Loading article…
ホワイトハット（またはホワイトハットハッカー、ホワイトハット）は、倫理的なセキュリティハッカーです。[1] [2]倫理的なハッキングは、侵入テストよりも広いカテゴリを意味する用語です。[3] [4]所有者の同意を得て、ホワイトハットハッカーは現在のシステムの脆弱性やセキュリティ上の問題を特定することを目指します。[5]ホワイトハットは、悪意のあるハッカーであるブラックハットと対比されます。この定義上の二分法は、西部劇で英雄的なカウボーイと敵対的なカウボーイがそれぞれ白い帽子と黒い帽子をかぶっていることに由来しています。[6]善意でハッキングを行うものの、許可なく行うこともあるグレーハットと呼ばれる3番目の種類のハッカーもいます。 [7]
ホワイトハットハッカーは、「スニーカーおよび/またはハッカークラブ」[8]、 レッドチーム、タイガーチーム[9]と呼ばれるチームで活動することもあります。
歴史
倫理的ハッキングが使用された最初の例の 1 つは、米国空軍が実施した「セキュリティ評価」であり、この評価では、Multicsオペレーティング システムが「2 レベル (秘密/最高機密) システムとして潜在的に使用できるかどうか」テストされました。評価では、Multics は「他の従来のシステムよりも大幅に優れている」ものの、「比較的少ない労力で発見できる...ハードウェア セキュリティ、ソフトウェア セキュリティ、および手順セキュリティの脆弱性」も存在すると判定されました。[10]著者らは現実主義のガイドラインに従ってテストを実施したため、その結果は侵入者が潜在的に達成できるアクセスの種類を正確に表しています。著者らは、単純な情報収集演習と、システムの完全性を損なう可能性のあるシステムへの直接攻撃を含むテストを実施しました。どちらの結果も、対象読者の関心を引くものでした。米国軍内での倫理的ハッキング活動を説明する、現在は非機密扱いとなっているレポートが他にもいくつかあります。
1981年までに、ニューヨークタイムズはホワイトハット活動を「いたずらだが、ひねくれてポジティブな『ハッカー』の伝統」の一部と表現した。ナショナルCSSの従業員が、顧客のアカウントに使用していたパスワードクラッカーの存在を明らかにしたとき、同社はソフトウェアを書いたことではなく、もっと早く開示しなかったことを叱責した。懲戒書には、「当社はNCSSへの利益を認識しており、VP、ディレクトリ、およびファイル内のその他の機密ソフトウェアのセキュリティ上の弱点を特定する従業員の努力を奨励する」と書かれていた。[11]
2016年10月20日、国防総省（DOD）は「ペンタゴンをハックせよ」と発表した。[12] [13]
システムのセキュリティを評価し、脆弱性を指摘するために倫理的ハッキングのこの戦術を使用するというアイデアは、ダン・ファーマーとウィッツ・ベネマによって考案されました。インターネットとイントラネットのセキュリティの全体的なレベルを上げるために、彼らは、ターゲットがそうすることを選択した場合にセキュリティを侵害できるほど十分な情報をどのようにして収集できたかを説明しました。彼らは、この情報をどのように収集して悪用してターゲットを制御するか、またそのような攻撃をどのように防ぐかについて、いくつかの具体的な例を示しました。彼らは、作業中に使用したすべてのツールを集めて、単一の使いやすいアプリケーションにパッケージ化し、ダウンロードすることを選択したすべての人に無料で提供しました。彼らのプログラムは、ネットワーク分析用セキュリティ管理者ツール、またはSATANと呼ばれ、1992年に世界中のメディアから大きな注目を集めました。[9]
戦術
侵入テストは、最初からソフトウェアやコンピュータ システムを攻撃することに集中しており、たとえばポートのスキャン、システムで実行されているプロトコルやアプリケーションの既知の欠陥の調査、パッチのインストールなどを行いますが、倫理的ハッキングには他のことも含まれます。本格的な倫理的ハッキングには、パスワードの詳細を尋ねるためにスタッフにメールを送信したり、役員のゴミ箱を漁ったりすることが含まれますが、通常はターゲットに知らせたり同意させたりしません。このような大規模なセキュリティ レビューを要求した所有者、CEO、および取締役 (利害関係者) だけが知っています。実際の攻撃で使用される可能性のある破壊的な手法の一部を再現しようとするために、倫理的ハッカーはクローン テスト システムを手配したり、システムがそれほど重要でない深夜にハッキングを組織したりする場合があります。[14]最近のほとんどのケースでは、これらのハッキングは長期にわたる詐欺 (組織への長期にわたる人間の侵入が数日、場合によっては数週間) を継続します。たとえば、誰かが小さなドライブを紛失し、何も知らない従業員がそれを見つけて持ち去ったかのように、自動起動ソフトウェアが隠された USB / フラッシュ キー ドライブを公共の場所に放置することが挙げられます。
これらを実行する他の方法としては、次のものがあります。
- ディスクとメモリのフォレンジック
- DoS攻撃
- 次のようなフレームワーク:
- ネットワークセキュリティ
- リバースエンジニアリング
- 次のようなセキュリティ スキャナー:
- 次のようなソーシャル エンジニアリング戦術:
