Baltieji hakeriai atlieka įsilaužimų testavimus
Baltieji hakeriai, dar vadinami etiškaisiais, yra kibernetinio saugumo specialistai, kurie, ieškodami pažeidžiamų vietų, legaliai testuoja IT sistemas – atlieka įsilaužimų testavimus. Jie siekia surasti ir ištaisyti saugumo spragas, kad jomis nepasinaudotų kibernetiniai nusikaltėliai. Pasitelkdami savo žinias, šie specialistai bando „įsilaužti“ į įmonių sistemas taip, kaip tai darytų piktavaliai, tačiau jų tikslas yra saugumo sustiprinimas, o ne siekis pakenkti ir pasipelnyti.
Lietuvoje įsilaužimų testavimas vis labiau populiarėja, nes įmonių vadovai ir darbuotojai supranta, kad nuolatinis saugumo testavimas yra būtinas norint išlikti atspariems nuolat kintančioms grėsmėms.
„Baltimax“ kibernetinio saugumo inžinieriaus ir ESET specialisto Luko Apynio praktikoje greičiausias kritinės spragos atradimas ir jos praktinis patikrinimas užtruko mažiau nei 30 minučių. „Pasisekė, kad niekas iš išorės nebuvo radęs šios kritinės duomenų bazės spragos. Išnaudojus tokią spragą nuotoliniu būdu galima gauti prieigą prie duomenų bazės su svarbiais duomenimis”, – atskleidžia ekspertas.
Atliekant įsilaužimo testą, kibernetinio saugumo specialistai – baltieji hakeriai – padeda įmonėms įvertinti jų svetainės, mobiliosios ar darbalaukio programos arba tinklo infrastruktūros segmento (vidinio ir / ar išorinio) saugumą. Tam naudojami automatiniai ir rankiniai testai, kurių metu ieškoma viešai žinomų ir nežinomų pažeidžiamumų. Po audito įmonėms pateikiama išsami ataskaita, kurioje išvardijamos nustatytos problemos, būdai joms patikrinti ir galimi sprendimo žingsniai.
„Po IT incidento atliktas testavimas pagerina pasiruošimą ateities atakoms. Bet kuriuo atveju, turint įsilaužimo testavimo ataskaitą, įmonė gali jaustis saugiau, o kilus incidentui – lengviau įrodyti, kad buvo imtasi prevencinių priemonių, kas gali sumažinti taikomas nuobaudas“, – aiškina „Syntricks“ įkūrėjas, kibernetinio saugumo ekspertas Vytautas Paulikas.
Kam įsilaužimų testavimas ypatingai aktualus?
Per pastaruosius metus kibernetinis saugumas tapo esminiu veiksniu bet kokio dydžio organizacijoje. Lietuva kiekvienais metais kyla aukščiau kibernetinio saugumo atsparumo reitinguose, tai rodo šalies pastangas šioje srityje. Suprantama, kad tarp gausybės sprendimų ir paslaugų nėra lengva rasti tiesiausią ir patikimiausią kelią į saugesnę IT infrastruktūrą, todėl įmonių ir IT skyrių vadovai, IT specialistai bei inžinieriai kviečiami į jau dešimtą kartą Vilniuje vyksiančią konferenciją ESET Security Day. V. Paulikas ir L. Apynis – vieni iš konferencijos pranešėjų, kurie atsakys į daugelį šiandienai aktualių klausimų kibernetinio saugumo tema.
Kibernetinio saugumo ekspertas V. Paulikas, atlikęs šimtus įsilaužimų testų įvairių įmonių informacinėse sistemose, pateikia griežtą išvadą: „Visos įmonės kažkuriuo metu tampa rimtai pažeidžiamos iš vidaus arba iš išorės, o tada tik laiko klausimas, kada įvyks įsilaužimas bei kas jį atliks – etiškasis hakeris ar kibernetinis nusikaltėlis. Tai reiškia, kad nė viena įmonė nėra visiškai apsaugota nuo kibernetinių atakų, todėl būtina reguliariai atlikti įsilaužimų testus.“
Įmonėms, kurių veikla priklauso nuo skaitmeninių sistemų, IT saugumas yra neatsiejama jų veiklos dalis. Net jei įmonė naudoja tik keletą kompiuterių, jos sklandi veikla priklauso nuo stabilaus ir saugaus IT sistemų veikimo. Kaip sako kibernetinio saugumo ekspertas V. Paulikas, net jei įmonių atstovams gali pasirodyti, jog programišiams „nėra ką nulaužti“, visgi visiems reikėtų įsivertinti ir netiesiogines IT saugumo rizikas. „Jos gali kilti per susijusias organizacijas ar tiekimo grandines, nuo kurių priklauso verslo stabilumas“, – aiškina jis.
