Ovotjedna objava napada kineskih hackera na Google i tridesetak drugih američkih kompanija izazvala je brojne i glasne reakcije, no vjerujem da stručnjaci za računalnu sigurnost nisu previše iznenađeni tehničkim aspektom ovog ofenzive (ja sam o tome pisao tijekom ljeta prošle godine). Tijekom 2009. mogla su se pročitati brojna upozorenja o transformaciji klasičnih računalnih prijetnji i tehnika napada koju ove prijetnje koriste, uz najave trenda koji se upravo manifestirao. Frontalni i pompozni napadi kojima je cilj stvaranje publiciteta su odavno zastarjeli. Nastupilo je razdoblje diskretnih i ciljanih napada, usmjerenih na poznatu žrtvu. Cilj napadače nije steći pet minuta slave što je brže moguće, već strpljivim djelovanjem doći do svojih ciljeva, ma kakvi oni bili - od podataka iz kartičnog poslovanja pa do povjerljivih poslovnih tajni. Slava, pri tome, uopće nije bitna.
Suština ove taktike je slijedeća: sofisticiranim tehnikama prodire se u mrežu žrtve, a odmah potom se korišteni alati odbacuju poput padobrana, te se napadač ukopova u dostupnu nišu, zadržavajući prikrivenu i stalnu vezu sa nalogodavcima. Napadač se u drugoj fazi može ponašati donekle ležernije i na raspolaganju mu je dovoljno vremena da otkrije i iskoristi brojne nedostatke unutarnje mreže. Postavljeni cilj je na dohvat ruke. Pored toga, treba znati da klasični obrambeni mehanizmi - firewall i antivirusna zaštita - nisu nimalo djelotvorni kod ovih napada.
Činjenica da je slučaj Google razvikan i razvučen po svim medijima ne poriče moju tezu da slava nije motiv ovih napada. Ovaj slučaj je razvikan prije svega zato što je Google to htio, iz vlastitih razloga kojima se bave vanjskopolitički novinari.
Vjerujem da ste već doznali da su napadači u slučaju Google zloupotrebili zero-day ranjivost u Internet Exploreru (a ne nedostatak Acrobat Reader-a, kako se u prvi mah pomislilo). Nije mi poznato zbog čega Google koristi IE pored vlastitog preglednika za kojeg tvrde de je sigurnosno besprijekoran. Objašnjenje da su kompromitirana računala služila testiranju nisu najuvjerljivija...
Kineski su napadači nekom od tehnika socijalnog inžinjeringa naveli žrtvu da posjeti web stranicu sa malicioznim kodom, odmah potom je računalo žrtve bilo zaraženo, a instalirani program je uspostavio siguran i kriptiran kanal, prema komandnom centru iz kojeg je primao naredbe. Nije poznato što je točno napadač radio nakon toga, tvrdnje o krađi podataka o mail računima kineskih disidenata treba tek potrditi.
Na tehničkoj razini nema iznenađenja, no na socijalnoj ili političkoj razini ovi će slučajevi uzrokovati nekoliko značajnih pomaka.
Ovaj napad dokazuje da su ciljani napadi postali realnost ne samo kod ekstremno atraktivnih i vrijednih ciljeva - npr. prema američkim vladnim institucijama - nego i u poslovnom svijetu. To, nažalost znači, da se tehnike napada približavaju komodizaciji, a samo je pitanje vremna kada će kompetencije armije kineskih hackera - možda bi "armija" trebalo pisati s velikim A, postati dostupna i običnim smrtncima - mislim na one sa crne strane.
Stoga bi svi praktičari upravljanja rizicima morali prilagoditi standardne procjene koje se odnose na visinu prijetnji malicioznog ljudskog faktora. Ove prijetnje postaju sve realnije, a motiviranost i znanje su svakako značajne kompetente prijetnji koje dolaze, ne samo iz okruženja kineske armije hackera, nego i iz iz drugih sličnih laboratorija.
Naravno, pretpostavljam da ste komponentu utjecaja računalnih ranjivosti već ranije povećali.
