Budući da se iz godine u godinu pojavljuju nove vrste zlonamjernog softvera kojem je meta internet stvari, onda postaje jasno zašto zaštita distribuiranih uređaja i srodnih sistema zahtijeva pažljivo planiranje i jaka IT sigurnosna rješenja

Piše: Vesna Matić-Karić
E-mail: redakcija@asadria.com

Internet stvari osnažuje energetske i komunalne kompanije pružajući im mogućnost da iskoriste sve prednosti novih tehnologija koje unapređuju poslovanje i pri tome štede novac na duže staze. Pored mnogobrojnih prednosti koje nudi, IoT pruža i kontinuirano praćenje rada kompanija na velikim lokacijama i područjima, automatiziranu daljinsku kontrolu infrastrukture te implementaciju efikasnih pametnih mrežnih tehnologija. A što je najvažnije, IoT uređaji generišu neprekidan tok velikih podataka otvarajući mogućnosti naprednije analize poslovanja i informisanijeg odlučivanja o njemu.

IoT je postao u tolikoj mjeri sveprisutan da se podaci dobijeni iz međusobno povezanih uređaja koriste u svim industrijskim granama s ciljem poboljšavanja produktivnosti, efikasnijeg rješavanja problema i stvaranja novih poslovnih prilika. Međutim, i tu postoje sigurnosni rizici budući da sama sigurnost nije bila na prvom mjestu u ranoj fazi primjene IoT-a. To je dovelo do stvaranja ranjivosti u IoT mreži koje mogu dovesti do prekida industrijskog procesa usljed iskorištavanja sigurnosnih propusta, manipulacije ili industrijske špijunaže. Sve ovo navodi na logičan zaključak: kompanije bi morale razviti nove strategije kako bi smanjile mogućnost cyber napada te kako bi lakše upravljale njima. Jer, činjenica je da čitava mreža postaje osjetljivija na hakerske napade kako kompanije sve više ulažu u IoT tehnologije za kontrolu i automatizaciju.

Prednosti i mane

Internet stvari omogućava da se podaci prikupljeni s uređaja i opreme koriste za transformisanje procesa i sistema savremenog industrijskog okruženja. Zapravo, IoT uređaji su već preplavili industrijske pogone, tako da ih pronalazimo u skoro svim bitnim operacijama, počevši od pametnih brojača, preko senzora do alarma. Itekako ima smisla da proizvodne, hemijske, energetske i komunalne industrije koriste IoT za procese poput analize podataka u stvarnom vremenu, nadzora, prediktivnog održavanja opreme i automatizacije uređaja čak i van industrijskih postrojenja.

U studiji IBM-ovog Instituta za uspješno poslovanje predviđa se da će broj uređaja implementiranih u okviru IoT tržišta sa 15 milijardi u 2015. godini porasti na 30 milijardi do 2020, odnosno na čak 75 milijardi uređaja do 2025. Količina prikupljenih podataka mogla bi do 2020. dosegnuti i 600 zetabajta godišnje. General Electric predviđa da će ulaganja u industrijski IoT tokom narednih 15 godina preći cifru od 60 triliona dolara. Na osnovu svega navedenog, jasno je da industrijski IoT, vođen pretežno proizvodima nove generacije, predstavlja ogromno tržište koje bi globalnoj ekonomiji do 2030. godine moglo donijeti 14 triliona dolara. Ipak, kada je riječ o osiguravanju interneta stvari, razloga za zabrinutost itekako ima.

Izazovi koje donosi napredak

Prema devetnaestom izdanju Globalne korporativne studije IBM-ovog Instituta za uspješno poslovanje, 36% anketiranih direktora kompanija tvrde da osiguravanje IoT platforme i uređaja u okviru nje predstavlja glavni izazov za njihove firme. Ovo istraživanje je pokazalo da su najugroženije komponente industrijskog IoT-a uređaji i senzori, a iza njih su najranjivije same IoT platforme. Razvoj IoT tehnologija bržim tempom od njihovog osiguravanja može dovesti organizacije u neugodne situacije. Tako naprimjer, kada je riječ o industrijskoj proizvodnji te energetskim i komunalnim kompanijama, sigurnosni propusti mogu dovesti do kontaminacije velikog obima, ekoloških katastrofa, pa čak i do povreda zaposlenika. U svemu tome tehnologije koje se koriste u okviru proizvodnog procesa postaju sve popularnija meta, na koju otpada 30 posto svih hakerskih napada. Pri tome je na Bliskom istoku čak 50 posto hakerskih napada usmjereno protiv naftne i gasne industrije.

Najveći problem leži u činjenici da je većina industrijskih i komunalnih kompanija i dalje u ranoj fazi usvajanja sigurnosnih praksi i tehnologija koje će im pomoći u ublažavanju sigurnosnih rizika koji se odnose na IoT. Samo mali broj njih je u potpunosti implementirao operativne i tehničke prakse vezane za sigurnost IoT-a, kao i praksu edukacije zaposlenika o toj temi. Kao rezultat navedenog, imamo situaciju u kojoj su sigurnosni kapaciteti IoT-a većine organizacija još u povojima. Uprkos dosadašnjim ulaganjima, IT sigurnosni rizici i dalje se procjenjuju na proizvoljnoj i neredovnoj bazi.

