ATT&CK: okvir za anatomiju cyber prijetnji

Početkom listopada ove godine sam održao predavanje za hrvatski ogranak organizacije ISACA u kojoj sam predstavio okvir MITRE ATT&CK.

Okvir MITRE ATT&CK nije nepoznat među našim stručnjacima. Ranije su se pojavili radovi o tom okviru a polako se nazire primjena i u našem okruženju. Ipak, čini mi se svijest o značenju ovog okvira još uvijek nije dovoljno prisutna među najvećem brojem naših kolega na području informacijske sigurnosti i revizije. A da o managementu IT službi i ne govorimo…

Kako je nastao okvir MITRE ATT&CK i zbog čega je značajan?

Kada je početkom desetljeća koje upravo završava postalo jasno da ondašnji antivirusni sustavi ne mogu djelotvorno odgovoriti na novu generaciju računalnih prijetnji (napredne prijetnje, sa svojstvima persistencije i ciljano motivirani prema specifičnoj žrtvi), strategija sprječavanja ovih prijetnji prebacila je težište na područje detekcije napada i prepoznavanja indikatora o proboju napadača, ali i na sve značajnije sudjelovanje ljudskog faktora u provedbi nove strategije. Suradnja među stručnjacima i timovima, unutar pojedine organizacije ili, još češće, među različitim i raznovrsnim organizacijama postala je neophodna. Osim stručnosti i iskrenosti u namjerama, značajan preduvjet za uspješnu suradnju je standardizacija terminologije i zajednička taksonomija ključnih pojmova na ovom području.

Nakon nekoliko dobrih poticajnih koraka (npr. „The Cyber Kill Chain” tvrtke Lockheed Martin iz 2011.), organizacija MITRE je pristupila razvoju strukturiranog opisa cyber prijetnji, kategorizaciji taktika i tehnika napada i bogatom opisu pojedinih elemenata ove strukture (od katalogiziranja organiziranih izvora cyber prijetnji pa do opisa izvora indikatora unutar operativnog sustava).

Lavina se pokrenula negdje oko 2015. i danas je ATT&CK ne samo okvir za opis i komuniciranje podataka cyber prijetnjama, nego i djelotvorna baza znanja koja posredno pokreće niz drugih mehanizama za zaštitu informacijskih sustava, dodajući im novu razinu značenja - „Threat-Informed Defense”.

U svojoj prezentaciji sam opisao glavne točke u evoluciji okvira ATT&CK, značajke ovog okvire i načine primjene u praksi.

U nastavku možete pogledati video zapis prezentacije.

Upravljanje ranjivostima u vremenima ciljanih prijetnji

U ponedjeljak, 2.11.2015. održao sam prezentaciju na redovitom mjesečnom sastanku hrvatskog ogranka organizacije ISACA.

Tema prezentacije je bila upravljanje računalnim ranjivostima u vremenima sve opasnijih ciljanih prijetnji ("targeted threats")

Upravljanje ranjivostima u vremenima ciljanih prijetnji from Damir Paladin

Ključ koji otvara sve brave

Sredinom siječnja su stručnjaci tvrtke Dell SecureWorks objavili informaciju o novom malicioznom programu kojeg su otkrili u istrazi jednog incidenta, između travnja i studenog prošle godine. Maliciozni program je nazvan “Skeleton Key”, što je uobičajeni naziv za sredstvo kojim se mogu otvoriti svaka vrata.

Pogled na 2014. godinu (nastavak)

U drugom dijelu inventure informacijske sigurnosti u 2014. godini pišem o nekoliko događaja čiji je značaj svakako puno širi od jednokratne pozornosti u medijima i profesionalne javnosti koje nije nedostajalo.

Pogled na 2014.godinu

Prošlo je jako puno vremena od zadnjeg teksta na ovom blogu, poslovne obaveze u protekloj godini su onemogućile moju intenzivniju prisutnost na ovim stranicama. Kroz svojevrsni pregled događaja iz 2014. ću pokušati nadoknaditi propušteno, uz obećanje da ću se u novoj godini na ovim stranicama pojavljivati češće i redovitije.

