Werken als Ethical Hacker

Wat is een Ethical Hacker?

Een Ethical Hacker is een cybersecurityprofessional die kwetsbaarheden in systemen opspoort en aantoont, voordat kwaadwillenden ze kunnen misbruiken. Het werk gebeurt onder strikte toestemming en de bevindingen worden gedocumenteerd, zo beschrijft EC-Council het op zijn pagina over ethisch hacken. Het woord ethisch slaat op toestemming, doel en gedrag, niet op een vaste taakomschrijving. Een Ethical Hacker gebruikt de methoden van een aanvaller, maar met afspraken: toestemming van de eigenaar of een beleid dat zoeken toestaat, het doel dat de zwakke plek wordt hersteld, en zorgvuldig vastleggen wat je doet.

De term wordt op drie manieren gebruikt. Als houding en kader beschrijft hij hacken met toestemming en met het doel te verbeteren. Als professional is het de persoon die in opdracht een systeem test, ook onder titels als Penetration Tester of Red Team Specialist. Als melder is het iemand die binnen het CVD-beleid van een organisatie een kwetsbaarheid vindt en meldt. Het Openbaar Ministerie en het NCSC gebruiken vooral de laatste twee betekenissen, EC-Council en het ECSF van ENISA vooral de tweede.

Het ECSF noemt ethisch hacken als vaardigheid binnen het profiel Penetration Tester. Het framework beschrijft twaalf rolprofielen voor cybersecurityprofessionals en heeft geen apart profiel met de naam Ethical Hacker.

Neem een bank die een nieuwe app laat testen. De Ethical Hacker spreekt vooraf af welke onderdelen getest worden, probeert op de manier van een aanvaller binnen te komen, schrijft op wat lukt en adviseert over herstel. Neem ook iemand die bij een gemeente ziet dat een webadres zonder inlog documenten van andere inwoners toont. Als de gemeente een CVD-beleid heeft, volgt de melder dat: hij meldt bij de eigenaar, wacht op reactie en publiceert niet zelf. Het beleid van de organisatie en de leidraad van het NCSC zeggen hoe je meldt. Dit werk hoort bij het vakgebied cybersecurity.

Ethical Hacker of Penetration Tester: wat is het verschil?

Over de titels: in het ECSF is Ethical Hacker een alternatieve titel van het profiel Penetration Tester. Het ECSF behandelt die titels als één profiel, samen met onder meer Pentester, Vulnerability Analyst en Red Teamer. Als vakduiding is het verschil er één van breedte. Een Penetration Tester is een uitvoerende functie met een afgebakende opdracht: een scope, een periode, afgesproken technieken en een rapport als resultaat. Een Ethical Hacker is een breder begrip dat die functie kan omvatten, maar ook de houding en de melder. Dat is een lezing uit de vakwereld en geen definitie uit het ECSF.

Vacatures gebruiken de titels bij sommige werkgevers door elkaar. Bij die werkgevers is het hetzelfde werk onder een andere naam. Lees daarom de functieomschrijving en niet alleen de titel. Wat het testwerk van een Penetration Tester inhoudt, staat uitgewerkt in de rolgids Penetration Tester.

Wat doet een Ethical Hacker?

Het werk begint met onderzoeken waar een systeem of applicatie zwak is. Volgens het ECSF hoort daarbij het identificeren, analyseren en beoordelen van technische en organisatorische kwetsbaarheden, en het vinden van aanvalsroutes die laten zien dat een kwetsbaarheid echt te benutten is. In de praktijk betekent dat een systeem of applicatie testen in opdracht, een aanvalsscenario nabootsen, bevindingen vastleggen en rapporteren, en adviseren over herstel. Dat past bij het bredere vak van security testing.

Ethisch hacken wordt ook breder ingezet als Red Team Specialist. Dan gaat het om een scenario over een hele organisatie in plaats van over één systeem, zie de rolgids Red Team Specialist. Voor de financiële sector bestaat het kader TIBER-EU van de ECB, waarin tests de tactieken van echte aanvallers nabootsen; lees meer bij TIBER-NL en TLPT.

Hoe werkt het melden van een kwetsbaarheid?

Coordinated Vulnerability Disclosure (CVD) is het op een verantwoorde manier en in samenspraak tussen melder en organisatie openbaar maken van kwetsbaarheden in ICT-systemen. Een organisatie legt in een CVD-beleid vast welke regels gelden voor het melden en ontvangen van kwetsbaarheden en fouten. Het NCSC schrijft dat zoeken naar kwetsbaarheden in de ICT-systemen van anderen zonder toestemming van de eigenaar niet is toegestaan. Lees daarom het beleid van een organisatie voordat je iets zoekt.

De eerste regel in zo'n beleid is dat een kwetsbaarheid altijd eerst bij de eigenaar van het systeem wordt gemeld. Openbaar maken gebeurt alleen in samenspraak met de organisatie zelf. Het onthullen van een kwetsbaarheid levert ook niet automatisch een beloning op. Het NCSC adviseert bij het zoeken een logboek van je zoektocht bij te houden.

Het Openbaar Ministerie verwacht van ethische hackers dat ze zich in het CVD-beleid van een organisatie hebben verdiept, of in de Leidraad Coordinated Vulnerability Disclosure van het NCSC, voordat ze kwetsbaarheden zoeken en melden. Meer over het proces staat bij het NCSC en bij het Openbaar Ministerie.

Welke skills heb je nodig?

