Лічбавае поле бітвы: этычныя супраць злосных хакераў
Уводзіны
Ці ведаеце вы, што ў 2011 годзе Citibank (Citigroup) падвергся кібератацы, якая прывяла да крадзяжу амаль 2,7 мільёна долараў?
Акцёры проста скарысталіся простай уцечкай даных на сваім сайце. Яны эксплуатавалі яго на працягу некалькіх месяцаў, перш чым ён быў выяўлены. Банк моцна пацярпеў ад гэтага, бо больш за 360 тысяч рахункаў былі закрануты, і пазбавіцца ад гэтага было даволі складана.
Рэзюмэ
Нараджэнне інфармацыйнай бяспекі
За апошнія два дзесяцігоддзі інфарматыка рэзка вырасла; многае было адкрыта і многае ўдасканалена. У цяперашні час кампутары і тэхналогіі не маюць нічога агульнага з тымі, што існавалі ў пачатку, па меншай меры, у іх формах і функцыянальнасці. Вось што стварыла новы скарб, скарб, да якога раней было цяжка дабрацца. З ім многае было б інакш, гэта Інфармацыя.
Важнасць інфармацыі стала настолькі высокай, што яна можа выратаваць чалавечыя жыцці! Гэта таксама вельмі важна ў нашым паўсядзённым жыцці, і мы знаходзім яго ў розных формах. У гэтым артыкуле мы будзем гаварыць аб лічбавай інфармацыі, іншымі словамі аб інфармацыі, якая захоўваецца на кампутарах, і мы будзем называць яе дадзенымі.
Дадзеныя паўсюль: у школах, бальніцах, банках, урадах, арміі, на супермаркетах і г.д. Такім чынам, у прынцыпе, кожны ў свеце мае даныя. Яго важнасць адрозніваецца ад аднаго чалавека да іншага і ад аднаго выкарыстання да іншага; часам гэта можа быць вельмі крытычна.
На жаль, паколькі ў гэтым свеце няма нічога ідэальнага, доступ да гэтай інфармацыі можа быць скампраметаваны. У асноўным гэта звязана з чалавечым фактарам у розных формах. Гэта можа быць альбо памылка, альбо промах, а часам проста нядбайнасць. Гэта можа прывесці да пакідання дзірак у бяспецы лічбавай сістэмы, мы называем гэтыя шчыліны ўразлівасцямі.
І ёсць шмат людзей са злымі намерамі, якія спрабуюць скарыстацца гэтай уразлівасцю і нацэліць на іх дзеля сябе. Іх называюць Хакеры.
Хакераў лічаць злачынцамі, і гэта далёка не так. Наступствы іх дзеянняў могуць быць катастрафічнымі, уключаючы страту грошай і разбурэнне жыццяў многіх людзей, але часам бываюць нязначныя страты, якімі нельга занядбаць. Мы збіраемся зірнуць на некаторыя з гэтых наступстваў пазней.
Іх існаванне зрабіла непазбежным клопат аб інфармацыйнай бяспецы, калі супраць іх (хакераў) змагаліся людзі.
Іх называюць Этычнымі хакерамі, іх задача ў асноўным прадухіляць або мінімізаваць атакі хакераў (таксама вядомыя як кібератакі). Гэта людзі, якія працуюць над тым, каб зрабіць лічбавы свет больш бяспечным.
Кібератакі
Такім чынам, кібератакі, як было ўведзена раней, з'яўляюцца дзеяннямі хакераў. Хакеры атакуюць сістэмы з мэтай крадзяжу, выканання несанкцыянаваных змяненняў або нават знішчэння даных у многіх зламысных мэтах.
Большасць гэтых нападаў можна аднесці да адной з гэтых трох катэгорый.
Атакі на сістэмы
У гэтым выпадку ўразлівасці, як правіла, выкліканы тэхнічнай памылкай у сістэме. Хакеры выкарыстоўваюць свае веды аб сістэме і аб тым, як яна працуе, каб знайсці неабдуманы спосаб выкарыстоўваць яе ў сваю карысць, і яны могуць атрымаць несанкцыянаваны доступ да рэсурсу або нават сістэмы ў цэлым.
Мы гаворым у цэлым пра:
-
Эксплойты Zero Day (нядаўна выяўленыя ўразлівасці, якія не былі выпраўлены, што азначае, што яны ўсё яшчэ прысутнічаюць у апошняй версіі сістэмы).
-
CVE (коды выкарыстання ўразлівасцяў) з'яўляюцца доказамі канцэпцый, якія маюць дачыненне да састарэлых сістэм.
-
Атакі чалавека пасярэдзіне, адмова ў абслугоўванні (DOS), размеркаваная адмова ў абслугоўванні (DDOS) і г.д.
Напады на людзей
Агульнавядома, што самым уразлівым месцам у лічбавай сістэме з'яўляюцца людзі. Гэта самы непрадказальны акцёр у ім. Многія кібератакі насамрэч былі зроблены супраць людзей, якія працуюць у кампаніях, выкрываючы важныя дадзеныя або выконваючы катастрафічныя дзеянні ў многіх сістэмах.