Dionici i razmjena informacija u informacijskoj sigurnosti

Zbog različitih razloga, prorijedio sam svoju prisutnost na ovim stranicama u prvom dijelu 2014., no obećajem da ću uskoro nadoknaditi izostanke.

Za početak, ukazao bih na zanimljiv skup koji se održao jučer (29.5.2014.) u Opatiji u okviru međunarodne konferencije MIPRO. Naziv konferencije bio je Dionici i razmjena informacija u informacijskoj sigurnosti, sadržaj možete pronaći na stranici konferencije. Konferencija se bavila jednom temom koja je u informacijskoj sigurnosti od izuzetne važnosti – o razmjeni informacija relevantnih za donošenje odluka o informacijskim rizicima i za učinkovito reagiranje na sigurnosne incidente.

Razmjena informacija je važna iz više razloga. Navodim tri, no siguran sam da oni nisu jedini.

Prvo, u situaciji kada znanje potrebno za uspostavu zaštitnih mjera postaje sve zahtjevnije a resursi u tvrtkama i organizacijama jako ograničeni, jasno je da stručnjaci u informacijskoj sigurnosti ne bi smjeli znanje zadržavati za sebe. Ovdje govorim o rezultatima koje su mnogi od nas  postigli kroz formalne projekte i istraživanja ili, pak, kroz neformalnu sistematizaciju znanja i iskustva proizašlog iz svakodnevnog rada. Često puta se radi o vrijednim rezultatima koji kroz razmjenu mogu biti obogaćeni, dopunjeni ili pak korigirani, a koji nam mogu pomoći u svakodnevnim postupcima.

Drugi važan razlog vezan je za procjenu rizika informacijskih sustava. Naime, u procjeni rizika redovito nam nedostaje dimenzija relevantnosti neke prijetnje predviđene podlogom metodologijom procjene rizika. Da bi neku prijetnju mogli stvarno valorizirati, izuzetno je bitno imati i informaciju o učestalosti pojave ove prijetnje u vlastitoj okolini ili čak u sektoru u kojemu djeluje naša tvrtka. Izostanak ove informacije jedan je od razloga što procjene rizika i odluke o rizicima ponekad izgledaju formalne, bez doticaja sa stvarnošću.

Treći važan razlog je operativnog karaktera: dovoljno detaljna informacija o nekoj prijetnji dostupna u pravom trenutku i na vrijeme, može olakšati djelovanje osobama zaduženima za zaštitu informacijskih resursa. Naravno, mora se znati da djelotvorna zaštita nije samo stvar antivirusne zaštite, vatrozidnih sustava i IDS/IPS sustav, već u velikoj mjeri ovisi o nečijoj odluci donesenoj u realnom vremenu.

Na konferenciji su sudjelovali predstavnici različitih institucija, stručne zajednice ili poslovnih segmenata. Ja sam predstavio tipične probleme s kojima se susreće tvrtka iz segmenta malih/srednjih poslovnih subjekata, a s kojima često profesionalno surađujem. Ovaj segment, koji dominira brojem zaposlenih i vrijednošću proizvoda, postaje sve izrazitija meta napadača. Zadnji događaja s incidentima u servisu Internet bankarstva potvrđuju takav trend. Glavni problemi s kojima se informacijska sigurnost susreće u takvim tvrtkama je izostanak proračuna za sigurnosne mjere i manjak stručnog osoblja što je velikim dijelom uzrokovano nerazumijevanjem vlasnika ili uprave potrebe za takvim aktivnostima. No čak i uz puno razumijevanje neke mjere (npr. operativna provedba operativnih nadzornih mjera koje iziskuju postojanje stručnih timova i opreme) male i srednje tvrtke neće moći provesti. Mogućnost razmjene informacija mogu postati jedan od faktora koji bi olakšao život manjim i srednjim tvrtkama. 