Jedan od najvećih izazova s kojim se industrija susreće, a zbog kojeg još nema sveobuhvatne IoT sigurnosne prakse, jeste hronični nedostatak potrebnih vještina vezanih za IT sigurnost. Da bi stvari funkcionisale kako treba na ovom polju u okviru interneta stvari, poslodavci na raspolaganju moraju imati stalan priliv talentovanih IT stručnjaka. Pored toga što moraju biti odlično upoznati s problematikom vezanom za cyber sigurnost, u okviru IoT-a bi morali ispuniti još neke uslove. Za početak, morali bi posjedovati znanje o većem i raznovrsnijem izboru opreme, trebali bi se znati izboriti s kompromisima i zahtjevima kada su u pitanju zaštita privatnosti, sigurnost i pouzdanost oprememorali, kao i moći kreirati i koristiti automatizaciju te kontinuirano raditi na integraciji kako bi postigli i održali sigurnost većeg računarskog okruženja.

Koraci koje treba poduzeti

Kako bi umanjile sigurnosne rizike po svoj IoT i poboljšale performanse, kompanije trebaju implementirati prakse pomoću kojih će moći uspostaviti formalni program IoT sigurnosti u okviru kojeg će se znati kada i kako biti proaktivan u cilju pripreme efikasne odbrane od hakerskih napada. Stručnjaci poput Joy Ditto, predsjednice i direktorice Vijeća za komunalne tehnologije, smatraju da industrijske kompanije trebaju imati višeslojnu odbranu od potencijalnih napada na njihov IoT: “Shvatajući da zaštita imovine od svake potencijalne prijetnje nije izvodiva, komunalne kompanije umjesto toga smanjuju rizike uvodeći strategiju slojevite odbrane (kojoj je cilj redundancija poslovnih procesa i odgađanje efekta napada na poslovanje – op. a.)”, kaže Ditto. Kako bi počeli uvoditi bolje sigurnosne mjere i tehnološka rješenja, direktori kompanija moraju poduzeti neke osnovne korake. Prije svega, morali bi rješavati IoT rizike na nivou preduzeća. To podrazumijeva provođenje redovnih procjena rizika kako bi se identifikovali propusti u IoT sistemima i povezanim okruženjima te kako bi se dokumentovali i u djelo proveli planovi za ublažavanje potencijalnih rizika.

Zatim, trebali bi posjedovati detaljno znanje o razlikama između IoT sistema, tj. između standardnih korporativnih IoT sistema i radne opreme te bi trebali dijeliti znanje o sigurnosti kako bi bolje zaštitili svoje sisteme. Odgovorni u kompanijama trebali bi ove razlike uzeti u obzir pri određivanju prioriteta u pogledu sigurnosnih mjera kako bi rizike sveli na minimum. I na kraju, veoma je bitno kombinovati rad IT i proizvodnih sektora kako bi se stvorio zajednički pristup borbi protiv sigurnosnih rizika.

Upotreba relevantnih tehnologija

Spomenutom IBM-ovom studijom među ispitanicima je istražena i upotreba relevantnih tehnologija za osiguravanje IoT-a. Ovo prije svega uključuje korištenje enkripcije kao zaštite od napada koji bi mogli ugroziti osjetljive informacije i dovesti do uništenja imovine i opreme ili stvoriti probleme vezane za ličnu sigurnost. Zatim, tu je mrežna sigurnost i autentifikacija uređaja za osiguravanje IoT uređaja, terenskih uređaja i back-end sistema i aplikacija. Tu također spada sigurnosna analitika kako bi se identifikovali potencijalni IoT napadi te upadi koji su možda zaobišli tradicionalne sigurnosne kontrole, kao i upravljanje identitetima i pristupom. Tako se 25 posto ispitanih kompanija nalazi u završnoj fazi implementiranja napredne proaktivne detekcije IoT prijetnji. Naprednu enkripciju IoT-a implementira 21 posto kompanija, sigurnosnu analitiku 17 posto, dok upotrebi IoT blockchaina pribjegava samo četiri posto kompanija.

Analitika mrežnih aktivnosti

Nažalost, većina cyber kriminalaca koja napada IoT uglavnom je dobro finansirana i inteligentna, sa zaleđem u vidu međunarodnih kriminalnih organizacija kojima ne manjka sredstava i kreativnosti kada treba stvoriti nove sojeve IoT malwarea. To su i razlozi zbog kojih industrijske kompanije, kako bi se odbranile od naprednih hakerskih prijetnji, moraju prvenstveno razmisliti o pametnoj odbrani. U tome im mogu pomoći tehnologija analiziranja mreže radi detekcije sumnjivih aktivnosti, zatim mašinsko učenje jer je vještačka inteligencija danas ključna za održavanje IT sigurnosti budući da identifikuje potencijalne prijetnje, te podaci o prijetnjama koje čine kolekciju informacija o postojećim i nadolazećim prijetnjama. Podaci o prijetnjama mogu pomoći sigurnosnim stručnjacima da donesu odluke potkrijepljene s dovoljno informacija o tome kako da izgrade dovoljno jaku odbranu protiv hakerskih napada. Dakle, tehnologija za analizu mrežne aktivnosti, mašinsko učenje i podaci o prijetnjama tri su bitna faktora cyber sigurnosti koja će kompanijama omogućiti predviđanje prijetnji, njihovu detekciju i što je najbitnije – prevenciju. Sve su to aspekti sigurnosti s kojima savremena industrija mora računati u eri hakerskih napada na IoT sisteme.

