Kako dela etični heker: penetracijski testi, Severna Koreja in volitve na Facebooku

Beseda heker pri marsikom še vedno prikliče podobo najstnika v kapuci, ki v temni kleti razbija gesla. Današnja resničnost je precej zanimivejša – in veliko bolj profesionalna. Članek je nastal po podkastu LinkedIn kolotočári, v katerem je gostoval etični heker Andrej Šebeň. Posnetek je v slovaščini, v nadaljevanju pa lahko preberete:

• kako je delo etičnega hekerja videti v resnici
• katera provokativna primerjava iz podkasta opiše etično hekanje
• kako se testira varnost bank, podjetij in okolij v oblaku
• zakaj Severna Koreja krade kriptovalute in kaj ima s tem Cambridge Analytica
• in predvsem: kako vas lahko hekerji prelisičijo, ne da bi to sploh opazili

Kaj etični heker v resnici počne

Etični heker počne marsikaj enakega kot »klasični« napadalec – poskuša priti tja, kamor običajen uporabnik nikoli ne bi smel. Bistvena razlika je preprosta: to počne s pisnim pooblastilom naročnika in po jasno določenih pravilih.

Običajen delovni dan lahko pomeni testiranje nove spletne aplikacije, notranjega omrežja banke ali okolja v oblaku velikega podjetja. Cilj je najti ranljivosti in šibke točke, preden jih odkrije kdo z manj etičnimi nameni.

Če želite videti, kako tak projekt poteka v praksi, si oglejte penetracijske teste podjetja Haxoris.

Meja med testom in kaznivim dejanjem

Podkast se vedno znova vrača k isti misli: etičnega hekerja od napadalca ne loči tehnika, temveč dovoljenje. Orodja so enaka. Razlika je v pooblastilu.

Brez soglasja bi bil vdor v sisteme, obhod varnostnih mehanizmov ali dvig pravic preprosto kaznivo dejanje. S pisnim soglasjem naročnika pa to postane storitev. Podjetje v bistvu pravi:

»Raje vidimo, da nas na varnostno vrzel danes opozori etični heker,
kot da jo čez tri mesece anonimen napadalec izkoristi za odkupnino.«

Penetracijski test je torej nadzorovan prestop meja – sledijo mu poročilo in konkretna priporočila, kako sistem popraviti in utrditi.

Kako se testira varnost bank, podjetij in oblaka

Penetracijski testi (tudi vdorni testi ali pentesti) so v bistvu trkovni testi za informacijske sisteme. V praksi približno polovica vseh projektov odpade na spletne aplikacije – spletne banke, portale za stranke, rešitve SaaS ali interna orodja.

Pri Haxorisu smo specializirani za penetracijsko testiranje – od spletnih aplikacij in infrastrukture do interneta stvari (IoT) ter integracij umetne inteligence (AI) in velikih jezikovnih modelov (LLM).

Vrste penetracijskih testov

Testiranje black box simulira zunanjega napadalca:

• heker o sistemu ne ve skoraj ničesar
• nima prijavnih podatkov niti interne dokumentacije
• vidi le tisto, kar je javno dostopno na internetu

V resničnih projektih je pogosto praktičnejši pristop grey box – naročnik zagotovi testno okolje, račune z različnimi vlogami in osnoven pregled sistema. Tako je mogoče preveriti ne le avtentikacijo (prijavo), temveč tudi avtorizacijo:

• ali uporabnik vidi podatke, ki jih nikoli ne bi smel videti?
• ali lahko običajen uporabnik izvede dejanja, ki so pridržana skrbnikom?
• ali lahko preverjanje pravic obide prek vmesnika API ali z neposrednim dostopom do naslova URL?

Kaj natančno se testira

V bančništvu, fintechu in velikih podjetjih so v ospredju ta področja:

• Spletne aplikacije in vmesniki API – klasične napake, kot so SQL injection (vrivanje SQL), cross-site scripting (XSS), šibko upravljanje sej, pomanjkljiv nadzor dostopa in napake v poslovni logiki.
• Notranja infrastruktura – domene Windows, povezave VPN, strežniki, delovne postaje; cilj je ugotoviti, ali lahko napadalec z ene kompromitirane naprave pride do »kronskih draguljev«, torej najpomembnejših sistemov.
• Okolja v oblaku (AWS, Azure, GCP) – temu je namenjen varnostni pregled oblaka: pregled vlog IAM, pravil požarnega zidu, izpostavljenih storitev, shramb podatkov in segmentacije omrežja.
• Wi-Fi in omrežja – šibka gesla, slaba segmentacija, zastarela strojna programska oprema (firmware), nepooblaščene dostopne točke in drugo.

Ko se iste napake ponavljajo vsako leto

V pogovoru je bila izrečena tudi neprijetna resnica: nekatera podjetja naročijo penetracijski test vsako leto – in vsako leto se pokažejo iste napake.

Zakaj? Za del trga je penetracijski test predvsem »kljukica v revizijskem poročilu«. Brez resnične volje, da bi ugotovitve odpravili, test postane formalnost.

Severna Koreja, skupine APT in kriptovalute

V kibernetskem prostoru že dolgo ne delujejo le posamezniki. Obstajajo skupine APT (Advanced Persistent Threat) – hekerske ekipe, ki jih financirajo ali neposredno vodijo države.

Najpogosteje jih povezujejo z državami, kot so:

• Severna Koreja
• Rusija
• Kitajska
• občasno tudi Iran ali drugi akterji

Kot pravi gost, je Severna Koreja »revna država z zelo bogatimi hekerji«. Specializirani so za krajo kriptovalut – s kriptoborz, iz projektov decentraliziranih financ (DeFi) ali iz slabo zaščitenih storitev.

