SER UM HACKER DE SUCESSO

Quando falamos a palavra “Hacker“, várias pessoas que não tem conhecimento do assunto já acham que é algo relacionado crimes cibernéticos, porém algumas delas precisam saber realmente o que é ser um hacker.

Muitos curiosos sobre o assunto querem saber como se tornar um Hacker (que nem o Elliot de Mr. Robot) e este tópico tem o objetivo de dar o caminho inicial para isto e alguns esclarecimentos.

O que é um Hacker?

Primeiramente precisamos saber o que é um Hacker.

Procurando no Google, dicionários, Wikipedia, achamos várias definições meio diferentes, geralmente associando o hacker a uma pessoa da área de TI, e em alguns até mesmo como um mero criminoso virtual, então para esta definição eu prefiro adotar a definição dada no livro Hacking: the art of exploitation 2nd edition, no livro Segredos do hacker ético e da NOVA Labs que pode ser visto no vídeo abaixo (recomendo acionar a legenda), pois dá uma explicação muito mais ampla e que dá sentido as outras definições que achamos por ai.

Um hacker seria uma pessoa que resolve problemas de maneiras inesperadas e criativas, o que abrange pessoas de qualquer área de atuação e conhecimento, no vídeo é citado até um exemplo de que os engenheiros da NASA o Apollo 13 com um livro, sacola plastica e um rolo de fita adesiva. O hacker de computador que é o nosso caso, o qual vemos pela história o desenvolvimento da tecnologia em que foi criado o computador Bombe para quebrar a criptografia gerada através da máquina Enigma, possibilitando com que fosse possível ver o que os alemães estavam dizendo nas suas transmissões via rádio criptografadas na 2° guerra mundial, e nos dias de hoje vemos eles achando falhas como o de heartbleed o qual ao ler sobre, vemos que além do conhecimento foi utilizada uma boa criatividade para tal.

Um esclarecimento sobre hackers que muitos confundem é que, colocar uma mascara dos anonymous na cara ou no seu perfil do Facebook, não lhe tornará um hacker, saber executar um programa de computador e hackear alguém sem saber o que está fazendo não lhe torna um hacker, ser da área de TI não obrigatoriamente lhe torna um hacker, nem fazer parte de blogs, fóruns e comunidades lhe tornam um hacker. O que de fato lhe tornará um hacker é algo simples e demorados que seus pais te mandam fazer desde pequeno, ou seja, estudar a fundo o tema através de fontes sérias e confiáveis, aprender e entender como as coisas funcionam além de desenvolver a sua lógica e criatividade e ai sim, poderá se tornar um hacker e isso pode levar anos.

Divisões por Hats

Diferente do que a mídia mostra os hackers de computador não são necessariamente criminosos, eles são apenas resolvedores de problemas de forma inesperada e criativa na área da computação, podendo agir tanto para o bem, como para o mal, para fazer esta divisão entre os mocinhos e o lado negro da força utiliza-se a denominação por Hats:

White hat: O Hacker de computador que também pode ser chamado de hacker ético, pois ele segue a ética, regras e leis, teríamos como exemplo os profissionais que trabalham para criar os anti-vírus para combater as pragas virtuais, ou seja, o hacker do bem;Black hat: O Hacker de computador que é malicioso, podendo ser envolvido com fraudes eletrônicas, phishing, spamming e etc… um exemplo seria a pessoa que cria o malware para contaminar um PC, ou seja, o hacker do mal;Gray hat: O hacker de computador que fica no meio, ou seja, age tando para o bem como para o mal, um grande exemplo é o próprio Elliot de Mr. robot, o qual utilizou o hacking com boas intenções, mas de formas anti éticas.

Outras classificações

Existem outras classificações de hackers:

