Az ellátási láncon keresztül érkező támadások ellen felkészülni a legnehezebb, mert megbízhatónak vélt forrásból érkeznek. A magyar kkv-k nemzetközi világcégek elleni támadások kiindulópontjai lehetnek úgy, hogy nem is tudnak róla. A diverzifikált, többszintű és multivendor alapú védekezés lassíthatja a támadást.
2020. december elején a világ már javában az online karácsonyra készült: a home office munkavégzés helyett az alkalmazottak a netes oldalakon vásárolták meg a legjobb ajándékokat, készültek az ünnepekre. Az államilag támogatott, vélhetően orosz, mások szerint kínai hekkerek azonban másféle ajándékot szereztek be: betörtek az amerikai FireEye nevű vállalathoz, onnan pedig a digitális széfben tárolt, Red Team nevű eszközökkel távoztak. Ezeket a hálózatok biztonságának tesztelésére használtak, és a hekkerek kezében ideális támadási fegyverekké válnak.
Felgöngyölítették az esetet
A biztonsági berkekben sokan megdöbbenve álltak az eset előtt, hiszen, ha egy biztonsági vállalat legértékesebb eszközeit csak úgy hipp-hopp ellopják, akkor mit tegyen az a cég, amely néha azt sem tudja, hogy mit kellene megvédjen hálózatában? A biztonsági cég a lehető legtranszparensebben reagált: mindenki számára elérhetővé tette a Red Team eszközöket, hogy a szakemberek legalább tudják, milyen típusú támadásokra számíthatnak. Ez a gesztus elég volt arra, hogy a cég részvényeinek esése megálljon. Az ezután következő nyomozást a tőzsde árnövekedéssel honorálta.
A biztonsági cég felgöngyölítette, hogy pontosan hogyan is sikerült a hekkereknek ellopniuk az értékes eszközöket. A vállalat a SolarWinds hálózatbiztonsági cég monitorozó szoftverét, az Oriont használta saját belső hálózata megfigyelésére. Ennek egyik tavaszi frissítésébe a hekkerek építették be azokat a hátsó ajtókat, amelyek segítségével relatíve egyszerűen bejutottak nemcsak hozzájuk, hanem rengeteg nagyvállalat, amerikai kormányzati szervezet, ügynökség rendszereibe (a FireEye-nak 18 ezer ügyfele volt akkor). Az említett frissítés még 2020 tavaszán történt, vagyis a hekkereknek sok ideje volt belépni a nyitott ajtókon.
Népszerű szoftverek forráskódja közelében
Az év végén egyszer még a szívükhöz kaptak sokan azok közül, akik Microsoft termékeket használnak: kiderült ugyanis, hogy a Microsoft hálózatába is bejutottak hekkerek, akiknek sikerült megtekinteni a szoftverek forráskódját, bár módosítani már nem volt lehetőségük. Hogy pontosan a SolarWinds szoftver segítségével, vagy ahogy a Crowdstrike biztonsági cég állítja, viszonteladókon keresztül jutottak be a szoftveróriás hálózatába, ebből a perspektívából részletkérdés. Itt is, ott is megbízhatónak vélt partnereken keresztül, az ellátási lánc egyik szereplőjének sebezhetőségét kihasználva hatoltak be a hálózatba.
Az ellátási lánc hibáit kihasználó támadások az egyre összekapcsoltabb világban sajnos nem az első, nem is az utolsó példái annak, hogyan lehet egy gyenge láncszemen keresztül bejutni akár a világ legjobb kiberbiztonsági rendszereivel védett hálózatokba is. A „2020 State of the Software Supply Chain” elemzés összegzése szerint a nyílt forráskódú szoftverek elleni támadások 430 százalékkal nőttek 2020-ban. Az elmúlt évben több mint 1,5 billiónyi open source összetevőt töltöttek le a fejlesztők. Az alkalmazásokban használt nyílt forráskódú szoftver összetevők 11 százalékának van ismert sérülékenysége.
Az állami hekkerek kedvelt eszközei
Bár nem mindig derül ki, de az elmúlt tíz évben legalább 27 olyan ellátásilánc-támadást regisztráltak, amikor állami szereplők voltak mögötte – áll az Atlantic Council elemzésében. Ilyen például a CCleaner szoftver esete, amely az Avast biztonsági cég terméke. 2017-ben az alkalmazásba egy hátsó ajtót építettek be, a támadás észleléséig 2,3 millióan töltötték le. A szakértők szerint észak-koreai hekkerek álltak az eset mögött.
