هکر کلاه سفید کیست؟ شغل تست نفوذ، درآمد و راه قانونی ورود

تست نفوذ آزمونی امنیتی است که در آن ارزیاب، مثل یک مهاجم واقعی ولی در محدوده‌ای که از قبل توافق شده، دنبال راهی برای دور زدن حفاظت یک برنامه، سیستم یا شبکه می‌گردد. نتیجه کار گزارشی است که می‌گوید کدام ضعف‌ها پیدا شد و چطور باید بسته شود. در طبقه‌بندی رسمی مشاغل آمریکا، «Penetration Tester» شغل جداگانه‌ای است و نوشتن گزارش یافته‌ها از اصلی‌ترین کارهایش است.

تیم قرمز همین کار را بزرگ‌تر انجام می‌دهد: گروهی که با مجوز سازمان، نقش یک مهاجم را بازی می‌کند تا معلوم شود تیم دفاعی، یعنی تیم آبی، در عمل چقدر آماده است.

تست نفوذ با ارزیابی آسیب‌پذیری چه فرقی دارد؟

ارزیابی آسیب‌پذیری فهرستی از ضعف‌های احتمالی یک سیستم می‌دهد. تست نفوذ یک قدم جلوتر می‌رود: ارزیاب در همان محدوده توافق‌شده بررسی می‌کند که آیا چند ضعف کنار هم راهی برای دسترسی بیشتر باز می‌کنند یا نه. برای همین تست نفوذ قرارداد دقیق‌تری می‌خواهد و نتیجه‌اش برای مدیر سازمان روشن‌تر است.

باگ‌بانتی کجای این تصویر است؟

در تست نفوذ قراردادی، یک تیم در زمان مشخص کار می‌کند و معمولا در پایان پروژه گزارش می‌دهد. در باگ‌بانتی، کسب‌وکار محدوده و پاداش هر نوع ضعف را اعلام می‌کند و هر کس ضعفی پیدا کند، همان لحظه گزارشش را می‌فرستد. تست نفوذ، تیم قرمز و باگ‌بانتی یک چیز مشترک دارند: اجازه صاحب سیستم پیش از شروع کار.

در شرح وظایف رسمی این شغل، مستند کردن یافته‌ها و نوشتن گزارش برای مدیران کنار خود آزمون آمده است و به‌روز ماندن درباره روش‌های تازه مهاجمان هم جزو کار است. در آمریکا بیشتر این شغل‌ها مدرک کارشناسی و چند سال سابقه کار مرتبط می‌خواهند؛ یعنی کمتر کسی مستقیم از کلاس درس به تست نفوذ می‌رسد.

طبق ماده ۱ قانون جرایم رایانه‌ای مصوب ۱۳۸۸، هر کس به‌طور غیرمجاز به داده یا سامانه‌ای که با تدابیر امنیتی حفاظت شده دسترسی پیدا کند، به حبس تا یک سال یا جزای نقدی یا هر دو محکوم می‌شود. این قانون استثنایی به اسم تست نفوذ ندارد؛ چیزی که کار را قانونی می‌کند، اجازه و قرارداد کتبی صاحب سیستم است که محدوده کار را روشن می‌کند. همین قانون ساختن و پخش ابزاری را که فقط برای جرم رایانه‌ای است و آموزش ارتکاب این جرم‌ها را هم جرم می‌داند.

«هک برای تمرین» روی سایت دیگران، حتی بدون آسیب، دسترسی غیرمجاز است. تمرین قانونی یعنی آزمایشگاه شخصی روی سیستم‌های خودت، محیط‌های تمرینی که برای همین ساخته شده‌اند، یا برنامه‌های باگ‌بانتی با قوانین اعلام‌شده.

قوانین یک برنامه باگ‌بانتی چه مرزی می‌گذارد؟

قوانین یک پلتفرم ایرانی باگ‌بانتی نشان می‌دهد مرز کار قانونی در عمل کجاست: آزمون فقط در میدان و اهداف اعلام‌شده، هیچ تلاشی برای دسترسی به اطلاعات، تخریب یا انتشار آن، هیچ کاری که سرویس را از دسترس خارج کند، رازداری تا پنج سال بعد از پایان قرارداد، و برای کسی که زیر ۱۸ سال است، همکاری فقط از راه ولی یا قیم قانونی. مالیات پاداش هم با خود شکارچی است.

ارزیابی امنیتی در ایران با کدام نهاد است؟

ارزیابی امنیتی محصولات بومی، مثل نرم‌افزارها و تجهیزات شبکه، در ایران با آزمایشگاه‌های مستقلی انجام می‌شود که باید به دولت گزارش بدهند. در گزارشی از خرداد ۱۳۹۹، شش آزمایشگاه برای این کار نام برده شده بود و از سال ۱۳۹۲ تا آن زمان ۷۳ گواهی امنیتی برای محصولات بومی صادر شده بود. معاون مرکز افتا در شهریور ۱۴۰۵ گفته است سازمان‌ها طبق قانون باید یک و نیم درصد بودجه خود را به امنیت سایبری اختصاص بدهند، اما بسیاری از آن را صرف خرید سرور و تجهیزات می‌کنند. این‌ها نشان می‌دهد بخشی از کار امنیت در ایران با ارزیابی‌ها و الزام‌های رسمی گره خورده است.

