Etikus hackerek Veszprémben: Vélemények és kedvező árak

Etikus hacker magánügyfeleknek

Az Etikus hacker olyan kiberbiztonsági szakember, aki engedéllyel keresi meg a gyenge pontokat egy weboldalon, otthoni hálózaton, kis irodai rendszerben vagy felhős fiók környezetében. Magánügyfélként ez akkor lehet fontos, ha nem csak azt szeretné tudni, hogy működik-e valami, hanem azt is, hogy mennyire biztonságos. Veszprém környékén sok megbízás nem nagyvállalati rendszerre vonatkozik, hanem kisebb webáruházra, családi vállalkozás honlapjára, kamerarendszerre, levelezésre vagy egy rosszul beállított tárhelyre.

Az ilyen munka nem varázslat. Engedély, pontos határ és írásos megállapodás kell hozzá. Sok ember ott hibázik, hogy csak akkor hív szakembert, amikor már feltörték a fiókját vagy eltűnt egy weboldalról az adat. Szerintem jobb előbb megnézni a kockázatot, mert utólag mindig drágább a javítás. A Qjob.hu felületén különböző szakemberek közül lehet választani, így nem egy cég csomagját kell elfogadni, hanem konkrét emberrel lehet egyeztetni a feladatról.

Az Etikus hacker szó sokaknak erősnek hangzik, pedig a magánügyfeleknél gyakran egyszerűbb ellenőrzésekről van szó. Például jelszóhasználat, kétlépcsős belépés, biztonsági mentés, weboldal sebezhetőség, tárhely beállítás vagy gyanús e-mail elemzése. De az is előfordul, hogy valaki új weboldalt indít, és szeretné látni, maradt-e rajta könnyen kihasználható hiba.

Biztonsági vizsgálat otthoni és kis rendszerekhez

A biztonsági vizsgálat célja nem a károkozás, hanem a hibák feltárása. Egy kiberbiztonsági szakember ilyenkor megvizsgálja, hogy a rendszer hogyan viselkedik kívülről és belülről. A munka lehet egyszerű ellenőrzés vagy részletes behatolási teszt. A kettő nem ugyanaz. Az első inkább a nyilvánvaló kockázatokat mutatja meg. A második mélyebb munka, több kézi ellenőrzéssel és részletesebb jelentéssel.

Magánügyfelek esetén gyakori kérés a weboldal átnézése. Ilyenkor a szakember megnézi a belépési felületet, az űrlapokat, a jogosultságokat, a bővítményeket és a szerver alapbeállításait. Egy kis webáruház esetében már az is komoly gond, ha a régi bővítmények miatt nyitott marad egy ismert hiba. A sebezhetőségvizsgálat itt nem csak technikai lista, hanem döntési alap. Mit kell azonnal javítani, mi várhat, és mi az, ami csak akkor gond, ha más hiba is van mellette.

Volt eset, amikor egy ügyfél azt hitte, hogy a gond a bankkártyás fizetéssel van. A vizsgálat végén kiderült, hogy nem ott volt a baj, hanem egy régi admin felület maradt nyitva, gyenge jelszóval. A javítás nem volt látványos, mégis ez zárta le a valódi kockázatot. Ilyen helyzetben az Etikus hacker feladata az, hogy ne csak riogasson, hanem sorrendet adjon.

Árak és reális díjak

Az ár erősen függ a rendszer méretétől, a hozzáféréstől és a kért részletességtől. Egy magáncélú weboldal gyors átnézése olcsóbb, mint egy több aldomainből álló webáruház vagy egy belső hálózati vizsgálat. Olcsó ajánlat is lehet hasznos, de személyes véleményem szerint egy komolyabb kézi vizsgálat 25.000 forint alatt ritkán ad elég mélységet. Dönteni nem csak ár alapján érdemes.

Az árnál fontos a jelentés minősége is. Egy automatikus lista tele lehet idegen szavakkal, de nem mindig mondja meg, hogy mit kell tényleg kijavítani. A jó jelentés érthető, röviden indokol, és megkülönbözteti a sürgős hibát a kisebb kockázattól. Drágább munka sem mindig jobb, de túl olcsón gyakran csak egy futtatott ellenőrzést kap az ember.