Sve češći izvještaji o virusima koji napadaju IoT uređaje

Jedna od prvih IoT sigurnosnih prijetnji bio je Mirai malware iz 2016. godine, koji mrežne uređaje pretvara u daljinski kontrolisane tačke koje se mogu koristiti kao dio botneta u DNS mrežnom napadu. Uređaji koji budu zaraženi Mirai malwareom kontinuirano skeniraju internet u potrazi za IP adresama IoT uređaja. Također, jedna novija IoT prijetnja koja se pojavila ove godine jeste “Hide n Seek” malware, koji sam sebe kopira u /etc/init.d/ direktorij u ugrađenom Linux sistemu IoT uređaja, u kojem se čuvaju programi koji se pokreću sa sistemom. Kada se uređaj koji je na ovaj način zaražen ponovo pokrene, postaje svježe zaražen malwareom, što znači da je ovaj virus u stanju preživjeti restartovanje sistema.

Na koji način će Opća regulativa o zaštiti podataka (GDPR) utjecati na danas sve raširenije sisteme za videonadzor? I kako da poslodavci pripreme svoje poslovanje da bude u skladu s GDPR-om? Više o ovome pročitajte u nastavku

Piše: Vesna Matić-Karić
E-mail: redakcija@asadria.com

Kada se spomene zaštita ličnih podataka, većina i ne pomisli na videonadzor. Međutim, kada uzmemo obzir da se pod ličnim podatkom podrazumijeva “svaka informacija koja se odnosi na identifikovano ili raspoznatljivo lice”, onda nam postaje jasno zašto i videosnimci moraju biti tretirani s istom pažnjom kao i medicinski ili bankovni podaci. Ključno je shvatiti da, kada je u pitanju videonadzor, više ne govorimo samo o snimanju videa. Pojava analitike i sistema za identifikaciju objekata zasnovanih na AI-u pomaže vlastima u pristupanju velikoj količini podataka. Ali podataka koji moraju biti zaštićeni u skladu s novom regulativom.

Kako će GDPR utjecati na videonadzor?

Od maja do oktobra ove godine prošlo je sasvim dovoljno vremena da se svi pomire s činjenicom da će se način na koji videonadzorni sistemi manipulišu snimljenim materijalom morati promijeniti kako bi sve bilo u skladu s GDPR-om. Tako će vlasnici kompanija od sada morati imati validne razloge za instalaciju videonadzora, a u njih spadaju zaštita imovine, sigurnost zaposlenika ili snimanje potencijalnih incidenata do kojih može doći u krugu firme. To isključuje postavljanje videonadzora s isključivim ciljem nadzora zaposlenika. Poslodavci koji žele koristiti videonadzor ubuduće će imati obavezu da zaposlenike unaprijed obavijeste o zakonskoj osnovi za korištenje tog sistema na radnom mjestu. Ukoliko se zaposleni pobuni zbog postojanja kamera na nekom specifičnom mjestu, GDPR stavlja teret na poslodavca da dokaže kako ima uvjerljiv razlog za njihovo postavljanje. Do sada je bilo uobičajeno da se snimljeni materijal čuva do mjesec dana. Nakon uvođenja GDPR-a situacija je sljedeća: za duže čuvanje potrebno je provesti procjenu rizika kako bi se dokumentovali razlozi za ovakav postupak (npr. ako postoji mogućnost da će ga tražiti zaposlenici hitne službe). U tom slučaju, snimke treba čuvati tako da se “održava integritet prikupljenih informacija”, što znači enkriptiranje podataka tamo gdje je to potrebno, kao i ograničavanje pristupa njima. Osim toga, potrebno je čuvati i zapise o aktivnostima nadzornih kamera, a ta dokumentacija se mora održavati sve dok traje videonadzor.

Razlozi moraju biti opravdani

Vlasti će, ukoliko budu htjele koristiti videonadzorne sisteme, morati udovoljiti nekim drugim uslovima kako bi se opravdalo njihovo korištenje, a jedan od njih je: da li je videonadzor u javnom interesu? I pojedinci koji imaju kućne videonadzorne sisteme pokriveni su novom regulativom. Naime, pošto će njihove kamere u većini slučajeva snimiti kretanje stranaca van privatne imovine, oni će biti obavezni postaviti jasno vidljive oznake na kojima stoji da je videonadzor u funkciji. Vlasnici privatne imovine će također morati pripaziti na to da snimljene materijale zadrže samo minimalan broj dana, te da se snimci ne pokazuju nekim trećim licima. Međutim, u slučaju da je kamera zabilježila zločin, snimci se mogu čuvati koliko god je potrebno za krivično gonjenje i otkrivanje zločinca.

Koraci koje treba poduzeti

U cilju smanjenja mogućnosti hakiranja nadzornih sistema nužno je uložiti u kvalitetan softver i osigurati mrežni i videonadzorni hardver. Dakle, bitno je da stalno budete u toku s najnovijim cyber sigurnosnim praksama te da se pobrinete za redovne nadogradnje sistema. Ovi koraci su od posebne važnosti zbog interneta stvari, koji današnjim kamerama omogućava povezivanje na internet, što situaciju vezanu za privatnost čini još osjetljivijom, a opremu dostupnijom hakerima. Također, zaista nema potrebe da se kamere postavljaju posvuda. Dovoljno je da se kompanije fokusiraju na ključne tačke nadziranog terena te da zatim svoju strategiju fokusiraju na ta područja. Pri postavljanju novog sistema potrebno je imati u vidu to da postoji obaveza da se izradi Procjena utjecaja na zaštitu podataka kada je u pitanju “obiman sistematski monitoring javno dostupnih prostora”. Jednostavno se zapitajte zašto na nekom mjestu želite postaviti kameru? Postavljanjem ciljanog videonadzora imat ćete i opravdane razloge za pohranu i analizu prikupljenih podataka. Usaglašenost s odredbama GDPR-a u velikoj mjeri zavisi od toga kako koristite usluge koje pružaju partnerske kompanije. Zato je za sve vlasnike biznisa bitno da znaju šta sve korištenje usluga partnerskih kompanija podrazumijeva u smislu obaveza vezanih za GDPR i na kome je da te obaveze ispuni.

