KYBERNETICKÁ A INFORMAČNÍ VÁLKA Téma č. 8 ÚTOKY NA INFORMAČNÍ SYSTÉMY mjr. Ing. Petr STODOLA, Ph.D. Univerzita obrany Fakulta ekonomiky a managementu Katedra vojenského managementu a taktiky Operační program: Vzdělávání pro konkurenceschopnost Projekt: Vzdělávání pro bezpečnostní systém státu (reg. č.: 1.01/2.2.00/15.0070)
Osnova Úvod Základní pojmy Klasifikace útoků na IS Formy útoků na IS Důsledky útoků na IS Bezpečnost IS Bezpečnostní funkce Bezpečnostní mechanismy Závěr Literatura
Úvod Vzrůstající množství a úroveň kritických útoků na významné informační systémy je globálním problémem Útoky se vedou stále častěji na klíčové vládní informační systémy nebo informační systémy státní správy Alarmující je vysoká úspěšnost útočníků při získávání citlivých informací a při implantaci škodlivého softwaru do těchto informačních systémů Útoky jsou organizované, disciplinované, agresivní, dobře zajištěné a často extrémně sofistikované Možní útočníci: teroristické organizace, hackeři, počítačoví zločinci, konkurence, jiné státy s cílem získat klíčové informace např. z oblasti výzkumu apod.
Úvod Statistika CERT týkající se počtu evidovaných bezpečnostních incidentů (CERT statistiku neeviduje od roku 2004)
Úvod Statistika společnosti Symantec týkající se odhadu denního počtu webově orientovaných útoků v letech 2009 až 2010
Základní pojmy Informační systém (IS) Aktiva IS Bezpečnost IS Zranitelné místo Hrozba Riziko Útok Útočník Ochrana Požadavky na bezpečnost IS
Základní pojmy Informační systém (IS) Soubor lidí (personálu), technologických prostředků a metod, které zabezpečují sběr, přenos, zpracování a uchování dat za účelem využití informací pro potřeby uživatelů Aktiva IS Vše, co je majitelem považováno za cenné (samotný IS, informace v IS, služby poskytované IS) Bezpečnost IS Stav, kdy citlivá nebo cenná data IS jsou v požadované míře chráněna před zneužitím, modifikací nebo výpadkem
Základní pojmy Zranitelné místo Slabina IS využitelná prostřednictvím útoku ke způsobení škod nebo ztrát na aktivech Hrozba Potenciální možnost využít zranitelných míst (slabin) IS k útoku na něj za účelem způsobení škody Riziko Pravděpodobnost využití zranitelného místa IS a způsobená škoda potenciálním bezpečnostním incidentem
Základní pojmy Útok (bezpečnostní incident) Úmyslné (někdy i neúmyslné) využití zranitelných míst IS ke způsobení škod nebo ztrát na aktivech IS Útočník Osoba nebo skupina osob (vnější mimo organizaci nebo vnitřní uvnitř organizace), která provádí útok na IS Ochrana Opatření technického, personálního nebo organizačního charakteru snižujícíčetnost a velikost ztrát a škod na IS
Základní pojmy Požadavky na bezpečnost IS: Dostupnost informací: záruka, že uživatelé mohou s informacemi pracovat v reálném čase Autentičnost a integrita informací: záruka, že informace jsou původní a pochází z uvedeného zdroje, tzn. jsou důvěryhodné Důvěrnost informací: záruka, že informace jsou dostupné pouze oprávněným uživatelům s patřičnými přístupovými právy
Klasifikace útoků na IS Kritéria pro klasifikaci útoků na IS: Podle úmyslu útočníka Podle rozsahu způsobené škody Podle charakteru a formy útoku Podle charakteru cíle útoku Podle úrovně zjistitelnosti útoku Podle typu útočníka Podle síly útočníka
Klasifikace útoků na IS
Klasifikace útoků na IS Podle úmyslu útočníka Úmyslné útoky Útočník se snaží využít zranitelných míst IS zcela záměrně Útoky jsou často vedeny s jasným cílem nebo zamýšlenou škodou na aktivech IS Někdy se jedná o útoky bez jasného záměru (např. vandalismus) Neúmyslné (náhodné) útoky Útok je způsoben neúmyslně, zpravidla v důsledku lidského faktoru Důvodem může být nešťastná náhoda nebo porušení zavedených bezpečnostních opatření (z nedbalosti, z nevědomosti apod.) Důsledkem je neúmyslné uskutečnění akce (akcí), které vedou ke škodě na aktivech IS Neúmyslné útoky mohou být způsobeny také přírodními faktory (záplava, požár, zemětřesení, bouřka apod.)
