Jesmo li spremni za digitalnu igru mačke i miša?

Od ovog broja počinjemo sa serijom tekstova posvećenih IT, digitalnoj ili cyber sigurnosti. Ova tema postaje sve važnija kako sve veći broj uređaja dobiva mogućnost TCP/IP, odnosno internetske konekcije, čime, osim raznih pogodnosti, dobiva i mogućnost da bude napadnuta i iskorištena za stvaranje štete vlasniku ili trećim stranama. Kako je ovo prvi u seriji tekstova, počet ćemo sa osnovnim pojmovima koji su neophodni da bismo lakše razumjeli naredne tekstove.

Izvor: Goran Milić
E-mail: redakcija@asadria.com

Uobičajeno je da se u ovakvim tekstovima počne od definisanja osnovnog pojma koji je predmet pisanja. Međutim, kako vjerovatno i sami možete pretpostaviti, definisati IT sigurnost u jednoj ili dvije rečenice vrlo je teško. Oblast cyber sigurnosti je veoma široka i, što je još važnije, riječ je o multidisciplinarnoj vještini. Zbog toga je veoma teško biti sigurnosni stručnjak za digitalne tehnologije – potrebno je detaljno poznavanje mrežnih tehnologija, operativnih sistema, aplikativnog softvera, hardvera i drugih digitalnih tehnologija, ali i disciplina kao što su menadžment i fizička sigurnost. Svakako ne treba zaboraviti psihologiju, jer su najčešće baš ljudi najslabija karika u sigurnosnom lancu. Sve ovo se dodatno usložnjava brzim razvojem digitalnih tehnologija, što je posebno izraženo posljednjih godina razvojem takozvanog Internet of Things ili Internet of Everything fenomena, koji obećava da će praktično svaka sprava u budućnosti biti povezana na internet.

Sigurnost, najvažnija disciplina

Povećanjem broja uređaja koji su spojeni na internet eksponencijalno se povećava i broj sigurnosnih prijetnji koje se otvaraju potencijalnim zlonamjernim napadačima. Zbog svega ovoga digitalna sigurnost postaje jedna od najvažnijih disciplina informatičke nauke. Kada govorimo o digitalnoj sigurnosti, četiri su cilja koja sigurnosni stručnjaci nastoje ispuniti:

• Kontrola fizičke dostupnosti kompjuterima, serverima i kompjuterskoj mreži,
• Zaštita od slučajnog brisanja, modifikacije ili kompromitovanja podataka,
• Detekcija i prevencija namjernih internih sigurnosnih upada,
• Detekcija i prevencija vanjskih sigurnosnih upada, koji se često nazivaju hakerski napadi.

Ako bismo se vratili korak unazad, pa pokušali definisati samu riječ “sigurnost”, najčešće bismo došli do fraze “nepostojanje rizika ili opasnosti”. Ovakvu definiciju je prilično teško primijeniti na digitalnu sigurnost s obzirom da je u današnjem svijetu sveopšte povezanosti praktično nemoguće omogućiti apsolutnu sigurnost. Ili, kako kaže jedna stara šala kompjuterskih stručnjaka – jedini siguran kompjuter je isključen kompjuter. Mada danas ni to više nije moguće tvrditi, jer postoje uređaji koji mogu očitati stanje kompjuterske memorije čak i kada su memorijski čipovi izvađeni iz kompjutera. Ova metoda se koristi za dobavljanje kriptografskih ključeva koji se čuvaju u memoriji dok kompjuter radi, a jako je dobar primjer multidisciplinarnosti digitalne sigurnosti – u ovom primjeru u igri je fizička sigurnost, poznavanje hardvera te kriptografija.

Znanje je moć

Gornji podnaslov danas je već čuveni moto hakera (uz, također, poznatu krilaticu: “Informacija želi da bude slobodna!”). Međutim, riječ je o univerzalnoj istini koja važi ne samo za one koji pokušavaju doći do podataka koji nisu njihovi već i za one koji te podatke pokušavaju zaštititi. Prvi i osnovni korak za pobjedu u nekom ratu, a osiguravanje kompjuterskog ili bilo kakvog drugog sistema je ništa drugo nego konstantni rat, jeste poznavanje neprijatelja. Onaj koji bolje poznaje slabosti svog neprijatelja ima veće šanse za pobjedu. Da bi se zaštitio neki digitalni sistem, bez obzira da li je riječ o jednom uređaju ili kompjuterskoj mreži od nekoliko desetaka hiljada uređaja, potrebno je znati ko napada vaš sistem, zašto to radi i kako to radi. Naravno, do ovih informacija nije lako doći, jer su i sami napadači svjesni da ih moraju što bolje zaštititi. Moglo bi se reći da je digitalna sigurnost neprestana igra mačke i miša u kojoj sudionici konstantno mijenjaju uloge. Zbog toga mnogi sigurnosni stručnjaci savjetuju da je najbolje učiti od samih napadača, odnosno hakera. Knjige, tekstovi, korak po korak vodiči, forumi, mailing liste, chat serveri i ostala mjesta na kojima se skupljaju hakeri su najbolja mjesta za skupljanje znanja, pa biste na ovakvim mjestima lako mogli pronaći više dobronamjernih sistemskih i mrežnih administratora nego zlonamjernih hakera. Kažemo “mogli” jer svako od njih dobro krije svoj identitet, pa nikada niste sigurni ko je sa druge strane komunikacionog kanala.