Cracker: Este termo pode ser um sinônimo para Black hat, mas também pode ser referido aos hacker que criam cracks de programas como do pacote Adobe, Windows e etc…Newbie: Também conhecido como noob, que são os novatos que querem aprender sobre assunto, tendendo a ser bem focados e buscam conhecimento;Script Kiddie: Não são bem hackers, são as pessoas que geralmente pegam um tutorial bem passo a passo de como hackear determinada coisa e o seguem a risca, utilizando ferramentas e métodos sem o menos conhecimento do que está fazendo, apenas segue tudo as cegas. Um exemplo mais comum que existe é aquele ex namorado vingativo que quer hackear o Facebook da ex namorada, mas tem um conhecimento insignificativo sobre computação (quem trabalhou no suporte como TI sabe muito bem) e dai vai no Google e pesquisa “Comu hasckiar o Facibook da minha namorada” (está escrito errado de propósito) e acha um monte de tutorial passo a passo, e tenta cada um deles até conseguir (ou não). Outro detalhe é que tendem a ser maliciosos;Lamer/Lammer: Seria um poser metido a hacker, eles não são hackers, não tem conhecimento ou nem mesmo chegaram a invadir que nem um script kiddie e tenta ter uma pose de hacker fodão (aqueles contadores de lorotas braba), mas no fundo não são e nem fazem muito do que dizem;Phreaker: Hackers voltados ao hacking em telefones, o grande exemplo seria de Kevin Mitnick no filme Hackers 2 – Operação takedown;Banker: Hackers voltados a práticas de fraudes bancárias;Carder: Hackers voltados a práticas de fraudes de cartão de crédito;Defacer: São hackers (na verdade a maioria é Script Kiddie) que fazem deface em web sites, ou seja, são “pichadores” de sites, que tem a intenção de mudar geralmente a pagina inicial de um site e por sua marca ou simplesmente colocar alguma brincadeira nele;Hacktivismo: O hacktivismo é a união de hack com ativismo, que se refere a um movimento hacker ativista em prol de um bem comum, como manifestações em meios eletrônicos. Existe uma diferença grande entre ativismo e vandalismo, o ativismo é feito de maneira pacifica, dentro dos sues direitos e responsabilidades como cidadão, já o vandalismo é algo destrutivo, hackers que invadem sites do governo ou derrubam sites dizendo ser uma manifestação, não é um ativista, é apenas mais um vândalo.

O que é segurança da informação e suas principais áreas

Agora que sabemos o que é hacker, devemos ir para outro passo que é saber o que é segurança da informação, para isto vamos pegar a definição do próprio Wikipédia abaixo: (com um pequeno ajuste em negrito)

“A segurança da informação está diretamente relacionada com proteção de um conjunto de informações, no sentido de preservar o valor que possuem para um indivíduo ou uma organização. São características básicas da segurança da informação os atributos de confidencialidade, integridade, disponibilidade, não-repúdio e autenticidade, não estando esta segurança restrita somente a sistemas computacionais, informações eletrônicas ou sistemas de armazenamento. O conceito se aplica a todos os aspectos de proteção de informações e dados. O conceito de Segurança Informática ou Segurança de Computadores está intimamente relacionado com o de Segurança da Informação, incluindo não apenas a segurança dos dados/informação, mas também a dos sistemas em si.”

A segurança da informação é a área que abrange sim toda a parte de segurança no meio virtual, por isso que muitas pessoas ao tentar querer se tornar um hacker deveria na verdade pesquisar sobre segurança da informação no Google, é nela onde aprenderá muito sobre a área de segurança de forma séria, esta área é dividida em vários segmentos sendo os mais conhecidos:

Pentest – Também conhecido como “Teste de intrusão/penetração”, esta é a área voltada para realização de testes a fim de ver o quão vulnerável um determinado sistema está a uma ataque ou tentativa de invasão, tanto interna como externa, basicamente é como Alan Sanches diz, você pode trabalhar sendo contratado por empresas para “invadi-las” e ganhar por isso, claro que tem todo uma burocracia por trás disso, mas diferente de uma mera invasão, existe to um processo que regulariza isso, a empresa lhe dá autorização mediante a um contrato dizendo o que pode ou não ser feito e ao final, de realizar os testes de intrusão na empresa, você dá a empresa um relatório com as falhas encontradas e como ajusta-los, tornando os sistemas cada vez mais seguros e resiliente a ataques reais de uma pessoa mal intencionada.Computação forense – A área de computação forense é mais voltada a investigação na área da computação, o seriado CSI Cyber dá uma ideia disto, mas é claro que lá é uma coisa bem fantasiosa, nessa área o analista tentará descobrir quem, quando, como, onde e o porque de um incidente e coletar as provas para poderem ser utilizadas tanto em um tribunal, como para simples analises. Os casos em que a computação forense vai desde a suspeita de ter um funcionário acessando sites indevidos, até em casos para descobrir um determinado pedófilo. Essa área envolve um conhecimento bem vasto, lindado com análise de malware, engenharia reversa, recuperação de dados deletados, análise de trafego de rede, conhecimento de como funciona um sistema operacional e um pouco da parte de direito.Desenvolvimento seguro – Esta área é voltada a criação de softwares seguros, sendo resistentes a ataques via aplicação como SQL Injection e buffer overflow, construindo software seguros, aumenta bem significativamente a segurança até mesmo da empresa, pois mesmo que a infraestrutura esteja segura, isso não impede de explorar as falhas das aplicações. Em outros países o desenvolvimento seguro é ensinado enquanto as pessoas ainda estão dando aprendendo a programar, formando programadores com bases sólidas e que vão criar software seguros por padrão, mas no Brasil infelizmente não é uma cultura, sendo geralmente aprendido a parte e a maioria não aprende e cria por padrão muitos softwares inseguros.Gestor de segurança da informação – É uma área voltada mais a gestão, gerente dado para os gerentes da área de segurança, lidando com gestão da equipe de segurança, auditoria, comunicação com cliente, criar planos de reação a incidentes, uma parte da conformidade legal junto ao jurídico da empresa e etc.

