Hackerský útok si mnohí predstavujú ako dramatickú scénu z filmu: geniálny mladík preráža obranu banky za pár sekúnd. Realita je pokojnejšia a o to nebezpečnejšia. Väčšina útokov je remeselná práca podľa osvedčeného postupu a s hotovými nástrojmi, ktoré si dnes zaobstará aj menej zdatný útočník. Poďme si vysvetliť, ako tie najznámejšie útoky reálne prebiehajú a aký softvér za nimi stojí, aby ste vedeli, kde presne sa proti nim brániť.

Hneď na úvod dôležitá poznámka: väčšina spomínaných nástrojov je takzvane dvojsečná. Rovnaký skener siete či nástroj na testovanie hesiel používa útočník aj bezpečnostný špecialista, ktorý preveruje vašu ochranu. Nižšie ich preto pomenúvame len na úrovni, aby ste pochopili hrozbu, nie ako návod. Cieľom je obrana.

Najprv prieskum: útok sa nezačína útokom

Skôr než niekto zaútočí, zbiera informácie. Zisťuje, aké služby máte vystavené do internetu, aké verzie softvéru bežia, aké e-maily majú vaši zamestnanci a čo o firme prezrádzajú verejné zdroje. Táto fáza sa volá prieskum (reconnaissance) a rozhoduje o úspechu viac než čokoľvek iné.

  • Skenery sietí zmapujú, ktoré porty a služby sú na vašej adrese otvorené. Z toho útočník vyčíta, kade sa dá skúsiť dnu. Súvisiace čítanie: čo je port v sieti.
  • Vyhľadávače pripojených zariadení (napríklad Shodan) indexujú milióny zariadení viditeľných z internetu, od kamier po servery. Ak máte niečo zle zabezpečené a vystavené von, dá sa to nájsť.

Obrana: nevystavujte do internetu nič, čo tam nemusí byť. Kamery, NAS aj správu zariadení schovajte za VPN a pravidelne aktualizujte, aby staré verzie neprezrádzali známe diery.

Phishing: najrozšírenejší a najúspešnejší útok

Drvivá väčšina úspešných prienikov sa nezačína prelomením kódu, ale kliknutím obete. Phishing je podvodná správa, ktorá vás má prinútiť zadať heslo alebo otvoriť prílohu. Prebieha vo fázach: útočník pripraví falošnú stránku napodobňujúcu banku či e-mail, rozošle návnadu a čaká, kým niekto zadá údaje.

  • Phishingové sady (phishing kity) sú hotové balíky s vernými kópiami prihlasovacích stránok. Útočník ich len nasadí a zbiera zadané heslá.
  • Pokročilé nástroje na krádež relácie vedia dnes preložiť aj prihlásenie cez dvojfaktor, tým, že sa vsunú medzi vás a pravú stránku a ukradnú prihlásený stav.

Obrana: overujte odkazy, nikdy nezadávajte heslo zo správy a stránku si otvorte vždy sami. Detailne to rozoberáme v článkoch phishing a podvodné e-maily a podvodné správy. A zapnite si dvojfaktorové overenie, ktoré zastaví aj útočníka s vaším heslom.

Útoky na heslá: brute force, slovník a credential stuffing

Ak sa nedá získať heslo lžou, skúša sa uhádnuť. Existujú tri hlavné postupy a všetky sú plne automatizované:

  • Brute force skúša všetky kombinácie znakov za sebou. Proti krátkemu heslu je to otázka sekúnd, proti dlhému otázka mnohých rokov.
  • Slovníkový útok skúša zoznamy najpoužívanejších hesiel a uniknutých hesiel z minulých útokov. Preto je bežné heslo nebezpečné, aj keď vám pripadá originálne.
  • Credential stuffing berie heslá uniknuté z jednej služby a skúša ich na desiatkach ďalších. Funguje vždy, keď používate to isté heslo na viacerých miestach.

Softvér na to je verejne dostupný: nástroje ako Hydra skúšajú prihlásenie do služieb, iné (John the Ripper, Hashcat) lámu ukradnuté zašifrované heslá rýchlosťou miliónov pokusov za sekundu, najmä s pomocou grafických kariet.

Obrana: dlhé a jedinečné heslo pre každú službu, ideálne z generátora hesiel uložené v správcovi hesiel, a všade dvojfaktor. Ako na to, ukazuje návod na silné heslo.

Malvér a ransomvér: keď sa škodlivý kód dostane dnu

Malvér je škodlivý program, ktorý útočník prepašuje do zariadenia, najčastejšie cez prílohu, falošný inštalátor alebo zneužitie neaktualizovanej diery. Podľa účelu má rôzne podoby:

  • Keyloggery potichu zaznamenávajú, čo píšete, vrátane hesiel.
  • Nástroje na vzdialené ovládanie (RAT) dajú útočníkovi plnú kontrolu nad zariadením, akoby sedel za ním.
  • Ransomvér zašifruje vaše súbory a žiada výkupné. Dnes sa predáva formou služby (ransomware-as-a-service), takže útok zvládne aj niekto bez technických znalostí.

Prienik uľahčujú takzvané exploit sady, ktoré automaticky skúšajú známe diery v neaktualizovanom softvéri.