Šias rizikas siekiama sumažinti Europos Sąjungos TIS2 direktyva, kuri skatina įmones atkreipti dėmesį į kritinės infrastruktūros ir tiekimo grandinių saugumą. Kaip pataria kibernetinio saugumo ekspertai, Įmonėms svarbu ne tik apsaugoti savo sistemas, bet ir pasiteirauti verslo partnerių ar susietų organizacijų, kaip jos valdo IT saugumo rizikas bei, esant poreikiui, paprašyti įrodymų, tokių kaip IT sistemų įsilaužimo testavimo ataskaitos. Tokie veiksmai padeda įmonėms užtikrinti, kad jų veikla yra apsaugota nuo galimų kibernetinių grėsmių ne tik tiesiogiai, bet ir per susijusias šalis.
Neįmanoma nuspėti, kada organizacija gali patirti kibernetinę ataką ir kokio masto ji gali būti, tačiau, kalbant apie IT saugumą, labai tinka posakis „tikėkis geriausio, ruoškis blogiausiam”. Organizacijoje išvengti blogiausio scenarijaus, gali padėti baltieji hakeriai. Kas jie ir kuo gali būti naudingi?
Šiemet pasaulį purto ne tik koronaviruso pandemija ar masiniai nesutarimai, bet ir pavojingos programišių atakos. Jų taikinyje ir didžiausios pasaulio bendrovės – „Twitter, „Garmin“, „Zoom“ – ir net valstybių vyriausybės bei nepelno siekiančios organizacijos. Kas leido programišiams sėkmingai įgyvendinti savo tikslus ir kokią įtaką pasauliui turėjo didžiausios šių metų kibernetinės atakos, pasakoja „Bitės Profai“.
„Jau kurį laiką matoma aiški tendencija, kad užpuolikų atakos persikelia į kibernetinę erdvę ir jų metu kėsinamasi ne tiesiai į pinigus bankuose ar saugyklose, bet į privačią informaciją ir duomenis. Kai programišiai turi prieigą prie tokių duomenų, tuomet gali tiesiog reikalauti piniginės išpirkos arba pinigus išgauti kitais neteisėtais būdais, pavyzdžiui, neteisėtai naudojant kito asmens atvaizdą ar asmeninę informaciją. Todėl labai svarbu pažinti tokių atakų tendencijas, kad nuo kibernetinių grėsmių galėtume apsisaugoti ir patys – kai kurios atakos buvo „sėkmingos“ tik todėl, kad atsakingi žmonės nesilaikė saugumo reikalavimų“, – sako „Bitės Profė“ Agnė Adomaitytė ir plačiau pasakoja apie didžiausius šių metų kibernetinius išpuolius.
„Garmin“ ataka: ant kortos – 10 mln. JAV dolerių
Naujausia didelio mąsto programišių ataka buvo surengta prieš keletą savaičių, kėsinantis į JAV bendrovę „Garmin“. Kompanija yra viena stambiausių palydovinės navigacijos įrangos gamintojų pasaulyje, tad dėl atakos neveikė daugelis „Garmin“ teikiamų paslaugų, o navigacijos įrenginių naudotojai negalėjo atsisiųsti programų atnaujinimų.
„Kompanija socialiniame tinkle „Twitter“ liepos 23 d. pranešė apie sutrikusį bendrovės klientų aptarnavimo centrų darbą bei programos „Garmin Connect“ problemas. Pastaroji leidžia rinkti duomenimis apie vartotojų treniruotes ir kitą sportinę veiklą, kuria užsiimant naudojamas bendrovės sukurtas išmanusis laikrodis ar kiti nešiojami įrenginiai. Tad pasikėsinimo metu grėsmė galėjo iškilti ne tik kompanijai, bet ir jos produktus naudojančių vartotojų duomenims“, – sako A. Adomaitytė.
Nors bendrovė pripažino, kad tapo kibernetinės atakos taikiniu, taip pat oficialiai pranešė, kad vartotojai nenukentėjo ir jų duomenys buvo saugūs, o „Garmin“ produktų funkcionalumai nesutriko. Kompanijos teigimu, tai padaryti pavyko todėl, kad į grėsmes buvo sureaguota laiku, o naudotos apsaugos priemonės buvo tinkamos.