Klasifikace útoků na IS Podle rozsahu způsobené škody Útok se škodou malého rozsahu Nevýznamné útoky, způsobené škody nemají na organizaci zásadní dopad Útok se škodou středního rozsahu Útoky znamenající pro organizaci citelné ztráty, většinou v krátkodobém horizontu Útok se škodou velkého rozsahu Významné útoky způsobující výrazné škody s dlouhodobým dopadem (např. větší finanční ztráta, znehodnocení dobrého jména společnosti apod.) Útok se škodou katastrofického rozsahu Kritické útoky, které znamenají zhroucení organizace nebo její trestní odpovědnost
Klasifikace útoků na IS Podle charakteru a formy útoku Útok přerušením Útok na dostupnost informací IS Např. ztráta, znepřístupnění nebo poškození aktiva, porucha periferie, vymazání programu nebo dat, porucha v OS Útok odposlechem Útok na důvěrnost informací IS, tzn. neoprávněný přístup k aktivům, která jsou určena pouze autorizovaným uživatelům Např. získání neoprávněné kopie programu nebo dat Útok změnou Útok na integritu informací IS, tzn. neoprávněná modifikace aktiv Např. změna uložených nebo přenášených dat Útok přidáním hodnoty Útok na integritu nebo autentičnost informací IS Např. podvržení transakce, dodávka falešných dat
Klasifikace útoků na IS Podle charakteru cíle útoku Útok na technické vybavení IS Útok přerušením: krádež, destrukce hardwaru Útok odposlechem: krádež času procesoru, místa v paměti Útok přidáním hodnoty: implantace škodlivého hardwaru Útok na programové vybavení IS Útok přerušením: úmyslné nebo neúmyslné odstranění softwaru Útok odposlechem: získání neoprávněné kopie programu Útok změnou: využití chyb softwaru aplikací chybné konfigurace Útok přidáním hodnoty: implantace virů, trojských koňů, červů Útok na data IS Útok přerušením: úmyslné nebo neúmyslné vymazání dat Útok odposlechem: získání neoprávněných kopií dat Útok změnou: neautorizovaná modifikace dat Útok přidáním hodnoty: generování falešných dat, transakcí
Klasifikace útoků na IS Podle úrovně zjistitelnosti útoku Pasivní útok Útoky, které jsou orientovány především na získávání citlivých informací, které je možné zneužít Při útoku nedochází ke změnám na hardwaru, softwaru ani datech Typickým příkladem je odposlouchávání dat, monitorování provozu Pasivní útoky jsou hůře detekovatelné, nejlepší obrana je prevence Aktivní útok Výsledkem útoku je zásah do hardwaru, softwaru nebo dat Typickým příkladem je zničení hardwaru, neautorizované odstranění softwaru nebo dat, implantace virů do systému, modifikace dat, vytváření falešných dat apod. Aktivní útoky jsou snadněji detekovatelné, ale mohou způsobit vyšší škody
Klasifikace útoků na IS Podle typu útočníka Vnitřní útočník Současní nebo bývalí zaměstnanci organizace Odhaduje se, že cca 80 % útoků na IS je vedeno zevnitř Motivem může být odplata za propuštění zaměstnance, jeho chamtivost nebo vydírání jinou společností apod. Vnější útočník Hackeři, počítačoví zločinci, teroristi, konkurenti organizace apod. Vnější útočníci jsou často limitováni nižší úrovní informací o organizaci, na kterou útočí (o struktuře a architektuře IS) Kombinace vnitřního a vnějšího útočníka Součinnost obou typů útočníků Z hlediska vedení útoku často velmi efektivní
Klasifikace útoků na IS Podle síly útočníka Útočník slabé síly Amatéři nebo náhodní útočníci s omezenými znalostmi, příležitostmi i prostředky Útočník střední síly Hackeři nebo hackerské skupiny s dobrými znalostmi, ale omezenými příležitostmi i prostředky Útočník velké síly Profesionální zločinci s vysokou úrovní znalostí a dostatkem finančních i časových prostředků
Formy útoků na IS Monitorování komunikace Modifikace přenášených dat Maškaráda Podvádění Odmítnutí přijetí Zpožďování Odmítnutí služby Průnik do systému Narušení autorizace Škodlivý software
Formy útoků na IS Monitorování komunikace (Snooping) Pasivní forma útoku Dochází k ohrožení důvěrnosti aktiv IS Jedná se o neautorizované odchytávání dat Patří sem odposlouchávání komunikace třetí osobou nebo neautorizované procházení dat a systémových informací Typickým příkladem je síťový odposlech (wiretapping), při kterém dochází k odposlechu síťové komunikace probíhající zpravidla na standardních protokolech TCP/IP
Formy útoků na IS Modifikace přenášených dat (Modification, Alternation) Aktivní forma útoku Dochází k ohrožení integrity aktiv IS Jedná se o falzifikaci dat za účelem oklamat jejich příjemce tak, aby reagoval způsobem škodlivým jeho zájmům Modifikovaná data mohou sloužit také pro řízení chodu systému způsobem, který útočník zamýšlí Příkladem je aktivní wiretapping, kdy dochází kromě získávání informací ze sítě také k jejich modifikaci Při útoku MITM (Man-in-the-middle) útočník stojí mezi dvěma uživateli, odchytává zprávy od odesílatele a v pozměněné podobě je posílá původnímu příjemci