De technische kant begint bij scripts en programma's schrijven, bijvoorbeeld een script dat herhaalde controles uitvoert en de resultaten vergelijkt, zodat je ziet waar een systeem afwijkt. Daarnaast moet je netwerken en besturingssystemen begrijpen. Zonder dat begrip kun je een dienst niet goed plaatsen en niet uitleggen waarom een instelling risico geeft. Je moet kwetsbaarheden kunnen vinden en aantonen dat ze te benutten zijn, en bij een codebeoordeling herkennen waar een applicatie invoer niet controleert.

Ook de niet-technische kant hoort erbij. Integriteit betekent dat je je aan afspraken houdt, ook als niemand meekijkt. Grenzen bewaken betekent dat je alleen test wat binnen de scope valt. Helder schrijven is nodig omdat een bevinding pas bruikbaar is als de beheerder kan nastappen wat je deed. Creatief denken en nieuwsgierigheid helpen om buiten de gebaande paden te kijken, en geduld helpt bij het uitzoeken van een zwakke plek die niet direct zichtbaar is.

Welke tools en technologie gebruikt een Ethical Hacker?

Eerst wat het gereedschap doet. Een poortscanner zoals Nmap laat zien welke diensten een systeem aanbiedt. Een proxy voor webverkeer zoals Burp Suite laat je het verkeer tussen browser en webapplicatie bekijken en wijzigen. Een raamwerk zoals Metasploit helpt om kwetsbaarheden aan te tonen.

Dit zijn voorbeelden. Vacatures noemen meestal welke tools een werkgever gebruikt. Leer de tools op een eigen oefenomgeving, niet op systemen van anderen. Meer over het testwerk staat in de rolgids Penetration Tester.

Welke opleiding en certificeringen passen bij een Ethical Hacker?

Je kunt starten met een hbo- of wo-opleiding in ICT of security. Certificeringen laten op een andere manier zien wat je kunt. De CEH-certificering van EC-Council heeft de term in de naam. EC-Council noemt op de CEH-pagina het programma CEH AI, de nieuwste ontwikkeling van het Certified Ethical Hacker-programma, met 20 leermodules die meer dan 550 aanvalstechnieken behandelen. EC-Council noemt deze functietitels bij de certificering: Ethical Hacker, Penetration Tester en Red Team Specialist. Lees het artikel over CEH voor de details.

De OSCP van OffSec is praktijkgericht. Die certificering hoort bij de cursus PEN-200, en de cursuspagina noemt OffSec Certified Professional, OSCP+. Het examen duurt 24 uur en is volledig hands-on. Daarna krijg je 24 uur extra om een uitgebreid penetratietestrapport in te dienen. Zie ook het artikel over de OSCP-certificering.

De certificeringen tonen verschillende dingen. CEH behandelt een breed scala aan technieken, terwijl OSCP laat zien dat je in de praktijk een test uitvoert en daarover rapporteert. Een certificering vervangt ervaring niet, en hoeveel waarde een werkgever eraan hecht, verschilt per werkgever. Voor eisen, kosten, versies en examenvorm zijn de pagina's van de uitgever leidend.

Hoe word je Ethical Hacker?

Je kunt instromen via een hbo- of wo-opleiding in ICT of security, of overstappen vanuit beheer, ontwikkeling of audit. Ook met eigen oefening kun je beginnen, zolang je kunt laten zien wat je doet. Begin met de basis van netwerken en besturingssystemen, want daar staat elke test op. Richt daarna een eigen oefenomgeving in en leer scripten.

Test alleen systemen die van jou zijn of waarvoor je toestemming hebt. Schrijf op wat je vindt, zoals je dat in een echt rapport zou doen. Wat je kunt laten zien, is een rapport, een oefenomgeving of een certificering. Vind je iets bij een organisatie, lees dan eerst het CVD-beleid en meld het bij de eigenaar. Een instapfunctie of stage bij een bureau dat tests voor klanten uitvoert of bij een intern securityteam kan een eerste stap zijn.

Waar werk je als Ethical Hacker?

Dit werk vind je bij bureaus die tests voor klanten uitvoeren, in interne securityteams en bij softwarebedrijven. Zie vacatures in de financiële dienstverlening en in IT, SaaS en technologie. Sommige melders van kwetsbaarheden doen dit naast hun hoofdfunctie, bijvoorbeeld als ontwikkelaar of beheerder. Werkgevers die op de titel zoeken, staan op de werkgeverspagina voor Ethical Hacker.

Waar groei je naartoe?

Dit is een overzicht, geen belofte. Welke route openstaat, hangt af van de organisatie en van wat je laat zien.

• Senior Penetration Tester: de uitvoerende route, met meer verantwoordelijkheid voor testplannen en rapportage. Zie vacatures voor Penetration Tester.
• Red Team Specialist: scenario's over een hele organisatie in plaats van over één systeem. Zie vacatures voor Red Team Specialist en de rolgids.
• Application Security Engineer: veilige software bouwen in plaats van achteraf testen. Zie vacatures voor Application Security Engineer en de rolgids.
• Security Consultant: advies aan opdrachtgevers, bijvoorbeeld in dienst van een bureau.
• Security Architect: het ontwerp van de beveiliging van systemen als geheel.

Vacatures en werkgevers

Bekijk de vacatures voor Ethical Hacker en de werkgevers met Ethical Hacker-functies. De titel wordt bij sommige werkgevers gebruikt voor werk dat elders Penetration Tester heet, dus zoek je ook op Penetration Tester. Lees bij elke vacature de omschrijving.