Očekivano, jedan od zaključaka konferencije je da bi strah od otkrivanja informacija mogao značajno ograničiti neke tvrtke u pružanju ulaznih informacija u ovakav sustav, naročito kada se govori o osjetljivim djelatnostima kao državne institucije ili bankarski sektor. No, smatram da bi izrada detaljnog modela razmjene podataka i razrada načina dostave podataka, uz eliminaciju svih elemenata kojima bi se mogli identificirati poslovni subjekti, mogla pomoći u otklanjanju ovih strahova.

Za punu realizaciju ideja iznesenih na konferenciji neophodna je pomoć nadležnih državnih institucija, od nacionalnog CERT-a pa na gore, što, nažalost, veoma često izgleda kao nepremostiva prepreka. Vjerujem da će se neke inicijalne i manje formalne inicijative pokrenuti i nakon ove konferencije, a rezultati takvih inicijativa mogu biti značajni, bez obzira što će im nedostajati zacrtana sveobuhvatnost. Drugim riječima, jučerašnja konferencija mogla bi stvarno zaživjeti i izvan jednodnevnog formalnog okvira, što joj iskreno želim.

Bliski susreti koji jamče zarazu

Časopis Lider je u studenom objavio članak u čijoj sam izradi sudjelovao. Članak možete preuzeti na ovom mjestu:

Časopis Lider: Bliski susreti koji jamče zarazu

“Vulnerability Assessment” ili “Vulnerability Management” (3. dio)

Prvi i drugi dio teksta pronađite na ovim mjestima.

Treći dio teksta o upravljanju računalnim ranjivostima  predstavlja specifičnu tehniku mrežnog skeniranja koja je danas imaju svi značajni alati ove namjene. To je tehnika skeniranja primjenom privilegiranih pristupnih prava.

Naime, standardni način rada skenera računalnih ranjivosti šalje niz mrežnih upita prema mrežnom resursu kojeg analiziraju. Na ove mrežne upite odgovaraju mrežni servisi čiji mrežni kanal (specifični TCP/UDP protokol) skener koristi, odnosno kojima se provodi testiranje. Može se reći da ovaj način testiranja simulira postupke osobe koja bi istom sekvencom mrežnih poruka provjeravala reakciju suprotne strane te izvela zaključke o nedostacima, no u slučaju skenera postupak je automatiziran, pa samim time efikasniji, cjelovitiji i brži. Vratimo se na manualno testiranje. Ukoliko bi osoba prije pokretanja provjera imala mogućnost pristupa na resurs koji testira, te postigla mogućnost uvida u resurse operativnog sustava koji nadilaze mrežnu razinu, nalazi će biti puno bogatiji i raznolikiji. Upravo se na ovome temelji tehnika skeniranja primjenom privilegiranih pristupnih prava koju sam najavio u uvodnom odlomku.

Skeneri računalnih ranjivosti za ovu namjenu koriste prikladne mehanizme udaljenog pristupa koji su dovoljni za obavljanje zadatka, uz pridržavanje visokih sigurnosnih kriterija. Za pristup Windows resursima se, npr. koristi udaljeni pristup administratorskim računom koji omogućuje pristup do „Administrative share“ lokacijama i registry podacima, a putem ovih točaka pojedinih do, praktički, svih značajnih informacija o operativnom sustavu, instaliranim aplikacijama, konfiguracijskim postavkama. Na Unix/Linux resursima se za ovu namjenu koristi SSH protokol, a skener se prijavljuje s privilegiranim računom (root ili neki drugi račun koji ima mogućnost elevacije pristupnih prava, npr. „sudo“ tehnikom).

Skeneri danas uglavnom ne koriste namjenske agente koje bi trebalo instalirati na ovim resursima, iako se u nekim slučajevima primjenjuju hibridne tehnike i jednostavni agenti. Da bi se proveo autenticirani sken nije dovoljno imati mogućnost udaljenog pristupa, nego skener u tom slučaju mora imati u bazi podataka podatke o ranjivostima za što je moguće više  platformi, što svakako može postati veliki inženjerski zadatak za proizvođače skenera.