„Išpuolio prieš „Garmin“ metu naudotas programišių grupuotės „Evil Corp“ sukurtas virusas „WastedLocker“. Bendrovė oficialiai neskelbia, jog atgauti sistemų valdymą galėjo tik sumokėję išpirką programišiams. Vis tik būtent tokie bendrovės darbuotojų pranešimai pasirodė socialinėje erdvėje. Portalas „BleepingComputer“ skelbė, kad programišiai už prieigos grąžinimą pareikalavo 10 mln. JAV dolerių išpirkos. Kompanijos atstovai patikino, kad pakomentuoti kalbų apie išpirkos sumokėjimą negali, tačiau užtikrino, kad jokių finansinių nuostolių dėl patirtos kibernetinės atakos nepatirs“, – pasakoja A. Adomaitytė.
„Twitter“ paskyrų nulaužimas ir paskleista masinė žinutė apie kriptovaliutas
Šių metų liepos 15 d. socialinį tinkle „Twitter“ apskriejo žinutės, kad vieni garsiausių šios platformos ir viso pasaulio žmonių padovanos dvigubai daugiau „Bitcoin“ kriptovaliutų, nei jų bus pervesta į nurodytą sąskaita. Tiesa, greitai paaiškėjo, kad žinutės yra kibernetinės atakos dalis.
„Visi toliau nurodytu adresu atsiųsti bitkoinai bus grąžinti dvigubai. Jei atsiųsite 1000 JAV dolerių, aš grąžinsiu 2000 JAV dolerių. Darau tai tik 30 minučių“, – štai tokia žinute neva pasidalino milijardierius ir „Microsoft“ įkūrėjas Billas Gatesas, „Amazon“ generalinis direktorius Jeff Bezos, reperis Kanye West ir net demokratų kandidatas į JAV prezidentus Joe Bidenas. Nepaisant to, kad žinutės buvo visiškai neįtikėtinos ir kėlė tiek įtarimų, atsirado žmonių, kurie pervedė virtualius pinigus į nurodytas sąskaitas.
„Panašu, kad kai kurie „Twitter“ vartotojai „užkibo“ už šios apgaulės ir į nurodytas sąskaitas iš tiesų pervedė pinigų, tikėdamiesi atgauti dvigubai didesnę sumą. Per kelias valandas nuo žinučių paskelbimo, apgaulingose sąskaitose jau atsirado maždaug 100 000 JAV dolerių vertės bitkoinų. Tai dar kartą parodo, kad net sunkiai įtikimi programišių scenarijai suveikia ir gali sukelti daug žalos interneto vartotojams“, – sako A. Adomaitytė.
Netikėta, kad galimai šį nusikaltimą atliko ne elitinės programišių grupuotės, o paprastas paauglys iš Floridos. Panašu, kad šis vaikinas telefoninio skambučio metu įtikino „Twitter“ darbuotoją, kad ir pats dirba šioje kompanijoje ir taip sugebėjo gauti reikalingą prieigą prie socialinio tinklo valdymo.
„Tai ir buvo esminis žingsnis, galiausiai suteikęs 17 metų paaugliui prieigą prie daugybės „Twitter“ paskyrų. G. Clark apeidavo dviejų veiksnių autentifikavimą ir pasiekdavo vidinį „Twitter“ administravimo įrankį, kuris jau leido visiškai lengvai perimti bet kurią paskyrą. Neįtikėtina, kad šioje situacijoje esminės prieigos programišiams nereikėjo vogti ar reikalauti, tereikėjo tik paprašyti. Panašiu principu veikia ir apgaulės programėlės (angl. rogue apps), kur reikalingą prieigą programišiams suteikia pats vartotojas“, – pasakoja A. Adomaitytė.
„Zoom“ sėkmė patraukė programišių akį
Karantino metu „Zoom“ patyrė neįtikėtiną populiarumo šuolį. Praėjusių metų pabaigoje programa sulaukdavo iki 10 milijonų vartotojų kasdien, o dabar šis skaičius išaugo iki 300 milijonų, teigė Eric. S. Young, „Zoom“ kompanijos vadovas ir įkūrėjas. Jo teigimu, būtent tai ir sukėlė programos saugumo problemas – „Zoom“ buvo sukurta ir pritaikyta verslo poreikiams patenkinti, o karantino metu ją pradėjus naudoti viso pasaulio mokykloms ar pramogų atstovams, iškilo techninių nesklandumų, apie kuriuos kompanija net negalėjo pagalvoti.
