در حالی که یک هکر کلاه سفید طی اهداف مناسب و با مجوزهای لازم هک را انجام می‌دهد، یک هکر کلاه سیاه طی اهداف بد خواهانه و بدون مجوز هک را انجام می‌دهد، یک نوع سوم وجود دارد که به عنوان یک هکر کلاه خاکستری شناخته می‌شود که با اهداف خوب هک می‌کند اما در بعضی مواقع بدون اجازه هک را انجام می‌دهد. هکرهای کلاه سفید ممکن است در تیم‌هایی بنام " کلاب کفش ورزشی و / یا کلاب هکرها "، تیم‌های قرمز یا تیم‌های ببر نیز فعالیت کنند. تاریخچه یکی از اولین نمونه‌های مورد استفاده هک اخلاقی، "ارزیابی امنیتی" بود که توسط نیروی هوایی ایالات متحده انجام شد، و در آن سیستم عامل‌های Multics برای "استفاده بالقوه به عنوان یک سیستم دو سطحه (سری/ بسیار سری) مورد آزمایش قرار گرفتند". این ارزیابی مشخص کرد که "در حالی که Multics به طور قابل توجهی بهتر از سایر سیستم عاملهای معمولی بود "، "همچنان دارای آسیب پذیری در امنیت سخت افزار، امنیت نرم‌افزار و امنیت رویه ای بود"که می‌تواند با "سطح کمی از تلاش" این کاستی‌ها کشف شود. نویسندگان آزمایش‌ها خود را تحت هدایت واقع گرایی انجام دادند، بنابراین نتایج آنها به‌طور دقیق نشان دهنده انواع دسترسی یک رخنه گر به سیستم بود. آنها آزمایش‌هایی را انجام دادند که شامل تمرینهای ساده جمع‌آوری اطلاعات و همچنین حمله‌های آشکار بر روی سیستم می‌شد که ممکن است اینگونه حمله‌ها به یکپارچگی سیستم آسیب برساند. چندین گزارش غیرمستقیم دیگر وجود دارد که فعالیت هک اخلاقی را در ارتش آمریکا توصیف می‌کند. در سال ۱۹۸۱، نیویورک تایمز فعالیت‌های کلاه سفید را بخشی از یک "رفتار بدخواهانه، اما بر اساس سنت هک کاملاً مثبت "توصیف کرد. | ## بخش 2: کلاه سفید (امنیت رایانه) | هنگامی که یک کارمند CSS ملی وجود رمزعبور شکنی را که در حساب‌های مشتری استفاده کرده بود فاش کرد، این شرکت او را نه به خاطر نوشتن نرم‌افزار رمز عبور شکن بلکه به دلیل عدم افشای زودهنگام این قضیه توبیخ کرد. در نامه توبیخ اظهار شده است: "این شرکت منافع NCSS را متوجه می‌شد و در واقع کارمندان را برای شناسایی نقاط ضعف امنیتی به VP، دایرکتوری و سایر نرم‌افزارهای حساس تشویق می‌کرد". آنها با هدف بالا بردن سطح کلی امنیت در اینترنت و اینترانت، توضیح دادند چگونه توانستند اطلاعات مناسب را در مورد اهداف خود به دست آورند تا در صورت انتخاب، بتوانند امنیت را به خطر بیندازند. آنها چندین مثال خاص از چگونگی جمع‌آوری و بهره‌برداری از این اطلاعات برای به دست آوردن کنترل هدف و چگونگی جلوگیری از چنین حمله ای ارائه دادند. آنها تمام ابزارهایی را که در طول کار استفاده کرده بودند جمع کردند، آنها را در یک برنامه کاربردی ساده و آسان قرار دادند و آن را به هر کس که تصمیم به بارگیری آن گرفت، دادند. برنامه آنها با نام ابزار مدیریت امنیت برای تجزیه و تحلیل شبکه‌ها یا SATAN در سال ۱۹۹۲ با توجه زیادی از رسانه‌ها در سراسر جهان روبرو شد. تاکتیکها در حالی که آزمایش نفوذ از همان ابتدا روی حمله به نرم‌افزارها و سیستمهای رایانه ای متمرکز است به عنوان مثال، اسکن پورتها، بررسی نقایص شناخته شده در پروتکل‌ها و برنامه‌های کاربردی در سیستم و نصبهای پچ - هک شدن اخلاقی ممکن است موارد دیگری را شامل شود. یک هک اخلاقی تمام عیار ممکن است شامل ایمیل زدن به کارمندان باشد که به گونه ای از آنها جزئیات رمز عبور را بپرسند، از طریق صندوق‌های مربوط به حذف شروع به کاویدن کنند و معمولاً بدون اطلاع و رضایت از افراد، مانع‌های دفاعی را می‌شکنند و وارد می‌شوند. فقط مالکان، مدیر عاملان و اعضای هیئت مدیره (دارندگان سهام) که درخواست چنین بررسی امنیتی از این افراد را دارند، آگاه هستند. | ## بخش 3: کلاه سفید (امنیت رایانه) | برای تکرار برخی از تکنیک‌های مخرب یک حمله واقعی، هکرهای اخلاقی ممکن است سامانه‌های آزمایش کلون شده را ترتیب دهند، یا اگر اهمیت سیستم‌ها پایین باشد در اواخر شب هک را انجام بدهند. در اکثر موارد اخیر، این هک‌ها برای طولانی مدت (روزها، اگر نه هفته‌ها) به یک سازمان ادامه پیدا می‌کند. برخی از نمونه‌ها شامل گذاشتن درایوهای USB با نرم‌افزار پنهان خودکار شروع به کار در یک مکان عمومی است که گویی شخصی درایو کوچک را گم کرده و یک کارمند ناشناس آن را پیدا کرده و آن را گرفته است. آنها می‌توانند این کار را با مخفی کردن نرم‌افزارها و «درهای پشتی» سیستم انجام دهند که می‌توانند باعث دسترسی به اطلاعات توسط هکر غیراخلاقی، معروف به «کلاه سیاه» یا «کلاه خاکستری» شوند. جرم دسترسی غیرمجاز همه چیز را از حدس زدن گذرواژه، دسترسی به حساب وب ایمیل شخصی، تا سرکوب امنیت یک بانک در بر می‌گیرد. مجازات‌های بالاتر هم هست - تا ۱۰ سال زندان - هنگامی که هکر همچنین داده‌ها را تغییر می‌دهد ". رابرتسون می‌گوید دسترسی غیرمجاز حتی برای آشکارسازی آسیب‌پذیری برای منافع بسیاری از افراد قانونی نیست. " استخدام آژانس امنیت ملی ایالات متحده گواهینامه‌هایی مانند CNSS 4011 را ارائه می‌دهد. | ## جمع‌بندی | هنگامی که آژانس در سال ۲۰۱۲ در DEF CON شروع به استخدام افراد کرد، به متقاضیان قول داد "اگر تعداد معدودی گرفته شده، ما می‌گوییم، موارد نادرست در گذشته شماست، نگران نباشید.