Три важни аспекта на киберсигурността през 2023 година

За по-малко от три години киберсигурността се превърна от специализирана тематика, запазена за дискусия „само за експерти“, в колосален всеобщ проблем. Хакерските атаки са целенасочени и мотивирани финансово. Съвременната защита вече не разчита на идеята, че дадена организация завинаги ще остане незасегната от кибернетичните набези. В този материал ще разгледаме накратко какви са основните предизвикателствата, пред които сме изправени сега и какви адекватни мерки за защита могат да се приемат.

Текст: Индустриални продукти и приложения

След драстичната и бърза дигитализация на голяма част от работните процеси днес почти всички организации усещат неизменното присъствие на кибератаките. Съобщенията за рансъмуер говорят за изнудвания за десетки милиони. Хакери пробиват корпорации от авангарда на технологичния свят: софтуерния разработчик SolarWinds, австралийския телеком Optus, гиганта в споделените пътувания Uber – все фирми, за които сме били сигурни, че знаят как да защитават мрежите си. Щом те стават жертви на пробиви, значи всеки друг може да пострада. 

Тенденции през 2023 година 

Рансъмуерът ще продължи да е сред водещите киберопасности и през 2023 година. Заразяването се случва по- най-различни начини, но най-често пробивът се случва чрез кражба на идентификационни данни на вътрешен човек или чрез подмамване на действащ служител – т. нар. фишинг. Искането на откуп след криптиране на информацията е само част от бедата. Вече се практикува двойно изнудване. Това означава, че веднъж се иска плащане за „отключване“ на шифрираните данни, а втори път – за да не бъдат публикувани откраднатите активи в тъмните мрежи. За много организации второто е точно толкова опустошително, колкото първото. Суровите санкции съгласно регулациите за защита на личните данни (в ЕС – GDPR) могат да съсипят организацията при публикуване на нечии лични данни в тъмните мрежи, а репутационният риск е смазващ. 

Много компании се съгласяват да си платят откупа, за да се отърват възможно най-тихо от проблема. Но обичайно нещата не свършват дотам. По-малко от една трета са случаите, когато хакерите ще „отключат“ данните или ще предоставят ключ за декриптиране. За сметка на това веднъж надушили платежоготовна фирма, те няма да се посвенят да я атакуват и изнудват повторно. Атаките по веригите на доставките са друг проблем, който ще продължи да гори през 2023 г. Хакерите търсят начини да заразят технологии, които се използват от множество организации по света. Така например внедряването на „вратичка“ в бизнес-софтуер, който се ползва от хиляди фирми от стотици страни, осигурява на злонамерените кибер-майстори достъп до хиляди жертви едновременно: с един куршум – много зайци. 

Този сценарий вече беше изпробван от злонамерените играчи и и доказа стойността си за тях. Може да се очаква, че през 2023 година на прицел в подобни схеми ще са най-вече държавни организации и ютилити дружества. И едните, и другите са привлекателни поради най-малко две причини. Първо, съхраняват огромни количества лични данни, за чието изтичане и увреждане носят отговорност, и втори осигуряват услуги, от които са зависими множество фирми и физически лица.  Майсторските фалшификати ще започнат да набират популярност. Благодарение на напредъка в сферата на изкуствения разум вече могат да се създават изображения с образите на хора, които никога не са били в показваната обстановка. При това изглеждат достоверно. Нещо повече – могат да се създават видеоклипове, в които изглежда хора казват неща, които всъщност никога не са изричали. 

Този род схеми се използват за финансова облага. Затова един от най-честият сценарии на приложението им е изнудване. Друг формат, който става популярен, е измамното нареждане, най-често от името на директор или друг вид висш мениджър, към счетоводител с изискване за „спешно“ извършване на финансови транзакции.  Недоволните служители също ще се превърнат в опасно оръжие за кибератаки през 2023 година. Икономическата нестабилност подхранва тенденцията. Вектор на атака могат да станат вътрешни работници, разгневени заради „затягането на коланите“ – бюджетни ограничения, свиване на отделите, нарастване на задълженията, липса на бонуси и ограничаване на възнагражденията. Във фирмите, на които се наложат съкращения, гневните отпратени служители са сигурен носител на риск от кибер-атака. 

Кибер-застраховките ще са арена на динамични промени. Не беше нужно много време, за да се осъзнае важността на подобни застраховки. Все още обаче е разгорещен дебатът какво трябва и не трябва да покрива кибер-застраховката. В ранните си версии тези схеми позволяваха обезщетенията да се използват не само за покриване на вредите, но и за изплащане на откупните суми! С течение на времето вторият аспект започна да се разглежда като неприемлив. Някои държави дори криминализираха плащането на откупи при рансъмуер. С бума на кибер-престъпността обаче идва по-големият проблем: кибер-застраховките стават все по-скъпи. Очакванията на експертите са, че скоро полиците ще станат финансово непосилни за много фирми. 