Obrana: aktualizujte systém aj programy, neotvárajte neočakávané prílohy a majte poriadne zálohy podľa pravidla 3-2-1. Práve záloha je to, čo z ransomvéru robí nepríjemnosť namiesto katastrofy. Firmám sa oplatí prejsť ochranu pred ransomvérom.

Odpočúvanie siete a man-in-the-middle

Pri tomto type útoku sa útočník vsunie medzi vás a službu, s ktorou komunikujete, a prevádzku odpočúva alebo mení. Najzraniteľnejšie sú verejné wifi siete.

  • Odchytávače sieťovej prevádzky (napríklad Wireshark) zobrazia dáta letiace sieťou. Čo nie je zašifrované, prečítajú.
  • Falošný prístupový bod (evil twin) predstiera známu wifi, napríklad v kaviarni, a keď sa naň pripojíte, ide všetko cez útočníka.
  • Nástroje na prelomenie wifi (aircrack-ng a podobné) útočia na slabé zabezpečenie bezdrôtovej siete, vrátane zneužitia funkcie WPS.

Obrana: na verejnej wifi používajte VPN, sledujte, že stránky bežia cez HTTPS, doma majte silné šifrovanie WPA2 alebo WPA3 a vypnuté WPS. Pomôže aj zabezpečený router.

Útoky na weby: SQL injection a XSS

Weby a aplikácie sú obľúbený cieľ, lebo sú dostupné pre kohokoľvek. Dva najznámejšie útoky zneužívajú zle napísaný kód:

  • SQL injection podstrčí do formulára alebo adresy špeciálny text, ktorý web pošle databáze ako príkaz. Pri zle ošetrenom vstupe tak útočník vytiahne obsah databázy, napríklad údaje používateľov.
  • XSS (cross-site scripting) prepašuje na stránku škodlivý skript, ktorý sa spustí návštevníkom v prehliadači a ukradne im napríklad prihlásenie.

Na hľadanie týchto dier slúžia nástroje ako sqlmap (automatizuje SQL injection) a testovacie rámce typu Burp Suite, ktoré používajú aj bezpečnostní testeri.

Obrana: je na strane webu. Vstupy treba dôsledne ošetrovať, systém a komponenty udržiavať aktuálne a používať bezpečné knižnice. Ak prevádzkujete web, pomôžu naše rady v článku ako zabezpečiť WordPress.

DDoS: zahltenie, ktoré položí službu

Cieľom DDoS útoku nie je ukradnúť dáta, ale znefunkčniť službu. Útočník na cieľ pošle obrovské množstvo požiadaviek naraz, až ho zahltí a stránka prestane odpovedať.

Prevádzku zvyčajne generuje botnet, teda sieť tisícok napadnutých zariadení (počítačov, kamier, routrov), ktoré útočník ovláda naraz. Existujú aj hotové zahlcovacie nástroje a platené služby, ktoré útok „na objednávku“ spustia za pár eur.

Obrana: DDoS sa ťažko rieši svojpomocne. Pomáha ochrana na strane poskytovateľa alebo služby ako CDN, ktoré nápor rozložia a odfiltrujú. Pre firmy závislé od dostupnosti webu má zmysel monitoring dostupnosti aj záložné pripojenie.

Spoločná niť: obrana je vždy o vrstvách

Ak si všimnete, obrana proti úplne odlišným útokom sa stále opakuje. Nie je to náhoda. Neexistuje jedno tlačidlo, ktoré vás ochráni, ale niekoľko vrstiev, ktoré spolu spravia útok nepohodlným a nevýhodným:

  • Aktualizovať systém, programy aj firmvér, aby staré diery neboli otvorené dvere.
  • Silné a jedinečné heslá plus dvojfaktorové overenie na všetkom dôležitom.
  • Zálohovať podľa pravidla 3-2-1, aby ani úspešný útok neznamenal stratu dát.
  • Nevystavovať do internetu nič zbytočné a citlivé veci schovať za VPN.
  • Opatrnosť pri e-mailoch a odkazoch, lebo najslabším článkom býva človek, nie technika.

Ucelený prehľad nájdete v článku zásady kybernetickej bezpečnosti.

Preveríme, kade by sa k vám dostal útočník

Spravíme vám bezpečnostný audit a penetračný test: rovnakými nástrojmi ako útočník preveríme vaše systémy, siete a weby, nájdeme slabé miesta a pomôžeme ich uzavrieť. Pre firmy aj domácnosti na Liptove.

Chcem preveriť bezpečnosť

Zhrnutie

Najznámejšie útoky nie sú mágia. Majú svoj postup, začínajú prieskumom, prvý prístup získavajú najčastejšie cez phishing alebo slabé heslo a využívajú pri tom hotový, verejne dostupný softvér. Práve preto sa dajú aj predvídateľne brániť. Keď zavediete aktualizácie, silné heslá s dvojfaktorom, zálohy a zdravú opatrnosť, prevažnú väčšinu útokov spravíte natoľko prácnymi, že si útočník nájde ľahší cieľ. A o to presne ide.

Tento článok je súčasťou prehľadu Kybernetická bezpečnosť.