Αξιολογήσεις ευπάθειας και δοκιμές διείσδυσης – Ποια είναι η διαφορά;

Η σύγχυση μεταξύ των όρων «δοκιμές διείσδυσης» και «αξιολογήσεις ευπάθειας» συχνά ξεκινάει στο επίπεδο της γλώσσας. Όσοι δεν είναι επαγγελματίες στον τομέα της ασφάλειας ιστού (web security), όπως είναι οι δημοσιογράφοι, πολλές φορές αναφερόμενοι σε κάποια σημαντική ιστορία που επηρεάζει τους καταναλωτές, χρησιμοποιούν τους όρους εναλλακτικά, σαν να αναφέρονται στην ίδια διαδικασία.

Διαβάστε το άρθρο της Netsparker που επιμελήθηκε η NSS και ξεδιαλύνει τις διαφορές, αναλύοντας  τους όρους αυτούς.

Διαφορά μεταξύ των αξιολογήσεων ευπάθειας και των δοκιμών διείσδυσης

Οι έμπειροι επαγγελματίες του κλάδου γνωρίζουν τη διαφορά, όμως όσοι είναι… νέοι στον χώρο, και αυτοί, συγχέουν τις έννοιες. Γιατί; Αυτό συμβαίνει διότι ακόμη και οι επαγγελματίες τυγχάνει πολλές φορές να χρησιμοποιούν όρους και έννοιες με ασαφείς ή ανακριβείς τρόπους, όταν θα έπρεπε να είναι σε θέση να διακρίνουν πράγματα που διαφέρουν. Ας δούμε όμως τη σαφή διαφορά μεταξύ τους.

Τι είναι οι αξιολογήσεις ευπάθειας; 

Μία αξιολόγηση ευπάθειας περιλαμβάνει τη διεξαγωγή μιας σειράς πολλαπλών δοκιμών ενάντια σε ορισμένες ιστοσελίδες, σε εφαρμογές ιστού, σε διευθύνσεις IP και σε εύρη IP, χρησιμοποιώντας μια γνωστή λίστα ευπαθειών και τρωτών σημείων, σαν αυτά που περιλαμβάνονται στη λίστα Top 10 του OWASP.

Όσοι πραγματοποιούν αξιολογήσεις, μπορούν επίσης να πραγματοποιήσουν δοκιμές σε συστήματα που γνωρίζουν ότι έχουν εσφαλμένα διαμορφωθεί ή στα οποία δεν έχουν εφαρμοστεί ενημερώσεις ασφαλείας και patches.

Συχνά, χρησιμοποιούνται αυτοματοποιημένα εργαλεία σάρωσης ασφαλείας.

Τα συνδρομητικά εργαλεία με άδεια εμπορικής χρήστης θεωρούνται περισσότερο ασφαλή – έρχονται με τακτικές ενημερώσεις, υπάρχουν λιγότερες πιθανότητες να συμπεριλαμβάνουν κακόβουλο κώδικα (τα αντίστοιχα εργαλεία ανοιχτού κώδικα, πάντως, έχουν το σημαντικό πλεονέκτημα να είναι ακριβώς τα ίδια εργαλεία που προτιμούν να χρησιμοποιούν κακόβουλοι χάκερς).   

Οι εκτιμήσεις ευπάθειας τείνουν να περιλαμβάνουν τα ακόλουθα στάδια:

  • Προσδιορισμός όλων των πόρων, και των συνδεδεμένων πόρων, των συστημάτων πληροφορικής στο εσωτερικό ενός οργανισμού
  • Αντιστοίχιση κάποιας τιμής ή προτεραιότητας σε κάθε έναν (από αυτούς)
  • Διεξαγωγή αξιολόγησης μίας λίστας γνωστών τρωτών σημείων κατά μήκος ενός μεγάλου αριθμού επιφανειών επίθεσης (από login screens έως παραμέτρους διευθύνσεων URL και μέχρι διακομιστές ηλεκτρονικής αλληλογραφίας)
  • Καθορισμός των πιο κρίσιμων τρωτών σημείων και λήψη αποφάσεων σχετικά με τον τρόπο αντιμετώπισης των υπολοίπων

Τι είναι η δοκιμή διείσδυσης;

Η δοκιμή διείσδυσης (pen testing) από την άλλη – μολονότι ότι μπορεί να θεωρηθεί ως ένας τύπος αξιολόγησης ευπάθειας – περιλαμβάνει την αναπαραγωγή ενός συγκεκριμένου τύπου επίθεσης που μπορεί να εκτελεστεί από κάποιον χάκερ. Κάποιος που πραγματοποιεί δοκιμές διείσδυσης θα εξερευνήσει διεξοδικά τα συστήματα μέχρι να εντοπίσει κάποια ευπάθεια. Ενδεχομένως να χρησιμοποιήσει ακόμα και κάποιο εργαλείο αξιολόγησης ευπάθειας για να αποκαλυφθεί κάποια μια ευπάθεια. Μόλις εντοπιστεί κάτι, τότε θα γίνει προσπάθεια εκμετάλλευσης, για να καθοριστεί αν είναι δυνατό για έναν χάκερ να επιτύχει ένα συγκεκριμένο στόχο (πρόσβαση, αλλαγή ή διαγραφή δεδομένων, για παράδειγμα).

Συχνά, ενώ πραγματοποιείται η δοκιμή διείσδυσης, μπορεί να συναντήσει –εκείνος που κάνει τη δοκιμή- τυχαία άλλες αδυναμίες και να τις ακολουθήσει εκεί που οδηγούν. Όποιος κάνει επίσης τη δοκιμή μπορεί να χρησιμοποιήσει κάποιο αυτοματοποιημένο εργαλείο σε αυτό το σημείο για να εκτελέσει μια σειρά από exploits ενάντια στην ευπάθεια. 

