Недавно казахстанский специалист по кибербезопасности Globerce Capital Ltd Нурлан Базарбеков рассказал в рилс о том, как нашёл уязвимость в системах NASA. А на очевидный вопрос «а что именно нашёл?» пришлось ответить дисклеймером: детали раскрывать нельзя. Зато можно рассказать, как вообще устроен мир белых хакеров, сколько на этом можно заработать и почему искусственный интеллект одновременно облегчает жизнь и хакерам, и тем, кто им противостоит. Мы встретились с Нурланом, чтобы поговорить обо всем этом подробнее. Десять тысяч уязвимостей до тебя NASA принимает отчёты об уязвимостях от независимых исследователей уже несколько лет. Программа полностью официальная – агентство благодарит нашедших письменно, но денег не платит. «Хочешь попробовать найти уязвимость в NASA – да, пожалуйста», – говорит Нурлан. Им двигал чисто спортивный интерес: сможет ли он обнаружить брешь в системе, где до него уже зафиксировали порядка десяти тысяч уязвимостей. «Сама цифра устрашает, и ты думаешь, что уже всё нашли до тебя. А заходишь и минут через пятнадцать-двадцать находишь свою», – рассказывает он.‍ Что такое bug bounty и сколько на нем можно заработать В свободное от основной работы время Нурлан занимается bug bounty – поиском уязвимостей в чужих продуктах за вознаграждение. Есть международные платформы вроде HackerOne, где компании публикуют свои сервисы и предлагают денежное вознаграждение за найденные уязвимости – от нескольких долларов до нескольких миллионов за одну находку. Средняя ставка за критичную уязвимость – от 3 000 до 15 000 долларов. В хороший месяц, если заниматься этим не как хобби, а почти как второй работой, можно выйти на 20–28 тысяч долларов. В обычный – заработок может быть и заметно скромнее. «Есть ребята, у которых это фултайм-джоб», – говорит Нурлан.В Казахстане рынок bug bounty пока значительно скромнее: свои площадки есть, но потолок выплат за критичную уязвимость – около 500 долларов, и выше он практически не поднимается. «Была мысль: а что, если приносить не по одной критичной уязвимости в неделю, а сразу пачку из десяти штук – тогда за месяц набежит нормальная сумма», – шутит он. ‍ ‍ От банковского клерка до охотника за уязвимостями Путь в кибербезопасность начался у Нурлана без громких планов «стать хакером». Он родился в Петропавловске, позже семья переехала в Астану. Учился в математическом классе, затем поступил на программиста – дома было несколько компьютеров, за которыми он проводил всё свободное время, просто потому что это было интересно. Несколько лет он совмещал этичный хакинг с обычной (скажем так) карьерой в сфере кибербезопасности: работал в банке менеджером по кибербезопасности, аудитором, администрировал системы. Параллельно – по восемь, а то и десять часов в день после основной работы – решал лабораторные задачи, изучал чужие отчёты об уязвимостях, читал код. «Будильник, чтобы на работу не проспать, – вот это было по-настоящему», – вспоминает он.Учился он полностью самостоятельно: без курсов и платных программ, по открытым материалам – ресурсу PortSwigger и многочасовым (иногда на шесть-десять часов) видео на YouTube, где другие исследователи в реальном времени показывают, как ищут уязвимости и проговаривают свою методологию. Ключевую особенность профессии он формулирует так: «Ты всегда задаешься вопросом "а что, если?". А что, если добавить лишний символ в этот запрос? А что, если разработчик ожидает от меня одного действия, а я делаю совсем другое?»