Na kraju, kako se obraniti od ovih prijetnji. Pored mjera koje sam naveo u tekstu o slučaju Heartland, mislim da će još jedna mjera naći svoje opravdanje (iako, priznajem, do sada nisam striktno inzistirao na ovoj mjeri). Naime, do sada se očekivalo da su isključivo perimetarske adrese izložene vanjskim napadačima, pa se testovima nastojalo simulirati maksimalnu kompetenciju i sposobnost ovih napadača. Interni testovi su bili rijetki i, rekao bih, površni (obično se računalo na relativnu dobronamjernost i umjerenu tehničku kompetenciju internih korisnika). Ovo će se definitivno morati promjeniti. Testiranje sigurnosti interne mreže morati će uzeti u obzir i negativni potencijal napadača ubačenih iz vanjskog okruženja.
1.12.09
QualysGuard InfoDay 2009. u Zagrebu
Na stranicama Boree smo najavili drugu korisničku konferenciju QualysGuard InfoDay 2009. Za one koji nisu sasvim upoznati, QualysGuard je sigurnosna usluga bazirana na SaaS modelu. Pomoću ovog servisa moguće je uspostaviti efikasan i koristan proces upravljanja računalnim ranjivostima.
Među stručnjacima su česte, a po mojem mišljenju i opravdane, diskusije o sigurnosnim temeljima SaaS modela računalnih usluga. QualysGuard se ipak razlikuje od uobičajenog poimanja SaaS modela usluga. Qualys, kao tvrtka koje se zapravo bavi informacijskom sigurnošću, svoje je servis ojačala s brojnim sigurnosnim mjerama pa svakako predstavlja izuzetak u sve popularnijem SaaS trendu. Osim specifičnosti same usluge koja, nasuprot recimo CRM SaaS uslugama, ne teži pružanju što je moguće više fuknkcionalnosti nauštrb sigurnosnih zahtjeva, QualysGuard uključuje i korištenje specijaliziranog appliance uređaja. Na taj način, znatno se lakše može kontrolirati puni raspon SaaS usluge - od klijentske okoline do centralne aplikacije.
Više o ovom možete ćuti idući tjedan. Sudjelovanje je slobodno, više podataka o konferenciji i o prijavi pronađite na slijedećoj stranici:
http://www.borea.hr/vijesti.asp?newsID=117
Među stručnjacima su česte, a po mojem mišljenju i opravdane, diskusije o sigurnosnim temeljima SaaS modela računalnih usluga. QualysGuard se ipak razlikuje od uobičajenog poimanja SaaS modela usluga. Qualys, kao tvrtka koje se zapravo bavi informacijskom sigurnošću, svoje je servis ojačala s brojnim sigurnosnim mjerama pa svakako predstavlja izuzetak u sve popularnijem SaaS trendu. Osim specifičnosti same usluge koja, nasuprot recimo CRM SaaS uslugama, ne teži pružanju što je moguće više fuknkcionalnosti nauštrb sigurnosnih zahtjeva, QualysGuard uključuje i korištenje specijaliziranog appliance uređaja. Na taj način, znatno se lakše može kontrolirati puni raspon SaaS usluge - od klijentske okoline do centralne aplikacije.
Više o ovom možete ćuti idući tjedan. Sudjelovanje je slobodno, više podataka o konferenciji i o prijavi pronađite na slijedećoj stranici:
http://www.borea.hr/vijesti.asp?newsID=117
16.11.09
60 Minutes, još jednom
Nakon objave prošlog teksta dobio sam nekoliko upita o pristupu samom dokumentarcu "60 Minutes". Ovdje objavljujem video u dva dijela (spušteno s YouTube).
9.11.09
Veoma poučan dokumentarac
Sinoć je na CBS-u prikazan redoviti tjedni magazin "60 Minutes", a bavio se osjetljivošću tehnološke infrastrukture Sjedinjenih država i podložnošću pojedinih dijelova ove infrastrukture hackerskim napadima, naročito u "cyberwar" kontekstu.
Kao zanimljiva ilustracija, iznesen je i podatak o dva velika ispada elektro-opskrbnog sustava Brazila u 2005. i 2007. godini. Ovaj kasniji je potrajao dva dana i zahvatio je nekoliko milijuna stanovnika (istini za volju, brazilska je vlada prije par dana, a povodom emitiranja ove emisije, objavila da nije bilo nikakvih hackerskih napada u ovim slučajevima, no što mislite tko ima bolje informacije?). Svakako preporučujem ovu epizodu svima koji donose odluke o mjerama sigurnosti informacijskog sustava, na svim razinama i u bilo kakvim slučajevima. Potražite je na stranici http://www.cbs.com/primetime/60_minutes/ - naslov je Sabotaging the System.