Existem outras áreas além destas, e várias funções e cargos na área, além de várias subdivisões.

Um outro detalhe é que segurança da informação não é só a proteção de computadores, isto também envolve pessoas que são os pontos mais fracos, a segurança não é um produto e sim processos, as pessoas caem muito em engenharia social, tanto que até hoje existe e funciona muito bem, algumas empresas dão treinamento a qualquer funcionário da empresa sobre segurança básica independente de sua função e até testam em um pentest esses funcionários, pois através deles é que um hacker poderá invadir a empresa se passando por alguém ou criando situações que lhes favoreça, como na cena de Mr. robot o qual ele deixou um pendrive no chão e um policial pegou e colocou no PC, o qual este pendrive estava contaminado, outra histórica clássica é o TI tentando remover um malware do PC de um funcionário e o mesmo jura de pés juntos que não fez nada (além de acessar aqueles sites que não deveria recheados de armadilhas).

Como se tornar um Hacker

Geralmente quando uma pessoa pergunta como é se tornar um hacker, elas recebem como resposta: “Estude linux, redes e programação”. Isto não está totalmente errado, nem certo, eu diria que depende, pois nem todo profissional de segurança necessariamente sabe programar e é obrigado a saber disso ou outros quesitos como Linux e redes, depende muito do que ele deseja e onde vai atuar, além do cargo. (Além de que só de saber linux, redes e programação puramente, conseguirá hackear algo)

Passos iniciais

Independente de qualquer sub área da segurança que queira atuar, deverá começar pelo básico, conhecer os fundamentos teóricos de forma geral, isto abrirá a sua mente para entender melhor tanto o que você quer, como o que é cada coisa e a seguir em frente com os estudos nas sub divisões.

Primeiramente eu indico que leia o livro Certificação Security+ da prática para o exame SY0 – 401, ele é sim um livro para certificação, mas possui uma linguagem bem clara e dá uma base muito sólida sobre o assunto em geral de forma teórica, caso deseje tirar certificação, a SY0 – 401 (Security +) e ISO 27002, são as mais indicadas inicialmente como as primeiras a tirar. Algumas empresas consideram como diferencial ou até como obrigatório ter também as certificações ITIL e Cobit, que não são certificações área de segurança.

Pentest

Pré-requisitos essenciais:

Redes de computadores;Linux e Windows;Inglês;Programação (C,Python,Ruby)

Certificações:

CEHLPTECSAOSCPCPTCCPTECSTAGPEN

Na parte de livros eu indico inicialmente o livro Testes de Invasão – Uma introdução prática ao hacking e outro que é em inglês seria o Professional Penetration Testing: Volume 1: Creating and Learning in a Hacking Lab, um outro livro mais prático essencial é o The Hacker Playbook 2: Practical Guide To Penetration Testing. Estes 3 livros dão uma visão bem prática e um pouco de conceito do tema, dando um gosto bem real de um pentest e de forma dinâmica e simples. Outro livro se trata da ferramenta mais utilizada em pentest que é o Metasploit: The Penetration Tester’s Guide 1st Edition.

Para uma base bem sólida e teórica mais aprofundado que serve inclusive para a certificação CEH são os livros da série Ethical Hacking and Countermeasures da EC-Council.

Para os que querem se aventurar na parte de pentest mais voltada a programação, tanto criando suas ferramentas como entendendo falhas de software por conta própria, indico primeiramente ler o livro Hacking: The Art of Exploitation: The Art of Exploitation 2° edition, em seguida indico os livros:

Rtfm: Red Team Field Manual;Black Hat Python: Python Programming for Hackers and Pentesters 1st Edition; [Tem versão em português]Gray Hat Python: Python Programming for Hackers and Reverse Engineers 1st Edition;Violent Python: A Cookbook for Hackers, Forensic Analysts, Penetration Testers and Security Engineers 1st Edition.