Вось цытата, якую я хачу выставіць
На чалавечае глупства няма пластыру
Гэта азначае, што нічога нельга зрабіць, калі хакеру ўдаецца ўзламаць саміх людзей! Тут мы больш гаворым пра сацыяльную інжынерыю, якая мае на мэце ўзламаць менталітэт чалавека з дапамогай шматлікіх метадаў, такіх як фішынг.
Атакі на сістэмы праз людзей
У гэтым выпадку мэтай атакі з'яўляецца знішчэнне дадзеных або збой у працы сістэмы. Гэта робіцца, прымушаючы людзей выкарыстоўваць шкоднасныя кампутарныя праграмы, якія называюцца шкоднаснымі праграмамі.
Гэта праграмы, якія альбо знішчаюць дадзеныя, цалкам змяняюць іх форму, робячы іх непрыдатнымі, альбо нават выліваюць іх, што прыводзіць да цяжкіх наступстваў. І гэта праца
-
вірусы: праграмы, якія вельмі хутка распаўсюджваюцца ў сістэме або ў сетцы
-
праграмы-вымагальнікі: шкоднасная праграма, якая шыфруе даныя з дапамогай надзейнага алгарытму і просіць выкуп, каб вярнуць іх.
-
Траяны, чарвякі і г.д.
-
З іншага боку, шкоднаснае ПЗ можа бяздзейнічаць і толькі красці дадзеныя, як гэта робіць шпіёнскае ПЗ.
І, як бачыце, гэта дасягаецца толькі чалавечымі памылкамі, якія так ці інакш уключаюць іх у сістэму.
Некаторыя крытычныя кібер-катастрофы
За апошняе дзесяцігоддзе ў свеце былі вядомыя шматлікія кібератакі, якія мелі цяжкія наступствы.
Гэта прымусіла арганізацыі больш клапаціцца пра бяспеку сваёй сістэмы.
Вось некаторыя з найбольш вядомых:
- Узлом Sony Pictures (2014)
Кібератака на Sony Pictures Entertainment у 2014 годзе, якую прыпісвалі Паўночнай Карэі, прывяла да раскрыцця канфідэнцыйных даных, у тым ліку нявыдадзеных фільмаў і канфідэнцыйнай інфармацыі аб супрацоўніках. Зламыснікі, якія дзейнічалі пад псеўданімам «Вартавыя міру», запатрабавалі ад Sony спыніць выпуск фільма «Інтэрв'ю», у якім апісваўся выдуманы сюжэт, звязаны з забойствам лідэра Паўночнай Карэі.
- Праграма-вымагальнік WannaCry (2017)
WannaCry, сусветная атака праграм-вымагальнікаў, адмыслова шукала кампутары, на якіх выкарыстоўваліся састарэлыя версіі Windows. Гэтая шкоднасная праграма хутка распаўсюдзілася, уплываючы як на арганізацыі, так і на прыватных асоб па ўсім свеце. Ён выкарыстоўваў уразлівасць сістэмы бяспекі, выкрадзеную ў АНБ, для шыфравання файлаў ахвяр, прымушаючы іх плаціць выкуп за расшыфроўку даных. Перш чым быў нанесены істотны ўрон, даследчык бяспекі выпадкова выявіў механізм, каб спыніць атаку.
- Кібератака SolarWinds (2020)
Кібератака SolarWinds была складана спланаваным узломам ланцужка паставак, нацэленым на SolarWinds, вядомую фірму па кіраванні ІТ. Нападнікі скампраметавалі абнаўленні праграмнага забеспячэння SolarWinds, забяспечваючы ім доступ да сістэм розных арганізацый, у тым ліку дзяржаўных устаноў і вядомых карпарацый. Атака была звязана з расійскай групай Advanced Persistent Threa (APT).
- Log4j (2021)
Log4j, добра зарэкамендавала сябе ўтыліта Java з двухдзесяцігадовай гісторыяй, сутыкнулася з ключавым момантам у снежні 2021 года з выяўленнем крытычнай уразлівасці пад назвай Log4Shell. Гэты недахоп дазваляў неаўтэнтыфікаваным і некваліфікаваным зламыснікам узяць кантроль над праграмамі, што прывяло да дарагіх парушэнняў бяспекі.
- Twitter (5,4 мільёна ўліковых запісаў карыстальнікаў выкрадзена ў выніку атакі сацыяльнай інжынерыі 2022)
5 жніўня 2022 года Twitter зрабіў ашаламляльную заяву, паказаўшы, што хакер, які працуе пад псеўданімам «д'ябал», выкарыстаў уразлівасць нулявога дня. Гэта парушэнне дазволіла ім злучыць асабістыя ідэнтыфікацыйныя дадзеныя, такія як нумары тэлефонаў і адрасы электроннай пошты, з уліковымі запісамі карыстальнікаў на платформе сацыяльных сетак.
Скарыстаўшыся магчымасцю, прадстаўленай гэтай уразлівасцю, хакер пасля апублікаваў шырокі набор даных на інтэрнэт-форумах, ацаніўшы яго ў 30 000 долараў. Аб існаванні памылкі стала вядома ў чэрвені 2021 года, што закранула больш за 5 мільёнаў карыстальнікаў.