Ορισμένες δοκιμές διείσδυσης αναφέρονται ως «white box» για να υποδείξουν ότι ο δοκιμαστής διείσδυσης έχει δώσει λεπτομερείς πληροφορίες για το περιβάλλον, όπως έναν κατάλογο περιουσιακών στοιχείων που ανήκουν στον οργανισμό, πηγαίο κώδικα, ονόματα υπαλλήλων και διευθύνσεις ηλεκτρονικού ταχυδρομείου κ.λπ. Όταν –οι δοκιμές- αναφέρονται ως «black box», με αυτό τον τρόπο υποδεικνύεται ότι οι δοκιμές διείσδυσης διεξήχθησαν ή διεξάγονται χωρίς προηγούμενη πληροφόρηση σχετικά με την εσωτερική δομή του οργανισμού, χωρίς πρόσβαση σε πηγαίο κώδικα κλπ. Αυτό το είδος δοκιμής διείσδυσης μπορεί να μοιάζει περισσότερο με τις δραστηριότητες ενός κακόβουλου χάκερ, όμως μπορεί επίσης να οδηγήσει σε μικρότερη κάλυψη των δυνητικά ευάλωτων περιουσιακών στοιχείων κάποιας επιχείρησης ή οργανισμού.

Ποια αποτελέσματα μπορώ να περιμένω από κάθε προσέγγιση; 

Η απάντηση σε αυτή την ερώτηση θα μπορούσε να τεθεί καλύτερα αν σκεφτούμε ανάποδα, δηλαδή προς τα πίσω: Ποια είναι τα αποτελέσματα που θέλετε; 

Έκθεση αξιολόγησης ευπάθειας κατά μήκος όλων των τρωτών σημείων 

Τα αποτελέσματα συγκεντρώνονται σε μια αυτοματοποιημένη, μακροσκελή αναφορά, που περιλαμβάνει μία εκτεταμένη λίστα τρωτών σημείων που έχουν ανιχνευθεί και ταξινομηθεί κατά προτεραιότητα, από το πόσο σοβαρά και κρίσιμα είναι για την επιχείρησή. Με το πέρασμα του χρόνου, αυτή η λίστα μπορεί να αποκαλύψει αλλαγές από την τελευταία αναφορά. Ορισμένοι πάντως θα επικρίνουν τα επιτευχθέντα αποτελέσματα επειδή, σε αντίθεση με τις δοκιμές διείσδυσης, μπορεί να περιέχουν ψευδώς θετικά ή ψευδώς αρνητικά. Φυσικά, κάτι τέτοιο δεν πρόκειται να συμβεί αν χρησιμοποιείτε τον σαρωτή ευπάθειας εφαρμογών ιστού Netsparker (web application vulnerability scanner) για να διεξάγετε τις δοκιμές διείσδυσης. Και αυτό είναι ένα από τα βασικά χαρακτηριστικά που διαφοροποιούν την Netsparker – η αυτόματη επαλήθευση εντοπισμένων τρωτών σημείων με το Proof-Based Scanning.

Οι αναφορές οφείλουν να περιλαμβάνουν έναν οδηγό που θα υποδεικνύει τρόπους αποκατάστασης των τρωτών σημείων και ευπαθειών που εντοπίστηκαν. Κάποιες φορές τα ίδια τα εργαλεία συνοδεύονται από τα κατάλληλα patches που μπορούν να τρέξουν και να εφαρμόσουν οι διάφοροι συνδρομητές. Στις περισσότερες περιπτώσεις, τα αποτελέσματα μπορούν να διανεμηθούν στη συνέχεια σε εξειδικευμένες ομάδες ανάπτυξης για να εφαρμόσουν διορθώσεις, να απομακρύνουν τις πιο σοβαρές ευπάθειες αλλά και να αντιμετωπίσουν με το κατάλληλο τρόπο τις λιγότερο σοβαρές στη συνέχεια. Σε έναν ιδανικό κόσμο, αυτή η δραστηριότητα είναι συνεχιζόμενη, αφού προγραμματίζεται τακτικά, και είναι ενσωματωμένη στο SDLC (Software Development Life Cycle) κάθε οργανισμού. 

Αναφορές δοκιμών διείσδυσης που αναλύουν σε βάθος σε κάθε ευπάθεια 

Με τη δοκιμή διείσδυσης, δεν υπάρχει κάποια μακροσκελή δημόσια αναφορά, αν και κάποιοι καταγράφουν και δημοσιεύουν τις ενέργειές τους και τα ανώνυμα ευρήματα τους, αναρτούν σε blogs τα πειράματά τους ή επιχειρούν χάκινγκ σε συνέδρια. Αν ωστόσο προσλάβετε κάποιον για να πραγματοποιήσει δοκιμές διείσδυσης, οφείλει να σας ετοιμάσει και να σας παρουσιάσει μια αναφορά, αν και στις περισσότερες περιπτώσεις τέτοιες αναφορές επικεντρώνονται στη μέθοδο της επίθεσης ή στα exploits αλλά και ακριβώς ποια δεδομένα βρίσκονται σε κίνδυνο. Γενικά, επίσης, θα συνοδεύεται και από προτάσεις σχετικά με το τι μπορεί να κάνει κάποιος χάκερ σε αυτά ή με αυτά. Τα παραπάνω, θα βοηθήσουν τους αναλυτές επιχειρήσεων και τους μη τεχνικούς επαγγελματίες, που μπορεί να μην καταλαβαίνουν ή αντιλαμβάνονται όλη αυτή τη τεχνολογία που υπάρχει πίσω από τις δοκιμές τους είδους, να αντιληφθούν γρήγορα τον αντίκτυπο των επιχειρηματικών διαδικασιών.

Κάποιες φορές οι εκθέσεις περιλαμβάνουν επίσης συμβουλές αποκατάστασης. Ωστόσο, δεν ενσωματώνουν όλες οι δοκιμές διείσδυσης το λεγόμενο «exploitation των τρωτών σημείων» με τον τρόπο που το κάνει η λύση Netsparker. Μπορεί απλώς να αρκεί η επίδειξη ότι μία επίθεση μπορεί να είναι δυνατή. Σε ορισμένες περιπτώσεις, η αναφορά δοκιμής διείσδυσης μπορεί απλώς να αναφέρει θεωρητικές ευπάθειες επειδή οποιαδήποτε προσπάθεια «εκμετάλλευσης» θα μπορούσε να οδηγήσει σε μία καταστροφική άρνηση υπηρεσίας (DoS). Και τέλος, δεν υπάρχει αξιολόγηση των τρωτών σημείων ή των ευπαθειών, δεδομένου ότι ο στόχος είναι απλώς να γίνει ένα πράγμα, ή τουλάχιστον να καθοριστεί αν μπορεί να γίνει. 