Observação: Existe outros livros voltados exploração de falhas software, caso deseje saber mais sobre os mesmos, veja a parte que fala da área de desenvolvimento seguro.

Computação forense

Pré-requisitos essenciais:

Fundamentos de sistemas operacionais sólido;Fundamentos de organização de computadores sólido;Redes de computadores;Deverá saber pelo menos um dos principais sistemas operacionais: Linux, Windows, Android, ou IOS;Programação baixo nível e auto nível;Legislação;Inglês.

Certificações:

CHFI;EnCE;CSFA;CCE;CFCE;GCFA;GCFE.

Uma área que muitos comentam estar emergindo e crescendo no Brasil e que necessita de bastante conhecimento.

Livros indicamos inicialmente os 2 para serem lidos: Crimes Cibernéticos – Ameaças e procedimentos de investigação e Desvendando a Computação Forense, pois eles dão uma base bem simples para que possa ver se é essa área mesmo que deseja seguir e entender de forma mais clara do que se trata. L

The Art of Computer Virus Research and DefensePractical Forensic Imaging: Securing Digital Evidence with Linux Tools 1st EditionNetwork Forensics: Tracking Hackers through Cyberspace 1st EditionFile System Forensic Analysis 1st EditionReversing: Secrets of Reverse Engineering 1st Edition

Para uma base bem sólida e teórica mais aprofundado que serve inclusive para a certificação CHFI são os livros da série Computer Forensics da EC-Council.

Desenvolvimento seguro

Pré-requisitos essenciais:

Programação;Base de engenharia de software;Banco de dados;Inglês.

Certificações:

SDL;CSSLP;GSSP.

Livros primeiro ler esses 2: The Tangled Web: A Guide to Securing Modern Web Applications e Hacking: The Art of Exploitation, 2nd Edition.

24 deadly sins of software securityGray Hat Hacking The Ethical Hacker’s Handbook, Fourth Edition 4th EditionWeb Application Defender’s Cookbook: Battling Hackers and Protecting Users 1st EditionA Bug Hunter’s Diary: A Guided Tour Through the Wilds of Software Security 1st EditionSQL Injection Attacks and Defense, Second Edition 2nd EditionBuffer Overflow Attacks: Detect, Exploit, Prevent 1st EditionWriting Security Tools and Exploits 1st EditionSoftware Security: Building Security In 1st Edition

Segurança em servidores Linux

Pré-requisitos essenciais:

Redes de computadores;Linux;Inglês;

Certificações:

LPIC-3;RHCA;RHCSS;GCUX;

Quando se trata de servidores seguros para hospedar sistemas que necessitam de maiores cuidados de segurança, o Linux é o que vem a mente de primeira, mas ele não é seguro por padrão e é necessário torna-lo algo bem resistente.

Vídeos indicamos ver o vídeo de hardering em Linux da OYS Technology e outros vídeos sobre Linux deles.

Livros indicamos inicialmente ler os principais: Linux Security Cookbook  e Hardening Linux, em seguida eu indico:

Network and System Security, Second Edition 2nd EditionLinux Firewalls: Attack Detection and Response with iptables, psad, and fwsnortSelinux: NSA’s Open Source Security Enhanced Linux 1st Edition

Existem outros livros que são indicados, mas são voltados a outras tecnologias como Apache, IDS/IPS, squid, dentre outros que focam mais em aplicações específicas que podem rodar no linux.

Com relação a cursos eu indico a OYS, ela tem uma gama bem grande de cursos de Linux do básico ao avançado e fala principalmente de segurança.

Analista de segurança da informação

Pré-requisitos essenciais:

Redes de computadores;Linux e Windows;Inglês.

Certificações:

ECSA;GSEC;GCIH;GCIA.

É um cargo bem comum nas empresas, por ter um papel que considero bem diversificado para atender as necessidade da empresa.

Livros é difícil indicar por ser um papel bem diversificado, que acarreta em vários livros sobre várias tarefas que falam de pontos individuais, melhor ver alguns vídeos e pesquisar sobre cada ponto.

Gestão de segurança da informação

Pré-requisitos essenciais:

Gestão;Redes de computadores;Linux e Windows;Inglês;

Certificações:

ISO 27002;CISM;CASP;CISSP;CIA;CISA.

Uma área que exige boa experiência e prática já adquirida na área de segurança, sendo comum analistas de segurança da informação virem naturalmente para esta área ao chegar no cargo de gerente.