Formy útoků na IS Maškaráda (Masquerading) Aktivní forma útoku Dochází k ohrožení integrity aktiv IS Útočník při maškarádě vystupuje jako legitimní uživatel Při útoku se útočník snaží provést operace v systému, na které má uživatel, za kterého se vydává, oprávnění Jedná se o formu podvodu často s cílem přisvojení nebo vyřazení z činnosti prostředků IS Jistou legální formu maškarády je delegace, kdy uživatel deleguje jinému uživateli právo provádět některé úkony nebo operace jeho jménem
Formy útoků na IS Podvádění (Phishing, Spoofing) Aktivní forma útoku Dochází k ohrožení integrity aktiv IS Útočník se snaží oklamat uživatele a získat jeho citlivé informace (např. přihlašovací údaje do systému) Typickým příkladem je rozesílání e-mailových zpráv odkazujícího adresáta do falešného systému, který však vypadá zcela důvěryhodně a vyzývá uživatele k zadání osobních nebo přihlašovacích údajů (např. napodobení systému přihlášení do internetového bankovnictví) Pojem má základ v anglickém fishing (rozesílání návnady v naději, že se na ni chytí nějaké oběti)
Formy útoků na IS Odmítnutí přijetí (Denial of Receipt) Aktivní forma útoku Dochází k ohrožení integrity a dostupnosti aktiv IS Útok je veden zpravidla na úrovni jednotlivců Typickým příkladem může být internetové obchodování, při kterém zákazník objedná a zaplatí zboží, prodávající jej odešle a zákazník převezme, což však po nějaké době popře; pokud nemůže prodávající prokázat, že zákazník zboží převzal, jedná se o úspěšný útok Podobnou formou podvodu je také popření původu (Repudiation of Origin), při kterém probíhá komunikace (např. obchodní) mezi dvěma uživateli, kterou po určitém čase jeden z nich popře
Formy útoků na IS Zpožďování (Delay) Aktivní forma útoku Dochází k ohrožení dostupnosti aktiv IS Jedná se o dočasné zpožďování toku informací v IS Útočníci se při útoku snaží zpozdit komunikaci zpravidla mezi síťovými prostředky IS Komunikace mezi těmito prostředky probíhá většinou v rámci určitého časového intervalu Pokud nedojde odpověď na požadavek jednoho prostředku na druhý prostředek v tomto časovém intervalu, je cílový prostředek považován za nedostupný (tzn. útok je úspěšný)
Formy útoků na IS Odmítnutí služby (Denial of Service, DoS) Aktivní forma útoku Dochází k ohrožení dostupnosti aktiv IS Jedná se o blokování služeb IS Útočník se snaží zamezit prostředkům IS v poskytování služeb Typickým příkladem je blokování služeb zahlcením požadavky (např. zahlcení webového serveru požadavky na příjem www stránek) Nejmodernější formou je distribuované odmítnutí služeb (DDoS), kdy se na útoku podílí velké množství útočníků (úmyslně nebo nevědomě) Odmítnutí služby může být způsobeno také výpadky proudu, požárem, havárií disku apod.
Formy útoků na IS Průnik do systému (System penetration) Aktivní forma útoku Dochází k ohrožení důvěrnosti, integrity i dostupnosti aktiv IS Průnik nastává, když se neautorizované osobě podaří získat přístup do systému např. za účelem neoprávněné modifikace dat, získání důvěrných dat, neoprávněného použití zdrojů systému nebo blokování některých služeb Typickým příkladem je zcizení přihlašovacích údajů uživatele a jejich zneužití neautorizovaným přihlášením do systému
Formy útoků na IS Narušení autorizace (Authorization violation) Aktivní forma útoku Dochází k ohrožení důvěrnosti, integrity i dostupnosti aktiv IS Jedná se o situaci, ve které se útočníkovi podaří provést určitou operaci, na kterou nemá autorizaci (neoprávněná modifikace dat, získání důvěrných dat, neoprávněné použití zdrojů systému nebo blokování některých služeb) Podobná hrozba jako v případě průniku do systému Rozdíl spočívá v tom, že v případě narušení autorizace se podaří útočníkovi obejít zabezpečení systému
Formy útoků na IS Škodlivý software (Malicious Software, Malware) Aktivní forma útoku Dochází k ohrožení důvěrnosti, integrity i dostupnosti aktiv IS Jedná se o implantaci škodlivého softwaru (počítačové viry, trojské koně, počítačovíčervi) na různéřídící nebo uživatelské stanice IS Zpravidla se jedná o přípravu na další útok (odesílání citlivých nebo přihlašovacích údajů uživatelů, napadání nebo modifikace systému, využívání zdrojů, další šíření na jiné stanice IS apod.)