Οι αξιολογήσεις ευπάθειας αποτελούν εργαλείο για τη διαρκή βελτίωση της ασφάλειας στο κύκλο ζωής ανάπτυξης λογισμικού της εταιρείας σας (SDLC).

Οι εκτιμήσεις ή αξιολογήσεις ευπάθειας αποτελούν έναν ιδιαίτερα συστηματοποιημένο τρόπο για να αποκτήσουν καθιερωμένες εταιρείες και οργανισμοί μια ολοκληρωμένη εικόνα για τη στάση τους στην ασφάλεια και κατόπιν να την διατηρήσουν και να την βελτιώνουν διαρκώς.

Όταν προστίθενται νέες συσκευές, θύρες, ιστότοποι, εφαρμογές ιστού ή υπηρεσίες, συμπεριλαμβάνονται στις συνήθεις σαρώσεις. Μια αξιολόγηση ευπάθειας είναι ένας πολύ καλός τρόπος για να εντοπίσετε και τελικά να διορθώσετε κοινές ευπάθειες στις εφαρμογές και στους διακομιστές σας. Οι περισσότεροι επαγγελματίες στον χώρο της ασφάλειας συστήνουν στις εταιρείες να προχωρούν σε αξιολογήσεις ευπάθειας τουλάχιστον ανά τρίμηνο.

Παρόλα αυτά, η Netsparker, δεδομένου ότι η λύση της επιτρέπει τον ορισμό προγραμματισμένων σαρώσεων, σας συστήνει να πραγματοποιείτε σαρώσεις συχνότερα.  Σε κάθε περίπτωση, θα πρέπει να διεξάγετε αξιολογήσεις ευπάθειας μετά από οποιαδήποτε σημαντική αλλαγή ή προσθήκη στις εφαρμογές ιστού ή στα web APIs.

Με το Netsparker, αν θέλετε, μπορείτε να εκτελέσετε σαρώσεις σε καθημερινή βάση, και περιλαμβάνει ειδοποιήσεις που σας εφιστούν την προσοχή σας σε τρωτά σημεία και ευπάθειες που θα ανακαλυφθούν. Στη συνέχεια, οι πόροι μπορούν να χρησιμοποιηθούν ταχέως για την αντιμετώπιση κρίσιμων και σημαντικών απειλών.

Οι δοκιμές διείσδυσης αποκαλύπτουν «εύθραυστες ρωγμές» στην αρχιτεκτονική ασφαλείας σας

Από την ώρα που οι δοκιμές διείσδυσης είναι τόσο συγκεκριμένες, είναι ιδανικές για περιβάλλοντα όπου η ασφάλεια Ιστού καθώς και του δικτύου ενός οργανισμού θεωρείται ότι είναι ήδη αρκετά ισχυρή. Οι οργανισμοί μπορούν να ζητήσουν από έναν ελεγκτή να επιχειρήσει να κάνει κάτι συγκεκριμένο, όπως να επιχειρήσει να αποκτήσει πρόσβαση σε μια βάση δεδομένων τραπεζικών συναλλαγών ή τραπεζικών στοιχείων ή προσπαθήσει να τροποποιήσει ή να διαγράψει τον φάκελο κάποιου χρήστη (δεδομένα κ.λπ). Σκοπός είναι να μειωθεί η έκθεση σε συγκεκριμένους κινδύνους.

Οι δοκιμαστές διείσδυσης ελέγχουν για αδύναμα σημεία στην αρχιτεκτονική. Ενώ οι αξιολογήσεις ευπαθειών ή τρωτών σημείων αντιμετωπίζουν ως επί το πλείστον τα κενά ασφαλείας στο λογισμικό, οι δοκιμαστές διείσδυσης συχνά χρησιμοποιούν τεχνικές phishing ή κοινωνικής μηχανικής αλλά και άλλες τεχνικές για να επιτύχουν το στόχο τους. Ως εκ τούτου, μπορούν να παρέχουν μια σαφέστερη και ακριβέστερη απεικόνιση ή εκτίμηση του επιπέδου ασφαλείας μίας εταιρείας. Λειτουργούν ακριβώς όπως οι κακόβουλοι χάκερ, αλλά χωρίς να προκαλούν καταστροφικές απώλειες ή αλλοίωση δεδομένων, φυσικά! Για παράδειγμα, ένας δοκιμαστής διείσδυσης μπορεί να προσπαθήσει να δημιουργήσει μια σύνδεση με έναν απομακρυσμένο διακομιστή χωρίς να εντοπιστεί, προκειμένου να απομακρύνει ευαίσθητα δεδομένα από ένα σύστημα. Είναι ένας χρήσιμος τρόπος για να αποδειχτεί ότι υπάρχουν πιθανότητες για κάποιους επιτιθέμενους να επιτύχουν τους κακόβουλους σκοπούς τους. Φαινομενικά, όμως, ένας δοκιμαστής διείσδυσης θα προχωρούσε στη διεξαγωγή μίας ατελείωτης σειράς από απόπειρες χάκινγκ.

Συστήνεται οι δοκιμές διείσδυσης να διεξάγονται τουλάχιστον μία φορά το χρόνο. 

Ποια σενάρια μπορούν να βοηθήσουν στην επιλογή της σωστής προσέγγισης; 

Τόσο οι αξιολογήσεις ευπάθειας όσο και οι δοκιμές διείσδυσης πρέπει να πραγματοποιούνται ενάντια σε συσκευές δικτύου και ενάντια σε εσωτερικούς και εξωτερικούς διακομιστές. Είναι σημαντικό να καθοριστεί αν μια επίθεση μπορεί να γίνει από το εξωτερικό (για παράδειγμα, από έναν κακόβουλο εισβολέα που στοχεύει σε διαθέσιμες στο κοινό επιφάνειες στόχων στο διαδίκτυο) ή από το εσωτερικό (για παράδειγμα, από έναν δυσαρεστημένο υπάλληλο ή παλιό συνεργάτη, κάποιον χρήστη με δικαιώματα που δεν θα έπρεπε να έχει ή από κάποιον υπολογιστή που έχει μολυνθεί στο εσωτερικό δίκτυο). 

