Etični hakeri u službi sigurnosti kompanijskih sustava

Učilište Algebra objavilo da počinje školovanje prema programu Certified Ethical Hacker, kojime se stječe certifikat etičnog hakera, računalnog stručnjaka koji iskušava sigurnost računalnog sustava napadajući ga jednako kao što bi to radili 'zlonamjerni' hakeri

Piše: Igor Škevin
[email protected]

Da hakeri ne moraju biti samo destruktivni svjedoči i prošlotjedna konferencija na kojoj je računalno učilište Algebra objavilo da počinje školovanje prema programu Certified Ethical Hacker, kojim se stječe certifikat etičnog hakera, računalnog stručnjaka koji iskušava sigurnost računalnog sustava tvrtke koja za to ga plaća. Sudionici konferencije pratili su zamalo bez daha primjere napada tehnikom man-in-the-middle pomoću lako nabavljivih hakerskih alata, a posebice niz hakerskih napada na web-aplikaciju koje su izveli dvojica hakera iz tvrtke Infigo. Njih su dvojica svoje umijeće pokazivali na web-aplikaciji koju su sami kreirali upravo da bi na njoj, a ne na nečijoj stvarnoj aplikaciji, mogli demonstrirati cijeli niz napada koje su dio penetracijskog testiranja, pokušaja da se hakerskim alatima i načinima prodre u nečiji računalni sustav.

- Iako smo u dvije godine rada načinili tridesetak penetracijskih testiranja, ne bi bilo etično da javno pokazujemo kako smo se probijali u web-aplikacije klijenata koji su nam platili da ih zaštitimo - kazao je Hrvoje Šegudović, direktor zagrebačke tvrtke Infigo. U Hrvatskoj ne postoji regulativa koja bi prisiljavala tvrtke iz neke grane industrije na ispitivanje sigurnosti, osim tvrtki koje su podložne reviziji - govori Šegudović, dodajući da se često takve provjere sastoje samo od upitnika u kojem konzultant u kvadratiće upisuje kvačice, pa se stanje u provjerenoj tvrtki vrati na staro u roku od tjedan dana.

- Ono što prema regulativi pogađa banke i određeni broj trgovaca jest standard podatkovne sigurnosti industrije platežnih kartica (engl. Payment Card Industry Data Security Standard - PCI DSS) koji sve tvrtke koje procesiraju kreditne kartice obvezuje na sigurnosne kontrole. Rok za primjenu, točnije provjeru sigurnosti tim je tvrtkama bio do 31. prosinca 2007., ali se mnoge nisu uspjele uskladiti s tom normom. Doduše, kartičari još ne naplaćuju penale, ali tko ne zadovoljava standard PCI DSS u lancu naplate putem kartica plaća štetu u slučaju zloporabe kartice, kako to ne bi bilo na štetu kartičarskih kuća - govori Šegudović te dodaje da strogost implementacije i učestalost kontrola zadovoljavanja kriterija PCI DSS-a ovisi o opsegu transakcija.

Za kartičare tromjesečna provjera

- Tako će primjerice Konzum, Ina i sve ostale tvrtke koje procesiraju određeni broj kartičarskih transakcija morati provoditi to što zahtijeva PCI DSS, a to je u njihovu slučaju godišnji penetracijski test i svako će tromjesečje morati provoditi sigurnosne provjere - objašnjava na primjeru Šegudović, dodajući kako bi za neke tvrtke bilo razumno da obave sigurnosnu provjeru svog računalnog sustava iako ih na to ne prisiljava regulativa.

- Ispitivanja sigurnosti izvana trebale bi raditi firme koje imaju poslovanje otvoreno prema internetu. Banke u svakom slučaju jer je za njih i najbenigniji napad u kojemu hakeri promijene samo izgled njihove početne stranice (engl. deface) velik rizik zbog gubitka povjerenja. Sve je više brokerskih kuća koje trguju dionicama kroz web-aplikacije, a te bi aplikacije, koje se izvode u web-pregledniku poput Internet Explorera ili Mozillina Firefoxa, svakako trebalo sigurnosno provjeriti prije puštanja u rad jer nam iskustvo pokazuje da među njima ima svačega - savjetuje Šegudović, naglašavajući da se provjeri sigurnosti sustava definitivno moraju podvrgnuti tvrtke koje imaju web-shopove.

- Činjenica je da su tvrtke u pravilu podigle razinu zaštite prema napadima s interneta, svi imaju firewall kroz koji puštaju samo web-promet, ali su web-aplikacije najranjiviji dio sustava, pogotovo web-shoppovi, e-commerce i e-banking aplikacije - upozorava Šegudović.
- Sigurnost iznutra je također problem, tu je, prema našim iskustvima, stanje jako loše. Tako i ne previše stručan IT-ovac može korištenjem jednostavnog alata koji skine s weba očitati lozinke svih zaposlenika - izjavio je Šegudović.