Ahhoz, hogy a saját maguk fejlesztette, megbízhatónak vélt szoftver teljesen legitimnek tűnjön, a támadók hamisított tanúsítványokat is használnak. Ezeket sok esetben ellopják a tanúsító cégektől vagy a fejlesztő cég képviselőinek kiadva magukat hamis adatokkal megszerzik az eredetinek tűnő, aláírt tanúsítványt. Ez történt 2019-ben, amikor több ezer Asus számítógépre hamisan aláírt, megbízhatónak tartott frissítést telepítettek.
A szoftveres ellátásilánc-támadások 27 százalékánál a meglévő szoftverek frissítéseiben rejtik el a trójait, a kártevőt. A már kialakult bizalom segítségével felhasználók millióihoz juthatnak el, a frissítés komoly állami szereplők és a szervezett hekkerek fegyvere lehet. Ez történt 2020 tavaszán a SolarWind Orion szoftverével.
A támadók a megbízhatónak vélt nyílt forráskódú megoldásokba is beépíthetik a kártevőket: hozzáférnek a már bejáratott verziójú megoldások forráskódjához vagy pedig a meglévő megoldáshoz rendkívül hasonló nevű forráskódot fejlesztenek ki és terjesztenek. Például 2018-ban egy hekker egy népszerű JavaScript könyvtárhoz szerzett hozzáférést, módosította a forráskódot, a támadásban a felhasználók kriptovaluta-pénztárcáit próbálta megszerezni.
Az esetek 22 százalékában a támadók a különböző alkalmazásboltokban, a meglévő biztonsági ellenőrzéseket megkerülve tesznek fel fertőzött alkalmazásokat, népszerű és ingyenes funkciók kínálásával veszik rá a felhasználókat a letöltésükre. Esetenként megtámadták a fejlesztő eszközöket is, ami azt jelenti, hogy a segítségükkel készített, legitimnek tűnő alkalmazások kártevőt tartalmazhattak. Például 2015-ben az egyébként nagyon biztonságosnak hirdetett Apple alkalmazásboltba jutott be több, módosított Xcode fejlesztőeszközzel készített fertőzött alkalmazás.
A támadás kiindulópontja
„Biztonsági szempontból egyértelmű szakadék van a magyar kkv-k és a hazai nagyvállalatok között”, mondja Krasznay Csaba, a Nemzeti Közszolgálati Egyetem Kiberbiztonsági Kutatóintézetének intézetvezetője. Az EU DESI indexe a magyar kkv-kat a lista alsó harmadába sorolja kiberbiztonsági felkészülés szempontjából, míg az itt tevékenykedő nagyvállalatok a lista felső harmadában végeznek. Ez azt jelenti a szakember szerint, hogy ha egy szervezett bűnözői csoport célzottan támadna egy külföldi multinacionális vállalatot, melynek itthon is van leányvállalata, a támadás kiindulópontja egy magyar kkv is lehet, amely jó (rossz) esetben, ebből semmit sem vesz észre.
Három szinten is felkészülhetnek a magyar kkv-k a szervezett támadásokra.
Első körben érdemes tudatosan megközelíteni az IT-biztonság kérdését, főleg, ha nemzetbiztonság szempontjából érzékeny vállalatokkal dolgoznak együtt. Legyen téma a biztonság, legyenek rendszerek oktatások, tudatosítás.
Második szinten erősítsék meg az IT-biztonsági infrastruktúrát. Nagyon sok szolgáltató felhő alapon kínál biztonsági megoldásokat, amelyek segítségével alacsony költséggel, drága szakemberek alkalmazása nélkül tudják infrastruktúrájuk biztonságát erősíteni. Ehhez EU-s forrásokat, pályázatokat is igénybe lehet venni. Már csak azért is érdemes ezzel a területtel foglalkozni, mert a beszállítókat kereső nagyvállalatok tanúsítványokat kérhetnek, biztonsági szintek teljesítését írhatják elő.
Harmadik szinten az a vállalat is vegye fel a kapcsolatot a Nemzeti Kibervédelmi Intézettel, és figyelje az oda beérkező információkat, amely nem tartozik a kijelölt, kritikus infrastruktúraszolgáltatásba soroltak közé, de ilyen szektorokban működik, fejezte be az intézetvezető.