„Karantino metu, balandžio mėnesį, pasaulį apskriejo žinia, kad pavogti 500 000 „Zoom“ vartotojų paskyrų prisijungimų. Dar daugiau, jais iš karto pradėta prekiauti juodojoje rinkoje už juokingą sumą – kai kurie jų buvo parduoti už mažiau nei vieną JAV dolerio centą, o kartais net ir atiduoti nemokamai“, – prisimena A. Adomaitytė.
Tuo pat metu „Zoom“ sulaukė kaltinimų dėl duomenų nutekinimo ir netinkamo vartotojų pokalbių kambarių šifravimo, kuris buvo nepakankamas, kad programišiai negalėtų pavogti šios informacijos. Sulauksi stiprios kritikos, kompanija ėmėsi spręsti saugumo problemas, tobulindama programą.
„Buvo išleista naujoji programos versija „Zoom 5.0“, kurioje naudojamas naujas informacijos šifravimo standartas, skambučių informaciją koduojantis išmaniau ir taip paverčiantis ją atsparesne vagystėms ir kitoms atakoms. Pasaulinio lygio ekspertai teigė, kad toks sprendimas buvo neįtikėtinai reikšmingas technologine prasme. Tai tas pats, lyg telefonų gamintojai peršoktų dvi išmaniojo telefono kartas ir po, pavyzdžiui, „iPhone 8“ iš karto pristatytų „iPhone 11“, – pasakoja A. Adomaitytė.
Be šifravimo standarto atnaujinimo, „Zoom“ vartotojams suteikė galimybę pasirinkti, per kuriuos regionus duomenims keliauti nebus leidžiama. Taip pat kiek atnaujinti ir programos saugumo funkcionalumai. Visus saugumo ir privatumo nustatymus vartotojai dabar ras vienoje vietoje, o skambučiai ir virtualūs susitikimų kambariai bus automatiškai apsaugoti slaptažodžiu.
Išpuoliai rengiami ir prieš valstybes
Neeilinės COVID-19 krizės metu atakų aukomis tako ne tik žinomi prekės ženklai, bet net ir valstybės – jų vyriausybės, tarptautinės ar nepelno siekiančios organizacijos, kovojančios su koronavirusu.
Kovo viduryje Čekijoje buvo sutrikdyta Brno universitetinės ligoninės, turinčios didžiausius šalyje pajėgumus tirti koronavirusą, veikla. Ligoninė buvo priversta atšaukti operacijas ir perkelti kai kuriuos ligonius į kitas įstaigas. O gegužės pradžioje JAV ir Didžioji Britanija išplatino bendrą perspėjimą, kad suintensyvėjo su valstybėmis siejamų kibernetinių nusikaltėlių grupuočių veikla. Abi valstybės tyrė užfiksuotus incidentus, kurių metu bandyta įsilaužti į sveikatos apsaugos institucijas ir perimti su COVID-19 virusu susijusią informaciją.
„Kovoti ne tik su pandemijos, bet ir šių atakų padariniais ėmėsi verslo bendruomenė. Pavyzdžiui, „Microsoft“ nepelno siekiančioms organizacijoms suteikė nemokamą prieigą prie skaitmeninio įrankio, įspėjančio apie tokio tipo atakas, rengė nuotolinius skaitmeninio švietimo kursus“, – pasakoja A. Adomaitytė.
Kibernetinė ataka prieš valstybę įvyko ir praėjusį mėnesį – Izraelio kibernetinio saugumo direktorato vadovas Yigal Unna pranešė, kad ataka buvo nutaikytą į Izraelio vandens tinklus.
„Tai turbūt pirmasis atvejis, kai kibernetine ataka bandyta dideliu mastu paveikti ne verslo procesus, viešąją erdvę, o kasdienį civilinį gyvenimą. Išpuoliu bandyta pakeisti vandens ir jo valymo metu naudojamų cheminių elementų santykį, todėl sėkmės atveju galėjo būti ne tik sutrikdyta vandens tiekimo veikla, bet ir kilti grėsmė žmonių sveikatai ar net gyvybei“, – pasakoja A. Adomaitytė.
Daugiau informacijos apie išmaniųjų įrenginių saugumą galite sužinoti iš didžiųjų miestų „Bitės“ salonuose įsikūrusių „Bitės Profų“. Išmaniųjų technologijų ekspertai konsultuoja nemokamai nepriklausomai nuo to, kokio tinklo paslaugomis naudojatės. Daugiau naudingų patarimų ir įdomių naujienų ieškokite „Bitės Profų“ puslapyje https://www.bite.lt/profai.