Tko može obavljati provjeru

U čemu se ustvari sastoji sigurnosna provjera? Je li ona komplicirana i može li je svatko obavljati?
- Jedna vrsta sigurnosne provjere jest audit, baš kao i kod revizije isprve se obavi proceduralan dio: gledaju se propisane procedure, jesu li implementirane na sustavima, imaju li svi korisnici dovoljno dugačke lozinke, je li na serveru stvarno zabranjeno ono što zabranjuju propisi tvrtke. Dosta se tvrtki žali na revizorske kuće jer šalju pripravnike, pa ako se passwordi prema uputama revizorske kuće moraju mijenjati svakih 90 dana, početnik-revizor zapisat će da to ne zadovoljava iako su lozinke dovoljne snage te im dostaje jedna promjena na godinu. Provjera se nastavlja tehničkim dijelom u koji spada i provjera ranjivosti sustava. Provjerava se ima li sustav propuste koji se ne vide očigledno, proceduralnim pristupom, koje su pogreške koje u sustavu... Za razliku od audita, osoba koja to obavlja mora biti stručna - kazuje Šegudović.

Samu provjeru ranjivosti može obaviti dobar sistemski administrator, ako ima dovoljno znanja, jer se koriste gotovi alati, ali oni dižu dosta lažnih uzbuna, dok je s penetracijskim testovima prilično različita situacija.
- Za provođenje penetracijskih testova potrebni su stvarno vrhunsko znanje i stručnost, posebice se ne smiju koristiti alati za koje se točno ne zna što rade. Bitno je da se pronađe pravu tvrtku koja to zna raditi, a ne da tvrtka naplati penetracijsko testiranje, a ‘odvrtili’ testove ranjivosti, što je tek malo bolje od besplatnih alata, čime ruše dignitet profesije - upozorava Šegudović te ističe da, za razliku od mnogih sistem integratora koji se hvale da obavljaju testove, Infigo ne isporučuju ni hardver ni softver te ne može doći u sukob interesa. Osim toga - ističe on - Infigo se sam bavi sigurnosnim istraživanjima te je nedavno otkrio jedan sigurnosni propust u alatima najuglednijih svjetskih antivirusnih kuća, McAfeeja i Sophosa. Među rijetkim IT tvrtkama u nas koje se bave sigurnošću jest i zagrebačka tvrtka CROZ. Njezin voditelj Odjela za infrastrukturna rješenja Bojan Koprivčić navodi da CROZ-ov tim za sigurnost radi na vrlo osjetljivim problemima, toliko osjetljivima da ne smije navoditi niti imena tvrtki.

Naći najslabiju kariku u lancu

- Primarno su nam klijenti u području sigurnosnih testiranja financijske institucije osjetljive na sigurnosne incidente - govori Koprivčić i dodaje da sigurnosna provjera informatičkog sustava treba svakoj organizaciji i tijelima državne uprave jer većina informacija danas kruži elektroničkim putem.
- Penetracijski test je vrsta zastrašivanja, ali mu mora prethoditi i slijediti ga ozbiljna analiza kako bi se vidjelo gdje su propusti, a tako nešto treba svim organizacijama. Ukrade li netko u tvrtki predsjedniku uprave notebook s ugovorima, ta krađa predstavlja kršenje ugovora o tajnosti (engl. Non Disclosure Agreement - NDA) - govori Koprivčić, ističući da rješavanje problema uvijek počinje od procjene rizika, a da penetracijski test služi osvješćivanju korisnika da im nešto treba, da imaju problem kojega nitko nije svjestan dok se nešto ne dogodi.

- Ključni je učinak penetracijskog testiranja pokazati organizaciji da je sigurnost njezina sustava jaka koliko i najslabija karika u lancu. Penetracijski test je način da se ljude osvijesti kako imaju tempiranu bombu koja čeka da eksplodira. Netko s viškom vremena može ići raditi spačku, skinuti s neta password sniffer i - buum! on je taj koji kontrolira plaćanje računa firme - objašnjava Koprivčić, dodajući da gotovo nitko u nas ne ulaže u edukaciju ljudi, koji su najslabije karike, jer je, kao što kaže, dovoljno da tajnica zalijepi svoju lozinku na monitor pa da zlonamjerna osoba može ovladati cijelim IT sustavom tvrtke. A da to nije puka prijetnja pokazuje i nedavna demonstracija koju je održao jedan od CROZ-ovih stručnjaka za sigurnost. Mladić nevina izraza lica došao je do računala s USB memorijom i zamolio da kopira neku glazbu. Stvar je završila tako da je taj etični haker pokrenuo svoje programe i za minutu-dvije uspio se domoći domenskih lozinki i probiti se u mrežu.