„Rizik“ je ključan koncept u kibernetičkoj sigurnosti. Neki ljudi definiraju rizik za kibernetičku sigurnost kao A + T + V = rizik. U gornjoj jednadžbi A označava resurs (engl. asset), T označava prijetnju (engl. threat), a V označava ranjivost (engl. vulnerability).
Resurs: Resurs je sve što se može smatrati osjetljivim podacima ili pružati pristup takvim podacima. To mogu biti privatne informacije, uređaj ili komponenta sustava koji se smatraju vrijednima.
Prijetnja: Prijetnja može biti zlonamjeran haker, zločinac ili osoba koja iznutra krade informacije, ali prijetnje mogu biti i slučajne, kao što je tehnički kvar ili korisnička pogreška koja može izazvati rizik za podatke (resurs).
Ranjivost: Ranjivost je propust koji može uništiti, oštetiti ili ugroziti resurs. U slučaju softvera, ranjivost je obično propust u programskom kodu (pogreška) ili propust u načinu na koji program otkriva ili omogućuje pristup podacima.
Norme iz serije ISO 27000 za informacijsku sigurnost dodaju toj definiciji i učinak (engl. impact). Svrha procjene učinka je određivanje prioriteta pojedinih rizika. Primjerice, rizik velike vjerojatnosti ali vrlo malog utjecaja mogao bi imati manji prioritet na popisu rizika. Umjesto toga, pozornost se može usmjeriti na rizik male vjerojatnosti ali vrlo velikog učinka. Ako definiciji dodamo učinak i ponovno napišemo jednadžbu kao V x T x I = rizik, uračunavamo i multiplikativnu prirodu procjene rizika.
Norme iz serije ISO 27000 najčešće su norme koje koriste tvrtke u Europi. One predlažu najbolje prakse za upravljanje informacijskom sigurnošću, obično unutar konteksta sustava upravljanja informacijskom sigurnošću (engl. information security management system, ISMS).
Serija ISO 9000 definira niz normi za osiguranje kvalitete i upravljanje kvalitetom te pruža širi okvir koji mnoge tvrtke nastoje primjenjivati.
Ako razmislimo o usporednim primjerima iz stvarnog života, resurs je nešto vrijedno u vašemu domu, npr. novi televizor, ranjivost su otključana vrata, a prijetnja je zločinac koji iskorištava ranjivost, što dovodi do krađe vašeg televizora, odnosno učinka.
Primjer na internetu bio bi korištenje slabe lozinke (ranjivost) za zaštitu Facebook računa (resurs) od nekoga tko se želi prijaviti i ukrasti vaš identitet (prijetnja). Učinak je u ovom slučaju gubitak vašeg računa i informacija koje taj račun sadrži.
U oba slučaja imamo rizik koji postoji samo zato što postoji resurs, ranjivost, prijetnja i učinak.
Također je dobro imati na umu da ranjivost nije nužno nenamjeran propust kao što je otvoreni prozor, već može biti i svjesno stvorena slaba točka koja se, u slučaju računala, obično naziva program za neovlašten ulazak u sustav (engl. backdoor).
Vrste ranjivosti
Postoji mnogo različitih vrsta ranjivosti koje obuhvaćaju širok spektar meta i metoda. Ranjivost može biti, na primjer, slaba kontrola pristupa, nedostatno rukovanje unosom podataka ili iskorištavanje poznatih slabih točaka računalnog čipa. Teško je definirati generičku podjelu tih vrsta ranjivosti. Jedna podjela može se pronaći u normi ISO 27005. Prema njoj se ranjivosti dijele na temelju resursa.
Hardver
Osjetljivost na vlažnost ili prašinu
Osjetljivost na nezaštićenu pohranu
Istrošenost s vremenom koja uzrokuje kvar
Prekomjerno zagrijavanje
Softver
Nedovoljno testiranje
Nezaštićeno kodiranje
Nepostojanje zapisa o nadzoru (engl. audit trail)
Pogreška u dizajnu
Mreža
Nezaštićene komunikacijske linije (nepostojanje kriptografije, loša kriptografija)
Nezaštićena mrežna arhitektura
Osoblje
Neprimjeren postupak zapošljavanja
Nedostatna informiranost o sigurnosti
Prijetnja osobe „iznutra“
Fizička lokacija
Područje podložno prirodnim nepogodama (poput poplava ili potresa)
Prekid napajanja
Organizacijske ranjivosti
Neodržavanje redovitih revizija
Nepostojanje planova kontinuiteta
Nepostojanje zaštite
Važno je razumjeti da su ljudi izvor iznenađujuće velikog broja ranjivosti. Metode kao što su društveni inženjering (obmanjivanje ljudi radi razotkrivanja informacija) ponekad su najlakši načini dobivanja pristupa povjerljivim ili tajnim informacijama. Podjela ranjivosti također pokazuje da uzrok ranjivosti nisu uvijek osobe koje ih iskorištavaju – neke ranjivosti su prirodne. Potresi, poplave i druge prirodne nepogode mogu uzrokovati gubitak informacija, koji može biti jednako problematičan kao krađa povjerljivih informacija ako nisu uspostavljeni ili ne funkcioniraju postupci za sigurnosno kopiranje.