Osvrnuti ću se na teze iznesene u emisiji. Američki kongresnici su utvrdili da su informatičke komponente njihovog elektroopskrbog sustava izuzetno ranjive na hackerske napade, a potencijalne posljedice su izuzetno velike. Zapravo, takvi su se slučajevi već i događali u nedavnoj prošlosti. U emisiji se govori i o slučaju, nedavno jako spominjanom, infiltracije stranih hackera na sustave vladinih organizacija, uključujući i one ministarstva obrane. Tom prilikom je iz ovih sustava iscurilo 1 TB podataka.
Kako bi se Hrvatska snašla u "Cyberwaru"? Ili je možda bolje ovo pitanje preformulirati: "Kako se Hrvatska snalazi u "Cyberwaru"?
Kao zanimljiva ilustracija, iznesen je i podatak o dva velika ispada elektro-opskrbnog sustava Brazila u 2005. i 2007. godini. Ovaj kasniji je potrajao dva dana i zahvatio je nekoliko milijuna stanovnika (istini za volju, brazilska je vlada prije par dana, a povodom emitiranja ove emisije, objavila da nije bilo nikakvih hackerskih napada u ovim slučajevima, no što mislite tko ima bolje informacije?). Svakako preporučujem ovu epizodu svima koji donose odluke o mjerama sigurnosti informacijskog sustava, na svim razinama i u bilo kakvim slučajevima. Potražite je na stranici http://www.cbs.com/primetime/60_minutes/ - naslov je Sabotaging the System.
Osvrnuti ću se na teze iznesene u emisiji. Američki kongresnici su utvrdili da su informatičke komponente njihovog elektroopskrbog sustava izuzetno ranjive na hackerske napade, a potencijalne posljedice su izuzetno velike. Zapravo, takvi su se slučajevi već i događali u nedavnoj prošlosti. U emisiji se govori i o slučaju, nedavno jako spominjanom, infiltracije stranih hackera na sustave vladinih organizacija, uključujući i one ministarstva obrane. Tom prilikom je iz ovih sustava iscurilo 1 TB podataka.
Kako bi se Hrvatska snašla u "Cyberwaru"? Ili je možda bolje ovo pitanje preformulirati: "Kako se Hrvatska snalazi u "Cyberwaru"?
25.10.09
Hrvatski Enron
Je li slučaj Podravska hrvatski Enron (zanemariti ću, za potrebe ovog napisa, politički kontekst ove afere)?
Sličnosti su brojne. U oba je slučaja protagonist akcije bio management ovih tvrtki. U oba slučaja možemo govoriti o izvedbi sofisticiranog poslovno-financijskog scenarija, čiji je autor u slučaju Podravke za sada nepoznat. Istina, u slučaju Enrona vidjeli smo netočno uljepšavanje poslovnih rezultata na temelju kojeg je management ostvario nezasluženu korist. U slučaju Podravke imamo pokušaj preuzimanja tvrtke, kao i činjenicu da su se u stvarnosti provele konkretne financijske transakcije među različitim subjektima, a ne tek knjigovodsveno friziranje. No, pohlepa je pokretač u oba slučaja. Na koncu, i u slučaju Enrona bilo je govora o političkim pokroviteljima cijele operacije.
No, ako je generalna usporedba s Enronom održiva, možemo li, vezano na temu ovog bloga, govoriti o posljedicama slučaja Podravka na informacijske tehnologije (na koju su Enron i SOX koji je slijedio iza Enrona, itekako utjecali)?
Na prvi pogled, teško da možemo govoriti o vezi slučaja Podravke i informacijskih tehnologija. U operaciji Spice je informacijska tehnologija bila tek poslovni okvir, a politika se pokazala bitnijim faktorom. Ova je procjena osobito važna ako pokušamo identifcirati ulogu koju je revizija trebala odigrati u sprječavanju cijele operacije.