- フィッシング
- プリテキスティング
- トレーニングプラットフォーム
- 脆弱性調査
特定された手法は、既知のセキュリティの脆弱性を悪用し、セキュリティを回避して保護された領域に侵入しようとするものです。これは、非倫理的なハッカー (「ブラック ハット」または「グレー ハット」とも呼ばれる) がアクセスしようとする情報やアクセスへのリンクとして使用できるソフトウェアやシステムの「バックドア」を隠すことによって実現されます。
合法性
ベルギー
ベルギーは2023年2月にホワイトハットハッキングを合法化した。[15]
中国
2021年7月、中国政府は、自主的な報告制度から、すべてのホワイトハットハッカーが脆弱性に対処したり公表したりする前に、まず政府に脆弱性を報告することを法的に義務付ける制度に移行した。[16]評論家たちは、この変更はホワイトハット活動が国の諜報機関にも役立つという「二重の目的」を生み出すものだと評した。[16]
イギリス
Pinsent Masons LLP の法務ディレクターでOUT-LAW.comの編集者でもある Struan Robertson 氏は、「大まかに言えば、システムへのアクセスが承認されている場合、ハッキングは倫理的かつ合法です。承認されていない場合は、コンピューター不正使用法違反となります。不正アクセスの罪には、パスワードの推測から、誰かのウェブメール アカウントへのアクセス、銀行のセキュリティの破りまで、あらゆることが含まれます。コンピューターへの不正アクセスに対する最高刑は、懲役 2 年と罰金です。ハッカーがデータの変更も行った場合は、さらに重い刑罰が科せられ、懲役 10 年まで科せられます」と述べています。ロバートソン氏は、脆弱性をさらして多くの人の利益を図る不正アクセスは違法であると述べています。「たとえそれがあなたの信念であっても、あなたの行動がより大きな利益のためであるという言い訳は、ハッキング法には存在しません。」[4]
雇用
米国国家安全保障局はCNSS 4011などの認定資格を提供している。このような認定資格は、秩序ある倫理的なハッキング技術とチーム管理をカバーしている。攻撃側チームは「レッド」チームと呼ばれ、防御側チームは「ブルー」チームと呼ばれる。[8] 2020年にDEF CONで採用活動を行った際、同局は応募者に対し「過去にちょっとした不注意があったとしても、心配しないでください。採用されないと自動的に思い込むべきではありません」と約束した。[17]
優秀な「ホワイトハット」は、企業ネットワーク環境を保護するためのバグを見つけるための対策となることができるため、企業にとって競争力のある熟練した従業員です。したがって、優秀な「ホワイトハット」は、企業のシステム、アプリケーション、エンドポイント全体のリスクを軽減する上で予期しないメリットをもたらす可能性があります。[18]
最近の調査によると、ホワイトハットハッカーは企業のネットワークセキュリティ保護においてますます重要な役割を担うようになっている。侵入テストだけにとどまらず、脅威も変化しているため、ホワイトハットハッカーはスキルセットを構築し、変化させている。彼らのスキルには、ソーシャルエンジニアリング、モバイル技術、ソーシャルネットワーキングが含まれるようになった。[19]
著名人
- ジム・ブラウニングは、北アイルランドのホワイトハットハッカー、詐欺師、ジャーナリストの別名で、YouTubeやBBCの番組「Panorama」や「Scam Interceptors」で調査結果を発表している。
- チャーリー・ミラーは、かつて国家安全保障局やウーバーに雇われていたアメリカのホワイトハットハッカーで、クリス・ヴァラセクとともに2014年型ジープ・チェロキーのコンピューターの脆弱性をハッキングして、加速、ブレーキ、ステアリングを制御できることを公開した。
- タメル・シャヒン（1981年生まれ）は、マイクロソフトなどのテクノロジー企業のゼロデイ脆弱性を発見し暴露するトルコのホワイトハットハッカーである。
- アメリカのテクノロジー起業家であるジェニファー・アーキュリは、2016年にホワイトハットコンサルティング会社ハッカーハウスを設立しました。
参照
参考文献
- ^ 「ホワイトハットとは何か? - Whatis.com の定義」 Searchsecurity.techtarget.com。2011 年 2 月 1 日時点のオリジナルよりアーカイブ。2012 年 6 月 6 日閲覧。
- ^ オクパ、ジョン・トンプソン;ウグウォケ、クリストファー・ウチェチュクウ。アジャ、ベンジャミン・オコリー。エシオステ、エマニュエル。イグベ、ジョセフ・エギディ。アジョール、オガー・ジェームス。オコイ、オフェム、ンナナ。エテン、メアリー・ジュアシ。ンナマニ、レベッカ・ジニカンワ（2022-09-05）。 「ナイジェリア、クロスリバー州におけるサイバースペース、ブラックハットハッキング、企業組織の経済的持続可能性」。SAGE オープン。12 (3): 215824402211227。土井: 10.1177/21582440221122739。ISSN 2158-2440。S2CID 252096635。