Vasario 11-oji – tarptautinė saugesnio interneto diena. Vilniaus savivaldybė, rūpindamasi savo ir kitų saugumu, atvirai kviečia pilietiškus vilniečius prisidėti prie kibernetinio saugumo didinimo, dalyvaujant savivaldybės kibernetinio saugumo spragų atsakingo atskleidimo programoje „Hack me if you can“ (liet. „Surask spragas, jei gali“). Programa suteiks galimybę neatlygintinai identifikuoti spragas vienoje iš 5 savivaldybei priklausančių internetinių svetainių. Vilniaus savivaldybė yra pirmoji valstybinė institucija Lietuvoje, kuri drąsiai ėmėsi programos, keičiančios gana uždarą požiūrį į kibernetinį saugumą Lietuvoje.
Programa „Hack me if you can“ – išskirtinė: turintys gebėjimų kibernetikos srityje gali padėti legaliai (ir laikantis taisyklių) ieškoti informacinių sistemų spragų tam tikrose miesto aplikacijose ir platformose, nesukeliant neigiamų pasekmių sistemose esančiai informacijai.
„Interneto erdvėje, kaip ir savo mieste, turėtume elgtis bendruomeniškai: kai reikia – ateiti į pagalbą. Šiandien daug kam nėra aišku, kaip elgtis, pastebėjus spragų IT sistemose, baiminamasi, kad tokie pranešimai gali būti traktuojami kaip kenkėjiška veikla ir pradedami tyrimai. Aiškus mūsų taisyklių ir lūkesčių komunikavimas padės elgtis adekvačiai: nebijoti pranešti apie pastebėtą IT sistemų pažeidžiamumą“, – sako Vilniaus miesto savivaldybės administracijos Inovacijų ir technologijų grupės vadovas Jonas Pidkovas.
Atsakingas kibernetinio saugumo spragos atskleidimas yra tuomet, kai aptiktos spragos parodomos pačiai organizacijai, kurios sistemose jos buvo nustatytos. Sutariama apie spragas pranešti Vilniaus miesto savivaldybės administracijai, o jas pašalinus (ir tik gavus sutikimą), apie tai galima paskelbti viešai. Svarbu suprasti, kad ankstyvas (iki nebus pašalintas pažeidžiamumas) tokios informacijos paskelbimas piktavalių gali būti panaudotas nusikalstamiems tikslams ir pakenkti asmenims, kurių duomenys pasiekiami sistemose.
Atsakingo kibernetinio saugumo spragų atskleidimo programa gimė po praėjusią vasarą Vilniuje atliktų hibridinės saugos pratybų „Gedimino legionas“, kai savanoriškai susibūrę Vilniaus IT entuziastai dalyvavo tiek IT gynybos, tiek socialinės inžinerijos „fake news“ (liet. melagingos naujienos) pratimuose.
Pasak J. Pidkovo, „Hack me if you can“ yra viena svarbiausių Inovacijų ir technologijų grupės idėjų, leisiančių daugiau investuoti į inovacijas, o ne į paslaugų pirkimą. Tolimesni šios komandos planai – bendro Vilniaus miesto kibernetinio saugumo centro (SOC) sukūrimas.
„Atsakingo atskleidimo politikos taikymas – tai modernus ir brandus požiūris organizuojant kibernetinį atsparumą bendradarbystės principais. Jis rodo organizacijos atvirumą ir norą dirbti kartu, vertinant įvairių specialistų indėlį. Smagu, kad Vilnius drąsiai žygiuodamas skaitmenizavimo, duomenų atvėrimo keliais, iškart galvoja – kaip suvaldyti susijusias rizikas ir kaip įkvėpti kitus sekti jų pavyzdžiu. Taip, tikiuosi, susidarys ekosistema ir gero elgesio normos. Man, kaip vilniečiui, tai – labai maloni žinia ir pavyzdys, kurį su džiaugsmu viešinsiu visame pasaulyje, kur tenka dirbti. Tai pirmas bandymas ir tikėtina kad bus ko mokytis ir tobulinti – bet juk tik taip įmanoma augti“, – sako NRD Cyber Security, kuri Vilniaus m. savivaldybei padėjo parengti atsakingo atskleidimo politiką, vadovas Vilius Benetis.
Į programą gali užsiregistruoti ir dalyvauti tiek fiziniai asmenys, ne jaunesni kaip 18 metų, pasirašę Programos dalyvio konfidencialumo pasižadėjimą, tiek nepilnamečiai (nuo 14 iki 18 metų), pateikę tėvų (rūpintojų) rašytinį sutikimą bei pasirašę Programos dalyvio konfidencialumo pasižadėjimą, ir neatlygintinai identifikuojantys spragas Programos ribose.
