Ko slišimo besedo heker, si marsikdo predstavlja osebo v temni sobi, ki poskuša vdreti v računalnik, ukrasti gesla ali pridobiti podatke. Toda hekanje ni nujno povezano s kriminalom.
Etični heker uporablja podobna znanja, orodja in načine razmišljanja kot napadalec, vendar z bistveno razliko: njegov cilj je odkriti varnostne pomanjkljivosti, preden jih odkrije in izkoristi nekdo z zlonamernimi nameni.
Etično hekanje je zato pomemben del sodobne kibernetske varnosti. Organizacijam pomaga preveriti, kako varni so njihovi računalniki, strežniki, spletne aplikacije, omrežja in druge digitalne storitve.
Kdo je etični heker?
Etični heker je strokovnjak za informacijsko oziroma kibernetsko varnost, ki poskuša odkriti ranljivosti informacijskih sistemov na nadzorovan in dovoljen način.
Pri tem razmišlja podobno kot pravi napadalec. Preverja na primer:
- ali je mogoče obiti prijavo v sistem,
- ali strežnik uporablja zastarelo programsko opremo,
- ali je spletna aplikacija nepravilno zaščitena,
- ali so uporabniški računi in gesla dovolj zaščiteni,
- ali je omrežje pravilno ločeno in zaščiteno,
- ali lahko napadalec pridobi dostop do podatkov, do katerih ne bi smel,
- kako daleč bi lahko napadalec prišel, če bi mu uspelo izkoristiti eno izmed ranljivosti.
Ključna razlika med etičnim hekerjem in napadalcem je v namenu, dovoljenju in dogovorjenem obsegu testiranja.
Etični heker ni isto kot kibernetski kriminalec
Orodje ali tehnika sama po sebi še ne določa, ali gre za etično hekanje ali zlorabo. Pomembni so namen, dovoljenje in način uporabe.
V svetu kibernetske varnosti zato pogosto srečamo izraze white hat, grey hat in black hat.
White hat – etični heker
White hat oziroma »beli klobuk« je strokovnjak, ki varnostne pomanjkljivosti išče z dovoljenjem in z namenom izboljšanja varnosti sistema.
Black hat – zlonamerni heker
Black hat oziroma »črni klobuk« poskuša v sistem pridobiti nepooblaščen dostop zaradi kraje podatkov, finančne koristi, izsiljevanja, vohunjenja, povzročanja škode ali drugih zlonamernih namenov.
Grey hat – sivo območje
Izraz grey hat se običajno uporablja za osebo, ki odkrije ali preverja ranljivosti brez jasnega predhodnega dovoljenja, čeprav njen namen morda ni povzročanje škode.
Prav tu nastane pomembna težava: dober namen še ne pomeni avtomatičnega dovoljenja za poseganje v tuj informacijski sistem.
Ali lahko etični heker preizkusi katerokoli spletno stran?
Ne.
To je eno najpomembnejših pravil etičnega hekanja.
Če znamo preveriti varnost spletne strani, strežnika, brezžičnega omrežja ali drugega sistema, to še ne pomeni, da ga smemo brez dovoljenja tudi aktivno testirati.
Pri profesionalnem penetracijskem testiranju se zato pred začetkom praviloma določijo:
- sistemi, ki jih je dovoljeno testirati,
- sistemi, ki so iz testiranja izključeni,
- dovoljene metode preverjanja,
- čas izvajanja testiranja,
- kontaktne osebe,
- način ravnanja z morebitno pridobljenimi podatki,
- postopek ob odkritju kritične ranljivosti.
Tak dogovor ščiti tako naročnika kot izvajalca testiranja.
Kaj je penetracijsko testiranje?
Penetracijsko testiranje oziroma penetration testing je nadzorovano varnostno preverjanje, pri katerem strokovnjak poskuša ugotoviti, ali je mogoče obstoječe ranljivosti dejansko izkoristiti.
To je nekoliko drugače kot običajno avtomatizirano varnostno pregledovanje.
Program lahko na primer opozori, da strežnik uporablja različico programske opreme z znano ranljivostjo. Penetracijski tester pa poskuša oceniti, ali je ta ranljivost v konkretnem okolju dejansko izkoristljiva in kakšne bi bile lahko posledice.
Po opravljenem testiranju naročnik praviloma prejme poročilo z ugotovljenimi ranljivostmi, oceno njihove resnosti in priporočili za odpravo.
Kaj lahko preverja etični heker?
Področje etičnega hekanja je precej širše od običajnega »vdora v računalnik«.
Glede na dogovorjeni obseg lahko varnostno preverjanje zajema:
- spletne strani in spletne aplikacije,
- strežnike,
- računalniška omrežja,
- brezžična omrežja,
- oddaljeni dostop,
- uporabniške račune,
- programsko opremo,
- oblačne storitve,
- mobilne aplikacije,
- naprave interneta stvari oziroma IoT,
- druge informacijske sisteme.
Strokovnjaki se pogosto specializirajo samo za posamezna področja. Nekdo je lahko specialist za spletne aplikacije, drugi za omrežno varnost, tretji za Active Directory ali oblačno infrastrukturo.
Kaj pa, če ranljivost odkrijemo po naključju?
Ranljivosti niso vedno odkrite med naročenim penetracijskim testiranjem. Na varnostno pomanjkljivost lahko uporabnik ali raziskovalec naleti tudi po naključju.
Takrat je pomembno odgovorno oziroma usklajeno razkrivanje ranljivosti.
