10.05.2021 Prawo w mediach
Ekonomia cyberprzestępców. Jak utrudnić życie hakerom
Carlos Asuncion, dyrektor ds. Inżynierii rozwiązań, Shape Security w F5
Każdy biznes kieruje się w swoich działaniach analizą kosztów i potencjalnych korzyści. Tak samo działają internetowi oszuści. Głównym motywatorem ich działań jest zysk. Na ich rachunek zysków i strat wpływają dwa kluczowe czynniki: koszt operacji i zmieniający się krajobraz cyberbezpieczeństwa.

Należy zauważyć, że koszty działań kryminalnych szybko spadają. W uproszczeniu oznacza to, że hakerzy mają dziś możliwość wydać jedynie kilkaset dolarów na zorganizowanie ataków, które mogą przynieść wielomilionowe zyski.
W rezultacie zauważamy, że upychanie poświadczeń[1] – nazw użytkowników i haseł – staje się coraz częściej stosowaną metodą oszustw internetowych. Ostatnie badania F5 Labs i Shape Security potwierdziły niedawno, że incydenty związane z wyciekiem poświadczeń niemal podwoiły się w latach 2016-2020.
Wspomniana metoda polega na tym, że hakerzy uzyskują nazwy użytkownika i hasła po bardzo niskich kosztach (a czasami za darmo) z łatwo dostępnych źródeł. Następnie używają niestandardowego lub powszechnie dostępnego oprogramowania – gotowego, aby zautomatyzować proces logowania na milionach kont użytkowników w setkach witryn internetowych. Robią to wiedząc, że czyjeś hasło do Facebooka może np. powtórzyć się jako login konta dostawcy usług internetowych, a nawet do konta bankowego. Generowany przez nich ruch jest dystrybuowany globalnie, co pozwala uniknąć podejrzeń dotyczących jego źródła. Poza tym, dokonując kolejnej, niewielkiej inwestycji hakerzy mogą również pokonać podstawowe, zautomatyzowane mechanizmy obronne, takie jak np. testy CAPTCHA, wykorzystując wtyczki lub zewnętrzne usługi ich rozwiązywania.
W Shape Security szacujemy, że koszt 100 tysięcy prób przejęcia konta wynosi jedynie około 200 dolarów, włącznie z niezbędnym oprogramowaniem, serwerami proxy i kosztem zakupu skradzionych danych uwierzytelniających. Wskaźniki skuteczności takich ataków zwykle wahają się od 0,2 do 2%. Przejęte konta są następnie sprzedawane na różnych forach i rynkach cyberprzestępczych w cenie od 2 do 150 dolarów, co oznacza zwrot z inwestycji wielkości od 100 do 150 000%, a czasem nawet więcej. W sumie daje to zwrot środków w wysokości od 200 do nawet ponad 300 000 dolarów.
Niestety, wiele organizacji nadal koncentruje się na odpieraniu ataków botów za pomocą adresu IP lub blokowania ciągu User-Agent, co szybko staje się nieefektywną grą w kotka i myszkę. Zamiast tego należy położyć nacisk na wyeliminowanie tego, co stanowi dla hakerów wartość, czyli ułatwień dla atakujących cyfrowe zasoby organizacji.
Zaporowy koszt dla atakujących biznes
Dla firm oznacza to ulepszenie ich obrony do tego stopnia, żeby jej pokonanie przez hakerów było zbyt kosztowne. Włamywacz zawsze skorzysta z otwartego okna, zamiast inwestować w drogie narzędzia do otwierania zamków w solidnych drzwiach. Ta zasada działa także w przypadku zasobów wirtualnych.
Najlepszą metodą jest zastosowanie zestawu środków, które zmuszą oszustów do kosztowniejszych działań. Jeśli będzie się to zdarzać wystarczająco często, analiza koszty vs korzyści nie będzie dla nich wystarczająco intratna, ponieważ konieczne wydatki ostatecznie przeważą nad potencjalnym zwrotem.
W 2913 roku, David Bianco zaproponował klasyfikację stopnia trudności ataku w koncepcji Piramidy Bólu. Sprawdza się ona w przypadku credential stuffing i możliwych, skutecznych w łagodzeniu takich ataków metod. Angażowanie sił ochrony tylko w obszarze adresów IP i ciągów User-Agent znajdujących się na dole piramidy jest daremne. Znacznie efektywniej jest skoncentrować wysiłki na wyższych stopniach „piramidy bólu” i niwelować siłę narzędzi oszustów oraz ich taktyk, technik i procedur (TTP). Innymi słowy, nieustannie utrudniać działania przeciwnikowi i zmuszać go do szukania tańszych celów gdzie indziej.
Aby skutecznie przeprowadzić podobną obronę, należy sprawdzić, ile faktycznie kosztuje atakowanie naszych usług internetowych i mobilnych. Jeśli nie znamy tych kosztów, trudno estymować, jakie rodzaje utrudnień i blokad będą w rachunku zysk-koszt wystarczające do obrony przed atakami. Na bazie posiadanej już wiedzy można przystąpić do wprowadzania skutecznych działań – rekomendujemy trzy kroki jak niżej.
