Vrste kibernetičkih napada: pregled za tvrtke

Kibernetički napadi dolaze u mnogo oblika, ali gotovo svi ciljaju jedan od nekoliko predvidljivih ulaza: ljude, neukrpane sustave, slabe ili ukradene lozinke i dobavljače. Napadač rijetko probija kriptografiju ili izmišlja novu ranjivost. Mnogo češće iskoristi zaposlenika koji je kliknuo na poveznicu, poslužitelj koji mjesecima nije ažuriran ili lozinku koja se ponavlja na više računa. Zato pregled glavnih vrsta napada nije akademska vježba, nego praktičan način da tvrtka prepozna gdje je najizloženija i gdje obrana ima najveći učinak.

Za reguliranu tvrtku u financijama, zdravstvu, kritičnoj infrastrukturi ili SaaS-u razlika između vrsta napada je i regulatorno i operativno važna. Ransomware koji zaustavi rad, prijevara poslovne e-pošte koja odvede novac i proboj koji procuri osobne podatke nemaju iste posljedice, ne prijavljuju se istim tijelima i ne brane se istim kontrolama. Ovaj tekst daje pregled glavnih vrsta napada s kojima se tvrtke stvarno susreću, objašnjava kako svaka funkcionira i kako se uklapaju u jednu slojevitu obranu, bez senzacionalizma i nabrajanja egzotičnih prijetnji koje većinu organizacija nikad ne pogode.

Pojedine napade detaljnije pokrivamo u zasebnim tekstovima, a ovdje ih stavljamo u kontekst i pokazujemo kako se povezuju. Sposobnost da napad primijetite i zaustavite gradimo kroz detekciju i odgovor na incidente, a otpornost na stvarne napade provjeravamo kroz ofenzivnu sigurnost.

Phishing i socijalni inženjering

Phishing je najčešći početak ozbiljnih napada jer cilja čovjeka, a ne tehnologiju.¹ Napadač pošalje poruku koja izgleda kao da dolazi od banke, dobavljača, kolege ili samog poslodavca, i navede primatelja da otkrije lozinku, unese podatke na lažnu stranicu ili pokrene zlonamjeran privitak. Socijalni inženjering je širi pojam koji uključuje i lažne telefonske pozive, lažne identitete i manipulaciju kroz hitnost ili autoritet, primjerice poziv navodne IT podrške koja traži pristup.

Opasnost phishinga je u tome što zaobilazi tehničke kontrole. Najbolji vatrozid ne pomaže ako zaposlenik dobrovoljno upiše lozinku na lažnu stranicu. Zato se obrana gradi na dvije razine: tehničkoj, kroz filtriranje e-pošte i višefaktorsku autentifikaciju koja ukradenu lozinku čini gotovo bezvrijednom, i ljudskoj, kroz redovitu edukaciju i vježbe prepoznavanja. Detaljnije o ovoj prijetnji pišemo u tekstu o phishingu i socijalnom inženjeringu.

Zlonamjerni softver i ransomware

Zlonamjerni softver, ili malware, skupni je naziv za programe koji kompromitiraju sustav: viruse, trojance, špijunski softver i alate za daljinski pristup. Dospijeva kroz privitak, zaraženu poveznicu, kompromitirani softver ili ranjivost koja nije zakrpana. Jednom unutra, malware može krasti podatke, bilježiti pritiske tipki, otvoriti napadaču trajan pristup ili poslužiti kao odskočna daska za dublji proboj. Više o vrstama i obrani je u tekstu o zlonamjernom softveru.

Ransomware je danas najštetniji oblik malwarea za tvrtke. On šifrira podatke i sustave te traži otkupninu za ključ, a moderne skupine prije šifriranja podatke i ukradu pa prijete objavom, što je takozvana dvostruka iznuda. Posljedica nije samo zaključan disk, nego zaustavljen rad, izgubljeni prihod i moguća povreda osobnih podataka. Jedina pouzdana obrana su provjerene, odvojene sigurnosne kopije koje napadač ne može obrisati, uz brzu detekciju. Pristup zaštiti i oporavku opisujemo u tekstu o ransomwareu.

Napadi uskraćivanjem usluge (DDoS)

Distribuirani napad uskraćivanjem usluge, DDoS, preplavljuje sustav ili mrežu ogromnom količinom prometa s mnogo izvora dok usluga ne postane nedostupna legitimnim korisnicima. Promet najčešće dolazi iz mreže kompromitiranih uređaja, takozvanog botneta. Za razliku od proboja, DDoS ne krade podatke i ne ulazi u sustav, nego ruši dostupnost. Za tvrtku koja posluje online, primjerice trgovinu ili banku, nedostupnost izravno znači gubitak prihoda i povjerenja.