QualysGuard, s kojim najviše radim, ima mogućnost privilegiranog pristupa i izvođenja autenticiranog skena na velikom broju platformi – sve Windows platforme, sve značajne verzije Unix/Linux operativnog sustava, baze podataka Oracle i MS SQL Server, Cisco IOS i SNMP.

Razlika između ove dvije tehnike skeniranja prikazana je na sljedećoj slici.

Posebno ću se osvrnuti na dubinski uvid u računalne ranjivosti koji se postiže autenticiranim skenom. Napravio sam sljedeći test: instalirao sam Windows Server 2008 R2 SP1 – samo osnovne pakete, bez i jednog dodatnog programa  (dakle, bez baze podataka, Exchange servera, Office paketa…), ali i bez, inače neophodnog, ažuriranja verzije operativnog sustava s programskim popravcima neposredno nakon instalacije. Nakon toga sam napravio autenticirani i neautenticirani sken ove instance sustavom QualysGuard. Cilj je bio utvrditi razlike u detaljnosti nalaza između ova dva skena. Razlika je ilustrirana u sljedećoj tablici:

	Kategorije ranjivosti
	5	4	3	2	1	Total
Neautenticirani	1	0	1	3	1	6
Autenticirani	51	65	29	11	1	157

Ranjivosti su kategorizirane u 5 razreda (viša ocjena predstavlja kritičnije ranjivosti). Neautenticirani sken je pronašao samo 6 ranjivosti. Autenticirani sken je pronašao 157 ranjivosti. Ovim testom nisam imao namjeru pokazati eventualne manjkavosti analiziranog operativnog sustava, a ovakav drastičan primjer ćete teško pronaći u ozbiljnom produkcijskom okruženju jer će se i površnom primjenom računalnih popravaka otkloniti brojne inicijalne ranjivosti. Isključiva namjera bila je ilustracija mogućnosti autenticiranog skena.

Autenticirani sken je posebno značajan za radne stanice. Nekako je uobičajeno da programi provjere i upravljanja računalnim ranjivostima zaobilaze radne stanice, a fokus se stavlja na mrežne poslužitelje. To je svakako ispravno gledajući sa stajališta značaja informacijske imovine koja je uglavnom koncentrirana na serverima. No, današnje računalne prijetnje neće ciljati ni perimetarski segment niti direktno mrežne poslužitelje: glavni vektori su usmjereni prema osobama i prema klijentskim računalima, nastojeći iskoristiti računalne ranjivosti na radnim stanicama. Stoga, provjera računalnih ranjivosti na radnim stanicama postaje gotovo jednako važna kao i antivirusna zaštita na istim računalima, naročito ako uzmemo u obzir da antivirusna zaštita nije danas više svemoćna. Autenticirani sken radnih stanica će se pokazati osobito efikasnim u provjeri ranjivosti na tipičnim klijentskim programima – Microsoft Office, web preglednici, Adobe Reader, Adobe Flash Player, Java…

Rezultati autenticiranog skena svakako su dobar materijal za ocjenu stvarne izloženosti sustava napadačima i malicioznim korisnicima, no treba naglasiti da ovakva vrste provjere daju izuzetno bogat materijal tzv. „security intelligence“ sustavima. Analiza ranjivosti prema CVSS parametrima ima smisla prije svega ako su rezultati postignuti autenticiranim skenom. 

Kada budete planirali autenticirani sken budite spremni razbiti gotovo neizbježnu predrasudu: s obzirom da se autenticirani sken provodi korištenjem privilegiranih (administrativnih) korisničkih računa, često se nameće pogrešan zaključak da su to ranjivosti koje mogu iskoristiti samo administratori pa se slijedom tog razmišljanja i uobičajenog povjerenja u administratore zaključuje da nema potrebe raditi takvu analizu. Zaključak je pogrešan jer su administratorski računi najjednostavnije sredstvo za utvrđivanje ranjivosti, a same ranjivosti se mogu sasvim efikasno zloupotrijebiti i u kontekstu drugih, „običnih“ korisnika.