- Na początek warto zająć się słabymi punktami przeprowadzając audyt ekspozycji sieci, aby usunąć wszystkie najprostsze dla przestępców ścieżki. Stworzy to minimalną barierę, którą napastnicy będą musieli pokonać. Dla przykładu: przeanalizowanie strony uwierzytelniania aplikacji webowych pozwoli upewnić się, że nie dostarcza ona cennych informacji zwrotnych, które mogą być wykorzystane przez oszustów. Strony resetowania hasła będą tutaj typowym przykładem. Komunikat „przepraszamy, to konto nie istnieje, spróbuj ponownie” w rzeczywistości pomaga przestępcom. Informuje ich, które konta są w naszej witrynie ciągle ważne, a które nie, Poprawia to dokładność i wydajność wszystkich kolejnych ataków polegających na wypychaniu poświadczeń. Odpowiedź, która utrudniłaby działanie hakerom brzmiałaby: „Otrzymaliśmy Twoją prośbę o zresetowanie hasła. Otrzymasz od nas wiadomość e-mail umożliwiającą zresetowanie hasła”.
- W kolejnym kroku warto przeprowadzić testy penetracyjne w aplikacjach internetowych i mobilnych organizacji, aby zrozumieć, jaki jest stopień trudności dokonania wyłomu przez oszustów. W tym procesie należy posiłkować się faktycznymi danymi, a nie przeczuciami. Pomoże to zbudować zestaw narzędzi obronnych, które odzwierciedlają realne i prawdopodobne próby pokonania zastosowanych środków bezpieczeństwa.
- Trzecim krokiem będzie regularne aktualizowanie i ulepszanie mechanizmów cyberochrony, aby dotrzymać kroku stale ewoluującemu ryzyku. Warto pamiętać, że pole ataku jest dynamiczne. Narzędzia, którymi dysponują przestępcy są udoskonalane każdego dnia. Etap ten może obejmować usługi analityków bezpieczeństwa (wewnętrznych lub kontraktowych) i nałożenie na nich obowiązków „Red Hat”. To pozwoli im być na bieżąco z najnowszymi wektorami ataków i narzędzi omawianych na cyberprzestępczych forach dark web i innych. Równie skutecznym rozwiązaniem mogą być programy Bug Bounties pozwalające wewnątrz organizacji zidentyfikować luki w kontroli lub nowe sposoby obejścia istniejących mechanizmów kontrolnych, zanim oszuści będą mogli je znaleźć i wykorzystać.
Warto pamiętać, że upychanie poświadczeń jest dla kryminalistów tanie i łatwe, więc stanowi duży zwrot z inwestycji przestępczych. Dzięki nim hakerzy regularnie zarabiają miliony. Nie warto im tego ułatwiać.
PRZERWA NA REKLAMĘ
Zobacz artykuły na podobny temat:
Czy wolność słowa zwalnia od myślenia?
Wiesław Gałązka, Money.pl
Stało się. Dłużej tak nie mogło być. Wreszcie ktoś musiał zacząć bronić "burych suk", "małp w czerwonym" i "ścierwojadów".
Prawo człowieka do prywatności
Małgorzata Misztal
Wiele jest dokumentów, które sankcjonują prawo człowieka do prywatności i intymności: Powszechna Deklaracja Praw Człowieka ONZ, Europejska Konwencja o Ochronie Praw Człowieka i Podstawowych Wolności, Międzynarodowy Pakt Praw Obywatelskich i Politycznych. Poznajcie te i wiele innych regulacji.
Jakie dane zbiera Google. Prywatność w internecie
KF
Według raportu gs.statcounter.com – maj 2018, Google zgarnia ponad 97% użytkowników sieci. Obecnie do dyspozycji odbiorców jest szereg bezpłatnych aplikacji. Co gromadzi Google? Korzystając z usług najpopularniejszej wyszukiwarki powinniśmy mieć świadomość tego, w jaki sposób zbierane, a następnie wykorzystywane są nasze dane.
Hejt w polskim internecie. Raport Kantar TNS dla Sprite
Newseria
Ponad połowa młodych Polaków (16-19 lat) doświadczyła hejtu w ciągu ostatnich 12 miesięcy. Jeszcze więcej osób przyznaje, że osobiście używało stwierdzeń noszących znamiona hejtu. Przedmiotem nienawistnych komentarzy są najczęściej wygląd, styl ubierania się, narodowość, seksualność, poglądy polityczne oraz wyznanie.
Prawo obywatela do informacji
Centrum Monitoringu Wolności Prasy
Schemat oraz przepisy regulujące pojęcie i zakres prawa obywatela do informacji w polskim prawie.
Ministerialna sieć dezinformacji
Tomasz Bonek, Bartosz Chochołowski, Money.pl
Strony internetowe ministerstw często zawierają nieaktualne dane. Trudno się po nich poruszać, a w dodatku z reguły informacje napisane są hermetycznym, urzędniczym żargonem.
Reforma prawa autorskiego. Komentarz do decyzji Europarlamentu
Centrum Cyfrowe
Wszystko dla posiadaczy praw, a co dla użytkowników? Parlament Europejski przegłosował zmiany w prawie autorskim. Nowa dyrektywa miała dostosować prawo do sposobu, w jaki korzystamy z internetu. Wygląda jednak na to, że to internet będzie musiał dostosować się do dyrektywy - ostrzegają eksperci fundacji Centrum Cyfrowe i podsumowują zmiany.