Svakako treba napomenuti da danas hakeri više ne djeluju kao pojedinci, kao što je to bio slučaj u ranim danima interneta. Danas je obično riječ o dobro organizovanim grupama, koje vrlo često finansiraju državne agencije ili organizovani kriminal. Zbog toga su njihovi kapaciteti često veći od žrtvinih, te u određenim situacijama nema druge nego isključiti sistem. Ovakav slučaj nedavno je zadesio japanski Sony, koji nekoliko mjeseci nije mogao osposobiti vlastitu kompjutersku mrežu, a sve zbog vrlo sofisticiranog napada, koji na kraju i nije do kraja rasvijetljen.

Napadački trokut

Sigurnosni stručnjaci, bez obzira da li je riječ o digitalnim ili nekim drugim sistemima, često koriste model “napadačkog trokuta” kako bi opisali uslove koji se moraju ispuniti da bi došlo do napada. Sva tri uslova moraju biti ispunjena da bi se napad dogodio, pa ovu činjenicu koriste i oni koji rade na zaštiti sistema kako bi smanjili mogućnost napada. Tri ugla napadačkog trokuta su:

– Motiv: napadač mora imati motiv da bi napao neki sistem. Motiv mogu predstavljati materijalni interesi, informacije (pošto živimo u „informacijskom dobu“, danas su informacije najvrednija roba), a ponekad i puka “slava” koju napadač stječe u svojoj sredini. U slučaju da motiva nema, napadač će potražiti neki drugi cilj.

– Sredstva: napadač mora imati sredstva kojima će izvršiti napad. Ponekad mu je potreban samo jedan kompjuter, nekada nekoliko hiljada kompjutera povezanih u takozvane botnet mreže, a ponekad je dovoljna i vještina manipulacije ljudima (primjena psihologije). Ono što u svakom slučaju mora postojati je znanje koje napadač koristi da bi došao do cilja.

– Prilika: napadač mora imati priliku da izvrši napad, bilo da je riječ o propustima u sigurnosnom planu, takozvanim “rupama” u softveru, lošoj konfiguraciji opreme ili nekom drugom razlogu. Ako ne postoji prilika, napadač ne može izvršiti napad.

Jasno je da se rad sigurnosnih stručnjaka najviše bazira na samoj prilici, pošto na motiv i sredstva napadača teško mogu utjecati. Međutim, informacije o motivu i sredstvima mogu biti dragocjene za zaustavljanje napada ili otkrivanje napadača.

Motiv, sredstva i prilika moraju postojati da bi došlo do sigurnosnog napada.

Smanjivanje prilike za napad ključni je posao svakog sigurnosnog stručnjaka. Kako smo već rekli, kreiranje apsolutno sigurnog sistema je nemoguće iz mnogo razloga, pa je cilj sigurnosnih stručnjaka da stvore sistem koji je najmanje primamljiv potencijalnim napadačima. To znači da pažljivim planiranjem i strogom kontrolom sigurnosni stručnjaci mogu kreirati sistem koji je komplikovaniji za napad od drugih sličnih sistema i na taj način smanjiti broj pokušaja, što je već prilično velik uspjeh.

Venom – aktuelni sigurnosni propust prijeti modernim virtualizacijskim serverima

Kao ilustracija koliko je, zapravo, težak posao sigurnosnog stručnjaka u digitalnom svijetu može poslužiti upravo otkriveni sigurnosni propust nazvan “Venom” (engl. otrov). U trenutku pisanja ovog teksta (sredina mjeseca maja) upravo su objavljene informacije o ovom sigurnosnom propustu koji je kategorisan kao “zero day” propust, što znači da za njega trenutno ne postoji takozvana “softverska zakrpa”, koja sprečava iskorištavanje ovog sigurnosnog propusta.

Riječ je o grešci u softveru za upravljanje virtualnim floppy diskovima, koja omogućava obaranje virtualizacijskog softvera, te dobivanje prava upravljanja drugim virtualnim mašinama koje su pokrenute na serveru. Ovaj sigurnosni propust prisutan je na svim virtualizacijskim platformama koje koriste QEMU emulator, od kojih su najpoznatiji Xen, KVM i Oracle VirtualBox. VMware i Microsoft Hyper-V, najpoznatije komercijalne virtualizacijske platforme, nisu podložne ovom propustu. Venom se po ozbiljnosti i količini servera koje zahvata poredi sa Heartbleed propustom, koji je 2014. godine proglašen jednim od najvećih sigurnosnih propusta u historiji digitalne sigurnosti.