Οι αξιολογήσεις ευπάθειας βοηθούν τις επιχειρήσεις να είναι συνεπείς με τη συμμόρφωση τους σε πρότυπα 

Μερικές φορές οι εταιρείες και οργανισμοί πρέπει να εργάζονται εντός συγκεκριμένων παραμέτρων: έχουν PCI DSS ή άλλες μορφές συμμόρφωσης που οφείλουν να τηρούν και θέλουν να ελέγξουν αν η υφιστάμενη αρχιτεκτονική τους, και τα συστήματα και οι συσκευές τους είναι σε θέση να περάσουν τη δοκιμή. Μπορεί να θέλουν να εκτελέσουν μια σάρωση θυρών ή να ελέγξουν τα πάντα στη λίστα Top 10 του OWASP. Σε τέτοια σενάρια, μια αξιολόγηση ευπάθειας θα δώσει μια πιο ρεαλιστική και συστηματική προσέγγιση. Ακόμα και μια πολύ μεγάλη ομάδα προγραμματιστών δεν θα μπορούσε να φέρει εις πέρας τέτοιες δοκιμές. 

Οι δοκιμές διείσδυσης βοηθούν όλους τους οργανισμούς να μένουν μπροστά από τους χάκερς 

Οι δοκιμές διείσδυσης βοηθούν επίσης στην ασφάλεια αλλά υπό διαφορετική γωνία. Οι δοκιμαστές (εκείνοι που θα πραγματοποιήσουν τις δοκιμές διείσδυσης) θα αποκαλύψουν τους κινδύνους ασφαλείας με τον ίδιο τρόπο που το κάνουν οι χάκερ – πραγματοποιώντας επιθέσεις έχοντας στο νου τους μόνο ένα σκοπό, να αποκτήσουν πρόσβαση σε συγκεκριμένα δεδομένα ή να αλλάξουν κάτι στον ιστότοπο ενός οργανισμού, για παράδειγμα. Οι δοκιμαστές διείσδυσης είναι καλύτερο να «προσλαμβάνονται» με ανοιχτό μυαλό, αφήνοντάς τους ελεύθερους να διεξάγουν τόσο τις επιδιωκόμενες επιθέσεις όσο και οτιδήποτε άλλο που πέσει στην αντίληψη τους, αναλόγως βεβαίως και της επαγγελματικής τους πείρας. 

Τι γίνεται με τους «δοκιμαστές»; 

Ένα από τα πιο σημαντικά ερωτήματα που πρέπει να θέσετε, για να αποφύγετε τη σύγχυση μεταξύ της αξιολόγησης ευπάθειας και της δοκιμής διείσδυσης είναι: Ποιος διεξάγει τη δοκιμή; 

Οι επαγγελματίες ασφάλειας πληροφοριών δημιουργούν εσωτερικές διαδικασίες για συνεχή βελτίωση 

Σε αντίθεση με ορισμένα άρθρα σχετικά με το θέμα, οι δοκιμές ευπάθειας δεν είναι μια πλήρως αυτοματοποιημένη διαδικασία, με την έννοια ότι το μόνο που θα χρειαστεί είναι να πατήσετε ένα κουμπί. Το άτομο που διαχειρίζεται συχνές, αυτοματοποιημένες αξιολογήσεις ευπάθειας θα πρέπει να εξειδικεύεται εξίσου και να έχει εμπειρία και στις διαδικασίες ασφάλειας πληροφοριών. Οφείλει να γνωρίζει ποια περιβάλλοντα και ποιες επιφάνειες επίθεσης πρέπει να αξιολογήσει καθώς και πάνω σε τι να τα αξιολογήσει, καθώς ακόμα και οι αυτοματοποιημένοι σαρωτές ασφαλείας απαιτούν εξίσου κάποια διαμόρφωση ή ρύθμιση. Επιπλέον, πρέπει να είναι σε θέση να ερμηνεύει τις όποιες αναφορές προκύπτουν αλλά και να διατυπώνει συστάσεις σχετικά με το τι πρέπει να γίνει στη συνέχεια. 

Οι εσωτερικοί επαγγελματίες ασφαλείας που είναι υπεύθυνοι για την αξιολόγηση ευπαθειών αποτελούν πρόσθετη αξία για την στάση ασφαλείας που κρατούν εταιρείες και οργανισμοί. Κατά πρώτο λόγο είναι σε θέση να ορίσουν τις βασικές γραμμές. Επιπλέον, το πιθανότερο είναι να θελήσουν να καθιερώσουν κάποια συστήματα, όπως κάποιο χρονοδιάγραμμα αξιολόγησης και αναφορών.

Συμβάλουν στην ευαισθητοποίηση των εργαζομένων εντός της εταιρείας, και παράλληλα ευνοούν την διαρκή μείωση των κινδύνων ασφαλείας. Εν τω μεταξύ, είναι σχεδόν σίγουρο πως θα επεκτείνουν τις δικές τους γνώσεις και δεξιότητες. Και αναμφισβήτητα είναι πολύ πιο πιθανό να αισθάνονται πιστοί στην εταιρεία που εργάζονται ήδη. 

Οι δοκιμαστές διείσδυσης λένε τα πράγματα με το όνομα τους 

Όσοι επιχειρούν δοκιμές διεισδύσεις θα πρέπει επίσης να είναι έμπειροι επαγγελματίες και να έχουν αυτοπεποίθηση για τις ικανότητές και τις δεξιότητές τους.

Οι περισσότεροι επαγγελματίες στον τομέα, συστήνουν οι δοκιμαστές διείσδυσης να είναι ανεξάρτητοι, εξωτερικοί επαγγελματίες. Πρέπει να διατηρούν αρκετή απόσταση από την εταιρεία ή τα συστήματα σας, ώστε να μην παρεμποδίζονται ή επηρεάζονται από ανησυχίες σχετικά με την προσωπική τους οικονομική ασφάλεια, την πίστη τους ή την πολιτική της εταιρείας. Και αυτό τους δίνει τη δυνατότητα έχοντας το ελεύθερο να πουν την γνώμη τους ανεπηρέαστα, και να στην ουσία να πουν τα πράγματα με το όνομα τους σχετικά με την κατάστασή της εταιρείας σας στον τομέα της ασφάλειας, όσο και αν αυτό πονάει. 