Obrana od DDoS-a počiva na kapacitetu i filtriranju prometa, najčešće kroz specijalizirane usluge zaštite i mreže za isporuku sadržaja koje upijaju i odbacuju zlonamjeran promet prije nego dođe do vašeg poslužitelja. DDoS se ponekad koristi i kao zavjesa za prikrivanje drugog, tišeg napada, pa porast prometa ne smije odvući svu pozornost tima. Detaljnije pišemo u tekstu o DDoS napadu.

Prijevara poslovne e-pošte (BEC)

Prijevara poslovne e-pošte, BEC, jedan je od financijski najštetnijih napada iako gotovo ne koristi zlonamjeran kod. Napadač se predstavi kao rukovoditelj, dobavljač ili odvjetnik i navede zaposlenika u financijama da izvrši hitnu uplatu ili promijeni bankovne podatke za plaćanje računa. Poruka često stiže s kompromitirane ili vrlo slične adrese, koristi stvaran kontekst i pritisak hitnosti, pa djeluje uvjerljivo.

BEC je opasan jer izgleda kao legitimna poslovna komunikacija i ne pokreće sigurnosne alate na isti način kao malware. Obrana je manje tehnička, a više proceduralna: provjera promjene bankovnih podataka kroz drugi kanal, dvostruka potvrda za uplate iznad praga i jasno pravilo da hitnost nije razlog za preskakanje provjere. Višefaktorska autentifikacija na e-pošti otežava preuzimanje računa s kojeg napad kreće. Detaljnije je u tekstu o BEC prijevari.

Napadi na web aplikacije i API-je

Web aplikacija je za većinu tvrtki najizloženija pojedinačna meta jer je dostupna svima, danonoćno, iz cijelog svijeta. Napadi na web ciljaju ranjivosti u kodu i logici aplikacije. SQL injekcija ubacuje zlonamjerne naredbe u upite prema bazi kako bi napadač čitao ili mijenjao podatke. Cross-site scripting (XSS) ubacuje skriptu koja se izvodi u pregledniku drugih korisnika i krade njihove sesije. Kvarna kontrola pristupa omogućuje korisniku da vidi ili mijenja tuđe podatke.

Ove klase ranjivosti sustavno se pojavljuju i sažete su u priznatom popisu OWASP Top 10.² Automatski skeneri hvataju dio njih, ali logičke greške i kvarnu kontrolu pristupa najčešće promašuju, pa je potrebno ručno testiranje. Obrana se gradi kroz siguran razvoj, provjeru unosa, ispravnu autorizaciju na svakoj točki i redovito testiranje. Otpornost web aplikacija i API-ja provjeravamo kroz ofenzivnu sigurnost.

Napad čovjek u sredini

Napad čovjek u sredini znači da se napadač umetne u komunikaciju između dvije strane i tiho je prisluškuje ili mijenja, a obje strane misle da razgovaraju izravno. Klasičan primjer je presretanje prometa na nezaštićenoj javnoj Wi-Fi mreži, gdje napadač čita podatke koji nisu šifrirani, ili lažna pristupna točka koja oponaša legitimnu mrežu. Cilj je krađa vjerodajnica, kolačića sesije ili osjetljivih podataka u prijenosu.

Obrana je danas uvelike u enkripciji prometa. Dosljedna upotreba HTTPS-a, ispravna provjera certifikata, VPN za rad izvan ureda i izbjegavanje osjetljivih radnji na nepouzdanim mrežama uklanjaju većinu rizika. Problem nastaje kada aplikacija ne provjerava valjanost certifikata ili kada se promet negdje odvija nešifrirano, što se otkriva testiranjem mreže i aplikacija.

Brute force i punjenje vjerodajnica

Napadi na lozinke nisu nestali, samo su se automatizirali. Brute force napad sustavno isprobava velik broj kombinacija lozinki dok ne pogodi pravu, što je djelotvorno protiv kratkih i slabih lozinki. Punjenje vjerodajnica (credential stuffing) iskorištava lozinke ukradene u ranijim probojima drugih usluga: budući da mnogi ljudi koriste istu lozinku na više mjesta, napadač automatski isproba milijune poznatih kombinacija na vašoj prijavi i prođe svugdje gdje se lozinka ponavlja.

Najučinkovitija pojedinačna obrana je višefaktorska autentifikacija, jer ukradena ili pogođena lozinka sama po sebi više nije dovoljna za ulazak. Uz nju pomažu upravitelj lozinki s jedinstvenim lozinkama za svaki račun, ograničavanje broja pokušaja prijave i nadzor neuobičajenih prijava. Krađa vjerodajnica je toliko česta da je MFA postala osnovni higijenski standard, a ne napredna mjera.