Enkripcija kao bitna stavka

Dave Seesdorf, glavni menadžer sigurnosnih proizvoda u Seagate Technologyju, smatra da je enkripcija najbolji metod zaštite podataka koji vam omogućava da poslovanje bude u skladu s GDPR-om: “GDPR se bavi zaštitom podataka. Vjerujem da sve nove tehnologije zasnovane na vještačkoj inteligenciji, poput prepoznavanja lica, brojeva registracijskih tablica, preciznog geolociranja pojedinca, rudarenja podataka i prikupljanja itd., spadaju u kategoriju ličnih podataka. A pošto Evropska unija implementira GDPR, podaci o nadzoru, logično, sadrže lične podatke, pa ih shodno tome treba zaštititi. Budući da je enkripcija podataka jedna od stvari koje su obuhvaćene principom ugrađene privatnosti, to bi mogla biti najbolja praksa za zaštitu podataka dobivenih pomoću nadzornih sistema”, objasnio je on.

Treba imati na umu da firewalli, sigurnosni softver i mnoge druge sigurnosne mjere zasnovane na softveru nisu nepogrešive, što znači da integratorima videonadzora trebaju dodatni alati kako bi detektovali i spriječili sigurnosne propuste. U takvim slučajevima dobro dođu inteligentni i intuitivni algoritmi koji traže ranjivosti u sistemu i savjetuju vas na koji način trebate postupiti kako bi se blokirali hakerski napadi, nakon čega se predložena akcija obavlja automatski jednostavnim klikom miša. Na svu sreću, danas nije teško doći do ovakvih i sličnih rješenja koja vam štede vrijeme i živce prilikom prilagođavanja novim pravilima vezanim za privatnost potadaka. Na kompanijama je samo da se na vrijeme raspitaju o svim dostupnim opcijama.

Pikseliziranje – pomoć pri usklađivanju s GDPR-om

Jedan od načina da se kompanijama olakša pridržavanje GDPR-a jesu moduli za automatsko pikseliziranje ljudi, automobila i registracijskih tablica u videu. Jedan od njih i svojevremeno prvi koji je proglašen spremnim za GDPR jeste KiwiVision Privacy Protector, koji omogućava podešavanje nivoa anonimizacije na snimcima odabranih kamera. Objekti i osobe u videu se mogu pikselizirati, zamagliti ili potpuno zakloniti, a pikselizacija se, naravno, po potrebi može i deaktivirati. Cloud alat Pixelate kompanije Ocucon obavlja sličnu stvar, a u firmi naglašavaju da njihov alat koristi AI i mašinsko učenje za efikasnu cloud redakciju videa.

Naše shvatanje cyber sigurnosti uglavnom se zasniva na internetu na kojem softverski napadi prijete našem poslovanju i svakodnevnim životima. Web-stranice mogu postati nedostupne, a korporativni serveri biti hakirani. Ali ono što još ne radimo u dovoljnoj mjeri jeste povezivanje cyber sigurnosti s fizičkim prijetnjama po autonomne računarske mreže

Izvor: ComNet
E-mail: redakcija@asadria.com

Pojam cyber sigurnosti u današnjem je svijetu vrlo čest i može obuhvatiti bilo koga i bilo šta, od nacionalnih vlada i globalnih korporacija do pojedinaca bilo koje starosne grupe. Naše shvatanje cyber sigurnosti uglavnom se zasniva na internetu na kojem softverski napadi, kao što su oni pomoću zlonamjernog softvera i DoS napada, prijete našem poslovanju i svakodnevnim životima. Međutim, ono što još ne radimo u dovoljnoj mjeri jeste povezivanje cyber sigurnosti s prijetnjama autonomnim računarskim mrežama. U takvim situacijama napadač fizički upada u sistem preko njegovih infrastrukturnih uređaja, što rezultira ili narušavanjem sigurnosti ili potpunim krahom sistema, uz katastrofalne posljedice u bilo kojem od ta dva slučaja. Ovaj članak se fokusira na hardversku cyber sigurnost te proučava moguće pristupe koje napadač može imati i opisuje funkcije unutar aktivne mrežne opreme koje mogu spriječiti takve napade. Iako ćemo se koncentrisati na IP sigurnost i mreže nadzora, ovaj osvrt relevantan je i za lokalne mreže te kao takav pokriva mnogo veći dio tržišta. Sigurnosne i nadzorne mreže zbog svoje prirode ostvaruju veze na sigurnim i nesigurnim lokacijama. Njihovim smještanjem na ranjive lokacije otvaraju se velike mogućnosti hakerskih napada, tako da je potrebno obratiti pažnju na zaštitu opreme. Međutim, i montažeri na isti način moraju paziti, čak i kada instaliraju opremu na naizgled sigurne lokacije, jer napad može poteći iz osiguranog područja. Zato ništa ne treba prepuštati slučaju.

