Vývoj kybernetických hrozeb: jak se mohou odborníci přizpůsobit novým výzvám

Metody a praktiky, které by měly být zavedeny už teď

Podle serveru Statista z téměř 8 miliard lidí na světě má 5,35 miliardy neboli přibližně 66 % světové populace přístup k internetu a tráví na něm v průměru 7 hodin denně. Kromě toho se náš každodenní život postupně přesunul do chytrého telefonu: platíme dvěma kliknutími, aktivujeme digitální bankovní karty, objednáváme taxi a zásilky, kupujeme jízdenky, plánujeme svůj čas, archivujeme osobní fotografie v cloudu, pořádáme schůzky v aplikaci Zoom a mnoho dalšího.

Jako aktivní uživatelé internetu nepřemýšlíme o tom, že každá webová stránka, aplikace a program mají bezpečnostní protokol, který chrání naše osobní údaje a chrání servery a systémy před nežádoucími hosty. Koneckonců, pokud existují lidé, kteří systém vytvořili, pravděpodobně existují i lidé, kteří se do něj chtějí nabourat. V dnešním světě je hackerů stále více, a tak se rizika zvyšují.

Na výzvy moderní kybernetické bezpečnosti, vývoj umělé inteligence, technologie a nejnovější protokoly jsme se zeptali Maksyma Shapovala, jediného certifikovaného specialisty na Ukrajině (kromě specialistů certifikačního orgánu) na zavádění systémů bezpečnosti informací a řízení nepřerušeného podnikání v souladu s nejnovějšími verzemi standardů.

V současné době Maksym vede oddělení informační bezpečnosti a kontinuity podnikání ve společnosti Uklon.

O mně a mé vášni pro tuto profesi

„Kdo vlastní informace, vlastní svět,“ je heslo, které zveřejnil Winston Churchill, a stručné vysvětlení mé volby profese.

Podle mého názoru je hlavním úkolem bezpečnosti najít rizika, která mohou ohrozit její stav, a tato rizika zvládnout. Tato problematika mě zajímá natolik, že hledám rizika všude: při řízení auta, při instalaci altánu v přírodě, na rande atd.

Abys mohl*a milovat bezpečnost a podílet se na ní, musíš mít zdravou paranoiu a kritické myšlení. Tato kombinace mi pomáhá dělat dobře svou práci a chránit společnosti, se kterými spolupracuji.

Co se týče samotného pojmu kybernetická bezpečnost, musíme se podívat na kořen slova „kybernetický“. Znamená informaci v kybernetické, robotické, automatizované podobě. Vzhledem k tomu, že dnešní svět přechází do digitální podoby, stává se otázka bezpečnosti informací stále více součástí kybernetické bezpečnosti (IT bezpečnosti).

O současném stavu kybernetické bezpečnosti ve světě

Současný stav bezpečnosti ve světě vnímám jako hru na kočku a myš. Každý den se objevují nové technologie, které usnadňují každodenní život a zároveň přinášejí nové hrozby a příležitosti k úniku informací. Vzhledem k tomu, že se svět stále digitalizuje, mohu konstatovat, že útočníci v této konfrontaci nezvítězí.

Kromě posledního globálního incidentu se systémem CrowdStrike vidím hlavní hrozby v tom, že stále více kritických služeb přechází na automatizované IT řízení, často bez možnosti přepnout na ruční řízení, což může automatizovaným systémům kritické infrastruktury. To by mohlo znamenat komplikace, pokud by došlo k hacknutí.

Na jedné straně se útoky v posledních letech vyvinuly, ale zároveň zůstaly klasické, jen silnější. Pokud se podíváme na kybernetické útoky na Ukrajinu v posledních letech, mezi typické patří:

DDoS;
viry, různé typy;
sociální inženýrství;
neautorizovaný přístup.

Všechny útoky ale byly promyšlené a dobře naplánované.

O nejnebezpečnějších hrozbách

Útoky, o kterých se v poslední době hodně mluví, protože jsou poměrně nové, bych rozdělil do tří skupin:

Útoky na dodavatelský řetězec (Supply Chain). Patří sem například virus NotPetya, který byl distribuován s účetním softwarem M.E.Doc.
Zero day útoky (Zero-Day Attacks), jsou útoky, které využívají zranitelnost softwaru, o níž vývojář ještě neví. Znamená to najít nové zranitelnosti a využít je. Známý útok Black Energy na ukrajinskou energetickou infrastrukturu v roce 2015 využíval zranitelnost zero day v systému SCADA.
APT (Advanced Persistent Threat) je cílený, trvalý a řízený útok na konkrétní „oběť“. Zahrnují řadu různých útoků za účelem průzkumu, plánování, odlákání pozornosti a poškození. Příkladem je útok na Kyivstar v listopadu 2023.