Insajderske prijetnje i napadi na opskrbni lanac

Nije svaki napad izvana. Insajderska prijetnja dolazi od nekoga tko već ima legitiman pristup: nezadovoljnog zaposlenika koji namjerno odnese podatke, ili, mnogo češće, nepažljivog djelatnika koji slučajno procuri informacije ili nasjedne na prijevaru. Insajderi su opasni jer zaobilaze obrambeni perimetar, pa se obrana oslanja na načelo najmanje privilegije, gdje svatko ima samo pristup koji mu je stvarno potreban, te na bilježenje i nadzor pristupa osjetljivim podacima.

Napad na opskrbni lanac ulazi kroz kompromitiranog dobavljača ili softver kojem vjerujete. Umjesto da napada vas izravno, napadač probije manje zaštićenog dobavljača s pristupom vašim sustavima ili ubaci zlonamjeran kod u softversko ažuriranje koje sami instalirate. Ovi su napadi opasni jer iskorištavaju povjerenje. Obrana uključuje provjeru sigurnosti dobavljača, ograničavanje njihovog pristupa i nadzor. Više o tome je u tekstu o upravljanju rizikom dobavljača.

Pregled napada i osnovne obrane

Sljedeća tablica povezuje glavne vrste napada, način na koji funkcioniraju i osnovnu obranu koja na njih najviše utječe. Tablica je polazište, a ne potpun popis kontrola, jer se prava obrana uvijek slaže u slojeve.

Kako se napadi uklapaju u slojevitu obranu

Ozbiljan napad rijetko je jedan događaj. Najčešće slijedi prepoznatljiv lanac: napadač prvo dobije početni pristup, potom učvrsti uporište, širi se kroz sustave i preuzima ovlasti, te na kraju izvrši svoj cilj, krađu podataka, šifriranje ili prijevaru. Više vrsta napada se kombinira, pa phishing dovede do ukradene lozinke, ona do ulaska u mrežu, a malware do ransomwarea. Upravo zato slojevita obrana ima smisla: ako jedan sloj zakaže, drugi i dalje stoji.

1. 01
   Spriječite ulazak

   MFA, filtriranje e-pošte, edukacija i ažuriranje sustava zatvaraju najčešće početne ulaze poput phishinga i ranjivosti.
2. 02
   Otežajte širenje

   Segmentacija mreže i načelo najmanje privilegije sprječavaju da jedan kompromitirani račun vodi do cijelog okruženja.
3. 03
   Otkrijte na vrijeme

   Nadzor i detekcija i odgovor skraćuju vrijeme od proboja do otkrivanja, koje odlučuje koliko će šteta biti velika.
4. 04
   Oporavite se

   Provjerene, odvojene sigurnosne kopije i uvježban plan odgovora omogućuju povratak rada bez plaćanja otkupnine.

Ne gradite obranu protiv pojedinog napada, nego slojeve koji drže i kad jedan zakaže.

Uloga procjene rizika u prioritizaciji

Nemoguće je jednako braniti sve od svega, a ni potrebno. Tvrtka koja posluje online najviše gubi od DDoS-a i proboja aplikacije, bolnica od ransomwarea koji zaustavi rad, a tvrtka koja barata velikim uplatama od BEC prijevare. Zato pregled napada sam po sebi nije plan, nego ulaz u procjenu rizika koja povezuje vašu imovinu, vjerojatne prijetnje i poslovni utjecaj.

Procjena rizika određuje gdje obrana ima najveći učinak po uloženom trošku i koje napade tretirate prioritetno. Bez nje se ulaže u ono što je trenutno u modi, a ne u ono što vas može srušiti. Ovaj pristup je i regulatorno očekivan: i ISO/IEC 27001 i Zakon o kibernetičkoj sigurnosti traže da kontrole proizlaze iz procjene rizika, a ne iz nasumičnog popisa alata.

Kako Raptoric pomaže

Kao neovisna tvrtka prvo pomažemo prepoznati kojim ste vrstama napada stvarno najizloženiji, kroz procjenu rizika, bez guranja prema najvećem paketu alata. Zatim otpornost provjeravamo kroz ofenzivnu sigurnost, a sposobnost da napad primijetite i zaustavite gradimo kroz detekciju i odgovor na incidente. Dogovorite uvodni razgovor i proći ćemo gdje ste najizloženiji i koji sloj obrane prvo treba ojačati.