Και ποιο είναι το κόστος; 

Το κόστος των αξιολογήσεων ευπάθειας και των δοκιμών διείσδυσης εξαρτάται στην ουσία από το μέγεθος της επιχείρησης (από την επιφάνεια επίθεσης επομένως κ.λπ). Για τις μικρές εταιρείες, η τιμή θα είναι σημαντικά χαμηλότερη από ό, τι είναι για μια μεγάλη εταιρία με χιλιάδες δυνητικά ευάλωτες συσκευές και υπολογιστές, IPs και παρόχους Internet. 

Ανεξάρτητα από το κόστος, οι εκτιμήσεις ευπαθειών ή τρωτότητας συνεισφέρουν στην καλύτερη απόδοση της επένδυσής σας. Ενώ μια δοκιμή διείσδυσης μπορεί να προσφέρει μία αρκετά καλή και βαθιά εικόνα για το πόσο ασφαλή είναι τα συστήματά σας, στην πραγματικότητα αποκαλύπτει μόνο ένα πράγμα και προς μία κατεύθυνση. Από την άλλη, με τις αξιολογήσεις ευπαθειών και επενδύοντας σε χρόνο και πόρους στην ανάπτυξη συστημάτων και διαδικασιών θα έχετε ένα σταθερό επίπεδο ασφάλειας πάνω στο οποίο θα αναπτυχθούν περαιτέρω τα συστήματά σας και θα ενσωματωθούν νέα εξαρτήματα. 

Επομένως ποια προσέγγιση επιλέγουμε; 

Με λίγα λόγια, κάνετε και τα δύο! Και οι δύο προσεγγίσεις έχουν την ικανότητα να αποκαλύψουν κενά ασφαλείας που εκθέτουν τα συστήματα σας και την ασφάλειά σας και μπορούν να εντοπίσουν άλλες λιγότερο προφανείς ευπάθειες, πολλές από τις οποίες δεν θα αναζητούσατε καν. Ένα πράγμα είναι σίγουρο, αν δεν πραγματοποιείτε σαρώσεις και δοκιμές, κάποια στιγμή θα βρεθείτε αντιμέτωποι με την απώλεια δεδομένων. Το ερώτημα λοιπόν είναι το πότε. Είτε πρόκειται για γνωστό θέμα ευπάθειας το οποίο δεν έχετε αντιμετωπίσει ή κάποιο κενό ασφαλείας που δεν έχετε φροντίσει να κλείσει, είτε το αποτέλεσμα ενός χάκερ που βαριόταν ένα απόγευμα Κυριακής (ναι, και θα είστε τυχεροί αν δεν είναι κακόβουλος), το αποτέλεσμα είναι το ίδιο.

Η ώριμη και προληπτική προσέγγιση είναι να καθιερώσετε τις δοκιμές ευπάθειας και τη σάρωση στο κύκλο ζωής ανάπτυξης λογισμικού της εταιρείας σας (SDLC) και επιπλέον να χρησιμοποιήσετε μερικούς ασυνήθιστους τύπους για να κάνετε ό, τι μπορεί και ένας χάκερ, αλλά με… φιλικούς όρους (προσλαμβάνοντας έναν αξιόπιστο δοκιμαστή). Στη συνέχεια, μπορείτε να διαβάσετε όλες τις αναφορές και τα αποτελέσματα, να εξετάσετε τις συστάσεις που έγιναν και να λάβετε έξυπνες αποφάσεις σχετικά με το πώς θα διατηρήσετε τη στάση ασφαλείας του οργανισμού σας όσα βήματα πιο μπροστά γίνεται από τους κακούς.

Πηγή NSS

Μπορείτε να διαβάσετε το πρωτότυπο άρθρο, εδώ.

Πηγή

Advertisements

Πάνω από το 1/3 των επιθέσεων phishing διεθνώς στο β’ τρίμηνο του 2018 είχαν στόχο πελάτες του χρηματοπιστωτικού τομέα

Οι anti-phising τεχνολογίες της Kaspersky Lab, κατά τη διάρκεια του β’ τριμήνου του 2018, απέτρεψαν πάνω από 107 εκατομμύρια απόπειρες επισκέψεων διεθνώς σε σελίδες phising, από τις οποίες το 36% αφορούσε χρηματοπιστωτικές υπηρεσίες. Οι επιθέσεις στόχευαν σε ανύποπτους πελάτες μέσω ψεύτικων τραπεζικών σελίδων ή σελίδων πληρωμής.

Ο τομέας της Πληροφορικής ήταν ο δεύτερος κατά σειρά που δέχτηκε τις περισσότερες επιθέσεις (το 14% του συνόλου). Σε σύγκριση με το πρώτο τρίμηνο φέτος, το ποσοστό των επιθέσεων σε χρηματοπιστωτικούς οργανισμούς μειώθηκε κατά 8,2%, ενώ οι επιθέσεις στις εταιρείες πληροφορικής αυξήθηκαν κατά 12,3%, σύμφωνα με την έκθεση της Kaspersky Lab «Το spam και το phishing στο δεύτερο τρίμηνο του 2018».

Τα παραπάνω ευρήματα, σύμφωνα με τη ρωσική εταιρεία κυβερνο-ασφάλειας, δείχνουν ότι, για την προστασία των χρημάτων τους, οι χρήστες θα πρέπει να είναι ιδιαίτερα προσεκτικοί όταν πλοηγούνται στο Διαδίκτυο. Δημιουργώντας ψεύτικες σελίδες που παριστάνουν τις πρωτότυπες ιστοσελίδες τραπεζών, πληρωμών ή αγορών, οι εισβολείς συλλέγουν ευαίσθητες πληροφορίες από τα θύματα, όπως το όνομα, τον κωδικό πρόσβασης, τις διευθύνσεις ηλεκτρονικού ταχυδρομείου, τους αριθμούς τηλεφώνου, τον αριθμό της πιστωτικής κάρτας και τον κωδικό PIN.

Η Βραζιλία παρέμεινε η χώρα με το μεγαλύτερο μερίδιο χρηστών που δέχθηκε επιθέσεις από phishers κατά το δεύτερο τρίμηνο του 2018 (15,51%). Ακολούθησαν η Κίνα (14,44%), η Γεωργία (14,44%), το Κιργιστάν (13,6%) και η Ρωσία (13,27%).