Na koncu, bez obzira što smo u ovom tekstu izuzetno naglasili značaj autenticiranog skena, u provjerama računalnih ranjivosti i dalje primjenjujte neautenticirani sken. Rezultat ovog skena daje dobru informaciju o redovitoj vidljivosti vaših sustava na mreži, a ranjivosti koje se otkriju ovim skenom svakako moraju biti na vrhu liste prioriteta.

Flame: pogrešna dilema

Kao i u brojnim slučajevima u proteklim godinama, pojava "virusa" Flame popraćena je bombastičnim naslovima i katastrofičnim predviđanjima u javnim medijima. S druge strane, pojavljuju se i osporavatelji  koji smatraju da se radi samo o novom pretjeravanju industrije, medija i neobjektivnih stručnjaka. U sličnim situacijama javnost običava pojednostavljeno i kompromisno zaključiti da je istina negdje u sredini. No, slučaj Flame nije takav. Mi zaista svjedočimo moćnom malicioznom softveru koji nije prekretnica nego konačni dokaz trenda u razvoju i distribuciji malicioznih programa. Ipak, argumenti koji se u medijima koriste kako za naglašavanje opasnosti novog malicioznog programa tako i za njegovo minoriziranje nisu točni.

Tekstovi katastrofičara, a govorim o medijima okrenutim široj populaciji, ostavljaju dojam da se radi o virusu koji samo što nije poharao milijune bespomoćnih računala. Osporavatelji, s druge strane, iznose točan podatak da je program Flame osvojio tek oko tisuću računala te da je buka koja se stvorila potpuno nepotrebna.

Suprostavljene grupe koriste istu argumentaciju, no ona je u ovom slučaju potpuno pogrešna. Flame pripada kategoriji Advanced Persistant Threat malicioznih programa, a ovu kategoriju ne moraju odlikovati neki specifičan tehnološki mehanizam ili inovacija, koliko ciljevi i strategija njihovih  autora i operativnih skrbnika (je li možda neprimjereno nazvati ih  "korisnicima"?). Ciljevi koji stoje iza programa Flame, Stuxnet, te drugih sličnih događaja o kojima smo posali na ovim stranicama nije trčanje za pet minuta slave niti hranjenje ega njihovih autora. Njihovi autori nemaju namjeru bolno šokirati milijune korisnika, već, vođeni jasno postavljenim poslovnim ili političkim ciljevima, što je moguće diskretnije doći do traženih podataka. Zato Flame i slični programi izbjegavaju masovnu propagaciju koja je u pravilu nekontrolirana. Prve analize programa Flame okrenule su se i prema prošlosti, pa je tek danas utvrđeno da su se prve verzije ovog programa pojavile u 2010. godini, no cijelo ovo vrijeme ostale su neotkrivene od antivirusnih sustava (kako je navedeno neposredno po objavi prvih podataka, niti jedan od 43 antivirusnih programa nije prepoznao ovaj program - naravno, u međuvremenu su objavljeni uzorci pa danas to više nije slučaj). Kako sada izgleda, ovim programom je zaraženo oko tisuću (ili nekoliko tisuća) računala što je beznačajno ako govorimo o uobičajenom stupnju kontaminacije koju uzrokuju uobičajeni virusi. No, takav pristup je programu Flame osigurao i dugi život.

Od prvih analiza o programu Flame pa do trenutka pisanja ovog teksta, najznačajnijim momentom smatram objavu podataka o tehnici zaraze računala programom Flame. Prije nekoliko dana je objavljeno da je ovaj maliciozni program iskoristio jedan nedostatak u korištenju certifikata unutar Microsoft operativnih sustava, točnije njegove Terminal Services komponente. Uočena je slabost u konstrukciji ovog certifikata, te je otkriveno da se može koristiti ne samo za autentikaciju klijenata u Terminal Services komunikacijui nego i za potpisivanje programskog koda (što nikako nije bila namjera). Scenarij je upotpunjen krivotvorenjem Windows Update servisa kojim je računalo žrtve preuzelo update s pogrešne adrese. U kombinaciji s manipuliranim certifikatom, eto načina da sustav sa svim zakrpama (i ažurnim antivirusnim sustavom) postane zaražen malicioznim programom Flame.

