Hoe word je ethical hacker?

Wat is een ethical hacker?

Een ethical hacker is een beveiligingsprofessional die met toestemming kwetsbaarheden zoekt. EC-Council omschrijft een ethical hacker als iemand die is opgeleid om kwetsbaarheden in systemen te vinden en te herstellen voordat kwaadwillende aanvallers ze kunnen uitbuiten. Ethical hacking is volgens EC-Council het opsporen van kwetsbaarheden in een applicatie, een systeem of de infrastructuur van een organisatie.

In het European Cybersecurity Skills Framework (ECSF) van ENISA, uitgave september 2022, staan twaalf rolprofielen. Daar bestaat geen profiel dat Ethical Hacker heet. De naam staat wel als alternatieve titel bij het profiel Penetration Tester, naast onder meer Pentester, Vulnerability Analyst en Red Team Expert. Het profiel beoordeelt de effectiviteit van beveiligingsmaatregelen, legt kwetsbaarheden bloot en benut ze, en schat in hoe ernstig ze zijn als een bedreiger ze zou uitbuiten. Ethisch hacken hoort bij het vakgebied cybersecurity.

Het begrip is breder dan Penetration Tester. Ook wie in opdracht van een organisatie test, heet ethical hacker. Wie op eigen initiatief een kwetsbaarheid vindt en meldt, wordt ook zo genoemd. Dat verschil bepaalt wat mag: in opdracht werk je onder afspraken, en buiten een opdracht gelden het CVD-beleid van de organisatie en de regels van het Openbaar Ministerie. Lees de rolgids voor de Penetration Tester om de taken naast elkaar te zien.

Mag je zomaar systemen testen om te oefenen?

Nee. Het Openbaar Ministerie (OM) schrijft dat actief zoeken naar kwetsbaarheden in andermans systeem niet is toegestaan, ook niet met een penetratietest. Dat geldt tenzij de eigenaar uitdrukkelijk toestemming geeft, bijvoorbeeld wanneer een bedrijf een ethische hacker inhuurt. Het NCSC zegt hetzelfde: zonder toestemming van de eigenaar zoek je niet in de ICT-systemen van anderen.

Computervredebreuk valt onder cybercrime. De Richtlijn voor strafvordering cybercrime noemt computervredebreuk een vorm van cybercrime, onder meer bij het inbreken in een account of een bedrijfsserver. Die richtlijn verwijst daarvoor naar artikel 138ab van het Wetboek van Strafrecht. Goede bedoelingen veranderen daar niets aan: zonder toestemming is het geen ethisch hacken.

Oefenen mag wel, op de juiste plek. Oefen op computers en een netwerk die van jou zijn, of in virtuele machines die je zelf opzet. Een home lab is daarvoor de logische plek om te beginnen. Ook CTF-wedstrijden en oefenplatformen zijn bedoeld om te oefenen, omdat fouten daar geen schade doen. Leg daarbij vast wat je doet. Het OM raadt bij ethisch hacken aan om een logboek van elke stap bij te houden, en dat is ook een goede gewoonte bij oefenen.

Welke vaardigheden heeft een ethical hacker nodig?

Het ECSF-profiel van de Penetration Tester noemt een reeks key skills. In gewone taal gaat het om code, scripts en programma's schrijven, kwetsbaarheden vinden en benutten, social engineering uitvoeren en ethisch hacken. Daarbij horen creatief denken, communiceren, presenteren en rapporteren, testtools effectief gebruiken en systemen ontleden om zwakke plekken te vinden. Ook het beoordelen van code op beveiliging hoort erbij.

De key knowledge uit hetzelfde profiel bestaat uit aanvalsprocedures, IT- en OT-apparatuur, de beveiliging van operatingsystemen en netwerken, penetratietestprocedures, -methoden en -tools, programmeren en de kwetsbaarheden van computersystemen. Je hoeft die kennis niet in één keer op te bouwen. Begin met netwerken en besturingssystemen, en breid daar stap voor stap uit.

Rapporteren is net zoveel werk als testen. Een test zonder duidelijk rapport verandert niets, en het ECSF noemt rapporteren aan belanghebbenden een hoofdtaak. Een goed rapport beschrijft het risico, hoe je het kunt reproduceren en wat de opdrachtgever kan doen. Testtools gebruik je alleen binnen een afgesproken scope, zoals uitgelegd in het artikel over pentest-tools. Welke vaardigheden in vacatures terugkomen, zie je op de skillpagina's voor security testing en MITRE ATT&CK.

Welke opleiding en certificeringen passen bij een ethical hacker?

Het kennisexamen van CEH en het praktijkexamen van OSCP zijn verschillende signalen, geen rangorde. Het eerste toetst kennis met meerkeuzevragen. Het tweede is volledig hands-on en eindigt met een rapport. Security+ is een brede instap voor wie eerst het vak breed wil leren. Een certificering vervangt geen ervaring, en er is geen certificering die voor iedere werkgever de eis is. Kijk daarom in vacatures welke certificeringen genoemd worden, bijvoorbeeld bij CEH en OSCP.