Εκτός από το «παραδοσιακό» phishing, το οποίο βοηθά στην παράνομη πρόσβαση στους τραπεζικούς λογαριασμούς, οι κυβερνο-εγκληματίες εσχάτως προσπαθούν να αναγκάσουν τα θύματά τους να τους μεταβιβάσουν κρυπτονομίσματα.

Εξάλλου, κατά το δεύτερο τρίμηνο του 2018 ο μέσος όρος των spam στο παγκόσμιο ηλεκτρονικό ταχυδρομείο ήταν περίπου 50% (δηλαδή τα μισά), κατά 2,2% μικρότερο ποσοστό από το μέσο όρο του τελευταίου τριμήνου του 2017.

Η Κίνα είναι πλέον η πιο δημοφιλής πηγή spam, ξεπερνώντας τις ΗΠΑ και τη Γερμανία. Η χώρα που στοχοποιήθηκε περισσότερο από κακόβουλα μηνύματα, ήταν για άλλη μια φορά η Γερμανία.

«Απόρθητο» το κέντρο δεδομένων της Ελλάδας, παρά τις επιθέσεις των χάκερ

Υπό τη σκιά των επιθέσεων Τούρκων χάκερ σε ελληνικές ιστοσελίδες, ο Δημήτρης Γιάντσης, Διευθυντής της Κοινωνίας της Πληροφορίας, σημείωσε πως οι πιθανότητες να προσβληθεί το G Cloud είναι πρακτικά «πάρα πολύ μικρές».

Σχεδόν απόρθητο είναι το κέντρο δεδομένων G Cloud όπου είναι αποθηκευμένος μεγάλος όγκος πληροφοριών και πληροφοριακά δεδομένα του ελληνικού Δημοσίου, όπως δήλωσαν στον ΣΚΑΪ άνθρωποι που είναι επιφορτισμένοι με την φύλαξή του.

Υπό τη σκιά των επιθέσεων Τούρκων χάκερ σε ελληνικές ιστοσελίδες, ο Δημήτρης Γιάντσης, Διευθυντής της Κοινωνίας της Πληροφορίας, σημείωσε πως οι πιθανότητες να προσβληθεί το G Cloud είναι πρακτικά «πάρα πολύ μικρές».

Τόνισε δε πως το σύστημα είναι δομημένο με τέτοιο τρόπο ώστε να περιορίζεται το εύρος κάθε εισβολής. «Στην απίθανη περίπτωση που θα προσβληθεί κάποιο κομμάτι, αποκόπτεται το πληγωμένο κομμάτι αυτομάτως από όλα τα υπόλοιπα», είπε.

Σε φυσικό επίπεδο, το G Cloud είναι ένας από τους καλύτερα φυλασσόμενα χώρους της Αθήνας, με ομάδες οι οποίες είναι έτοιμες να επέμβουν ανά πάσα στιγμή.

Στο κέντρο υπάρχουν τρεις διακριτές είσοδοι με κάρτες, οι οποίες προέρχονται από τρία διαφορετικά κέντρα έκδοσης, ενώ το κέντρο έχει προστασία και για τις φυσικές καταστροφές.

Δείτε το βίντεο εδώ.

Πηγή

 

 

 

Οι ειδικοί προειδοποιούν: Η τεχνητή νοημοσύνη μπορεί να αξιοποιηθεί κακόβουλα από χάκερ

Η τεχνητή νοημοσύνη έχει πια φθάσει σε ένα σημείο ανάπτυξης που είναι δυνατό να την εκμεταλλευθούν κακόβουλα και προς όφελός τους αυταρχικά κράτη, τρομοκράτες και χάκερ, προειδοποιούν σε μια νέα έκθεση-καμπανάκι κινδύνου 26 ειδικοί σε θέματα ασφάλειας νέων τεχνολογιών.

Η έκθεση προβλέπει μέσα στα επόμενα πέντε έως δέκα χρόνια, μεταξύ άλλων, την ταχεία αύξηση του κυβερνο-εγκλήματος με τη βοήθεια της τεχνητής νοημοσύνης, τη χειραγώγηση των αυτόνομων drones και των αυτόνομων οχημάτων (που μπορεί να μετατρέπονται σε πυραύλους και σε φονικά όπλα κατά αθώων), τη διείσδυση και την πρόκληση βλαβών σε ζωτικά δίκτυα υποδομών, καθώς και την ευρεία εξάπλωση της κατευθυνόμενης προπαγάνδας με ποικίλους στόχους (από τον επηρεασμό των εκλογών έως την ειδησεογραφική παραπληροφόρηση) μέσω π.χ. της χρήσης αυτόνομων προγραμμάτων λογισμικού (bots) στο διαδίκτυο και της δημιουργίας ψευδών βίντεο (fake videos).

Η έκθεση κάνει λόγο για «νέα ισχυρά εργαλεία χειραγώγησης της κοινής γνώμης σε αδιανόητη στο παρελθόν κλίμακα», σε συνδυασμό με άνευ προηγουμένου δυνατότητες παρακολούθησης των πολιτών και παραβίασης της ιδιωτικότητας και των προσωπικών δεδομένων τους.

Οι ειδικοί καλούν τις κυβερνήσεις και τις εταιρίες όλου του κόσμου να συνειδητοποιήσουν τον κίνδυνο που πλέον αποτελούν οι μυριάδες εφαρμογές της τεχνητής νοημοσύνης και να κάνουν κάτι γι’ αυτό. Επισημαίνουν ότι η τεχνητή νοημοσύνη αποτελεί άλλη μια τυπική τεχνολογία-Ιανό με «διπλή χρήση», τόσο για καλό όσο και για κακό, εφόσον βρεθεί στα λάθος χέρια.

Η 100σελιδη έκθεση, στην οποία συμμετείχαν ειδικοί από το Ινστιτούτο για το Μέλλον της Ανθρωπότητας του Πανεπιστημίου της Οξφόρδης, του Κέντρου για την Μελέτη του Υπαρξιακού Κινδύνου του Πανεπιστημίου του Κέιμπριτζ, του Κέντρου για τη Νέα Αμερικανική Ασφάλεια, του Ιδρύματος Electronic Frontier και άλλων οργανισμών, προβλέπει αυτοματοποιημένες πλέον επιθέσεις από χάκερ (στον «αυτόματο πιλότο»), την χρήση λογισμικού σύνθεσης φωνής για λόγους εξαπάτησης, την αποστολή απατηλών ηλεκτρονικών μηνυμάτων-παγίδων που θα περιέχουν φαινομενικά αξιόπιστες προσωπικές πληροφορίες αντλημένες από τα μέσα κοινωνικής δικτύωσης κ.α.

