Kā strādā ētiskais hakeris: ielaušanās testi, Ziemeļkoreja un vēlēšanas sociālajā tīklā Facebook
Vārds hakeris daudziem joprojām liek iedomāties pusaudzi kapucē, kurš tumšā pagrabā lauž paroles. Īstenība ir krietni interesantāka un daudz profesionālāka. Šis raksts balstās uz podkāsta sarunu ar ētisko hakeri Andreju Šebeņu un stāsta:
- kā praksē izskatās ētiskā hakera darbs,
- ar kādu provokatīvu salīdzinājumu sarunā raksturots šis darbs,
- kā pārbauda banku, uzņēmumu un mākoņvides drošību,
- kāpēc Ziemeļkoreja zog kriptovalūtu un kāds tam sakars ar Cambridge Analytica,
- un galvenais: kā cilvēks uzķeras, pats to nepamanot.
Ieraksts ir slovāku valodā; raksts nav tā atšifrējums, bet patstāvīgs sarunas izklāsts latviešu valodā.
Ko ētiskais hakeris patiesībā dara
Ētiskais hakeris dara daudz ko tādu pašu, ko „klasisks“ uzbrucējs – mēģina nokļūt tur, kur parastam lietotājam nav ko meklēt. Izšķirošā atšķirība ir vienkārša: viņš to dara ar klienta rakstisku atļauju un pēc iepriekš saskaņotiem noteikumiem.
Tipiska darbadiena var nozīmēt jaunas tīmekļa lietotnes, bankas iekšējā tīkla vai liela uzņēmuma mākoņvides pārbaudi. Mērķis ir atrast ievainojamības un vājās vietas, pirms tās atrod kāds ar mazāk cēliem nolūkiem.
Ja gribat redzēt, kā šāds projekts norit praksē, apskatiet Haxoris ielaušanās testēšanu.
Robeža starp testu un noziegumu
Saruna vairākkārt atgriežas pie vienas domas: ētisko hakeri no uzbrucēja atšķir nevis tehnika, bet atļauja. Rīki ir tie paši. Tiesības tos lietot – nav.
Bez piekrišanas iekļūšana sistēmā, aizsardzības mehānismu apiešana vai piekļuves tiesību iegūšana būtu noziegums. Ar klienta rakstisku atļauju no tās pašas darbības kļūst pakalpojums. Uzņēmums būtībā saka:
„Labāk lai uz caurumu mūsu aizsardzībā šodien norāda ētiskais hakeris,
nekā pēc trim mēnešiem to par izpirkuma maksu izmanto kāds anonīms.“
Tā arī ir sarunas provokatīvākā definīcija: ielaušanās tests ir kontrolēts robežu pārkāpums, kura beigās ir ziņojums un konkrēti ieteikumi, ko salabot un ko nostiprināt.
Kā pārbauda banku, uzņēmumu un mākoņvides drošību
Ielaušanās testi jeb pentesti IT sistēmām ir apmēram tas pats, kas automašīnām sadursmes testi. Aptuveni puse projektu ir tīmekļa lietotnes: internetbanka, klientu portāli, SaaS risinājumi vai iekšējie rīki.
Haxoris specializējas ielaušanās testēšanā visā tās plašumā – no tīmekļa lietotnēm un IT infrastruktūras līdz IoT ierīcēm, mākslīgā intelekta (MI) un LLM integrācijām.
Ielaušanās testu veidi
Melnās kastes princips simulē ārēju uzbrucēju:
- par sistēmu zināms gandrīz nekas,
- nav ne piekļuves datu, ne iekšējās dokumentācijas,
- redzams ir tikai tas, kas publiski pieejams internetā.
Praksē bieži noderīgāka ir pelēkā kaste: klients dod testa vidi, kontus ar dažādām lomām un vispārīgu sistēmas aprakstu. Tā var pārbaudīt ne tikai autentifikāciju jeb pieteikšanos, bet arī autorizāciju jeb tiesību kontroli:
- vai lietotājs redz datus, kurus redzēt nedrīkstētu?
- vai parasts lietotājs var veikt darbības, kas paredzētas tikai administratoram?
- vai tiesību pārbaudi var apiet caur API vai tiešu URL?