Megbízható szakember választása

Etikai hackelésnél a bizalom fontosabb, mint sok más informatikai munkánál. A szakember hozzáférhet olyan adatokhoz, amelyeket nem szeretne idegen kézben látni. Ezért érdemes előre rögzíteni a vizsgálat határát. Melyik domain, melyik eszköz, milyen időablak, milyen adat érhető el, és mit nem szabad megérinteni. A kiberbiztonsági szakember akkor dolgozik jól, ha ezeket nem kezeli mellékes részletként.

Én olyan embert választanék, aki nem ígér teljes biztonságot. Ilyen nincs. Inkább azt nézném, hogy kérdez-e a rendszer felépítéséről, kéri-e az engedélyt írásban, és tud-e egyszerűen beszélni a kockázatról. Ha valaki csak nagy szavakat használ, de nem tudja elmondani, hogyan adja át az eredményt, az rossz jel. A referenciák hasznosak, de magánmunkánál sok minden bizalmas. Ezért a módszer és a kommunikáció sokszor többet mond.

Veszprémi környezet és helyi igények

Veszprém sajátos helyzetben van, mert sok kisvállalkozás, egyéni szolgáltató, oktatási kötődésű projekt és családi vállalkozás működik a városban. A belváros, Dózsaváros, Jutasi úti lakótelep, Cholnokyváros és Gyulafirátót környékén is lehet olyan ügyfél, akinek nem nagy informatikai osztálya van, hanem egy honlapja, levelezése és néhány eszköze. Ilyenkor a helyi jelenlét előny, főleg ha routert, kamerát vagy munkaállomást is meg kell nézni.

A környező települések sem maradnak ki. Balatonalmádi, Herend, Márkó, Nemesvámos vagy Litér felől is jöhet olyan megbízás, ahol a távoli munka elég, de néha személyes kiszállás kell. Egy etikus hack vizsgálat nagy része elvégezhető online, mégis hasznos, ha a szakember ismeri a helyi viszonyokat. Veszprém esetében ez különösen igaz a kisebb irodákra és otthoni vállalkozásokra.

Mit kell előkészíteni a vizsgálat előtt

A munka gyorsabb, ha az ügyfél előre összeszedi az alapadatokat. Kell a vizsgálandó webcím, tárhely adatai, hozzáférési szint, használt rendszer, korábbi hibák rövid leírása és az, hogy mi a legnagyobb félelem. Adatvesztés, feltörés, csaló levél, ügyféladat kiszivárgása vagy rossz beállítás. Ezek nem ugyanarra a vizsgálatra vezetnek.

Sokan elkövetik azt a hibát, hogy mindent egyszerre akarnak megnézetni, de nincs pontos cél. Ilyenkor a munka szétesik, és a végén nehéz dönteni a javításokról. Jobb kisebb területtel kezdeni. Például először a weboldal és a belépési felület, utána a levelezés és a mentés. Ha már van előzmény, például gyanús belépés vagy furcsa átirányítás, azt nem érdemes elhallgatni. A szakember abból indul ki, amit tud.

Jelentés, javítás és utóellenőrzés

A vizsgálat vége nem az, hogy elkészül egy lista. A lényeg az, hogy mit kezd vele az ügyfél. Egy jó jelentés megmutatja a hiba helyét, a kockázat súlyát és a javítás módját. Nem kell minden ügyfélnek mély technikai magyarázat, de annyit értenie kell, hogy miért fontos a teendő. Ha egy hibát csak a fejlesztő tud javítani, akkor a jelentés legyen neki is használható.

Az utóellenőrzés sokszor kimarad, pedig ez zárja le a munkát. Ha a javítás után senki nem nézi meg újra a hibát, akkor csak remélni lehet, hogy tényleg megszűnt. Po моему опыту ez a rész kis rendszereknél is fontos, mert egy rossz frissítés vagy félbehagyott beállítás új hibát nyithat. A biztonság nem egyszeri állapot. Inkább rendszeres rendrakás, amelyet időnként kívülről is meg kell nézni.