У адказ на гэты інцыдэнт Twitter дзейнічаў хутка, непасрэдна звярнуўшыся да ўладальнікаў пацярпелых уліковых запісаў і прапанаваўшы рэкамендацыі. Яны заклікалі карыстальнікаў укараніць двухфактарную аўтэнтыфікацыю ў якасці важнай меры абароны ад несанкцыянаванага доступу да іх уліковых запісаў.
Этычныя хакеры
Як было сказана раней, павелічэнне колькасці хакераў у сферы тэхналогій прымусіла арганізацыі задумацца аб рашэннях для павышэння бяспекі іх сістэмы.
Такім чынам, яны павінны былі знайсці пасады або працу, якія б аплачвалі агляд гэтых сістэм і выяўленне ўразлівасцяў, каб выправіць або выправіць іх. Людзі, якія займаюць гэтыя пасады, насамрэч тыя, каго мы называем этычнымі хакерамі.
Этычны хакерства дзеліцца на дзве асноўныя катэгорыі
-
Наступальная бяспека: Таксама вядомая як тэставанне на пранікненне або этычны хакерства, гэта практыка мадэлявання кібератак на сістэмы арганізацыі для выяўлення ўразлівасцяў і слабых месцаў. Асноўная мэта наступальнай бяспекі - актыўна выяўляць і вырашаць праблемы бяспекі, перш чым зламыснікі змогуць імі скарыстацца.
-
Абарончая бяспека: Яна сканцэнтравана на абароне сістэм, даных і сеткавай інфраструктуры арганізацыі ад патэнцыйных пагроз. Яго асноўная мэта - прадухіліць несанкцыянаваны доступ, уцечку дадзеных і іншыя інцыдэнты бяспекі.
Этычны хакерства звычайна выкарыстоўвае розныя падыходы або каманды пры забеспячэнні бяспекі сістэмы; некаторыя з іх:
-
Red teaming: - гэта структураваны і сістэматычны падыход да тэставання і ацэнкі бяспекі сістэм, працэсаў і сродкаў абароны арганізацыі. Ён уключае мадэляванне кібератак і іншых пагроз для ацэнкі стану бяспекі арганізацыі, яе ўразлівасці і агульнай устойлівасці. Асноўная мэта red teaming - даць аб'ектыўную і рэалістычную ацэнку магчымасцяў бяспекі арганізацыі і выявіць недахопы, якія могуць быць непрыкметныя з дапамогай традыцыйных метадаў тэсціравання бяспекі.
-
Blue Teaming: Blue Team адказвае за абарону лічбавых актываў, сістэм і даных арганізацыі ад кіберпагроз, а таксама працуе над выяўленнем інцыдэнтаў бяспекі і рэагаваннем на іх. У адрозненне ад чырвоных каманд, якія імітуюць атакі і баявыя дзеянні, сінія каманды ў першую чаргу занепакоеныя падтрыманнем і паляпшэннем бяспекі арганізацыі
-
Фіялетавае аб'яднанне: - гэта сумесны і комплексны падыход да кібербяспекі, які аб'ядноўвае намаганні як чырвоных, так і сініх каманд у арганізацыі. Мэта фіялетавага аб'яднання - палепшыць агульны стан бяспекі арганізацыі шляхам палягчэння зносін, абмену ведамі і сумеснага тэсціравання паміж гэтымі дзвюма камандамі
Ёсць іншыя тыпы каманд, якія з'яўляюцца больш спецыялізаванымі, як паказана на малюнку ніжэй
Што тычыцца важнасці іх ролі ў інфармацыйным свеце, існуе мноства арганізацый і прадпрыемстваў, якія спецыялізуюцца на прадастаўленні паслуг у галіне інфармацыйнай бяспекі, такіх як тэставанне на пранікненне і агляд прыкладанняў.
Не толькі арганізацыі, але і фрылансеры ў гэтай галіне адчулі цікавы рост са з'яўленнем праграм Bug Bounty Hunting (праграмы, запушчаныя кампаніямі, якія ўзнагароджваюць людзей за паведамленні аб уразлівасцях, якія яны знаходзяць у сваіх сістэмах).
Выснова
У заключэнне мы павінны сказаць, што вайна паміж этычнымі і неэтычнымі хакерамі не можа быць спынена, пакуль лічбавая інфармацыя застаецца важным рэсурсам.
Кожны павінен ведаць практыкі інфармацыйнай бяспекі, якія зусім не патрабуюць тэхнічных ведаў. І думаць пра кар'еру ў галіне кібербяспекі - гэта цікавы выбар, паколькі этычныя хакеры вельмі запатрабаваныя, і ёсць шмат рэсурсаў, каб пачаць вучыцца адразу! Такім чынам, каб скончыць гэты артыкул, у нас ёсць да вас пытанне. Вы калі-небудзь падвяргаліся такой кібератацы, як фішынг, або вы ўжо пацярпелі ад праграм-вымагальнікаў або віруса? Дайце нам ведаць аб гэтым!