Istraživači malicioznih programa su pružili osnovni profil ovog programa i prije objave uloge Microsoftovih certifikata.(za detaljnu analizu će trebati puno više vremena). Definitivno, radi se o kompleksnom i velikom programu, koji je modularno građen. Kao i kod drugih modernih i učinkovitih malicioznih programa, Flame komunicira sa komandnim sustavom (C&C). Modularana građa omogućuje primjenu različitih dodataka kojima se obogaćuje njegova funkcionalnost: Flame ima mogućnost krađe podataka, snimanja razgovora, kopiranja sadržaja ekrana, slanja svih podataka trećoj strani...

Dok se ne dozna više tehničkih detalja o funkcioniranju ovog programa, stručnu je javnost zainteresirala i njegova (politička) pozadina. Flame je otkriven na malom broju računala no zemljopisno ograničenih na područje bliskog istoka i njemu susjednih zemalja (Iran, dio Izraela pod palestinskom samoupravom, Sudan, Sirija, Egipat, Libanon...). Njegove instance u Mađarskoj i Austriji za sada se tumače kolateralnim slučajevima. Neizbježno, nameće se usporedba sa programom Stuxnet, iako sadržajno nemaju dodirnih točaka. Ipak, stručna javnost zaključuje da zbog njegove kompleksnosti (koja, pored visoke kompetencije, zahtjeva i znatnu materijalnu podršku), iza programa Flame stoje državne institucije. Po svemu sudeći, iste države (ili istih država) kao i u slučaju Stuxnet.

Tržišni principi cyber-napada

Eskalacija sigurnosnih incidenata u svijetu zasigurno je razlog da i naši mediji posvećuju sve veću pažnju ovoj tematici. Tako smo u proteklih desetak dana mogli pročitati ili vidjeti priloge o cyber prijetnjama u Večernjem listu (subotnji dodatak Obzor od 11.6.2011. - link nije dostupan), u Vjesniku od 15.6.2011. i u jednom od prošlotjednih dnevnika HRT-a.

Autori su temi pristupili uz puni respekt prema ozbiljnosti ovih prijetnji i ukazujući na visoku izloženost modernog načina poslovanja cyber-napadima. Meni je osobito zanimljiv bio pokušaj određivanja uzroka eskalacije sigurnosnih incidenata.

Vjesnik, tako, citira jednog dužnosnika međunarodne organizacije koji, misleći na cyber-napadače, kaže da su "ti kriminalci od nas pametniji deset ili čak stotinu puta" čime ujedno opravdava znatno zaostajanje žrtava cyber-napada.

Bez imalo namjere za podcjenjivanjem cybernapadača (njihova "kreativna" jezgra zaista posjeduju zavidno znanje), smatram da na uzroke treba gledati iz suprotne vizure - iz vizure sustava (organizacija, tvrtki, institucija) čiji su sustavi izloženi bilo kakvom obliku cyber-prijetnji. Gledajući, dakle, iz pozicije organizacije koja mora graditi svoju obranu zaključujem da poslovni model koji stoji iza zaštitnih i proaktivnih procesa informacijske sigurnosti sadrži niz slabosti u odnosu na poslovni model koji stoji iza modela napadačke (kriminalne) informacijske sigurnosti (odnosno anti-sigurnosti). Glavna slabost se odnosi na nerazmjernu motivaciju osoba na suprotnim stranama.

Cyber napadači su izuzetno motivirani, s jakim financijskim temeljima i u pravilu s izraženim osobnim materijalnim koristima. Kada se to spoji s odgovarajućim vještinama, bojim se da za njih nema nedostižnih ciljeva.