Megváltoznak a prioritások
A kkv-k jelentik a támadók ugródeszkáját a nagyvállalatok felé, ezért a nagyvállalati partnerekkel rendelkező kkv-nak is kell foglalkozni az IT-biztonsággal – mondja Nemes Dániel, a biztributor elnöke. Nem véletlen, hogy egyre több nagyvállalat ír elő egy minimális biztonsági szintet vagy adott eszköz használatát. Sajnos, a kis- és közepes méretű vállalatok jellemzően megrendelői nyomásra és nem a jól felfogott érdekükben foglalkoznak a saját biztonságukkal. Azok a kkv-k foglalkoznak alapból és már tevékenységük kezdetekor a biztonsággal, amelyek például saját szellemi terméküket védik, netán teljesen az adatokból élnek – ezek a cégek biztonság nélkül saját létüket kockáztatják.
Azt is fel kell ismerniük a vállalatoknak, hogy a többszintű védekezési stratégiában megváltoztak a prioritások – hangsúlyozza a szakember. Továbbra is az első szinten az a fontos feladat, hogy a vállalatok megakadályozzák a biztonsági eszközök használatával támadók behatolását. De fontos a negyedik szint is, amikor a vállalat detektálja a támadást és elhárítja azt, kitakarítja a fenyegetettséget a céges hálózatból.
A paradigmaváltás a középső két védekezési rétegnél jelentkezik. Második szinten, amikor a támadó már bejutott a vállalati hálózatba, az a cél, hogy a biztonsági eszközök és a beállítások lassítsák a fenyegetettség hálózaton belüli terjedését. Eközben pedig a vállalat nélkülözhetetlen adatai és értékei köré egy szinte áthatolhatatlan burkot kell építeni. A harmadik szinten pedig olyan eszközöket és ellenőrzési pontokat kell telepíteni, amelyek segítségével minél hamarabb felfedezzük, hogy a támadók bejutottak a vállalati hálózatba.
Nemes Dániel meglátása szerint szerencsére a támadások észlelése téren már van fejlődés. Pár évvel ezelőtt egy átlagos támadás akár 300 napig is rejtve maradt, most viszont ez az átlag 100 napra csökkent. Ha pesszimista szemüveggel nézzük, akkor a 100 nap is sok, hiszen több mint három hónap alatt egy kkv hálózatába egészen mélyen be tud épülni a támadó. „Üzleti szempontból az a legrosszabb forgatókönyv, amikor a vállalat külső partnere veszi észre, hogy valami probléma lehet, hiszen kiszivárognak bizalmas információk, ilyenkor a reputációs veszteséggel is számolni kell”, fejezte be a szakember.
Több biztonsági szállító jobb, mint egy
„A fejlemények is azt igazolják, hogy nincs feltörhetetlen rendszer, nincs sérülékenységmentes szoftverplatform, nincs sebezhetetlen védelem”, mondja Máriás Zoltán, a Gloster biztonsági üzletágvezetője. Még a makulátlannak vélt biztonsági cégeknek is volt olyan „darabja”, amely sebezhetőnek bizonyult. Nincs olyan, hogy hátra lehet dőlni, mert most bevezettünk egy új, teljesen biztonságosnak vélt IT-biztonsági rendszert, amely proaktív módon véd bennünket a támadástól, legyen az államilag támogatott (state-sponsored) vagy csak egy félprofi ransomware próbálkozás.
„Bármit hangoztassanak is a gyártók, nem a legjobbak azon homogén biztonsági megoldások, amelyek csak egyetlen egy IT-biztonsági cég termékeivel fedik le az összes védvonalat, meg kell maradni a multitier, multivendor koncepciónál”, tanácsolja a szakember. Elenyésző annak a valószínűsége, hogy egyszerre több gyártó terméke válik sérülékennyé. Nem kerülhetők meg az általában nyűgként kezelt adatszivárgás elleni védelmek (DLP-k) sem. Minden eddiginél fontosabbá válnak a többfaktoros azonosítások is. „Végül, de nem utolsósorban az alkalmazottak IT-biztonsági tudatosságának a sokszor megmosolygott és lenézett növelése éves tréningek keretében nélkülözhetetlen, amit nem árt, ha számon is kérünk, mert az ördög nem alszik”, zárta mondandóját Máriás Zoltán.
Vass Enikő