Οι ειδικοί προτείνουν νέους νόμους, στενότερη συνεργασία μεταξύ πολιτικών και τεχνοκρατών και μεγαλύτερη παρέμβαση της κοινωνίας των πολιτών στο ζήτημα.

Πηγή

Χάκερς υπέκλεψαν ευαίσθητα έγγραφα της NSA

Ευαίσθητα έγγραφα της Υπηρεσία Εθνικής Ασφάλειας (NSA) των ΗΠΑ κατάφεραν να υποκλέψουν χάκερς των μυστικών υπηρεσιών της Ρωσίας, σύμφωνα με τη The Wall Street Journal.

Στην πραγματικότητα οι επιτιθέμενοι δεν χρειάστηκε να διεισδύσουν καν σε κάποιο σύστημα της αμερικανικής υπηρεσίας, αλλά εκμεταλλεύτηκαν το λάθος στελέχους της, που μετέφερε τα αρχεία στον προσωπικό του υπολογιστή.

Αυτό που προκαλεί ανησυχία είναι ότι οι χάκερς «στοχοποίησαν» τα έγγραφα παρακολουθώντας την λειτουργία του λογισμικού antivirus της Kaspersky, το οποίο χρησιμοποιήθηκε από το θύμα για έλεγχο ασφαλείας.

Η υποκλοπή έλαβε χώρα το 2015, ενώ τα αρχεία που υπεκλάπησαν φαίνεται ότι σχετίζονται με τεχνικές που αξιοποιεί η NSA για κυβερνοεπιθέσεις.

Πηγή

Στεγανογραφία: Πολλαπλές ομάδες χάκερ χρησιμοποιούν όλο και περισσότερο την τεχνική αυτή για την απόκρυψη κλεμμένων πληροφοριών μέσα σε εικόνες

Ενώ οι ερευνητές της Kaspersky Lab ανέλυαν πολλαπλές εκστρατείες ψηφιακής κατασκοπείας και ψηφιακών εγκληματιών, εντόπισαν μια νέα, ανησυχητική τάση: οι κακόβουλοι χάκερ χρησιμοποιούν όλο και περισσότερο την τακτική της στεγανογραφίας – ψηφιακή έκδοση μιας αρχαίας τεχνικής απόκρυψης μηνυμάτων μέσα σε εικόνες – με στόχο την απόκρυψη των ιχνών της κακόβουλης δραστηριότητας τους σε έναν υπολογιστή που έχει δεχτεί επίθεση. Ένας αριθμός λειτουργιών κακόβουλου λογισμικού που στοχεύουν στην ψηφιακή κατασκοπεία και πολλά παραδείγματα κακόβουλου λογισμικού που δημιουργήθηκαν για να κλέψουν οικονομικές πληροφορίες έχουν πρόσφατα εντοπιστεί να αξιοποιούν την τεχνική αυτή.

Όπως διαπιστώθηκε σε μια τυπική στοχευμένη ψηφιακή επίθεση, ένας φορέας απειλής – όταν βρισκόταν στο εσωτερικό του δικτύου που δεχόταν επίθεση – θα αποκτούσε πρόσβαση και στη συνέχεια θα συνέλεγε πολύτιμες πληροφορίες για να μεταφερθεί αργότερα στον command and control server. Στις περισσότερες περιπτώσεις, αποδεδειγμένες λύσεις ασφάλειας ή επαγγελματικές αναλύσεις ασφάλειας είναι σε θέση να εντοπίσουν την παρουσία του φορέα απειλής στο δίκτυο σε κάθε στάδιο μιας επίθεσης, συμπεριλαμβανομένου του σταδίου της εκδιήθησης. Αυτό οφείλεται στο γεγονός ότι το κομμάτι της εκδιήθησης συνήθως αφήνει ίχνη, για παράδειγμα συνδέσεις σε άγνωστη διεύθυνση IP ή σε IP που βρίσκεται σε μαύρη λίστα. Ωστόσο, όταν πρόκειται για επιθέσεις που χρησιμοποιείται στεγανογραφία, η ανίχνευση της εκδιήθησης δεδομένων γίνεται μια πραγματικά δύσκολη υπόθεση.

Σε αυτό το σενάριο, οι κακόβουλοι χρήστες εισάγουν τις πληροφορίες που πρέπει να κλαπούν ακριβώς μέσα στον κώδικα μιας ασήμαντης οπτικής εικόνας ή αρχείου βίντεο που στη συνέχεια αποστέλλονται στον C & C. Επομένως, είναι απίθανο ένα τέτοιο γεγονός να μπορούσε να πυροδοτήσει συναγερμούς ασφάλειας ή τεχνολογία προστασίας δεδομένων. Αυτό συμβαίνει επειδή μετά την τροποποίηση από τον εισβολέα, η ίδια η εικόνα δεν θα αλλάξει οπτικά και το μέγεθός της και οι περισσότερες άλλες παράμετροι επίσης δεν θα μεταβληθούν και συνεπώς δεν προκαλούν ανησυχίες. Αυτό καθιστά την στεγανογραφία μια προσοδοφόρα τεχνική για τους κακόβουλους φορείς, όταν πρόκειται να επιλέξουν τον τρόπο απομάκρυνσης δεδομένων από ένα δίκτυο που έχει δεχτεί επίθεση.

Τους τελευταίους μήνες, οι ερευνητές της Kaspersky Lab έχουν παρακολουθήσει τουλάχιστον τρεις επιχειρήσεις ψηφιακής κατασκοπείας που έκαναν χρήση της τεχνικής αυτής. Πιο ανησυχητικά, η τεχνική υιοθετείται επίσης ενεργά και από τους τακτικούς ψηφιακούς εγκληματίες, όχι μόνο από φορείς ψηφιακής κατασκοπείας. Οι ερευνητές της Kaspersky Lab έχουν δει ότι χρησιμοποιούνται σε αναβαθμισμένες εκδόσεις Trojan, συμπεριλαμβανομένων των Zerp, ZeusVM, Kins, Triton και άλλων. Οι περισσότερες από αυτές τις οικογένειες κακόβουλου λογισμικού στοχοποιούν γενικά χρηματοπιστωτικούς οργανισμούς και χρήστες χρηματοπιστωτικών υπηρεσιών. Το τελευταίο θα μπορούσε να είναι ένα σημάδι της επικείμενης μαζικής υιοθέτησης της τεχνικής από δημιουργούς κακόβουλου λογισμικού και – ως αποτέλεσμα – γενικά αυξημένη πολυπλοκότητα ανίχνευσης κακόβουλου λογισμικού.