S druge strane, u prosječno ili čak nadprosječno osvještenoj tvrtki ili organizaciji, ne postoji puna motiviranost upravljačkih struktura za davanje sigurnosnih inicijativa. Čak i ako postoji grupa kompetentnih pojedinaca na operativno/taktičkoj razini, vrlo je česta situacija da se njihov entuzijazam i agilnost tope u sudaru s činovničkim mentalitetom i pristupom. Možda ste se i vi sreli sa slučajevima da management daje potporu samo najnužnijim mjerama, propuštajući uzeti ozbiljno novonastupajuće prijetnje i propuštajući prepoznati sve moguće posljedice. Rezultat takve prakse je zaostajanje otpornosti na cyber-napade, naročito u elementima gdje dominira ljudski faktor.

Dakle s jedne strane imamo "cyber-underground" institucije koje dobro znaju što žele i kako će to postići, a s druge strane imamo organizacije koje su njihove predodređene žrtve. Možemo ići i korak dalje i reći da se uspješnost cyber-napadača temelji na principima tržišne ekonomije, a da se zaštitna informacijska sigurnost temelji na "dogovornoj" ekonomiji.

Novi problemi za MMF

Nakon poznatih događaja s bivšim glavnim direktorom, Međunarodni monetarni fond je upao u nove probleme. Prije nekoliko dana je objavljeno da su postali žrtvom sofisticiranog i po svemu sudeći ozbiljnog cyber napada. Napad nema veze s bivšim direktorom, a tek će se vidjeti (možda) je li ima veze s krađom podataka u tvrtki RSA. Naravno, predstavnici MMF-a su opovrgli ovu teoriju, no znakovito je da su prije tjedan dan najavili svojim zaposlenicima da mijenjaju postojeće SecurID tokene (ovdje treba spomenuti da je tvrtka RSA nedavno savjetovala svojim korisnicima da zamjene ili opozovu svoje SecurID tokene, a što je, izgleda, jedini dobar odgovor na nedavnu krađu protokola ovih autentikacijskih uređaja).

Ipak, veza sa kompromitacijom SecurID tokena je za sada samo u domeni pretpostavki. O napadu na MMF je za sada procurilo jako malo informacija. Kako se čini, MMF je bio žrtva ciljanog phishing napada ("spear-phishing"). Netko od njegovih zaposlenika bio je prevarom naveden na spuštanje posebno iskrojenog malicioznog programa koji je neokrznut prošao pored antivirusnih sustava. Izgleda da je napad bio izuzetno uspješan i da je barem jedno osobno računalo bilo kompromitirano dulje vrijeme (neki tvrde i nekoliko mjeseci). Napadači su za to vrijeme bili u prilici spustiti mnoštvo povjerljivih i veoma osjetljivih informacija i statističkih podataka o državama članicama MMF-a. MMF, naravno, nije objavio ni slova o prirodi ukradenih podataka.

Napad na MMF je prvi javno dostupan primjer da se interes dobro motiviranih napadača, najčešće državno sponzoriranih (ipak, tvrdnju da Kina stoji iza napada na MMF treba za sada uzeti s rezervom), pomiče s high-tech tvrtki i vojne industrije na financijsko tržište, pri čemu se cilja ne na osobne podatke i kreditne kartice, nego na značajne poslovne informacije.

Područje koje se do sada vezivalo za insiderske napade postaje dostupno i vanjskim prijetnjama.

Preko RSA do zvijezda!

Za ovaj napis sam namjeravao izabrati jednu zanimljivu temu koja bi nadoknadila moju inertnost u objavi tekstova u prvih nekoliko mjeseci. Tema je morala na određeni način ilustrirati zbivanja u informacijskoj sigurnosti tijekom ovog razdoblja. Izbor je pao na slučaj kompromitacije američke tvrtke RSA, odnosno na krađu znanja i povjerljivih informacija o funkcioniranju sustava SecurID. Za neupućene, SecurID je tehnologiji koja omogućuje autentikaciju korisnika informacijskih servisa jednokratnim lozinkama koje se generiraju namjenskim uređajima - "tokenima" (veliki broj naših korisnika Internet bankarstva koristi sličnu tehnologiju prilikom prijave na web servere svojih banaka).