Infrastruktura i napad

Ethernet mreža se sastoji od aktivne i pasivne opreme. Aktivna oprema (1) uključuje Ethernet switcheve i medijske konvertere, a pasivna kombinaciju kablova, konektora i dodataka poput posebnih odjeljaka koji također mogu sadržavati aktivnu opremu, kao što su, naprimjer, klima-uređaji i nadzorni sistemi. Ono na čemu ćemo se bazirati u ovom članku jesu Layer 2 Ethernet switchevi (2). Inače, Ethernet switchevi služe kao koncentratori kablova koji prikupljaju signale s različitih terenskih uređaja i, na osnovu informacija o adresama koje prenose ti signali, prosljeđuju ih do drugih uređaja. Switchevi posjeduju kombinaciju električnih ili optičkih portova (veza) u različitim brojevima. Medijski konverter je jednostavan uređaj koji konvertuje električni signal u optički i obrnuto. Sigurnosna prijetnja mreži na ovom nivou pojavljuje se kada se napadač fizički poveže na switch ili ukloni naš terenski uređaj iz mreže i umjesto njega u mrežu ubaci neki neautorizovani dio svoje opreme. Također, postoji mogućnost i povezivanja na optički port, ali bi napadač u tom slučaju morao imati i odgovarajući optički interfejs, tako da, iz praktičnih razloga, kod ovakvih napada najčešće je riječ o povezivanju preko električnog interfejsa. Električni Ethernet portovi su zasnovani na industrijskim standardima, tako da je povezivanje na njih relativno jednostavno. Budući da svaki laptop danas ima mogućnost povezivanja, najizglednije oružje za napad je već svima dostupno.

Odbrana aktivne opreme

Ethernet switchevi su dostupni u upravljivim i neupravljivim varijantama, pri čemu upravljiva platforma ima mnogo više funkcija i korisniku omogućava konfiguraciju i daljinski nadzor uređaja. Neupravljivi uređaj nema takve mogućnosti i predviđen je samo za osnovne zadatke koje obavlja na osnovu svojih fabričkih postavki. Medijski konverteri uglavnom dolaze u neupravljivoj varijanti. Tamo gdje je sigurnost bitna, upravljivi uređaji imaju opcije namijenjene sprečavanju neovlaštenog upada na mrežu, dok neupravljivi uređaji nemaju takve opcije, tako da biste u svojoj mreži trebali koristiti upravljive Ethernet switcheve.

————————

Sigurnosne karakteristike upravljivih switcheva

1. Najjednostavnije opcije obično omogućavaju najveći nivo sigurnosti, a upravljivi Ethernet switchevi potvrđuju to pravilo. Mogućnost isključivanja switch porta koji se ne koristi u trenutnoj mrežnoj konfiguraciji preko upravljačkog interfejsa naizgled je logična sigurnosna opcija, ali je i jedna od onih koju mnogi mrežni operateri ne koriste, i za koju možda i ne znaju da postoji na njihovim uređajima. Pravila njenog korištenja su, kao što možete zamisliti, jednostavna: ako se port ne koristi, ugasite ga, tako da se niko ne može preko njega neovlašteno povezati direktno na vašu mrežu. U slučaju da se port u budućnosti mora koristiti za legitiman mrežni saobraćaj, naprosto ga otvorite preko sistema za upravljanje. A kada već govorimo o jednostavnim opcijama koje donose najveći nivo sigurnosti, fabrički postavljeno korisničko ime i lozinku treba promijeniti u korisničko ime i lozinku koji se uklapaju u vaše sigurnosne prakse. Nema smisla implementirati ovoliki nivo sigurnosti ako ga napadač može narušiti jednostavnim povezivanjem na komunikacijski port (3) switcha i ostvarivanjem pristupa jednostavnim čitanjem uputstva.
2. Kada se uspostavi veza dva aktivna uređaja u mreži, generiše se potvrda veze (obično u vidu LED indikatora), koja se automatski prekida ukoliko se prekine i veza. Ovaj jednostavni hardverski okidač može se koristiti za gašenje porta na osnovu teorije da je prekid veze pokazatelj potencijalnog napada. No, funkcija se može i proširiti tako da isključi portove u slučaju gubitka napajanja aktivnog uređaja – ukoliko napadač dođe na ideju da zamijeni veze kada je switch ugašen. Ako se neki uređaj nalazi na nesigurnoj lokaciji, port koji prima komunikaciju s te lokacije trebao bi imati aktivirane navedene funkcije kako bi spriječio potencijalne napade koji uključuju prekid veze.
3. Svi terenski IP uređaji poput CCTV kamera ili zvučnika imat će Ethernet MAC adresu, koja se može koristiti pri povezivanju odgovarajućeg Ethernet switch porta na određenu MAC adresu. Ako se neregistrovana MAC adresa pokuša povezati, switch će joj naprosto blokirati pristup. Međutim, nemojte zaboraviti da bi sposobniji napadač mogao iskoristiti drugačiju vrstu napada da pronađe i kopira vašu MAC adresu, tako da vam ovaj način zaštite samo može kupiti vrijeme, ali ne pruža kompletnu zaštitu.
4. D) Uz poznate IP adrese umreženih uređaja, switch može podesiti sistem nadzora terenskih uređaja te pokretati unaprijed definisanu proceduru ukoliko od povezanih uređaja ne dobije odgovor na upite. Broj tih procedura koje se zasnivaju na protokolima za zaštitu lokacija razlikuje se u zavisnosti od switcha i proizvođača. Jedna od takvih procedura je instantno gašenje porta uz istovremeno generisanje SNMP poruke. Ona služi kao upozorenje koje sistemu za centralizirano upravljanje govori da se nešto desilo uređaju koji ima SNMP te da u slučaju potrebe upozori operatere. Druga moguća akcija je jednostavno slanje poruke bez gašenja porta ili, recimo, u slučaju da switch napaja terenski uređaj, moguće je pokrenuti proceduru resetovanja njegovog napajanja ukoliko korisnik misli da je zaglavio.
5. E) Autentifikacija korisnika preko 802.1x protokola je IEEE standard koji bi trebao biti dostupan na svim potpuno upravljivim switchevima. On propisuje autentifikacijsku proceduru za uređaje prije nego što se priključe na mrežu. Ovaj standard definiše tri strane u okviru procedure: klijenta koji se želi pridružiti mreži, autentifikatora, koji je, zapravo Ethernet switch, i autentifikacijski server. U ovom sistemu Ethernet switch štiti mrežu dok server ne verifikuje akreditive klijenta te mu dopušta ili blokira pristup mreži.