از ۲٬۸۴۹ آگهی که با کلمه‌هایی مثل تست نفوذ، امنیت شبکه و SOC پیدا شد، ۲۴۹ آگهی کار امنیت بود. فقط ۴۴ آگهی کار تهاجمی می‌خواستند؛ یعنی تست نفوذ، تیم قرمز یا ارزیابی امنیتی. بقیه کار دفاعی بود: پایش هشدارها در مرکز عملیات امنیت، فایروال و امنیت شبکه، و مدیریت امنیت اطلاعات. کارفرمای ۲۸ آگهی تست نفوذ شرکت‌های فناوری اطلاعات بودند و بعد خدمات آنلاین، مخابرات، بانک‌ها و شرکت‌های مالی.

آگهی‌های تست نفوذ چه می‌خواهند؟

• ۳۰ آگهی در سطح کارشناس و ۱۲ آگهی کارشناس ارشد بودند؛ آگهی کارآموزی تست نفوذ نبود.
• ۲۴ آگهی استانداردهای امنیت وب OWASP را نام برده بودند و بیشترشان گزارش‌نویسی را جزو کار نوشته بودند.
• ۲۴ آگهی رشته کامپیوتر یا فناوری اطلاعات خواسته بودند و ۱۱ آگهی کارت پایان خدمت.
• ۱۱ آگهی یک مدرک بین‌المللی را نام برده بودند، بیشتر OSCP و CEH، و ۷ آگهی سابقه باگ‌بانتی یا مسابقه امنیتی را امتیاز دانسته بودند.

آگهی‌های SOC و امنیت شبکه چهار برابر بیشترند و سطح کارآموز و لایه یک هم دارند؛ برای همین خیلی‌ها کار امنیت را از دفاع شروع می‌کنند.

گزارش‌های معتبر حقوق ۱۴۰۵، تست نفوذ را جزو مشاغل امنیت شبکه حساب می‌کنند. میانه حقوق دریافتی خالص کارشناس این گروه در تهران در پایان ۱۴۰۴، ۳۴ میلیون تومان در ماه بود و نیمی بین ۲۸ تا ۴۱ میلیون می‌گرفتند؛ درخواستشان برای ۱۴۰۵ میانه ۴۸ میلیون بود. کارشناس ارشد امنیت در کل کشور میانه ۶۰ میلیون دریافت می‌کرد.

حقوق پیشنهادی آگهی‌ها

از ۴۴ آگهی تست نفوذ فقط ۱۱ آگهی عدد حقوق داشتند و میانه حداقل و حداکثرشان ۶۰ و ۸۰ میلیون تومان بود؛ با این تعداد کم، این عدد را نشانه بگیر، نه قاعده. آگهی‌های SOC ۵۰ تا ۸۰ و امنیت شبکه ۴۰ تا ۶۰ میلیون پیشنهاد داده بودند.

درآمد هکر کلاه سفید از باگ‌بانتی

در باگ‌بانتی، یک کسب‌وکار محدوده و قوانین را اعلام می‌کند و برای هر ضعف تاییدشده پاداش می‌دهد. شرایط یک پلتفرم ایرانی باگ‌بانتی روشن است: قرارداد جعاله است و استخدامی در کار نیست، هر ضعف فقط به اولین کسی که گزارشش کرده پاداش می‌دهد، کار بیرون از محدوده ممنوع است و پیگرد قانونی دارد، و برای پرداخت، مشخصات هویتی و بانکی لازم است. پس باگ‌بانتی درآمد ثابت نیست؛ راهی برای تمرین قانونی و ساختن سابقه است. پلتفرم‌های خارجی مثل HackerOne کسانی را که استفاده‌شان قوانین تحریم را نقض کند کنار گذاشته‌اند و پیش از پرداخت، محل اقامت و ملیت را می‌پرسند.

در کنکور ۱۴۰۵ رشته کارشناسی غیرنظامی با اسم امنیت یا هک نبود. راه معمول، کارشناسی مهندسی کامپیوتر یا علوم کامپیوتر است و در کارشناسی ارشد، رشته «مهندسی و علم کامپیوتر» گرایش «رایانش امن» دارد؛ رشته «جرم‌یابی دیجیتال» هم در همان گروه امتحانی است.

رشته‌هایی که اسم امنیت دارند، مثل «مهندسی فناوری اطلاعات و امنیت»، فقط در دانشگاه وابسته به وزارت اطلاعات یا برای کارکنان فراجا و فقط برای آقایان است. دانشگاه افسری ارتش هم «مهندسی سایبری» را با ۵۴ صندلی و دانشکده فارابی با ۹ صندلی می‌پذیرد، همراه مصاحبه و استخدام ارتش.

کنکور ارشد رایانش امن چه درس‌هایی دارد؟

در کنکور ارشد ۱۴۰۵، گرایش رایانش امن در مجموعه امتحانی مهندسی کامپیوتر است و شش درس دارد: زبان عمومی و تخصصی، ریاضیات (ریاضی عمومی، آمار و احتمال مهندسی و ریاضیات گسسته) و چهار مجموعه درس تخصصی، از نظریه زبان‌ها و ماشین‌ها تا ساختمان داده و معماری کامپیوتر. بیشترین ضریب، یعنی ۴، مال مجموعه سیستم‌عامل، شبکه‌های کامپیوتری و پایگاه داده است؛ همان پایه‌ای که آگهی‌های امنیت هم می‌خواهند.