Arhiva

Etični hakeri poboljšavaju sigurnost tvrtki

15. studenoga 2008.

lider.media

Dodajte lidermedia.hr u omiljeni Google izvor

O računalnoj (ne)sigurnosti zasigurno najviše znaju - hakeri. O najnovijim trendovima na njihovu području govore ljudi koji poučavaju etične hakere ili ih zapošljavaju.

Piše: Mislav Nekić
[email protected]

Nijedan informacijski sustav nije stotinu posto siguran. Samo je pitanje vremena kad će iz vašeg sustava netko ukrasti podatke. Potvrdilo je to i istraživanje konzultantske kuće Deloitte prema kojem je više od 80 posto svjetskih financijskih tvrtki imalo bar jedan neželjeni upad u interni sustav. Najčešće su se upotrebljavale lažne elektroničke poruke i internetske stranice (engl. phishing i pharming), a odmah je nakon njih prema učestalosti 'spyware' (48 posto), zlonamjerni softver programiran radi uhođenja. Uz napade izvana mnoge ustanove muku muče i s prijestupnicima iz svojih redova, a u najčešće interne napade na sigurnost ubrajaju se interne prijevare (28 posto) i otkrivanje podataka o klijentima (18 posto).

Samouvjerene administratore obrukaju vlastiti zaposlenici

Najčešća je pogreška u zaštiti informacijskih sustava samouvjerenost administratora i bespogovorno oslanjanje na tehnologiju, tvrdi Robert Petrunić, što potkrepljuje primjerom iz prakse primjenjivim na većinu mreža na kojima sustav nije korektno interno zaštićen.
- Većina tvrtki zanemaruje mogućnost upada vlastitih zaposlenika ili nekoga tko je dobio pristup mreži nakon što je ušao u tvrtku. 'Man-in-the-middle' naziv je jednog od napada koji se može izvesti u takvim tvrtkama - napadaču omogućava da posve preusmjeri promet na mreži preko svog računala, što mu pak pruža gotovo neograničene mogućnosti: od čitanja poruka elektroničke pošte do krađe nedovoljno zaštićenih zaporki, zatim čitanja dokumenata na serveru zaštićenih pravom pristupa, pa čak i čitanja dokumenata na serveru zaštićenih EFS enkripcijom - objašnjava Petrunić.
Uza sve to napadač može doći i do administratorove zaporke ako se taj koristi alatima za udaljeni pristup serveru ili čak upasti u kriptiranu komunikaciju kojom se netko služi za npr. financijske transakcije. Sve u svemu, takav napad može se izvesti bez pretjeranog tehničkog znanja, kaže Petrunić.
Šegudović dodaje da se u posljednje vrijeme najviše provaljuje u web aplikacije, što dokazuje da se griješi u njihovu razvoju, odnosno programiranju. Također se griješi u neispravnoj konfiguraciji sustava, uporabi slabih zaporki ili njihovu prečestome mijenjanju i upotrebi zaporki preteških za pamćenje, ali i u podložnosti socijalnom inženjeringu, odnosno, jednostavnije rečeno, naivnosti zaposlenika.

Uz financijski sektor najčešće su mete proizvodi poput iPhonea i PlayStationa, tako da Apple i Sony zbog razbijanja sigurnosnih zaštita gube stotine milijuna dolara na godinu. Na meti su i društvene mreže poput Facebooka, MySpacea i LinkedIna na kojima hakeri dolaze do mnogih njima korisnih informacija.Kad je riječ o hakerskim napadima u Hrvatskoj, vrlo je malo službenih informacija jer dosad nijedna institucija koja se bavi sigurnošću računalnih sustava nije objavila procjenu ili izvještaj.- Povremeno se provali na poneke internetske stranice, no zlonamjerne aktivnosti zasad rijetko idu dalje od toga. U državama poput Slovenije i Bosne i Hercegovine već su zabilježeni ciljani napadi na sustave internetskog bankarstva nekih banaka, a nešto slično može se očekivati i u Hrvatskoj - rekao nam je Hrvoje Šegudović, direktor zagrebačke tvrtke Infigo IS, specijalizirane za informacijsku sigurnost.

Ranjive internetske aplikacije

Kad je riječ o praksi, a to pokazuju i statistike, na tehničkoj su razini najranjiviji dijelovi informacijskog sustava internetske aplikacije poput internetskog bankarstva, online trgovina, B2B (engl. business to business) sustava i internetskih portala. Šegudović dodaje da ozbiljnu i kvalitetnu uslugu zaštite informacijskih sustava u Hrvatskoj može ponuditi samo nekoliko tvrtki. S jedne je strane razlog nedostatak kvalificiranih ljudi, a s druge i relativno malo tržište. Rast tržišta svakako će prouzročiti regulatorne obveze kao što je npr. HNB-ova odluka o primjerenom upravljanju informacijskim sustavom u bankarskom segmentu, Zakon o informacijskoj sigurnosti za državnu i lokalnu upravu te zahtjevi standarda PCI DSS koji se primjenjuju na sve subjekte u kartičnom poslovanju (banke, procesore i trgovce), misli Šegudović.

