Didėjantis socialinės inžinerijos metodais paremtų atakų skaičius, tinkamai neapsaugoti darbuotojų išmanieji ir daiktų interneto įrenginiai, tampantys tiesiausiu keliu link svarbiausių organizacijos duomenų – taip trumpai galima įvardyti svarbiausias 2019-ųjų kibernetines grėsmes, remiantis pernai metų statistika ir ateinančių metų prognozėmis. Kokie konkretūs pavojai gali tykoti Jūsų organizacijos tinklo, infrastruktūros, aplikacijų bei jautrių duomenų ir ko imtis siekiant apsisaugoti nuo labiausiai tikėtinų kibernetinių nusikaltimų, pasakoja Aivaras Teleiša, „Blue Bridge“ saugumo sprendimų ekspertas.
Lietuvoje atakų mastas mažesnis, bet pobūdis – panašus
Prieš daugiau nei 40 metų Nobelio premijos laureato Česlovo Milošo pasakyti žodžiai apie tai, kad „gera yra gimti mažoje šalyje“, išlieka tiesa ir skaitmeniniame amžiuje. Pagal „Kaspersky Labs“ duomenis, Lietuva pasauliniame kibernetinių atakų aktyvumo reitinge užima tik 88 vietą. Tiesa, nors mūsų šalyje kibernetiniai nusikaltimai yra mažesnio masto ir iš esmės – retesni, iš turimos statistikos matosi, kad pasaulinės tendencijos neaplenkia Lietuvos.
Pavyzdžiui, tarp svarbiausių pasaulinių kibernetinių nusikaltimų tendencijų – spartus socialinės inžinerijos populiarėjimas. Pagal Nacionalinio kibernetinio saugumo centro statistiką, 2018 m. Lietuvoje socialinės inžinerijos metodais paremtų atakų skaičius taip pat augo net 25 proc. ir siekė daugiau nei 250 tūkst. incidentų. Svarbu paminėti ir naują socialinės inžinerijos metodų panaudojimo atributą – „Microsoft Office“ dokumentų pavidalų atsiunčiamus kenksmingus el. pašto priedus. Tokių atakų skaičius pernai pasaulyje padidėjo net 48 proc.
Kita svarbi ir globali tendencija, kurios negalima išleisti iš akių ir Lietuvoje – augančios grėsmės mobiliesiems įrenginiams. Panašu, kad visame pasaulyje įmonės vis dar neskiria darbuotojų išmaniesiems tiek dėmesio, kiek kompiuterinėms darbo vietoms, todėl, kalbant rinkos terminais, atsirado nauja ir greitai auganti kibernetinių nusikaltimų „niša“. Pavyzdžiui, pernai išpirkos reikalaujančiais „Ransomware“ virusais apkrėstų mobilių įrenginių skaičius pasaulyje paaugo 33 proc. ir tikėtina, kad šiemet išaugs dar labiau.
Žmonės – vis dar pažeidžiamiausia grandis
Turint omeny augantį socialinės inžinerijos metodais paremtų atakų skaičių, nestebina tai, kad silpniausia kibernetinio saugumo dalimi išlieka darbuotojai. Apskritai, didžiąją daugumą – net 95 proc. visų saugumo incidentų sudaro žmogiškosios klaidos, o 59 proc. IT saugumo grėsmių organizacijai – darbuotojų netyčinių klaidų rezultatas. Ši statistika susijusi ir su tuo, kad duomenų nutekėjimo incidentai pastebimi po gana ilgo laiko – tam vidutiniškai prireikia maždaug pusės metų.
Žvelgiant į kibernetinio saugumo artimiausią ateitį, prognozuojama, kad kibernetinių nusikaltimų skaičius tik didės. Skaičiuojama, kad tokie nusikaltimai iki 2021 m. kasmet kainuos 6 trilijonus JAV dolerių, t. y. taps pelningesni nei pasaulinė prekyba narkotikais.
Kalbant apie artimiausius kelerius metus, taip pat pravartu atkreipti dėmesį į gana naują atakų trajektoriją – IoT (daiktų interneto) įrenginius. Būtent jie, pasak „Gartner“ analitikų, jau šiemet gali tapti pagrindiniais kenkėjiškų programų taikiniais ir kitąmet jau bus įtraukti į 25 proc. visų kibernetinių atakų.
Didžiausia tikimybė susidurti su aplikacijų atakomis
Žvelgiant detaliau į technologinio saugumo sluoksnius, kurių centre – jautrūs duomenys, tampantys 96 proc. visų kibernetinių atakų taikiniu – pirmiausia reikėtų atkreipti dėmesį į aplikacijas. Būtent per aplikacijas dažniausiai bandoma pasiekti jautrią informaciją ir vis dažniau tai padaryti pavyksta sėkmingai.