Презумпцията за неизбежния пробив 

Колкото и да се стараем да се защитим, усилието никога няма да е напълно достатъчно, за да държим злонамерените хакери надалеч вечно. В ерата на облачните услуги и мобилните системи всеки човек се явява мишена на прицел – както индивидуално, така и като служител в определена организация. Експертите от света на киберсигурността са единодушни, че в съвременната реалност трябва да се примирим: въпросът не е дали ще ни се случи пробив, а кога. Подобно схващане е нова парадигма в киберсигурността. Възприемането й ще отнеме време, но е неизбежно, защото защитата, която е абсолютно надеждна днес, само след ден може да се окаже слаба и безпомощна. 

Оттам следва важен нов извод: всички ценни активи и процеси в инфраструктурата следва да бъдат конструирани с мисълта какво би се случило, ако „крадецът вече е вътре“. Структура, взаимовръзки и защита трябва да са организирани така, че да бъде ограбено най-малко, а най-ценните ресурси все пак да останат недостъпни. Можем да сравним наличната ИТ инфраструктура с къща, за която трябва да сме наясно, че рано или късно ще бъде посетена от крадец-зложелател. Той може да иска да вземе нещо ценно, за да го продаде, да отвлече нещо стойностно, за да ни изнудва, или просто да съсипе дома. Парадигмата за неизбежния пробив не означава да не монтираме врати, алармени системи и ключалки за прозорците. Означава обаче, че трябва да скрием семейните пари и бижута там, където крадецът няма да може да ги намери, дори и да влезе и да се разходи вътре. 

Нулево доверие

Концепцията за неизбежния пробив обуславя и следващата мащабна тенденция в света на кибер-сигурността: никъде никой не може да има абсолютни права за всичко. Голяма част от съвременните пробиви се осъществяват след като кибер-злодеите са откраднали нечии идентификационни данни: имена и пароли за достъп, кодове, токени. Приемането на пробива изисква да прилагаме принципа на нулевото доверие, тоест да смятаме, че всеки легален обитател и посетител може да доведе след себе си нежелан посетител. Това означава да се държим така, сякаш пробивът дебне на всяка крачка. Това изисква ограничаване на възможностите за всеки и всичко: хора, администратори, приложения, услуги. Всеки актив следва да се гледа през очила, които виждат света вече хакнат. 

Презумпцията за неизбежния пробив помага за повишаване на защитните сили на всички нива и изграждане на способности за адекватно реагиране в случай на евентуален пробив. Съществена стъпка за ограничаване на потенциални щети е въвеждането на принципа, че всеки служител има достъп до онези ИТ ресурси, които са минимално необходими, за да си върши работата спокойно. От друга страна никой, нито дори главният изпълнителен директор, не получава властта на супер-потребител с пълни права за всичко и навсякъде. Така е, защото ако неговите идентификационнни данни попаднат в злонамерени ръце, това ще даде пълна власт на зложелателите да опустошат организацията светкавично. 

Етичното хакерство 

В ерата на добре усъвършенстваните кибератаки все повече организации осъзнават ползата от работата с етичните хакери. По същество това са технологични специалисти, които добронамерено „хакват“ съществуващите ИТ системи и ресурси с единствената цел да помогнат за запушване на пробойни и премахване на слабости.  Етичното („бяло“) хакерство съществува от десетилетия. Едва в последните две години то набра популярност заради експоненциалния растеж на кибер-престъпността. Организациите си дават сметка, че колкото и решения за сигурност да внедрят (в по-големите организации броят им е над 50), винаги има вероятност да остане пролука, удобна за злонамерените играчи. Тук идва ролята на хакерите, които знаят как да надушат слабостта, но няма да се възползват користно от това. 

Могат ли обаче добрите, етични хакери да бъдат поканени да действат в дадена организация? Изобщо къде могат да бъдат намерени? Практиката е да се обявяват програми за награждаване на добронамерените хакери, които докладват за намерени пробойни. Прието е тези схеми да се наричат „баунти“ (от англ. „bounty” – сладкиш, почерпка, награда). Наградите могат да бъдат парични, но не е задължително. „Баунти“ програмите могат да имат определен срок, например няколко седмици или няколко месеца, или да са перманентни. Фирмата-организатор следва да опише правилата на своята програма, изяснявайки най-вече какво точно ще счита за добронамерено хакване. 

Етичното хакерство е изключително полезен инструмент за повишаване на защитните сили на организацията. Ала пред него има и една голяма пречка. Според текущото законодателство в повечето страни, неоторизираният достъп до чужди компютърни системи се счита за престъпление – и е наказуемо. Приканването към добронамерен пробив не променя природата на явлението. Това означава, че етичните хакери се третират като престъпници от гледна точка на правната система и това е така в цял свят. 

В момента са а ход редица инициативи за промяна на законодателството за хакерството. За този проблем говори САЩ, но е известно, че законодателна промяна се готви и в България. Изменението трябва да позволи бялото хакерство, без това да създаде предпоставка злонамерените лица да се облагодетелстват. От ноември 2022 година има и общоприет „златен стандарт“ за защита на етичните хакери, създаден от тяхната международна „професионална“ асоциация. Наречен е Gold Standard Safe Harbor (съкратено – GSSH) и е достъпен за всички организации по света. Чрез него те могат да гарантират, че са готови да защитят етичните хакери и да ги освободят от санкции, когато хакват добросъвестно.