Een hbo- of wo-opleiding in ICT of cybersecurity is een mogelijke route, maar geen eis. Het artikel over cybersecurity-opleidingen op hbo en wo en het artikel over studie kiezen voor een security-loopbaan helpen bij die keuze. Wie tussen instapcertificeringen kiest, leest de artikelen over CEH, OSCP en de vergelijking van instapcertificeringen.

Hoe word je ethical hacker, stap voor stap?

De route bestaat uit zes stappen die op elkaar voortbouwen.

1. Bouw een basis. Leer hoe netwerken werken, met adressen, protocollen en firewalls. Leer hoe Windows en Linux zijn ingericht, met gebruikers, rechten en processen, en leer minimaal één scripttaal.
2. Oefen legaal. Begin met concepten, zoals hoe een webapplicatie werkt en hoe inloggen werkt. Ga daarna naar technieken, zoals verkennen, kwetsbaarheden vinden en rechten verhogen, altijd in een omgeving waar je toestemming voor hebt. Een home lab en CTF-platformen zijn daarvoor geschikt.
3. Leg vast wat je doet. Schrijf van elke oefening een korte rapportage: wat je zocht, wat je vond, hoe je het zou oplossen en wat je zou adviseren. Die rapportages zijn je beste bewijs.
4. Kies een bewijsvorm. Een portfolio met rapportages van je eigen oefeningen, een certificering zoals CEH of OSCP, of een bijdrage aan een open project. Werkgevers kijken verschillend naar die signalen.
5. Zoek een eerste functie. Testers komen bijvoorbeeld via beheer, ontwikkeling, een SOC of audit binnen. Er is geen vaste route, en de rolgidsen beschrijven de instroom per functie. Kom je uit beheer of ontwikkeling, dan helpt het artikel over omscholen naar cybersecurity.
6. Bouw door. Doorgroei kan naar penetration testing, red teaming of application security. Lees de rolgidsen voor de Red Team Specialist en de Application Security Engineer.

Op de vacaturepagina voor ethical hackers en de vacaturepagina voor penetration testers zie je welke vacatures open staan. Op de werkgeverspagina voor ethical hackers zie je welke werkgevers deze functie hebben. Meer artikelen vind je in de kennisbank.

Wat is ethisch hacken buiten een opdracht?

Coordinated Vulnerability Disclosure (CVD) is het proces waarin wie een kwetsbaarheid vindt de eigenaar van het systeem waarschuwt, zodat die de kwetsbaarheid kan verhelpen voordat derden haar misbruiken. Het NCSC noemde dit vroeger Responsible Disclosure. Het OM omschrijft CVD als het in overleg openbaar maken van kwetsbaarheden in de ICT-systemen van een organisatie, en wie die kwetsbaarheden zoekt, heet ook een ethische hacker.

Volgens de NCSC-pagina over CVD-beleid meld je een kwetsbaarheid altijd eerst bij de eigenaar, en maak je openbaar alleen in overleg. De NCSC-leidraad uit november 2017 vraagt de melder om:

• zo snel mogelijk en vertrouwelijk te melden;
• niet verder te gaan dan nodig is om de kwetsbaarheid aan te tonen;
• melding of verdere informatie niet afhankelijk te maken van een beloning;
• duidelijke afspraken te maken over openbaarmaking;
• het CVD-beleid van de organisatie te kennen, want dat is je eigen verantwoordelijkheid.

Voor het actuele beleid kijk je op de NCSC-site, want de leidraad dateert uit 2017. Een beloning is niet vanzelfsprekend en hangt af van het beleid van de organisatie. Het NCSC beveelt aan een logboek van je zoektocht bij te houden. Als richtlijn voor de oplossingstermijn van software wordt vaak ongeveer 60 dagen genoemd.

Het OM stelt volgens de pagina over CVD en ethisch hacken in principe geen strafrechtelijk onderzoek in als je een kwetsbaarheid vindt en meldt. Dat is geen vrijbrief. De officier van justitie kijkt of er een wezenlijk maatschappelijk belang was, of je proportioneel handelde en of er geen minder ingrijpende manier was. Het OM verwacht dat je je hebt verdiept in het CVD-beleid van de organisatie of in de leidraad van het NCSC. Raakt de kwetsbaarheid meerdere systemen of een vitaal systeem, dan kun je het NCSC inschakelen, zoals de OM-pagina over zelf fouten in ICT-systemen zoeken schrijft. Het NCSC kan als intermediair optreden, maar kan niet garanderen dat een organisatie geen juridische stappen onderneemt.

Bij twijfel stop je, leg je vast wat je al zag en meld je het bij de eigenaar of het NCSC. Dit artikel is geen juridisch advies. Hoe dit zich verhoudt tot testen in opdracht, waarbij je binnen afspraken werkt, lees je in het artikel over blue team, red team en purple team.