Namesto javne objave tehničnih podrobnosti, ki bi jih lahko izkoristili napadalci, se o ranljivosti praviloma najprej obvesti upravljavca sistema oziroma drugega pristojnega prejemnika.
Tako dobi odgovorna organizacija možnost, da ranljivost preveri in odpravi, preden postanejo informacije o njej javno dostopne.
V Sloveniji ima pomembno vlogo pri usklajenem razkrivanju ranljivosti tudi SI-CERT.
Zakaj podjetja potrebujejo etične hekerje?
Podjetje lahko uporablja požarni zid, protivirusno zaščito, varnostne kopije in močna gesla ter ima kljub temu ranljiv informacijski sistem.
Vzrok je preprost: informacijski sistemi so sestavljeni iz številnih medsebojno povezanih komponent. Ena napačna nastavitev, zastarela aplikacija ali preširoko nastavljene pravice lahko ustvarijo pot, ki je pri običajnem vzdrževanju ne opazimo.
Etični heker zato poskuša sistem pogledati z vidika potencialnega napadalca.
Ne sprašuje se samo:
»Ali imamo požarni zid?«
ampak predvsem:
»Če bi želel priti v to omrežje, kje bi najprej poskusil in kaj bi lahko storil, če bi mi uspelo?«
Tak način razmišljanja je ena izmed največjih vrednosti penetracijskega testiranja.
Etično hekanje in NIS2
Kibernetska varnost postaja vedno pomembnejši del poslovanja in zakonodaje.
V Sloveniji je 19. junija 2025 začel veljati Zakon o informacijski varnosti (ZInfV-1), ki v slovenski pravni red prenaša evropsko direktivo NIS2.
Novi okvir med drugim krepi zahteve glede obvladovanja kibernetskih tveganj, poročanja o incidentih, zaščite informacijskih sistemov in upravljanja ranljivosti.
To ne pomeni, da mora vsako podjetje najeti etičnega hekerja. Pomeni pa, da postajajo sistematično preverjanje varnosti, upravljanje ranljivosti in sposobnost odzivanja na incidente vedno pomembnejši deli poslovanja.
Ali obstaja certifikat za etičnega hekerja?
Etični heker ni enoten državni poklicni status, ki bi ga posameznik pridobil z eno samo licenco.
Obstajajo pa mednarodno priznana izobraževanja in strokovni certifikati s področja kibernetske varnosti in penetracijskega testiranja.
Med bolj znanimi so na primer:
- CEH – Certified Ethical Hacker,
- OSCP oziroma OSCP+,
- Burp Suite Certified Practitioner,
- drugi praktično usmerjeni certifikati s področja kibernetske varnosti.
Certifikat lahko potrjuje določeno raven znanja, vendar sam po sebi še ne naredi dobrega varnostnega strokovnjaka.
Pomembne so tudi praktične izkušnje, poznavanje omrežij in operacijskih sistemov, razumevanje spletnih tehnologij ter predvsem odgovoren odnos do varnosti in podatkov.
Ali se lahko etičnega hekanja nauči vsak?
Da. Začetek ne zahteva filmskega znanja programiranja ali sposobnosti, da v nekaj sekundah »vdremo« v računalnik.
Dobra osnova je razumevanje delovanja:
- računalniških omrežij,
- naslovov IP,
- DNS,
- spletnih strežnikov,
- operacijskih sistemov Windows in Linux,
- spletnih tehnologij,
- osnov programiranja oziroma skriptiranja.
Nato se znanje postopoma nadgrajuje z učenjem o ranljivostih in z vajami v namensko pripravljenih laboratorijskih okoljih, kjer je varnostno testiranje dovoljeno.
Etični heker pomaga preprečiti napad
Izraz »heker« bo verjetno še dolgo povezan z vdori in računalniškim kriminalom. V resničnem svetu kibernetske varnosti pa ista tehnična znanja uporabljajo tudi ljudje, katerih naloga je sisteme zaščititi.
Dober etični heker ne dokazuje, koliko sistemov lahko napade.
Njegova vrednost je v tem, da zna razmišljati kot napadalec, delovati kot strokovnjak in ugotovitve uporabiti za izboljšanje varnosti.
Pogosta vprašanja o etičnem hekanju
Je etično hekanje zakonito?
Etično varnostno testiranje temelji na dovoljenju in dogovorjenem obsegu testiranja. Dejstvo, da ima nekdo dobre namene ali varnostni certifikat, mu samo po sebi ne daje dovoljenja za aktivno testiranje tujih sistemov.
Ali je etični heker isto kot penetration tester?
Izraza se pogosto uporabljata podobno, vendar je etični heker širši pojem. Penetration tester je strokovnjak, ki izvaja konkretna nadzorovana penetracijska testiranja sistemov.
Ali potrebujem certifikat, da postanem etični heker?
Ne obstaja enoten državni certifikat, ki bi posamezniku podelil splošni status etičnega hekerja. Obstajajo pa priznani strokovni certifikati, s katerimi je mogoče dokazovati znanje s področja kibernetske varnosti in penetracijskega testiranja.
Kaj pomeni white hat hacker?
White hat hacker je angleški izraz za etičnega hekerja oziroma varnostnega strokovnjaka, ki svoje znanje uporablja za odkrivanje in odpravljanje varnostnih pomanjkljivosti.
Kaj storiti, če odkrijem varnostno ranljivost?
Ranljivosti ne izkoriščajte naprej in občutljivih tehničnih podrobnosti ne objavljajte nepremišljeno. Obrnite se na upravljavca oziroma razvijalca sistema ali uporabite ustrezen postopek usklajenega razkrivanja ranljivosti.