Nástroje útočníků Analýza společnosti Symantec z roku 2010 zabývající se využitím nástrojů útočníků při útocích na webové stránky
Důsledky útoků na IS Důsledek je dán velikostí škody, kterou provedený útok způsobí na aktivech IS Velikost škody je dána funkcí a hodnotou aktiv Důsledky mohou být: Přímé: zničení nebo narušení důvěrnosti, integrity, autenticity, dostupnosti nebo spolehlivosti informací nebo prostředků IS Nepřímé: finanční ztráty, ztráta dobrého jména nebo trestní odpovědnost společnosti apod. Odhad potenciální škody umožní vynaložit optimální množství prostředků na realizaci konkrétních bezpečnostních opatření
Bezpečnost IS Bezpečnostní funkce Bezpečnostní funkce fyzické povahy: Stínění, trezory, zámky, ostraha, záložní zdroje a generátory energie, hasící přístroje apod. Bezpečnostní funkce technické povahy: Autentizace na základě ID karet, šifrovací zařízení, autentizační kalkulátory, firewally, záložní pásky apod. Bezpečnostní funkce logické povahy: Softwarovéřízení přístupu, digitální podpisy, antiviry, kódování, kryptografie apod. Bezpečnostní funkce administrativní povahy: Hesla, přijímací a výpovědní postupy, školení, předpisy, zákony apod.
Bezpečnost IS Bezpečnostní mechanismy Prevence Aplikace bezpečnostních opatření pro předcházení útokům Vhodná forma ochrany před pasivními útoky (detekce je obtížná) Příklad: užití hesel, antivirových programů, firewallů, šifrování apod. Detekce Pokud není možné zabránit útoku, je nutné jej detekovat, monitorovat a přijmout opatření k jeho potlačení Detekční mechanismy monitorují akce naznačující útok Příklad: upozornění na vysoký počet nesprávně zadaných hesel Opravné mechanismy Zastavení útoku, vyhodnocení škod a pokus o jejich nápravu Odstranění zranitelného místa systému, které útočník zneužil
Závěr Každým rokem dochází k nárůstu počtu cílených útoků na IS různých firem, společností, organizací, institucí, nadnárodních korporací, vládních agentur apod. Metody útočníků jsou stále důmyslnější, každým dnem se objevují nové metody a hrozby Častým cílem útočníků jsou krádeže duševního vlastnictví a získávání osobních údajů Fenoménem poslední doby jsou útoky na sociální sítě, ve kterých se škodlivé odkazy šíří přes přátele oběti Dále výrazně rostou útoky na systémy mobilních telefonů, nejčastěji přes trojské koně tvářící se jako legitimní SW
Závěr Hlášení Internet Security Threat Report společnosti Symantec z roku 2010 pokrývající informace o aktivitách kyberzločinců obsahuje několik alarmujících údajů: 286 miliónů nových hrozeb 6 253 nových zranitelných míst Průměrný únik 260 000 identit při jednom narušení O 42 % více mobilních zranitelností než v roce 2009 O 93 % více útoků spojených s webovými stránkami než v r. 2009 74 % spamu spojeno s farmaceutickými produkty Na různých diskuzních fórech lze koupit údaje o kreditních kartách od 0,07 $ do 100 $ za kartu podle její vzácnosti nebo slevy při hromadném nákupu
Literatura LIPSON, H. F. Tracking and Tracing Cyber-Attacks: Technical Challenges and Global Policy Issues. 2002. BURDA, K. Bezpečnost informačních systémů. 2005. TUČEK, P. Bezpečnostní politika rozsáhlé uživatelské počítačové infrastruktury. 2007. ROSS, R. Information Systems Under Attack. 2007. Software Engineering Institute. CERT Statistics. 2008. ALSHBOUL, A. Information Systems Security Measures and Countermeasures: Protecting Organizational Assets from Malicious Attacks. 2010. Symantec. Internet Security Threat Report. Vol. 16. 2011. Internet (Wikipedia, vyhledávání na Google.com)
Dotazy? Děkuji za pozornost