Není možné vybrat více či méně nebezpečné, protože každý z nich způsobil milionové ztráty. Snad nejhorší pro konkrétní společnost jsou útoky ART, protože v dnešní době je tato společnost pod drobnohledem profesionálních hackerů, kteří využijí všechny možné prostředky kybernetického útoku, aby způsobili maximální škody.

Z hlediska masového používání a šíření bych sem zařadil zero day útoky, protože když se podíváš na počet zákazníků populárního softwaru a softwarových služeb na světě, všichni se mohou stát obětí nových zranitelností populárního softwaru.

O technologiích a nástrojích moderních kyberzločinců

Pokud jde konkrétně o vývoj metod útoku, přesunuli své zaměření z hackování systémů na „hackování lidí“, protože jakmile získají údaje uživatele, mohou získat přístup do mnoha organizačních systémů najednou a rozšířit své pravomoci a provádět hacking zevnitř.

Technologie a nástroje se mění tak rychle, že vše, co zde uvedeme, nemusí být v době vydání tohoto článku aktuální, proto bych otázku přeformuloval takto: Jaké jsou fáze moderního kybernetického útoku?

Příprava a průzkum – shromažďování informací o cílovém systému/podniku/personálu za účelem identifikace slabých míst pro útok.
Detekce zranitelností – vyhledávání slabých míst v IT/lidském prostředí.
Exploatace – využití zjištěných zranitelností k prolomení ochrany.
Provedení – realizace akcí, které útočníkovi umožní dosáhnout jeho cílů.
Utajení a odstranění stop / skrytí útočné činnosti s cílem vyhnout se odhalení.
Opakované provedení (v případě potřeby).

Jak vývoj umělé inteligence ovlivňuje kybernetické hrozby

Umělá inteligence naštěstí ještě nedosáhla úrovně SkyNetu, ale už teď pomáhá útočníkům připravovat se na kybernetické útoky.

S pomocí služeb AI mohou hackeři mnohem snadněji provádět průzkum a připravovat se na útok, protože umělá inteligence jim pomůže vytvořit podrobný portrét oběti a identifikovat její slabá místa.

Příklad, který jsem viděl na Central and Eastern Europe Cybersecurity Forum 2024:

Phishingový útok vytvořený s pomocí umělé inteligence. Umělá inteligence analyzovala svou oběť a poskytla útočníkům informaci, že se ředitel IT cílové společnosti zúčastní konference jako řečník. UI poté vyhledala další zmínky o této události, aby zjistila přesné datum a čas vystoupení ředitele společnosti.

V tomto okamžiku byla zaregistrována doména podobná doméně oběti (jméno navržené umělou inteligencí) a byl proveden průzkum (umělou inteligencí) za účelem vytvoření dokonalého phishingového e-mailu a také zfalšování hlasové zprávy od ředitele společnosti.

V době projevu, kdy byl ředitel definitivně nedostupný, obdržela část jeho týmu e-maily a hlasové zprávy týkající se určitých okamžitých opatření, konkrétně urgentní aktualizace centralizovaného systému správy uživatelů, a v tu chvíli byl zahájen útok DDoS na veřejné webové stránky společnosti.

Zatímco IT pracovníci byli zaneprázdněni řešením problémů, útočníci pomocí umělé inteligence našlli zero day zranitelnosti ve firemním CRM systému a podařilo se jim ho hacknout, protože centralizovaný systém správy byl aktualizován a nesledoval pokusy o útok. V důsledku toho společnost přišla o svou databázi zákazníků.

Tento útok je spíše demonstrativní a byl prezentován formou videa, ale víme, že každý sci-fi film se dříve či později stane skutečností.

O účinných metodách ochrany před moderními kybernetickými hrozbami

Aby bylo možné pochopit, které metody ochrany se dají aplikovat na konkrétní organizaci, je vhodné porozumět hlavním vektorům útoku (a následně vlastně implementovat ochranu), jako jsou:

uživatelé a uživatelské vybavení;
podnikové sítě;
podnikové služby a servery;
útoky na dodavatele nebo poskytovatele.