Sigurnost pasivne opreme

Osim aktivne opreme, unutar mreže potrebno je osigurati i pasivnu opremu. Koliko puta smo prošli ulicom i primijetili otvorena vrata ulične stanice kompanije za komunalne usluge ili čak otvoren pristupni panel na uličnoj svjetiljci? Razlog za ovo je činjenica da u većini slučajeva vlasnik, odnosno operater uopće ne zna da su vrata njegove ulične stanice otvorena i da njegov sistem više nije siguran. Ukoliko se u takvoj stanici nalazi bilo koja komponenta mreže, na vratima mora biti neki senzor koji će vas obavještavati o tome jesu li otvorena ili zatvorena. Ako su vrata otvorena, a vi niste svjesni toga, to predstavlja laku metu za sve napadače te izlaže opremu potencijalnim oštećenjima usljed nepovoljnih uslova iz okruženja ili vremenskih prilika. Nemojte zaboraviti da to ne mora biti samo aktivna oprema. Čak i ako stanica ima samo kablove, to je također prilika za neovlašteni upad u mrežu. Postavljanje senzora je apsolutno obavezno na svim nesigurnim lokacijama.

Da zaključimo

Sigurnosne prijetnje za Ethernet mreže mogu stići od poznatih ili nepoznatih napadača na lokalnim i udaljenim lokacijama. Imajući to u vidu, vlasnici i operateri se moraju zaštititi od svih mogućih varijanti napada. U slučaju lokalnih napada, mjesto upada na mrežu su fizičke veze s mrežom. Ukoliko je napadač udaljen, napast će preko mrežnih funkcija. Upravljivi Ethernet switchevi se zbog zaštite od napada trebaju uvijek koristiti kao aktivne komponente mreže budući da, ukoliko su pravilno konfigurisani, nude najveći nivo sigurnosti. Upravljivi uređaji također će omogućiti korisnicima da daljinski kontrolišu i nadziru mrežne uređaje te će generisati automatska upozorenja ukoliko se pojavi neki problem. Svi upravljivi Ethernet switchevi se moraju konfigurisati u zavisnosti od sigurnosnih nivoa i radnih zahtjeva lokacije na kojoj će se nalaziti kako bi se omogućilo njihovo pravilno funkcionisanje. Oni koji budu ignorisali osnove mrežne sigurnosti i koji se odluče za jeftinije neupravljive uređaje izlažu svoje mreže riziku od napada hakera, koji vrlo brzo mogu iskoristiti sofisticiranu sigurnosnu mrežu za svoje ciljeve. A s obzirom na to da je u igri zaštita kritične infrastrukture, podataka i komunikacija, jeste li spremni preuzeti taj rizik? Takvo nešto bi djelovalo neodgovorno.

Pojašnjenje pojmova

(1) Aktivna oprema je ona kojoj je za rad potrebna električna energija, a pasivnoj ne treba.

(2) U ovome članku se baziramo na Layer 2 Ethernet switcheve zasnovane na MAC adresama, a ne na Layer 3 uređaje na IP ili MAC adresama.

• Komunikacijski port na Ethernet switchevima je serijski port koji omogućava lokalni pristup postavkama nakon unošenja ispravnog korisničkog imena i lozinke.

Sada već sa sigurnošću možemo potvrditi da je skandal vezan za neovlašteno dijeljenje podataka korisnika Facebooka ne samo najveća vijest u IT svijetu od početka 2018. nego da djeluje kao da mu nema kraja jer se svaki dan pojavljuju nove informacije koje ne idu u korist toj IT kompaniji

Izvor: Vesna Matić-Karić
E-mail: redakcija@asadria.com

Skandal je izbio nakon što je bivši direktor istraživanja u Cambridge Analytici Christopher Wylie za Observer magazin otkrio da je ta britanska konsultantska firma, čiji je vlasnik milijarder Robert Mercer, iskoristila lične podatke desetaka miliona glasača i korisnika Facebooka kako bi osmislila pobjedničku kampanju Donalda Trumpa. Facebook je dvije godine znao da je Analytica do podataka došla na neovlašten način, ali niko iz kompanije nije našao za shodno da obavijesti javnost o tome. Najnovije informacije govore da su ugroženi lični podaci čak 87 miliona korisnika Facebooka. Zbog toga ta društvena mreža podsjeća korisnike da izbrišu aplikacije koje više ne koriste, a počela je i s određenim promjenama kako se ovakav slučaj ne bi više ponovio.