Ko tieši pārbauda
Bankās, finanšu tehnoloģiju uzņēmumos un lielās organizācijās tipiskās jomas ir šādas:
- Tīmekļa lietotnes un API – klasika: SQL injekcija, XSS, vājas sesijas, kļūdaina piekļuves kontrole un biznesa loģikas nepilnības.
- Iekšējā infrastruktūra – Windows domēns, VPN, serveri, darbstacijas. Mērķis ir noskaidrot, vai uzbrucējs no vienas pārņemtas iekārtas tiek līdz pašām svarīgākajām sistēmām.
- Mākoņvides (AWS, Azure, GCP) – te noder mākoņa infrastruktūras drošības testēšana: IAM lomas, ugunsmūra noteikumi, atvērtie pakalpojumi, datu krātuves un tīkla segmentācija.
- Wi-Fi un tīkli – vājas paroles, slikta segmentācija, novecojusi programmaparatūra, neatļauti piekļuves punkti un citas nepilnības.
Kad katru gadu atkārtojas tās pašas kļūdas
Sarunā izskan arī neērta atziņa: daļa uzņēmumu ielaušanās testus pasūta katru gadu, un katru gadu ziņojumā ir tie paši konstatējumi.
Kāpēc? Daļai tirgus ielaušanās tests galvenokārt ir „ķeksītis audita ziņojumā“. Ja nav reālas gribas atrastās kļūdas novērst, tests paliek formalitāte.
Ziemeļkoreja, APT grupas un kriptovalūtas
Kibertelpā jau sen darbojas ne tikai atsevišķi cilvēki. Pastāv APT grupas (Advanced Persistent Threat) – hakeru komandas, ko finansē vai tieši vada valstis.
Visbiežāk tās saista ar tādām valstīm kā:
- Ziemeļkoreja,
- Krievija,
- Ķīna,
- dažkārt arī Irāna un citi dalībnieki.
Kā sarunā norāda Šebeņš, Ziemeļkoreja ir „nabadzīga valsts ar ļoti bagātiem hakeriem“. Tās grupas specializējas kriptovalūtu zādzībās – no biržām, DeFi projektiem vai slikti aizsargātiem pakalpojumiem.
Kriptovalūta tām ir ideāla: to viegli pārvietot, tā ir samērā anonīma un palīdz apiet sankcijas. Vairāki pēdējo gadu lielākie kriptovalūtu uzbrukumi tiek piedēvēti tieši Ziemeļkorejas grupām.
Ja gribat redzēt, kā sarežģītu uzbrukumu organizācijai nosimulēt drošos apstākļos, apskatiet Haxoris Red Team uzbrukuma simulācijas – būtībā mācību kiberuzbrukumu, kas parāda, cik tālu jūsu vidē tiktu īsta APT grupa.
Cambridge Analytica un vēlēšanas sociālajā tīklā Facebook
Uzbrukums ne vienmēr ir vērsts pret serveri vai paroli. Vēl bīstamāk ir uzbrukt cilvēka psihei.
Cambridge Analytica skandāls parādīja, kā Facebook datus var izmantot, lai:
- profilētu vēlētājus pēc emocijām, bailēm un neapmierinātības,
- veidotu ļoti precīzi mērķētas kampaņas, kas „spiež uz pareizajām pogām“,
- ietekmētu sabiedrisko domu par labu konkrētiem kandidātiem vai partijām.
Pēc publiskotajiem ziņojumiem līdzīgi modeļi izmantoti ne tikai ASV un Lielbritānijā, bet arī desmitiem citu valstu – bieži tādās, kur viena partija uzvaru vēlēšanās praktiski nopirka caur Facebook.
Tehniski neviens neielauzās nevienā serverī. Toties ielaušanās notika miljardos ziņu plūsmu – un miljonos galvu.
Kā cilvēks uzķeras, pats to nepamanot
Var lietot Mac, Windows vai Linux, var būt gan pretvīrusu programma, gan ugunsmūris, gan VPN – un tomēr uzķerties. Pietiek ar sliktu brīdi, stresu, zvanu nepiemērotā laikā vai vienu pārsteidzīgi atvērtu īsziņu.
Pikšķerēšana praksē
Sarunā izskan stāsts, kas noder par brīdinājumu arī pieredzējušam speciālistam. Ētiskais hakeris saņem īsziņu par domēna termiņa beigām:
- domēna nosaukums pareizs,
- termiņa datums pareizs,
- reģistratora nosaukums pareizs.