No, treba reći je revizija poslovnih podataka veoma lako mogli utvrditi indikatore problematičnih financijskih transakcija. S druge strane, moglo bi se pretpostaviti da revizija nije mogla utvrditi točno stanje jer su rezultati unutar informacijskog sustava bili modificirani ili prikriveni, no, realno gledajući, ne vjerujem da se to desilo. Naprosto, ublaženim riječima, od revizije nitko nije tražio informaciju o sumnjivim transakcijama.
Drugim riječima, cijeli je slučaj mogao biti preduhitren izvještajima revizora, no očigledno nije bilo (političke) volje za takvim izvještajima.
Stoga, bez obzira na prisutnost političkog konteksta cijele afere, jedna od pouka morala bi ići u smjeru jačanja uloge revizije, pri čemu treba posebno značenje dati i reviziji informacijskih sustava (da se spriječe i moguće sofisticirane modifikacije poslovnih podataka). Svatko tko je imalo upućeniji u ulogu revizije u poslovanju naših tvrtki može posvjedočiti da revizija općenito, a posebno i IT revizija, ima status nužnog zla a ne korektivnog mehanizma upravljanja poslovnim procesom.
Zapravo, umjesto usporedbe s Enronom, možda bi slučaj Podravka bilo bolje nazvati nazvati Riječkom bankom ne-financijskog sektora. No, hoće li netko biti spreman pokrenuti mjere koje je svojedobno, nakon slučaja Riječke banke, pokrenula HNB?
Sličnosti su brojne. U oba je slučaja protagonist akcije bio management ovih tvrtki. U oba slučaja možemo govoriti o izvedbi sofisticiranog poslovno-financijskog scenarija, čiji je autor u slučaju Podravke za sada nepoznat. Istina, u slučaju Enrona vidjeli smo netočno uljepšavanje poslovnih rezultata na temelju kojeg je management ostvario nezasluženu korist. U slučaju Podravke imamo pokušaj preuzimanja tvrtke, kao i činjenicu da su se u stvarnosti provele konkretne financijske transakcije među različitim subjektima, a ne tek knjigovodsveno friziranje. No, pohlepa je pokretač u oba slučaja. Na koncu, i u slučaju Enrona bilo je govora o političkim pokroviteljima cijele operacije.
No, ako je generalna usporedba s Enronom održiva, možemo li, vezano na temu ovog bloga, govoriti o posljedicama slučaja Podravka na informacijske tehnologije (na koju su Enron i SOX koji je slijedio iza Enrona, itekako utjecali)?
Na prvi pogled, teško da možemo govoriti o vezi slučaja Podravke i informacijskih tehnologija. U operaciji Spice je informacijska tehnologija bila tek poslovni okvir, a politika se pokazala bitnijim faktorom. Ova je procjena osobito važna ako pokušamo identifcirati ulogu koju je revizija trebala odigrati u sprječavanju cijele operacije.
No, treba reći je revizija poslovnih podataka veoma lako mogli utvrditi indikatore problematičnih financijskih transakcija. S druge strane, moglo bi se pretpostaviti da revizija nije mogla utvrditi točno stanje jer su rezultati unutar informacijskog sustava bili modificirani ili prikriveni, no, realno gledajući, ne vjerujem da se to desilo. Naprosto, ublaženim riječima, od revizije nitko nije tražio informaciju o sumnjivim transakcijama.
Drugim riječima, cijeli je slučaj mogao biti preduhitren izvještajima revizora, no očigledno nije bilo (političke) volje za takvim izvještajima.
Stoga, bez obzira na prisutnost političkog konteksta cijele afere, jedna od pouka morala bi ići u smjeru jačanja uloge revizije, pri čemu treba posebno značenje dati i reviziji informacijskih sustava (da se spriječe i moguće sofisticirane modifikacije poslovnih podataka). Svatko tko je imalo upućeniji u ulogu revizije u poslovanju naših tvrtki može posvjedočiti da revizija općenito, a posebno i IT revizija, ima status nužnog zla a ne korektivnog mehanizma upravljanja poslovnim procesom.
Zapravo, umjesto usporedbe s Enronom, možda bi slučaj Podravka bilo bolje nazvati nazvati Riječkom bankom ne-financijskog sektora. No, hoće li netko biti spreman pokrenuti mjere koje je svojedobno, nakon slučaja Riječke banke, pokrenula HNB?
Pretplati se na:
Postovi (Atom)