Prebacivanje krivice

Aleksandr Kogan, istraživač i akademik s Univerziteta u Cambridgeu, našao se u samom centru ovog skandala. Upravo je on radio na prikupljanju podataka desetaka miliona korisnika Facebooka prije četiri godine. To je činio koristeći aplikaciju “This Is Your Digital Life”. Riječ je o kvizu za testiranje ličnosti. Kogan je prikupljene podatke kasnije proslijedio kompaniji Cambridge Analytica, koja je prvobitno potvrdila da ih je koristila kako bi kreirala reklame tokom izborne kampanje za Donalda Trumpa 2016. godine, da bi zatim negirala ono što je već izrekla. Kogan je kasnije za BBC Radio 4 izjavio da ga je Facebook iskoristio u toku ovog skandala. “Mislili smo da radimo nešto što je sasvim normalno. Smatram da me i Facebook i Cambridge Analytica u principu koriste kao žrtvenog jarca”, rekao je tom prilikom.

Sada je poznato da je Facebook između 2007. i 2014. godine omogućio i programerima pristup svojim socijalnim grafikonima (kartama mreža prijatelja njihovih korisnika, ličnim interesima i lajkovima). Iako se ovaj pristup trebao odnositi samo na spomenute podatke, u više različitih izvještaja je potvrđeno da je Facebook slabo nadgledao pristup tim podacima i provođenje dogovorenih aktivnosti, pa je od programera tražio da potpišu samo najjednostavniju saglasnost prije nego što bi ovi počeli prikupljati podatke.

Neophodna bolja zaštita

Zloupotrebu istih podataka kompanija je istraživala tek nakon što bi bila prijavljena. Ovo potvrđuje i informacija prema kojoj je skoro 64.000 stanovnika Novog Zelanda bilo pogođeno ovim skandalom, a samo je njih deset skinulo spomenuti kviz preko kojeg je Kogan prikupljao podatke. Ista stvar se odnosi i na Australiju. Kako prenosi The Guardian, iako je 311.127 Australaca zahvaćeno ovim skandalom, samo 53 građana te zemlje su učestvovala u kvizu odgovornom za nepropisno prikupljanje i korištenje ličnih podataka. Također se ispostavilo da je ukupno 2,7 miliona građana Evropske unije pogođeno neovlaštenim dijeljenjem njihovih podataka s Cambridge Analyticom. Upravo su ovakvi incidenti najbolji pokazatelj da su društvene mreže i internet u globalu potpuno zreli za uvođenje novih regulativa o zaštiti ličnih podataka kao što je GDPR, o kojem smo detaljno pisali u prošlom broju. Također, Kogan tvrdi da je tačnost prikupljenih podataka preuveličana: “U praksi, moja pretpostavka je da smo imali šest puta veću šansu da shvatimo sve pogrešno o nekoj osobi nego ono što je istina. Lično smatram da ciljanje na korisničkom nivou nije efikasan način korištenja ovakvih skupova podataka.”

Pad povjerenja

Kako prenosi Business Insider, nivo povjerenja koje su korisnici imali u Facebook kao kompaniju i svakodnevno korištenu društvenu mrežu značajno je opao nakon skandala s dijeljenjem podataka. Istraživanje Ponemon Instituta na 3.000 ispitanika pokazalo je da trenutno samo 27% ljudi vjeruje da bi Facebook zaštitio njihovu privatnost, što je znatan pad povjerenja u odnosu na prošlu godinu, kada je pozitivan stav imalo 79% korisnika te društvene mreže. Ovi najnoviji podaci podupiru rezultate do kojih je došao Business Insider Intelligence, u čijem Digital Trust izvještaju stoji da 81% korisnika Facebooka ima malo ili nimalo povjerenja u firminu posvećenost zaštiti njihovih ličnih podataka. Zanimljivo je i to da je ova studija pokazala da korisnici ovakve strahove osjećaju najviše kada se spomene Facebook, a manje kada je riječ o mrežama poput LinkedIna, Instagrama, Twittera, Snapchata i YouTubea.

