Rinka atsako arba „taip, kasmet“, arba „ne, privalomas tik auditas“. Abu atsakymai netikslūs. Privalomos yra trys atskiros pareigos – skenavimas kas 6 mėnesius, kasmetinis atitikties vertinimas ir auditas kas 3 metus, – ir nė viena iš jų nėra įsilaužimų testas.
Įstatymas riboja ne pavadinimą, o pajėgumą. Auditą atlieka nepriklausomas, tarptautiniu mastu sertifikuotas auditorius, papildomai baigęs Nacionalinio kibernetinio saugumo centro nustatytus mokymus ir išlaikęs jo kvalifikacinį egzaminą. Savas darbuotojas, IT tiekėjas ar priemones įdiegęs konsultantas šio darbo atlikti negali.
Įsilaužimų testas matuojamas žmogaus dienomis, o ne vienetais. Kas didina darbo sąnaudas, kaip apskaičiuoti savo apimtį, kiek trunka projektas ir ką apie kainą iš tikrųjų pasako Lietuvos rinkoje skelbiami skaičiai.
Sertifikatas padengia didžiąją dalį turinio reikalavimų ir kelią tikrai sutrumpina. Septynių dalykų jis nepadengia: priskyrimo ir registracijos Kibernetinio saugumo informacinėje sistemoje, terminų laikrodžio, Aprašo reikalavimų sąrašo, skenavimo kas 6 mėnesius, kasmetinio atitikties vertinimo, audito kas 3 metus ir pranešimo apie incidentą.
Skeneris palygina versijas su žinomų klaidų duomenų baze. Ką jis randa patikimai, ko struktūriškai neras, kodėl dalis radinių klaidingai teigiami, kaip skaityti CVSS įvertį ir kodėl Lietuvos teisė įpareigoja skenuoti, o ne testuoti.
Kaip įsilaužimų testuotojai laužo JSON Web Token – algorithm confusion, silpnas HS256 raktas, kid ir jku injekcija, nepatikrinti teiginiai – ir apsaugos priemonės, kurios juos sustabdo.
Kuo etinis hakeris skiriasi nuo užpuoliko, kurie sertifikatai iš tikrųjų ką nors patvirtina, ką būtina įrašyti į sutartį ir kaip atrodo ataskaita, už kurią verta mokėti.
Kodėl užpuolikas taikosi į žmogų, o ne į sistemą, kaip jis pereina nuo žvalgybos prie veiksmo, kurie metodai dažniausi – nuo fišingo iki „deepfake“ skambučio – ir ką suderinta kampanija išmatuoja taip, kad iš jos neišeitų kaltųjų paieška.
DI – ne tik grėsmė. Jis atsijoja įtartinus laiškus, išryškina neįprastą elgseną žurnaluose ir sutrumpina reagavimo laiką. Kur jis padeda, kur klysta ir kodėl lietuvių kalba nebėra fišingo požymis.
DI fišingas rašo taisyklinga lietuvių kalba ir telpa į įprastą darbo dieną. Septyni klausimai, padedantys atpažinti sukčiavimo laišką, žinutę ar skambutį.
Klonuotas balsas atkartoja vadovą, kolegą ar artimąjį, o numerį ekrane galima suklastoti. Kurie požymiai dar veikia, kodėl Smart-ID užklausos pokalbio metu netvirtinamos ir ką įrašyti į mokėjimų tvarką.
Ataka retai prasideda nuo laužomo slaptažodžio. Ji prasideda nuo skaitymo: darbo skelbimai, profiliai, nuotraukos, pranešimai spaudai. DI iš išbarstytų smulkmenų sudėlioja laišką, kuris telpa į įprastą darbo dieną.
Dirbtinis intelektas nepakeitė atakos tikslo, bet pakeitė įrankius. Laiškas įtikinamesnis, klonuotas balsas skamba gyvai, o vieši registrai užpuolikui – paruošta žaliava. Surinkome, kas pasikeitė ir kas prieš tai iš tikrųjų suveikia.
Etinis hakeris pasakoja, kaip atrodo tikros atakos, įsilaužimų testai ir manipuliacijos internete. Gerai parengtos kampanijos auka gali tapti ir atsargus naudotojas, todėl kibernetinis saugumas jau seniai nebėra vien IT skyriaus reikalas.
Į konferenciją vykome ne kaip žiūrovai: komanda dirbo ir scenoje, ir mokymų salėse. Apžvalgoje pasakojame apie Red Team operacijas, mobiliųjų aplikacijų saugumą ir tai, ką parodėme dalyviams.
Kontroliuota ataka pagal rašytinį leidimą, sutartą apimtį ir suderintą laiko langą. Kas yra įsilaužimų testavimas, kuo jis skiriasi nuo spragų skenavimo, kaip vyksta patikra, kas lemia kainą ir ko dėl testavimo reikalauja Lietuvos teisė.
Įkeltame dokumente paslėpta instrukcija, duomenų nutekėjimas iš RAG indekso, DI agentas su rašymo teisėmis ir modelio atsakymas, kurį kažkas paleidžia kaip kodą. Surinkome, kokios atakos LLM integracijose pasitaiko praktikoje, kodėl ugniasienė ir raktinių žodžių sąrašai jų nepagauna ir ką tikrina LLM integracijos įsilaužimų testas.
Aštuonios savaitės, tikslinė fišingo kampanija, fizinis patekimas į tris pastatus ir galiausiai domeno administratoriaus teisės – be nė vieno įspėjimo.
Auditas nematuoja, ar į sistemą galima įsilaužti. Jis matuoja, ar apsaugą galima įrodyti. Surinkome, ko reikalauja Kibernetinio saugumo įstatymas, kas gali atlikti auditą ir kokius techninius įrodymus verta parengti iš anksto.
Tyrime matavome, kokią saugumo analitiko darbo dalį geba perimti kalbos modelis. Dvi užduotys: Android aplikacijų kodas ir tinklo saugumo žurnalai. Darbas pagreitėjo, tačiau klaidingai teigiami radiniai ir apdorojimo kaina niekur nedingo, o sprendimas abiem atvejais liko žmogui.
Užsiėmimas STU FEI studentams: kaip PHP aplikacijose atsiranda SQL injekcija ir XSS, kuo saugus kodas skiriasi nuo pažeidžiamo ir ką parodė tiesioginė atakos demonstracija.
CVE pažeidžiamumai, silpnos bankų apsaugos vietos ir įsilaužimų testavimas be filmų romantikos: apie ką kalbėjome podkaste „Buzzworld“ ir kodėl programuotojai kartoja tas pačias klaidas.
Etinis įsilaužimas nėra nusikaltimas. Kas patikrą daro teisėtą, ką dengia rašytinis leidimas ir kokias sąlygas kelia Kibernetinio saugumo įstatymo 25 straipsnis.