Naime, u ožujku ove godine nepoznati napadači (za koje se pretpostavlja da dolaze iz Kine) proveli su sofisticirani Advanced PersistentThreat (APT) kojima se prije puno mjeseci ciljalo na Google i druge značajne američke tvrtke. Napadaći na tvrtku RSA, kako se tvrdi, došli su do povjerljivih podataka tvrtke, uključujući i značajne informacije o funkcioniranju SecurID tehnologije. RSA je, naravno, pokušao umanjiti procjene o nastaloj šteti.

No, prigodno za ovaj tekst kojim želim potvrditi kontinuitet ovog bloga, napad iz ožujka nepsoredno se veže za friške slučajeve iz svibnja.

Prije nego što nastavim priču, vrijedi pogledati kako je tekao napad na RSA.

Napadači su u prvoj fazi napada identificirali neke zaposlenike tvrtke RSA i prema njima usmjerili mail poruke s posebno konstruiranom xls tablicom. Ova tablica je sadržavala unikatni maliciozni kod koji je iskorištavao zero-day ranjivost u programu Adobe Flash (Adobe je tek kasnije objavio popravak za ovu ranjivost). Uspješnom realizacijom prve faze napada, napadači su ovladali napadnutim računalima, instalirali program za udaljenu administraciju te nastavili temeljito pročešljavati dostupna računala. Ciljali su na ponajprije na podatke o korisničkim računima koji bi im omogućili daljnju propagaciju mrežom tvrtke RSA. I ta faza je bila uspješna pa je napad uspješno, sa stajališta napadača, završio prebacivanjem velikih broja datoteka na udaljene servere FTP protokolom.

RSA je priznao da napad može kompromitirati uspješnost SecurID tokena i dao je preporuke svojim korisnicima o dodatnim sigurnosnim mjerama koje preporučuje u ovoj situaciji. Radilo se uglavnom o standardnim proceduralnim preporukama koje se primjenjuju u kontroli pristupa.

Sada se vraćamo u svibanj.

Cijeli bi slučaj RSA možda i pao u zaborav no upravo je objavljena vijest da je došlo do napada na tvrtku Lockheed Martin, jednog od vodećih imena američke vojne industrije. Smatra se da su napadači kompromitirali VPN pristup mreži ove tvrtke na kojem se udaljeni korisniciautenticiraju SecurID tehnologijom. Pogađate, ovaj je napad neposredno omogućen znanjem o funkcioniranju SecurID tehnologije do kojeg su napadači (ili njihove kolege) došli u svibnju.

Kada je ovaj tekst bio pred završetkom, saznalo se da su i druga dva velika proizvođača iz segmenta vojne industrije također napadnuta na sličan način: L-3 Communications i Northrop Grumman. Prema nekim izjavama koje su procurile iz ovih tvrtki, napadi i neposredna reakcija na nakon detekcije napada uzrokovala je izvanredno stanje u ovim tvrtkama.

Za sada nije objavljeno na koji je način kompomitirana SecurID tehnologija (osim što je izvjesno da su neposredno napadnuti sustavi za udaljeni pristup mrežama ovih vodećih imena američke vojne industrije), niti je objavljeno kakve su posljedice ovih napada.

Osim što je bio sjajna ilustracija APT prijetnji, napad na RSA je značajan zbog činjenice da je ovim napadom pribavljeno značajno znanje o funkcioniranju do tada, smatralo se, sigurne tehnologije, što je jamčilo uspjeh kod teških ciljeva koji obično takvu tehnologiju koriste.

U svijetu je 40 milijuna korisnika SecurID tehnologije. Jesu li velika imena vojne industrije jedine žrtve?