Kriptovalute so zanje idealne: zlahka jih je prenašati, razmeroma anonimne so in uporabne za izogibanje sankcijam. Več največjih kraj kriptovalut zadnjih let pripisujejo prav severnokorejskim skupinam.

Če želite videti, kako v varnem okolju poteka simulacija kompleksnega napada na organizacijo, si oglejte red teaming podjetja Haxoris – nekakšno »kibernetsko vajo v polnem obsegu«, ki pokaže, kaj bi lahko dosegla resnična skupina APT.

Cambridge Analytica in volitve na Facebooku

Pri hekanju ne gre le za strežnike in gesla. Še nevarnejše je hekanje človeške psihe.

Afera Cambridge Analytica je pokazala, kako je mogoče podatke s Facebooka uporabiti za:

• profiliranje volivcev glede na čustva, strahove in frustracije
• natančno ciljane kampanje, ki »pritiskajo na prave gumbe«
• oblikovanje javnega mnenja v prid določenim kandidatom ali strankam

Po poročilih naj bi podobne modele uporabili ne le v ZDA in Združenem kraljestvu, temveč še v več deset drugih državah – pogosto v »bananskih republikah«, kjer si je ena sama stranka volitve tako rekoč kupila prek Facebooka.

Tehnično gledano ni nihče vdrl v noben strežnik. Vdrli so v milijarde časovnic – in v milijone glav.

Kako vas lahko hekerji prelisičijo, ne da bi opazili

Lahko uporabljate Mac, Windows ali Linux, imate protivirusni program, požarni zid in VPN – in vseeno nasedete. Dovolj je stresen trenutek, klic ob nepravem času ali en sam SMS, na katerega prehitro kliknete.

Phishing v praksi

V podkastu slišimo zgodbo, ki naj bo opozorilo tudi izkušenim strokovnjakom. Etični heker je prejel SMS o izteku domene:

• ime domene je bilo pravo
• datum izteka je bil pravi
• ime registrarja je bilo pravo

Razlog? Pri ponudniku je v preteklosti prišlo do uhajanja podatkov. Napadalci so imeli resnične podatke – le zaviti so jih morali v prepričljiv SMS. Heker je bil pod stresom, mudilo se mu je in skoraj je kliknil … Šele pri plačilu se mu je nekaj zazdelo sumljivo in postopek je ustavil.

To je sodoben phishing (spletno ribarjenje): natančen, personaliziran, dobro časovno umerjen. Če želite phishing in smishing (lažna SMS-sporočila) varno simulirati pri svojih zaposlenih, si oglejte storitve socialnega inženiringa podjetja Haxoris.

Socialni inženiring: napad na ljudi, ne na požarni zid

Napadalec ne potrebuje vedno ranljivosti v kodi. Pogosto zadostuje ranljivost v človeškem vedenju – strah, rutina, zaupljivost, spoštovanje avtoritete ali občutek nujnosti.

Tipični scenariji socialnega inženiringa so:

• lažen klic »iz banke« z nujno zahtevo
• SMS kurirske službe s pozivom k »doplačilu manjšega zneska«
• e-poštno sporočilo, ki naj bi ga poslala davčna uprava ali policija
• goljufivo naložbeno svetovanje prek priljubljenih družbenih omrežij

Socialni inženiring je ena najuspešnejših napadalnih tehnik – zato je ključni del resnih projektov red teaminga in phishing kampanj.

Praktični nasveti za zaščito

• Ne ukrepajte pod stresom. Če vam kdo reče, da morate »nekaj storiti v naslednjih 10 minutah«, je že to sumljivo.
• Ne klikajte povezav v SMS-ih in e-poštnih sporočilih »bank« ali »uradov«. Naslov raje ročno vpišite v brskalnik ali uporabite uradno aplikacijo.
• Preverite po drugem kanalu. Če vas pokliče »banka«, prekinite klic in pokličite nazaj na številko z uradne spletne strani.
• Vklopite dvofaktorsko avtentikacijo (2FA). Večfaktorska avtentikacija je ena najpreprostejših in hkrati najučinkovitejših zaščit.
• Posodabljajte sisteme. Posodobitve niso le nadležna pojavna okna – krpajo znane ranljivosti, ki jih napadalci dejavno iščejo.
• Izobražujte svojo ekipo. Ljudje so pogosto najšibkejši člen – izobraževanje zaposlenih in simulacije phishing napadov lahko tveganje občutno zmanjšajo.

Ključna spoznanja za vas in vašo organizacijo

Za konec še nekaj ključnih sporočil epizode:

• Etični heker je partner, ne sovražnik. Počne to, kar bi počel resnični napadalec – le pravočasno, varno in s poročilom.
• Penetracijski test ima smisel le, če po njem ukrepate. Sicer je le PDF v mapi.
• Največja ranljivost ni tehnologija, temveč človek. Postopki, kultura in izobraževanje so enako pomembni kot požarni zidovi.
• Države in podjetja že dolgo vedo, da so podatki moč. Od severnokorejskih kraj kriptovalut do afere Cambridge Analytica – kibernetski prostor je postal pravo bojišče.
• Tudi strokovnjak lahko nasede. Razlika je v tem, ali se iz tega kaj nauči – in postopke prilagodi tako, da se ista napaka ne ponovi.

In še stavek, ki bi si zaslužil mesto na steni vsake strežniške sobe:

Varnost ni stanje, temveč proces.
Ne obstaja »končali smo, varni smo«. Obstaja le »danes smo nekoliko manj ranljivi kot včeraj«.