Remiantis įvairių saugumo sprendimų gamintojų statistika, duomenų įrašų nutekėjimo skaičius pernai išaugo net 133 proc., kai 2017 m. jis siekė 88 proc. Tiesa, apie dalį incidentų, susijusių su pažeistu duomenų saugumu, nesužinome dėl teisinio reguliavimo. Vis dėlto vienas garsesnių atvejų, įvykusių pernai – „Marriot“ viešbučių tinklo atvejis, kai nutekinti 500 mln. klientų duomenys, leidžia gana aiškiai įsivaizduoti tokių atakų mastą ir pasekmes.
Taigi – kaip dažniausiai pasiekiami duomenys? Panašu, kad tokio tipo kibernetinių atakų lyderis yra privilegijuotų vartotojų teisių eskalavimas, taip pat – formjacking’as, kai į el. mokėjimo puslapius ir formas įterpiamas kenkėjiškas kodas. Saugumo gamintojas „Symantec“ kas mėnesį užfiksuoja apie 5 tūkst. tokiu būdu apkrėstų puslapių.
Laimei, aplikacijų apsaugos produktų rinka taip pat nesnaudžia. Dažnėjančių aplikacijų užpuolimų kontekste daugelis jau yra girdėję apie CASB (debesų kompiuterijos prieigos saugumo valdiklis) ar WAF (WEB aplikacijų ugniasienė) sprendimus, tačiau reta organizacija turi juos įsidiegusi.
Iš mados neišeinančios DDoS atakos
Žvelgiant į kitus du svarbiausius technologinio saugumo sluoksnius – infrastruktūrą ir tinklus, į akis iškart krinta bendras vardiklis – DDoS (liet. paskirstyta paslaugos trikdymo ataka).
Nors tikslinių atakų, nukreiptų į tinklą, vis dar sąlyginai nedaug – tinkle ir tinklo įrenginiuose nesaugome svarbios informacijos, – tačiau DDoS atakų pasekmės tikrai didelio masto. Tai įrodo ir pernai metais garsiai nuskambėjusi „Mirai Botnet“ istorija, kai iš 145,000 IoT (daiktų interneto) įrenginių sudarytas botų tinklas sutrikdė tokių įmonių kaip „Twitter“, „Paypal“, BBC, „Netflix“ ir HBO sistemų veiklą.
Tarp kitų scenarijų, susijusių su tinklo įrenginių atakomis, pernai dažnai buvo sutinkamas srautų nukreipimas, tiksliniai tinklo įrangos sutrikdymai ir šios įrangos apsaugos funkcijų išjungimas siekiant paslėpti kitą nusikalstamą veiklą.
Kiek daugiau netikėtumų infrastruktūros sluoksnyje – populiarumo, nors ir mažėjančio, nestokoja Critpojacking‘o atakos, kai siekiama užvaldyti infrastruktūros įrenginius kriptovaliutų kasimui. Verta atkreipti dėmesį į vieną naujesnių scenarijų, susijusių su Critpojacking‘u, kai darbuotojai, susigundę lengvais pinigais, imasi iniciatyvos ir kasa valiutas naudodami įmonės duomenų centro infrastruktūrą. Tokių atvejų jau matėme ir Lietuvoje.
Kibernetinis saugumas platesniame kontekste
Į ką dar verta atkreipti dėmesį dar šiemet? Pirmiausia, į įvairių lygių darbuotojų švietimą kibernetinio saugumo tema. Verta pasvarstyti ir apie dažnesnius socialinės inžinerijos metodų mokymus visiems darbuotojams ir specifinius saugumo mokymus kibernetiniu saugumu besirūpinantiems IT specialistams.
Dar vienas svarbus saugumo elementas – teisinė aplinka, kuri kasmet tobulėja ir Lietuvoje, ir Europos Sąjungoje. Todėl su svarbiausiais teisės aktais IT srityje rekomenduočiau susipažinti net tuo atveju, jeigu jie nėra tiesiogiai jums privalomi. Pateikiamą informaciją galima panaudoti kaip rekomendacijas ir gerąsias praktikas. Kai kuriais atvejais tokia informacija net gali tapti atspirties tašku kuriant savo kibernetinio saugumo strategiją, tobulinant procesus ir taisykles, numatančias, kaip reaguosite į kibernetinius incidentus ir įgyvendinsite kibernetinio saugumo kontrolę organizacijos viduje.
„Blue Bridge“ saugumo specialistai parengė rekomendacijas apsaugai nuo socialinės inžinerijos el. paštu >>
Rekomendacijas galite atsisiųsti ir pasidalinti savo organizacijoje.