‍ Белый, а не чёрный: как на самом деле работает этичный хакер Слово «хакер» у большинства ассоциируется со взломом ради взлома. Нурлан объясняет: задача белого хакера – находить уязвимости раньше, чем это сделают злоумышленники, и сообщать о них компании. Стандартная процедура выглядит так: создать минимальный пример для демонстрации уязвимости, описать в отчёте, что это за уязвимость, и какой потенциальный ущерб она может нанести, приложить скриншоты и видеозапись экрана. Цель – чтобы компания могла быстро проверить «находку» и выплатить вознаграждение, не разбираясь долго, что именно произошло. Если компания разрешает, спустя 90 дней отчётом можно поделиться с сообществом. Мотивация оставаться «белым» у него личная, не только профессиональная: «Чтобы уйти на "темную сторону", нужно больше хотеть денег, и не иметь моральных принципов. Я почему этим не занимаюсь [нелегальным взломом] – потому что потом спать не смогу, сам себя съем изнутри».‍ Как ИИ меняет правила игры – в обе стороны Тема искусственного интеллекта постоянно поднимается в нашем разговоре, и это не случайно: он одновременно усложняет и облегчает жизнь обеим сторонам. С одной стороны, Нурлан признаёт: ИИ-агенты серьезно ускорили работу и хакеров, и защитников. Времени на поиск уязвимости теперь нужно значительно меньше, потому что можно «развернуть агента вместо себя». Он приводит пример: агент, которому просто дали доступ к репозиторию кода, за полчаса нашёл несколько уязвимостей нулевого дня – задача, на которую раньше уходили недели или месяц работы нескольких специалистов. С другой стороны, тот же ИИ применяется и в защите. У себя на работе Нурлан использует сканеры уязвимостей и передаёт модели задачу с найденной уязвимостью для быстрой проверки – действительно ли это реальная проблема. Это экономит время разработчиков и ускоряет устранение уязвимостей. При этом растущая доступность инструментов имеет и обратную сторону для рынка багбаунти: компании стали принимать к рассмотрению только критичные и высокие по степени риска уязвимости, отказываясь от менее значимых находок, просто потому, что поток таких сообщений значительно вырос. ‍ Готов ли Казахстан к серьёзным кибератакам На вопрос, насколько вероятен в Казахстане сценарий вроде масштабной атаки на цифровое правительство, как это произошло в Эстонии, он отвечает, не оставляя иллюзий: «Если вы увидели в новостях, что что-то не работает, – значит, скорее всего, кого-то уже взломали. Просто раньше это было не видно, а сейчас видно». Он упоминает подход «zero trust» – принцип «никому не доверяй, считай, что тебя уже взломали», – но отмечает, что из-за незрелости рынка многие компании применяют его либо неправильно, либо вообще не применяют. В результате часть компаний может даже не знать, что их системы уже скомпрометированы. Что касается государственно спонсируемых хакерских групп, по словам Нурлана, они есть у любого государства, и информация о них не является секретом: их можно найти в открытом доступе, включая список разыскиваемых лиц на сайте ФБР. Рынок СНГ, добавляет он, традиционно был менее привлекательной целью, чем западный, из-за разницы в платежеспособности и системе страхования данных, однако интерес к восточным соседям постепенно растёт. ‍ Совет для компаний: подпишитесь на блог поставщика Финальный совет Нурлана компаниям звучит подчеркнуто просто: следить за обновлениями сервисов, которыми пользуется бизнес, и подписываться на блоги поставщиков. «Как только выходит информация об уязвимости, кто угодно может её воспроизвести и поэксплуатировать. Поэтому времени на исправление сейчас очень мало», – объясняет он.Отдельная проблема, по его наблюдениям, – бесконтрольное внедрение ИИ-инструментов в компаниях без базовых защитных мер: без антивирусов, файрвола и элементарных систем контроля. «Люди просто игнорируют кибербезопасность, потому что хотят удобства», – говорит он.‍ «Делай бесплатно то, что любишь», только наоборот Молодому поколению, которое интересуется профессией, но опасается конкуренции с ИИ, Нурлан советует не бояться: «Я никогда не боялся конкуренции, знал, что в любом случае найду какой-нибудь выход». Сам он много лет занимался поиском уязвимостей бесплатно, просто потому что это было интересно, и только позже рынок пришёл к тому, чтобы за это платить. «Обычно говорят: делай то, что готов делать бесплатно. А у меня получилось наоборот».