Za razliku od početka devedesetih, kad su hakeri vjerovali da je provaljivanje u računalne sustave i dijeljenje informacija pozitivno i da je od svakog hakera koji drži do sebe moralno svoje znanje podijeliti s kolegama koji će stvarati besplatni softver i omogućiti pristup informacijama te računalnim resursima gdje god je to moguće, danas je razvijena hakerska industrija. Hakiranje više nije zabava tinejdžera i nadobudnih studenata željnih da nekomu iz čiste dosade provale u računalo i dobiju na vrijednosti u očima svojih kolega - postalo je unosan posao za niz kriminalnih skupina i razne politički motivirane napade, specijalne oblike ratovanja i terorizam. Hakeri su postupak toliko pojednostavili da njihove usluge, onaj tko ih želi, može jednostavno naručiti, kao da naručuje pizzu. Dovoljno je na nekom od svjetskih hakerskih foruma ostaviti koga i kako treba napasti. Sve je ostalo na lovcima na propuste u računalnim sustavima. Čak ne trebate ostaviti svoj kontakt - hakeri će vas sami pronaći.

Hakeri ne moraju nužno biti 'loši momci'. Poslodavci ih mogu unajmiti da svoje znanje i iskustvo na najbolji način iskoriste u borbi protiv 'tamnih sila'. - Etika i hakiranje spojivi su kad stručnjak s područja sigurnosti, da bi pomogao podići razinu sigurnosti određenog sustava, u ruke uzima alate kojima se inače koriste hakeri kriminalci. To su stručnjaci s velikim iskustvom u zaštiti mreža i računala, ljudi koji se godinama bore protiv zlonamjernih hakera, ali isto tako ljudi koji ne prelaze na tamnu stranu. Da bi bili to što jesu, moraju znati što je na raspolaganju onima s tamne strane i znati iskoristiti te alate te biti sposobni upasti u sustav isto kao što bi to učinili i zlonamjerni hakeri - rekao nam je Robert Petrunić, nositelj prestižne titule MS MVP (Microsoft Most Valuable Professional) for Enterprise Security, konzultant i trener na Učilištu Algebra koje se bavi certificiranjem etičkih hakera u Hrvatskoj te Bosni i Hercegovini.

Hakeri s dozvolom vlasnika

Petrunić dodaje da etičan haker smije raditi isključivo s pismenom dozvolom vlasnika sustava i obvezan je ostati u granicama određenima ugovorom.- Sigurnosne provjere, grubo rečeno, dijele se na dvije vrste. Prva je sigurnosni nadzor kojim se provjerava slijede li sustavi i procesi unaprijed određena sigurnosna pravila i prema potrebi se definiraju nova. To osigurava da se sustav upotrebljava ispravno i smanjuje mogućnost pogreške - govori Petrunić.
Druga je vrsta tzv. penetracijski test, kojim se, uporabom znanja i alata koji su na raspolaganju, zlonamjernim hakerima pokušava doslovno provaliti u sustav. Na kraju se piše izvještaj koji navodi nedovoljno zaštićene dijelove sustava i predlaže kako bi ih vlasnik trebao zaštititi. U više od 90 posto slučajeva takve provjere vrše vanjske tvrtke. Ako određena tvrtka ima svoje stručnjake koji se bave sigurnošću, oni mogu izvršiti obje provjere, ali zbog dodatne provjere obično se jedanput na godinu unajme stručnjaci vanjske tvrtke koji pokušati prodrijeti u sustav. Ukratko, sigurnosne provjere ne može vršiti bilo tko jer su postupci složeni. Cijeli postupak odradit će specijalizirana tvrtka koja se bavi penetracijskim testiranjem, ali svaki sigurnosni administrator sustava u tvrtki koju se testira trebao bi odraditi dio posla i sigurnost provjeravati što češće.

Napadaču dovoljna jedna rupa

- Važno je napomenuti da administrator mora znati za sve rupe, a napadaču je dovoljno da zna jednu. Zato je nužno da administratori prođu edukaciju u kojoj će naučiti provaliti u sustav. Tada će biti sposobni samostalno provjeravati njegovu sigurnost. Tako će otežati posao tvrtki koja provodi penetracijski test, ali će i kvalitetnije odraditi posao jer će morati uložiti više napora da provale u sustav te na taj način i pronaći propuste koje možda ne bi pronašli ako bi većinu vremena trošili na 'dječje igre', odnosno na propuste koje može iskoristiti svako dijete koje ima odgovarajući alat - nastavlja Petrunić.Naglašava da provjera nikad nije završena, jer nakon što se tvrtki prezentiraju rupe u njezinu sustavu i ponude rješenja, ona popravi pogreške, ali nakon nekog se vremena test mora ponoviti da bi se provjerilo jesu li novouvedene stvari poljuljale sustav. Informacijski je sustav organizam koji raste, svaki se dan u njega unosi nešto novo što bi ga moglo destabilizirati ili omogućiti napad na nj. Zato Petrunić tvrtkama savjetuje svakodnevnu provjeru ključnih sustava, praćenje sigurnosnih portala vezanih uz tehnologiju koja se rabi u određenoj tvrtki te praćenje podzemne scene da bi se došlo do informacija koje se sustave trenutačno hakira i za koje postoje gotovi i aktivni programi dostupni svima.