{{cite journal}}: CS1 maint: multiple names: authors list (link) - ^ Ward, Mark (1996年9月14日). 「サイバースペースにおける妨害行為」. New Scientist . 151 (2047). 2022年1月13日時点のオリジナルよりアーカイブ。2018年3月28日閲覧。
- ^ ab Knight, William (2009年10月16日). 「License to Hack」. InfoSecurity . 6 (6): 38–41. doi :10.1016/s1742-6847(09)70019-9. 2014年1月9日時点のオリジナルよりアーカイブ。 2014年7月19日閲覧。
- ^ Filiol, Eric; Mercaldo, Francesco ; Santone, Antonella (2021). 「自動侵入テストと軽減の方法: Red Hat のアプローチ」。Procedia Computer Science。192 : 2039–2046。doi : 10.1016 / j.procs.2021.08.210。S2CID 244321685。
- ^ ウィルヘルム、トーマス、アンドレス、ジェイソン (2010)。忍者ハッキング：型破りな侵入テストの戦術とテクニック。エルゼビア。pp. 26–7。ISBN 978-1-59749-589-9。
- ^ 「ブラックハッカー、ホワイトハッカー、グレーハッカーの違いとは」Norton.com . Norton Security。2018年1月15日時点のオリジナルよりアーカイブ。 2018年10月2日閲覧。
- ^ ab 「ホワイトハットとは何か？」Secpoint.com。2012年3月20日。2019年5月2日時点のオリジナルよりアーカイブ。2012年6月6日閲覧。
- ^ ab Palmer, CC (2001). 「倫理的ハッキング」(PDF) . IBM Systems Journal . 40 (3): 769. doi :10.1147/sj.403.0769. 2019年5月2日時点のオリジナルよりアーカイブ(PDF) . 2014年7月19日閲覧。
- ^ Paul A. Karger、Roger R. Scherr (1974年6月)。MULTICSセキュリティ評価：脆弱性分析(PDF) (レポート)。2017年11月13日時点のオリジナルよりアーカイブ(PDF) 。 2017年11月12日閲覧。
- ^ McLellan, Vin (1981-07-26). 「盗まれたパスワード事件」.ニューヨーク・タイムズ. 2016年3月7日時点のオリジナルよりアーカイブ。2015年8月11日閲覧。
- ^ 「国防総省が『ペンタゴンをハックする』フォローアップ・イニシアチブを発表」米国国防総省。 2023年12月15日閲覧。
- ^ Perez, Natasha Bertrand,Zachary Cohen,Alex Marquardt,Evan (2023-04-13). 「ペンタゴンの漏洩により、軍の最高機密へのアクセス権を持つ人の制限が発生 | CNN Politics」CNN。2023年12月15日時点のオリジナルよりアーカイブ。 2023年12月15日閲覧。
{{cite web}}: CS1 maint: multiple names: authors list (link) - ^ジャスティン・セイツ、ティム・アーノルド（2021年4月14日）。『Black Hat Python、第2版：ハッカーとペンテスターの ためのPythonプログラミング』No Starch Press。ISBN 978-1-7185-0112-6. 2021年8月26日時点のオリジナルよりアーカイブ。2021年8月30日閲覧。
- ^ Drechsler、Charlotte Somers、Koen Vranckaert、Laura（2023年5月3日）。「ベルギーが倫理的ハッキングを合法化：サイバーセキュリティにとって脅威か、それともチャンスか？」CITIPブログ。2023年5月17日時点のオリジナルよりアーカイブ。 2023年5月7日閲覧。
{{cite web}}: CS1 maint: multiple names: authors list (link) - ^ ab Brar, Aadil (2024年1月18日). 「中国、外国政府を調査するため民間ハッカー軍を編成」.ニューズウィーク. 2024年1月20日時点のオリジナルよりアーカイブ。 2024年1月20日閲覧。
- ^ 「DEF CON® 20 出席者へのお知らせ」。国家安全保障局。2012 年。2012 年 7 月 30 日時点のオリジナルよりアーカイブ。
- ^ Caldwell, Tracey (2011). 「倫理的なハッカー：ホワイトハットを身につける」.ネットワークセキュリティ. 2011 (7): 10–13. doi :10.1016/s1353-4858(11)70075-7. ISSN 1353-4858.
- ^ Caldwell, Tracey (2011-07-01). 「倫理的なハッカー：ホワイトハットを身につける」.ネットワークセキュリティ. 2011 (7): 10–13. doi :10.1016/S1353-4858(11)70075-7. ISSN 1353-4858.