ИТ / Интервью
информбезопасность хакеры
7.6.2024

«Запредельно высокие заработки хакеров – это миф»

Почему быть белым хакером круто, выгодно и безопасно

Для многих слово «хакер» имеет негативный смысл – взломщик, преступник. Но эти определения не относятся к белым или этичным хакерам. Они рушат стереотипы, устоявшиеся и неработающие сценарии, а также ищут новые способы и подходы к обеспечению кибербезопасности. О том, как мечта «стать крутым и ломать компы» привела к белому хакингу, читателям RSpectr рассказывает руководитель группы Red Team SE Group Positive Technologies Константин Полишин.

О ВРАЧАХ ИНТЕРНЕТА

– Кто такие белые хакеры?

– По сути, нас можно назвать «врачами интернета»: ИТ-инфраструктура компании проходит своеобразный чекап у белых хакеров. Они находят скрытые уязвимости, предоставляют отчет и помогают их устранить.

Характерно, что внутри белых хакеров действует иерархия: специалисты по анализу защищенности (ищут максимальное число уязвимостей), пентестеры (тестировщики на проникновение в контур компании), «мобильщики» (занимаются поиском уязвимостей мобильных приложений). Внутри нашей компании есть также специалисты по анализу защищенности банкоматов и промышленных систем управления технологическими процессами.

– По образованию вы ИТ-специалист?

– Нет, «белых хакеров» даже обижает, когда их называют «айтишниками». Поскольку наша экспертиза и профессиональные навыки гораздо шире и специализированнее, чем у классических ИТ-специалистов. Чтобы эффективнее выполнять свою работу, необходимо глубоко разбираться в нескольких направлениях, и это не только программирование, но и администрирование инфраструктуры и сети. Наше мышление отличается от мышления обычных «айтишников».

Справка:

Константин Полишин

руководитель группы Red Team SE Group Positive Technologies

  • В 2021 году окончил Федеральное государственное бюджетное образовательное учреждение высшего образования «Национальный исследовательский университет МЭИ», факультет «Информационная безопасность».
  • Сертификаты: Offensive Security Certified Professional (OSCP) 2022 год,

OffSec Experienced Penetration Tester (OSEP) 2023 год.

– Чем белые хакеры принципиально отличаются от черных?

– Этикой, подготовкой, навыками и экспертизой. Для белых хакеров зачастую работа является хобби и в некоторой степени развлечением. Это возможность узнать что-то новое, пообщаться с интересными людьми. Для черных хакеров это ремесло является лишь способом заработка. При этом 90% из них – низкоквалифицированные специалисты, основная задача которых сводится к быстрому сканированию, чтобы забрать права доступа и продать их в Darknet.

О ЗАРАБОТКАХ И СОБЛАЗНАХ

– Чей заработок выше – у черных или белых хакеров?

– Свою зарплату я не могу раскрывать, поскольку связан соглашением о конфиденциальности (NDA). Кстати, рассказы о запредельно высоких заработках черных хакеров  это миф, который пошел от соответствующих кинофильмов. И 90% из них зарабатывают относительно небольшие суммы за счет перепродажи доступа, учетных данных и прочих темных делишек.

Существуют организованные преступные группировки, которые могут извлекать большую финансовую выгоду, но их число невелико. Такие группировки можно сравнить с успешными футболистами, только 1% из них зарабатывает много. Но черным хакерам в этом смысле еще сложнее: те деньги, которые они зарабатывают, нужно сначала обналичить, чтобы воспользоваться. Поэтому средний доход таких хакеров сопоставим с зарплатой не особо крутого пентестера.

– Сколько лет вы работаете белым хакером? И не думали ли вы когда-нибудь перейти на темную сторону?

– В этой профессии я больше пяти лет. Что касается соблазна стать черным хакером, то я никогда не думал об этом. Мне гораздо спокойнее живется в легальном поле, плюс возможность постоянно расти и развиваться ценнее, чем жить в тревоге и ждать, когда тебя вычислят.

При этом меня несколько раз вербовали на черный рынок, но я, естественно, отказался. Вербовщики – это профессиональные психологи, и они знают, как и к кому нужно обращаться. Они могут предложить помощь в какой-либо проблеме, например, оплатить аренду квартиры.

– В какой момент вы решили стать белым хакером?

– Это произошло на втором курсе университета МЭИ. Мне всегда хотелось заниматься чем-то интересным и небанальным: классическое программирование с ежедневным посещением офиса не особо прельщало. У меня было хобби: футбол, и там я познакомился с ребятами, в числе которых оказался мой будущий друг и наставник по хакерству. Он работал в Positive Technologies и буквально заразил меня кибербезопасностью. Навсегда запомнил его фразу, когда спросил о роде деятельности: «Компы ломаю!» И я тоже захотел стать крутым и ломать компы.

Вначале я практиковался на легальных площадках, потом составил резюме и попал в команду пентестеров одного из крупнейших системных интеграторов. А спустя два месяца меня пригласили на работу в Positive Technologies.

О СКИЛАХ И ОБЛИКО МОРАЛЕ

– Белые хакеры являются элитой в мире инфобеза. Насколько сложно их найти?