I Apple se ustremio na Facebook

U kritikovanje događaja uključio se i direktor Applea Tim Cook nazvavši ovakav vid trgovine ličnim podacima invazijom na privatnost. Govoreći na forumu za razvoj u Pekingu, Cook je izjavio da je ovakvu situaciju neophodno zakonski regulisati te je detaljnije objasnio svoj stav. “Mogućnost da svako zna šta ste godinama pretraživali, ko su vaši kontakti, šta vam se sviđa, a šta ne i svaki intimni detalj vašeg života – s moje tačke gledišta ne bi trebala postojati”, istakao je Cook. Kasnije je u razgovorima za MSNBC i Recode rekao da je Apple, iako je mogao zaraditi gomilu novca da je monetizirao svoje korisnike, izabrao da to ne radi, jer smatra da je privatnost ljudsko pravo. Kada su ga novinari pitali šta bi on uradio da se našao na Zuckerbergovom mjestu, Cook je demonstrativno uzvratio da se on ne bi ni našao u takvoj situaciji, a to je ujedno bio i prvi put da je na direktan način spomenuo Zuckerberga tokom priče o zaštiti privatnosti. Međutim, ovakav Cookov stav nije nikakva novost. On je još 2014. godine isticao da Apple itekako brine o privatnosti svojih korisnika te da je privatnost osnovno ljudsko pravo i samim time spada u domen građanskih sloboda. Zuckerberg je u nekoliko navrata odgovorio na Cookove prozivke rekavši da samo zato što Facebook, za razliku od Applea, ne prodaje svoje usluge, ne znači da ne brine za svoje korisnike. Izjavio je da “ne bismo trebali dopustiti kompanijama koje naplaćuju svoje usluge da nas uvjere kako zbog toga više brinu o nama”. Uprkos Zuckerbergovom pokušaju da trenutnu situaciju predstavi u što boljem i po Facebook pozitivnijem svjetlu, stvari se ne prestaju zahuktavati. Tako #deletefacebook kampanja traje već neko vrijeme i poziva sve korisnike mreže da izbrišu svoje profile na toj društvenoj mreži, a kampanji se priključio i Brian Acton, suosnivač WhatsAppa, koji je prodat Facebooku 2014. godine.

Zuckerberg: “I moji podaci su među prikupljenima!”

Iako je prvobitno odugovlačio sa svjedočenjem, Zuckerberg se na kraju ipak morao pojaviti pred američkim Kongresom. Njegovo svjedočenje trajalo je punih deset sati i za to vrijeme je, prema mišljenju pojedinih medija i stručnjaka za govor tijela, propustio priliku da dobije “oprost slušalaca” budući da je djelovao “stoički i relativno bezosjećajno”. Tokom svjedočenja Zuckerberg je u jednom trenutku obećao senatorima da će Facebook ubuduće više raditi na sigurnosti podataka i sprečavanju njihove zloupotrebe. “Nismo učinili dovoljno da spriječimo zloupotrebu ovih alata. Nismo dovoljno sagledali našu odgovornost, a to je bila velika greška. To je bila moja greška i žao mi je”, izjavio je tom prilikom Zuckerberg. Kako bi opravdao ono što se desilo, Zuckerberg je pred senatorima rekao da su se i njegovi lični podaci našli među prikupljenim podacima te da je i njih zloupotrijebila Cambridge Analytica. Na saslušanju je jedan od senatora pitao Zuckerberga zašto jednostavno ne pređe na novi sistem u kojem bi svoje usluge naplaćivao korisnicima umjesto da ih koristi za ciljani marketing, odnosno reklamiranje. Na to je Zuckerberg odvratio kako u firmi smatraju da je servis koji finansiraju reklame u skladu s njihovom misijom, ali je ostavio mogućnost da jednom počnu pružati i plaćene usluge. Međutim, naglasio je da će uprkos tome uvijek postojati “besplatna verzija Facebooka”.

Posljedice se već osjete

Prije ovog slučaja Facebook je istraživao mogućnosti dijeljenja podataka svojih korisnika sa zdravstvenim ustanovama, koje bi one koristile za donošenje bitnih odluka vezanih za pacijente. Naprimjer, bolnica bi mogla odlučiti da pošalje kućne njegovatelje pacijentima koji, prema podacima s njihovih Facebook profila, nemaju rodbinu ili prijatelje blizu sebe. U svjetlu ovog skandala, međutim, društvena mreža je privremeno obustavila dalji rad na ovom projektu kako bi osmislila bolje načine zaštite podataka. Slično kao i u aktuelnom slučaju, Facebook nije pridavao mnogo pažnje tome da li bi korisnici trebali biti obaviješteni o ovoj praksi ili ne. Iako trenutno uživa veće povjerenje svojih korisnika od Facebooka, Instagram (inače u vlasništvu Facebooka) odlučio je znatno ograničiti količinu podataka koji se mogu prikupiti preko vanjskih aplikacija. Također, Cambridge Analytica je suspendovala svog direktora Alexandera Nixa, koji je u trenutku pisanja teksta, slično kao i Zuckerberg u SAD-u, odugovlačio s pojavljivanjem pred komisijom Britanskog parlamenta. Vodstvo kompanije je razotkriveno u snimku britanske televizije Channel 4, u kojem se, između ostalog, govorilo o potrebi profiliranja ljudi radi ubacivanja efikasnih poruka na internetu. Ovaj skandal je natjerao ljude da se počnu pitati da li i ostale društvene mreže rade ono što je uradio Facebook, što je barem jedna pozitivna stvar proizašla iz čitave situacije.

Neovlašteno prikupljanje podataka uobičajena pojava?

Aleksandr Kogan tvrdi da su ga iz Cambridge Analytice sve vrijeme uvjeravali kako “hiljade, možda i deseci hiljada aplikacija rade istu stvar” te da je to što on radi “prilično normalan način upotrebe podataka s Facebooka”. U skladu s tim, sličnih incidenata ne manjka, a jedan od zanimljivijih iz nedavne prošlosti jeste slučaj američkog proizvođača audioopreme Bose. Protiv te kompanije prošle godine je pokrenuta tužba zato što je posredstvom svoje aplikacije prikupljala podatke o slušalačkim ukusima i navikama svojih korisnika. Budući da ljudi osim muzike slušaju i političke emisije, ti podaci su služili za profiliranje korisnika, a Bose ih je neovlašteno prosljeđivao marketinškoj kompaniji segment.io.