Neexistuje žádný dostatečný nebo úplný soubor kybernetické obrany, protože rozsah činností, zdrojů a technologií se v jednotlivých společnostech liší. Je ale možné definovat minimální rozsah:

1. Ochrana uživatele složitými hesly a povinným dvoufaktorovým ověřováním

2. Kontrola mobilních zařízení za účelem ochrany firemních dat na nich

3. Omezená doba trvání relace

4. Segmentované sítě a přístup ke zdrojům na základě principu minimálních požadovaných přístupových práv
5. Pravidelná a včasná aktualizace všech zdrojů a uživatelských počítačů.

6. Nástroje aktivní ochrany, jako je antivirus, brána firewall, systém prevence narušení (IPS), filtrování webu atd. To platí jak na úrovni sítě, tak na úrovni serveru/služby nebo počítače.

7. Nástroje pro vyhledávání zranitelností a anomálií v prostředcích

8. Bezpečný přenos a ukládání dat – šifrování a zálohování

9. Kontrola instalovaného a používaného softwaru na úrovni počítače, serveru a sítě

Úkolem dodavatelů bezpečnostních systémů je přizpůsobovat své bezpečnostní systémy, aktualizovat je a vydávat nové moduly/produkty. Odborníkům na informační bezpečnost bych doporučil, aby se účastnili různých seminářů/webinářů/prezentací dodavatelů/poskytovatelů kybernetické bezpečnosti a aby měli přehled o nových hrozbách a technologiích i způsobech, jak jim čelit.

Doporučuji nejprve provést inventuru všech zdrojů, v nichž společnost zpracovává/ukládá/přenáší informace, abys posoudil*a kritičnost informací v těchto zdrojích z hlediska důvěrnosti, integrity a dostupnosti. Poté identifikuj všechna možná rizika a proveď sérii penetračních testů (manuálních, automatizovaných, útoků na zaměstnance). A dalším krokem je vypracování plánu nápravy rizik.

Ve skutečnosti toho není k přípravě podniku potřeba tolik:

zapojení vedení, které chápe význam bezpečnosti a bude hnací silou při prosazování bezpečnosti u všech ostatních zaměstnanců;
osoba/tým, který rozumí bezpečnosti informací;
rozpočty na řízení rizik.

Příprava interního týmu společnosti na kybernetické hrozby

Celková úroveň zabezpečení společnosti se měří odolností jejího nejslabšího místa. To platí i pro kybernetickou bezpečnost. A právě uživatelé jsou nejslabším prvkem v komplexu informační bezpečnosti. Běžně se stává, že jsou příliš zaneprázdněni / ponořeni do svých pracovních procesů a nevěnují zabezpečení dostatečnou pozornost. A samozřejmě i kvůli nedostatečnému povědomí a pochopení problematiky kybernetické bezpečnosti.

Měly by se konat nejen přednášky, ale znalosti zaměstnanců by se měly hodnotit také pomocí dotazníků a simulací incidentů a útoků (např. phishing). A hlavně by vzdělávání mělo být zajímavé, zaměřené na různé skupiny zaměstnanců a relevantní pro jejich práci.

To znamená, že bys neměl*a hovořit o detailech informační bezpečnosti, o tom, jak je nastaven antivirus/firewall, ale spíše se zaměřit na to, jaká pravidla potřebuje znát například programátor při své každodenní práci a vývoji softwaru a jaké jsou nuance práce například specialisty na nábor zaměstnanců, protože se zpracovávají osobní údaje.

Rady pro mladé odborníky na kybernetickou bezpečnost

Pro začátek doporučuji absolvovat specializované vzdělávání o základech budování systému informační bezpečnosti (ISMS podle standardů nebo CISO podle české legislativy) a teprve poté se vrhnout na ochranu konkrétních technologií.

Pokud jde o dovednosti, pro bezpečnostního specialistu je velmi důležité kritické myšlení, strukturované myšlení a technické znalosti (protože bez pochopení fungování technologie jde jen stěží určit, jak ji správně chránit). Potřebují také komunikační dovednosti, schopnost předat podstatu svých myšlenek ostatním.

Doporučuji začít kariéru u integrátora nebo poskytovatele služeb, protože tam budeš mít možnost poznat mnoho klientů, různé infrastruktury, potřeby a vybudovat si portfolio bezpečnostních projektů. Tyto společnosti navíc často spolupracují s velkým počtem dodavatelů kybernetické bezpečnosti, takže můžeš získat širokou škálu znalostí.

Normy a osvědčené postupy v oblasti bezpečnosti informací:

Řada ISO 27000;
NIST;
SANS;
OWASP;
pravidelné zprávy od dodavatelů kybernetické bezpečnosti;
různé konference a webové semináře;
specializované skupiny.

Autor*ka: Maksym Shapoval

Sdílet: