Kaip dirba etinis hakeris: įsilaužimų testai, Šiaurės Korėja ir rinkimai socialiniame tinkle „Facebook“
·Žodis hakeris daugeliui vis dar primena paauglį su gobtuvu, tamsiame rūsyje laužantį slaptažodžius. Tikrovė kur kas įdomesnė ir daug profesionalesnė. Šis straipsnis remiasi podkasto pokalbiu su etiniu hakeriu ir pasakoja:
- kaip praktiškai atrodo etinio hakerio darbas,
- kokiu provokatyviu palyginimu šis darbas apibūdinamas pokalbyje,
- kaip tikrinamas bankų, įmonių ir debesijos saugumas,
- kodėl Šiaurės Korėja vagia kriptovaliutas ir ką su tuo bendro turi Cambridge Analytica,
- ir svarbiausia: kaip žmogus pakliūna pats to nepastebėjęs.
Įrašas – slovakų kalba; šis straipsnis nėra jo stenograma, o savarankiškas pokalbio išdėstymas lietuvių kalba.
Ką etinis hakeris iš tikrųjų veikia
Etinis hakeris iš esmės daro tą patį, ką ir „klasikinis“ užpuolikas, – bando patekti ten, kur paprastam naudotojui ne vieta. Lemiamas skirtumas paprastas: dirbama pagal rašytinį užsakovo leidimą ir pagal iš anksto sutartas taisykles.
Įprasta darbo diena gali reikšti naujos web aplikacijos, banko vidinio tinklo ar didelės įmonės debesijos patikrą. Tikslas – rasti pažeidžiamumus ir silpnąsias vietas anksčiau, nei juos randa kas nors, turintis mažiau kilnių ketinimų.
Jei norite pamatyti, kaip toks projektas vyksta praktiškai, peržiūrėkite Haxoris įsilaužimų testavimą.
Riba tarp testo ir nusikaltimo
Pokalbis ne kartą grįžta prie vienos minties: etinį hakerį nuo užpuoliko skiria ne technika, o leidimas. Įrankiai tie patys. Teisė jais naudotis – ne.
Įsibrovimas į sistemą be sutikimo, apsaugos priemonių apėjimas ar teisių išplėtimas būtų nusikaltimas. Su rašytiniu užsakovo leidimu tie patys veiksmai virsta paslauga. Įmonė iš esmės sako:
„Geriau tegu skylę mūsų apsaugoje šiandien parodo etinis hakeris,
negu po trijų mėnesių ja už išpirką pasinaudos kas nors anonimiškas.“
Tai ir yra provokatyviausias pokalbio apibrėžimas: įsilaužimų testas – tai kontroliuotas ribų peržengimas, kurio pabaigoje laukia ataskaita ir konkrečios rekomendacijos, ką taisyti ir ką sustiprinti.
Kaip tikrinamas bankų, įmonių ir debesijos saugumas
Įsilaužimų testai IT sistemoms – maždaug tas pats, kas automobilių susidūrimo bandymai. Maždaug pusė projektų – web aplikacijos: internetinė bankininkystė, klientų portalai, SaaS sprendimai ar vidiniai įrankiai.
Haxoris specializuojasi įsilaužimų testavime visa jo apimtimi – nuo web aplikacijų ir infrastruktūros iki OT, SCADA ir IoT įrenginių bei DI ir LLM integracijų.
Įsilaužimų testų tipai
Juodosios dėžės principas modeliuoja išorinį užpuoliką:
- apie sistemą žinoma beveik nieko,
- nėra nei prisijungimo duomenų, nei vidinės dokumentacijos,
- matoma tik tai, kas viešai prieinama internete.
Praktikoje dažnai naudingesnė pilkoji dėžė: užsakovas suteikia testinę aplinką, skirtingų vaidmenų paskyras ir bendrą sistemos aprašymą. Taip patikrinama ne tik autentifikacija, tai yra prisijungimas, bet ir autorizacija, tai yra teisių kontrolė:
- ar naudotojas mato duomenis, kurių matyti neturėtų?
- ar paprasta paskyra gali atlikti veiksmus, skirtus tik administratoriui?
- ar teisių patikrą galima apeiti per API arba tiesioginę nuorodą?
Kas konkrečiai tikrinama
Bankuose, finansinių technologijų įmonėse ir didelėse organizacijose dažniausiai tikrinamos šios sritys:
- Web aplikacijos ir API – klasika: SQL injekcija, XSS, silpnos sesijos, klaidinga prieigos kontrolė ir verslo logikos spragos.
- Vidinė infrastruktūra – Windows domenas, VPN, serveriai, darbo vietos. Tikslas – išsiaiškinti, ar užpuolikas iš vieno perimto kompiuterio nueina iki pačių svarbiausių sistemų.
- Debesijos aplinkos (AWS, Azure, GCP) – čia praverčia debesijos įsilaužimų testavimas: IAM vaidmenys, ugniasienės taisyklės, viešai atvertos paslaugos, duomenų saugyklos ir tinklo segmentavimas.
- Wi-Fi ir tinklai – silpni slaptažodžiai, prastas tinklo segmentavimas, pasenusi įrenginių programinė įranga, nelegalūs prieigos taškai ir kitos spragos.
Kai kasmet kartojasi tos pačios klaidos
Pokalbyje nuskamba ir nepatogi išvada: dalis įmonių įsilaužimų testus užsako kasmet, ir kasmet ataskaitoje kartojasi tie patys radiniai.
Kodėl? Daliai rinkos įsilaužimų testas – visų pirma „varnelė audito ataskaitoje“. Jei nėra tikro noro rastas klaidas ištaisyti, testas lieka formalumas.
Lietuvoje šios varnelės net nereikalaujama. Teisės aktai neįpareigoja atlikti įsilaužimų testų, o Kibernetinio saugumo reikalavimų apraše kibernetinio saugumo subjektams nustatytos pareigos yra kitos: pažeidžiamumų skenavimas ne rečiau kaip kas 6 mėnesius (45.8 papunktis), kasmetinis atitikties vertinimas, kurį subjektas atlieka pats (48.1 papunktis), ir auditas ne rečiau kaip kas 3 metus (48.3 papunktis). Nė viena iš jų nėra įsilaužimų testas. Vadinasi, testo vertę lemia ne reikalavimas, o tai, kas su ataskaita padaroma paskui.
Šiaurės Korėja, APT grupės ir kriptovaliutos
Kibernetinėje erdvėje jau seniai veikia ne vien pavieniai žmonės. Egzistuoja APT grupės (angl. Advanced Persistent Threat) – hakerių komandos, kurias finansuoja arba tiesiogiai valdo valstybės.
Dažniausiai jos siejamos su tokiomis šalimis kaip:
- Šiaurės Korėja,
- Rusija,
- Kinija,
- kartais ir Iranas bei kiti veikėjai.
Kaip pokalbyje sako Andrej Šebeň, Šiaurės Korėja – „neturtinga šalis su labai turtingais hakeriais“. Jos grupės specializuojasi kriptovaliutų vagystėse: iš biržų, DeFi projektų ar prastai apsaugotų paslaugų.
Kriptovaliuta joms ideali: ją lengva perkelti, ji gana anonimiška ir padeda apeiti sankcijas. Keli didžiausi pastarųjų metų kriptovaliutų grobimai priskiriami būtent Šiaurės Korėjos grupėms.
Jei norite pamatyti, kaip sudėtinga ataka prieš organizaciją modeliuojama saugiomis sąlygomis, peržiūrėkite Haxoris Red Team operacijas – iš esmės mokomąsias kibernetines atakas, kurios parodo, kaip toli organizacijos aplinkoje nueitų tikra APT grupė.
Cambridge Analytica ir rinkimai socialiniame tinkle „Facebook“
Ataka ne visada nukreipta į serverį ar slaptažodį. Dar pavojingiau atakuoti žmogaus psichiką.
Cambridge Analytica skandalas parodė, kaip „Facebook“ duomenys gali būti panaudoti:
- rinkėjams profiliuoti pagal emocijas, baimes ir nusivylimą,
- labai tiksliai nutaikytoms kampanijoms kurti, kurios „spaudžia reikiamus mygtukus“,
- viešajai nuomonei paveikti konkrečių kandidatų ar partijų naudai.
Pagal viešai paskelbtus pranešimus panašūs modeliai naudoti ne tik JAV ir Jungtinėje Karalystėje, bet ir dešimtyse kitų šalių – neretai tokiose, kur viena partija pergalę rinkimuose praktiškai nusipirko per „Facebook“.
Techniškai niekas į jokį serverį neįsilaužė. Užtat įsilaužta į milijardus naujienų srautų – ir į milijonus galvų.
Kaip žmogus pakliūna to nepastebėjęs
Galima naudotis „Mac“, „Windows“ ar „Linux“, turėti ir antivirusinę, ir ugniasienę, ir VPN – ir vis tiek pakliūti. Užtenka blogo momento, streso, skambučio ne laiku ar vienos skubotai atidarytos žinutės.
Fišingas praktikoje
Fišingas (liet. duomenų viliojimas, angl. phishing) seniai nebeatrodo kaip laiškas su klaidomis. Pokalbyje nuskamba istorija, kuri tinka kaip įspėjimas ir patyrusiam specialistui. Etinis hakeris gauna žinutę apie besibaigiantį domeno galiojimą:
- domeno vardas teisingas,
- galiojimo pabaigos data teisinga,
- registratoriaus pavadinimas teisingas.
Priežastis? Paslaugos teikėjas kadaise buvo patyręs duomenų nutekėjimą. Užpuolikai turėjo tikrus duomenis – teliko juos įvilkti į įtikinamą žinutę. Hakeris buvo įsitempęs, skubėjo ir vos nepaspaudė… Suabejojo tik mokėjimo žingsnyje ir procesą sustabdė.
Toks ir yra šiuolaikinis fišingas: tikslus, personalizuotas ir įvykdytas gerai parinktu momentu. Klastotė paprastai prisidengia siuntų tarnyba, banku ar valstybės institucija, tai yra siuntėju, kuriuo suabejoti nespėjama. Jei norite saugiai modeliuoti fišingą ir apgaulingas SMS žinutes savo darbuotojams, peržiūrėkite Haxoris socialinės inžinerijos testavimą.
Socialinė inžinerija: ataka prieš žmogų, o ne prieš ugniasienę
Užpuolikui ne visada reikia pažeidžiamumo kode. Dažnai pakanka pažeidžiamumo žmogaus elgesyje: baimės, rutinos, pasitikėjimo, autoriteto ar skubos.
Įprasti socialinės inžinerijos scenarijai:
- suklastotas skambutis „iš banko“ su skubiu prašymu,
- kurjerio žinutė, raginanti „primokėti nedidelę sumą“,
- laiškas neva iš mokesčių administratoriaus ar policijos,
- apgaulingi patarimai investuoti populiariuose socialiniuose tinkluose.
Socialinė inžinerija – vienas sėkmingiausių atakos būdų, todėl ji įtraukiama ir į rimtas Red Team operacijas, ir į fišingo kampanijas.
Praktiniai patarimai, kaip apsisaugoti
- Nesiimkite veiksmų būdami įsitempę. Jei kas nors tvirtina, kad „kažką būtina padaryti per 10 minučių“, vien tai jau įtartina.
- Neatidarykite nuorodų žinutėse ir laiškuose „iš banko“ ar „iš institucijos“. Adresą įrašykite patys arba naudokitės oficialia programėle. Patvirtinimo kodą suveskite tik tada, kai veiksmą pradėjote patys.
- Kontaktą patikrinkite kitu kanalu. Jei skambina „bankas“, padėkite ragelį ir perskambinkite numeriu iš oficialios svetainės.
- Įjunkite dviejų veiksnių autentifikaciją. Kelių veiksnių autentifikacija – viena paprasčiausių ir kartu veiksmingiausių apsaugų.
- Atnaujinkite sistemas. Atnaujinimai – ne vien erzinantys pranešimai: jie užveria žinomas skyles, kurių užpuolikai tikslingai ieško.
- Mokykitės patys ir mokykite komandą. Žmogus dažnai yra silpniausia grandis, o mokymai ir fišingo modeliavimas riziką pastebimai sumažina.
Ką iš pokalbio pasiimti sau ir savo organizacijai
Pabaigai keli svarbiausi dalykai:
- Etinis hakeris – partneris, o ne priešas. Jis daro tą patį, ką darytų tikras užpuolikas, tik laiku, saugiai ir su ataskaita.
- Įsilaužimų testas prasmingas tik tada, kai po jo kas nors įvyksta. Kitaip lieka tik PDF failas aplanke.
- Didžiausias pažeidžiamumas – ne technologija, o žmogus. Procesai, kultūra ir mokymai svarbūs ne mažiau nei ugniasienės.
- Valstybės ir įmonės jau seniai suprato, kad duomenys – tai galia. Nuo Šiaurės Korėjos kriptovaliutų vagysčių iki „Cambridge Analytica“ atvejo: kibernetinė erdvė tapo tikru mūšio lauku.
- Pakliūti gali ir specialistas. Skirtumas tas, ar jis iš to pasimoko ir pakeičia procesus taip, kad ta pati klaida nepasikartotų.
Ir vienas sakinys, kuriam vieta ant sienos kiekvienoje serverinėje:
Saugumas – ne būsena, o procesas.
Nėra momento, kai „viskas padaryta, esame saugūs“. Yra tik „šiandien esame šiek tiek mažiau pažeidžiami nei vakar“.