 «Αν και δεν είναι η πρώτη φορά που παρατηρούμε μια κακόβουλη τεχνική αρχικά χρησιμοποιούμενη από εξελιγμένους απειλητικούς φορείς να βρίσκεται στο επικίνδυνο τοπίο κακόβουλου λογισμικού, η περίπτωση της στεγανογραφίας είναι ιδιαίτερα σημαντική. Μέχρι στιγμής, ο κλάδος ασφάλειας δεν έχει βρει έναν τρόπο για την αξιόπιστη ανίχνευση της εκδιήθησης δεδομένων που διεξάγεται με αυτόν τον τρόπο. Οι εικόνες που χρησιμοποιούν οι επιτιθέμενοι ως εργαλείο μεταφοράς για κλεμμένες πληροφορίες είναι πολύ μεγάλες και παρόλο που υπάρχουν ορισμένοι αλγόριθμοι που θα μπορούσαν να ανιχνεύσουν αυτόματα την τεχνική, η υλοποίησή τους σε μαζική κλίμακα θα απαιτούσε τόνους υπολογιστικής ισχύος και το κόστος θα ήταν απαγορευτικό».

 «Από την άλλη πλευρά, είναι σχετικά εύκολο να εντοπιστεί μια εικόνα «φορτωμένη» με κλεμμένα ευαίσθητα δεδομένα με τη βοήθεια χειρωνακτικής ανάλυσης. Ωστόσο, αυτή η μέθοδος έχει περιορισμούς, καθώς ο αναλυτής ασφάλειας θα μπορούσε να αναλύσει μόνο έναν πολύ περιορισμένο αριθμό εικόνων την ημέρα. Ίσως η απάντηση να είναι μία μίξη των δύο. Στην Kaspersky Lab, χρησιμοποιούμε έναν συνδυασμό τεχνολογιών για την αυτοματοποιημένη ανάλυση και την ανθρώπινη διάνοια για να αναγνωρίσουμε και να εντοπίσουμε τέτοιες επιθέσεις. Ωστόσο, υπάρχουν περιθώρια βελτίωσης σε αυτόν τον τομέα και ο στόχος των ερευνών μας είναι να προσελκύσουμε την προσοχή της βιομηχανίας στο πρόβλημα και να επιβάλουμε την ανάπτυξη αξιόπιστων αλλά οικονομικά προσιτών τεχνολογιών, επιτρέποντας τον προσδιορισμό της στεγανογραφίας σε επιθέσεις κακόβουλου λογισμικού», δήλωσε ο Alexey Shulmin, security researcher της Kaspersky Lab.

Για περισσότερες πληροφορίες σχετικά με τους τύπους στεγανογραφίας που χρησιμοποιούνται από τους κακόβουλους φορείς και τις πιθανές μεθόδους ανίχνευσης, μπορείτε να διαβάσετε το blogpost στον ειδικό ιστότοπο Securelist.com.

Πηγή

Επίθεση hackers στο Dark Web

Περίπου 20% όλων των ιστότοπων στο Dark Web σταμάτησαν να λειτουργούν μετά από κυβερνο-επίθεση, με τους υπεύθυνους αυτής να παρέχουν πληροφορίες σχετικά με τους διαχειριστές των συγκεκριμένων websites.

Το Dark Web αποτελεί έναν ανώνυμο διαδικτυακό τόπο, στον οποίο χρήστες έχουν πρόσβαση σε κρυφές υπηρεσίες και περιεχόμενο.

Όπως αναφέρει σε δημοσίευμά του το περιοδικό Wired, το Freedom Hosting II, μια περιοχή στο Διαδίκτυο με τουλάχιστον 10.000 Tor-based ιστοσελίδες, δέχτηκε επίθεση από χάκερς οι οποίοι υποστηρίζουν ότι στις συγκεκριμένες ιστοσελίδες διανέμεται περιεχόμενο παιδικής πορνογραφίας.

Την περασμένη Παρασκευή, οι επισκέπτες οποιασδήποτε ιστοσελίδας από αυτές που δέχτηκαν επίθεση, έβλεπαν το μήνυμα «Γεια σας, το Freedom Hosting II έχει πέσει θύμα χάκινγκ». Στο μήνυμα αναφερόταν επίσης ότι όταν οι χάκερς έψαχναν τη βάση δεδομένων του Freedom Hosting II ανακάλυψαν ότι το 50% του περιεχομένου του αποτελείτο από ιστοσελίδες «παιδικής πορνογραφίας».

Την επίθεση επιβεβαίωσαν και ειδικοί σε θέματα κυβερνο-ασφάλειας, ενώ δημοσιεύτηκε και λίστα με τις ιστοσελίδες που περιείχαν περιεχόμενο παιδικής πορνογραφίας.

Οι χάκερς αποκάλυψαν στην ιστοσελίδα τεχνολογίας Motherboard ότι αυτή ήταν η πρώτη τους κυβερνο-επίθεση.

Όπως αναφέρει στο δημοσίευμά του το Wired, ενώ το Σκοτεινό Διαδίκτυο είναι γνωστό ότι φιλοξενεί περιεχόμενο παιδικής πορνογραφίας, επιτρέπει τις πωλήσεις ναρκωτικών και τη διανομή παράνομων υπηρεσιών, εντούτοις χρησιμοποιείται και από δημοσιογράφους ή όσους επιθυμούν να αποφύγουν την επιτήρηση από καταπιεστικά καθεστώτα. Για τον λόγο αυτόν είναι πιθανό η βάση δεδομένων των διευθύνσεων ηλεκτρονικού ταχυδρομείου που διέρρευσε να πλήττει και εκείνους που χρησιμοποιούν τη μέθοδο ανώνυμης περιήγησης για νόμιμους λόγους.