– Найти квалифицированных этичных исследователей уязвимостей непросто. Это связано с несколькими причинами. Например, в нашей команде PT SWARM довольно высокие требования к квалификации хакера: специалисты должны обладать глубокими знаниями в области проведения тестирований на проникновение, программирования, сетевых технологий, администрирования, иметь понимание современных угроз. Также важен практический опыт применения навыков в проектной работе, желание саморазвития в области hard- и soft-скилов.

Разумеется, этические нормы: мы ищем специалистов, которые придерживаются строгих этических правил, понимают границу между легитимной и нелегитимной деятельностью и заинтересованы в работе в нашей команде высококлассных профессионалов.

Наконец, организации, работающие в сфере кибербезопасности, и компании, имеющие свои внутренние отделы белых хакеров, активно конкурируют за лучших специалистов. В силу дефицита квалифицированных кадров на рынке поиск талантов затягивается и усложняется процесс найма.

О НОВОБРАНЦАХ И УСЛОВИЯХ

– Как вы находите новичков в свою команду?

– Во-первых, на специализированных ресурсах и ИТ-конференциях.

Ищем в соцсетях и на отраслевых платформах (Хабр, Хаkер, GitHub, LinkedIn, профильные чаты в Telegram) – там существует множество сообществ и групп, где можно найти потенциальных кандидатов.

Помогают программы багбаунти, которые привлекают желающих протестировать свои ИТ-продукты на уязвимости за вознаграждение. Активные участники таких программ часто имеют высокие навыки и большой практический опыт в анализе защищенности.

Также набираем талантливых ребят через стажировки: мы сотрудничаем с университетами и образовательными центрами.

– На каких условиях вы принимаете их на работу? Предусматриваете ли вы вариант, когда белый хакер может навредить компании?

– Каждый новый сотрудник подписывает договор о конфиденциальности (NDA), чтобы защитить коммерческую тайну, чувствительные данные компании и наших клиентов.

Мы предлагаем хакерам официальное трудоустройство, гибкий график и удаленную работу.

Кроме того, у нас имеется выделенная команда аналитиков, которые по нашим материалам пишут отчеты. Это позволяет белым хакерам сосредотачиваться непосредственно на своей работе и развитии экспертизы.

– Как компания может себя подстраховать, если хакер перестанет быть этичным?

– Принцип минимально необходимого доступа и разделение ролей помогают ограничить доступ к критическим системам и данным. Мы поэтапно привлекаем сотрудников к проектам различной сложности: сначала анализируем их проектную деятельность на классических проектах и далее делаем выводы о готовности участвовать в более сложных и ответственных задачах.

В нашу команду попадают только самые квалифицированные белые хакеры, имеющие успешный проектный опыт и высокую репутацию, которую они ценят.

БАГИ НЕ ПРОЙДУТ

– Как вы оцениваете российский рынок багбаунти? Какие компании проявляют интерес к багхантерам – охотникам за уязвимостями?

– Отечественный рынок находится в стадии активного развития. Многие компании начинают осознавать важность таких программ как инструмента для повышения уровня безопасности своих продуктов и систем.

Интерес, как правило, проявляют:

1. Технологические гиганты – VK, Ozon активно используют программы багбаунти для повышения уровня безопасности.

2. Банковский сектор: банки, финтехи и финансовые учреждения, такие как Тинькофф, понимают важность защиты данных и привлекают этичных хакеров для поиска уязвимостей в своих сервисах и приложениях.

3. Государственные структуры: некоторые государственные организации также проявляют интерес к обеспечению безопасности. Минцифры, например, уже имеет публичные программы багбаунти для повышения киберустойчивости своих систем.

– Каковы основные проблемы и перспективы рынка багбаунти?

– Недостаток доверия: некоторые компании по-прежнему относятся с настороженностью к внешним хакерам, что замедляет развитие рынка.

Правовые аспекты: важно создать четкую правовую основу для защиты интересов как багхантеров, так и компаний, дав обеим сторонам возможность взаимовыгодного сотрудничества.

Образование и повышение осведомленности: необходима активная работа по повышению осведомленности о преимуществах программ багбаунти среди компаний различного масштаба бизнеса.

Екатерина Лаштун

Изображение: Positive Technologies

Еще по теме

Как изменились подходы и скорость цифровизации за последние 20 лет

Почему будущих специалистов по информбезопасности разбирают еще со школы

Новые схемы интернет-мошенников и как им противостоять

Почему буксует импортозамещение электронных компонентов

Почему рынок коммерческих дата-центров нуждается в регулировании

Что ждет начинающего тестировщика в 2024 году

Как найти перспективные зарубежные рынки для российских решений

Какие угрозы несет интернет тел человечеству

Успеют ли банки заменить импортный софт и оборудование до 2025 года

Зачем компании вкладывают деньги в ИТ-состязания?

Импортозамещение и внутренняя разработка ПО в страховании

Почему рынок информационных технологий РФ возвращается к классической дистрибуции

Что сделано и не сделано в цифровизации России за 2023 год

Как заботу о вычислениях переложить на вендоров и почему не все к этому готовы

Когда российский бизнес начнет замещать импортное ИТ-оборудование