Iemesls? Pakalpojuma sniedzējam kādreiz bija datu noplūde. Uzbrucēju rīcībā bija īsti dati – atlika tos vien ietērpt ticamā īsziņā. Hakeris bija stresā, steidzās un gandrīz noklikšķināja… Aizdomas radās tikai maksājuma brīdī, un viņš procesu apturēja.
Tāda ir mūsdienu pikšķerēšana: precīza, personalizēta un īstenota labi izvēlētā brīdī. Latvijā viltotā īsziņa parasti nāk it kā no pakas piegādātāja, bankas vai Valsts ieņēmumu dienesta – no sūtītājiem, par kuriem cilvēks nepaspēj sākt šaubīties. Ja gribat droši nosimulēt pikšķerēšanu un viltotas īsziņas saviem darbiniekiem, apskatiet Haxoris sociālās inženierijas pakalpojumus.
Sociālā inženierija: uzbrukums cilvēkam, nevis ugunsmūrim
Uzbrucējam ne vienmēr vajag ievainojamību kodā. Bieži pietiek ar ievainojamību cilvēka uzvedībā – bailēm, rutīnu, uzticēšanos, autoritāti vai steigu.
Tipiski sociālās inženierijas scenāriji:
- viltots zvans „no bankas“ ar steidzamu lūgumu,
- kurjera īsziņa ar aicinājumu „piemaksāt nelielu summu“,
- e-pasts it kā no nodokļu administrācijas vai policijas,
- krāpnieciski ieguldījumu padomi populārajos sociālajos tīklos.
Sociālā inženierija ir viena no veiksmīgākajām uzbrukuma metodēm, tāpēc tā ietilpst nopietnās Red Team uzbrukuma simulācijās un pikšķerēšanas kampaņās.
Praktiski padomi aizsardzībai
- Nerīkojieties stresā. Ja kāds apgalvo, ka „kaut kas jāizdara 10 minūšu laikā“, tas vien jau ir aizdomīgi.
- Neatveriet saites īsziņās un e-pastos no „bankas“ vai „iestādes“. Ierakstiet adresi paši vai izmantojiet oficiālo lietotni. Smart-ID kontroles kodu apstipriniet tikai tad, ja darbību sākāt paši.
- Pārbaudiet kontaktu citā kanālā. Ja zvana „banka“, nolieciet klausuli un atzvaniet uz numuru no oficiālās mājaslapas.
- Ieslēdziet divfaktoru autentifikāciju. Daudzfaktoru autentifikācija ir viena no vienkāršākajām un iedarbīgākajām aizsardzībām.
- Atjauniniet sistēmas. Atjauninājumi nav tikai kaitinoši paziņojumi: tie aizver zināmus caurumus, kurus uzbrucēji mērķtiecīgi meklē.
- Mācieties paši un māciet komandu. Cilvēks bieži ir vājākais posms, un apmācības un pikšķerēšanas simulācijas risku būtiski samazina.
Ko no sarunas paņemt sev un savai organizācijai
Nobeigumā daži galvenie secinājumi:
- Ētiskais hakeris ir partneris, nevis pretinieks. Viņš dara to pašu, ko darītu īsts uzbrucējs, tikai laikus, droši un ar ziņojumu.
- Ielaušanās testam ir jēga tikai tad, ja pēc tā kaut kas notiek. Citādi paliek tikai PDF fails mapē.
- Lielākā ievainojamība nav tehnoloģija, bet cilvēks. Procesi, kultūra un apmācības ir tikpat svarīgi kā ugunsmūri.
- Valstis un uzņēmumi jau sen saprot, ka dati ir vara. No Ziemeļkorejas kriptovalūtu zādzībām līdz Cambridge Analytica: kibertelpa ir kļuvusi par īstu kaujas lauku.
- Uzķerties var arī speciālists. Atšķirība ir tajā, vai viņš no tā mācās un maina procesus tā, lai tā pati kļūda neatkārtotos.
Un viens teikums, kas būtu vietā pie sienas ikvienā serveru telpā:
Drošība nav stāvoklis, bet process.
Nav tāda brīža, kad „viss izdarīts, esam droši“. Ir tikai „šodien esam mazliet mazāk ievainojami nekā vakar“.