Tijekom ovog tečaja dotaknut ćemo se nekih vrsta ranjivosti, ali budući da postoji vrlo mnogo specifičnih vrsta, neizbježno ćemo izostaviti neke od njih. Da biste vidjeli više informacija o različitim vrstama ranjivosti, pogledajte ovaj primjer.
Programi za neovlašten ulazak u sustav
Prema Microsoftu, program za neovlašten ulazak u sustav (engl. backdoor) je „skriveni ulaz u računalni sustav koji se može koristiti za zaobilaženje pravila sigurnosti“.
Možete zamisliti program za neovlašten ulazak u sustav kao otvoreni prozor u zgradi koja je inače zaključana ili rezervni ključ skriven u posudi za cvijeće. On vam omogućuje da zaobiđete druge mehanizme koji se koriste za zaštitu mete, a često ne ostavlja tragove upada. Program za neovlašten ulazak u sustav oslanja se na to ga neovlašteni korisnici neće pronaći.
Neki sustavi i usluge isporučuju se sa zadanim korisnicima i poznatim lozinkama. Oni mogu slučajno ostati aktivni, čime sustav ostaje izložen napadačima. Razlikuju se od dobro zaštićenog administratorskog računa jer lozinka u tom slučaju nije opće poznata.
Hardverski programi za neovlašten ulazak u sustav
Programi za neovlašten ulazak u sustav ne primjenjuju se nužno samo na aplikacije. Oni se mogu postaviti na hardver kao što je matična ploča računala.
Također je moguće zaobići dobavljače tehnologije ako cijeli lanac nabave nije pod dovoljno pažljivim nadzorom. Ako tvrtka ne kontrolira cijeli lanac nabave, entitet može ubaciti program za neovlašten ulazak u sustav u slaboj točci a da proizvođač to ni ne primijeti. Takve vrste programa nazivaju se programi za neovlašten ulazak u sustav u opskrbnom lancu (engl. supply chain backdoors). To nije samo teoretski problem. Američka Nacionalna sigurnosna agencija zapravo je na taj način već instalirala program za neovlašteni ulazak u sustav.
U „Microsoftovom Izvješću o digitalnoj obrani iz rujna 2020.“, Microsoft procjenjuje da se 7 % njihovih sigurnosnih obavijesti odnosi na napade u opskrbnom lancu.
Napadi u opskrbnom lancu ne događaju se samo u hardveru. Metoda koja potencijalno nanosi čak i veću štetu je kršenje usluga tvrtke i mijenjanje softverskih ažuriranja koje isporučuju svojim korisnicima. Jedan takav napad otkriven je u prosincu 2020. kada su usluge tvrtke SolarWinds (tvrtka koja uglavnom isporučuje rješenja za upravljanje mrežom) prekršene, a njezin softver je izmijenjen tako da uključuje program za neovlašten ulazak u sustav koji je omogućio napadaču ili bilo kome drugome tko je znao gdje treba gledati da dobije pristup svim tvrtkama koje su instalirale ažuriranje. Tvrtka SolarWinds priznala je da je ažuriranje instaliralo „gotovo 18 000“ tvrtki.
Najznačajnije od tih tvrtki bile su većina američkih državnih agencija i njihove mreže. Mnogi pretpostavljaju da su to bile i prave mete. Američko Ministarstvo obrane također je bilo jedna od žrtava. Vjeruje se da je napad započela ruska skupina pod nazivom APT ili Cozy Bear, iako im se napad još uvijek ne pripisuje sa sigurnošću.
Problem s programima za neovlašten ulazak u sustav
Glavni problem s programom za neovlašten ulazak u sustav jest to što se oslanja na činjenicu da je njegovo postojanje tajno. To se zove sigurnost skrivanjem podataka (engl. security through obscurity). Ako napadač otkrije program za neovlašten ulazak u sustav, može ga koristiti kao i ovlašteni korisnik. Trenutno vlade i obavještajne službe stvaraju velik pritisak na tehnološke kompanije da instaliraju programe za neovlašten ulazak u sustav u svoje tehnologije kako bi omogućile pristup vlastima za vrijeme kaznenih istraga ili u svrhu sprečavanja terorističkih napada. Međutim, kada bi se instalirali ti programi za neovlašten ulazak u sustav, vrlo vjerojatno bi ih otkrile neovlaštene osobe, a ujedno bi predstavljali i veliki rizik za privatnost.
Što mogu učiniti po pitanju programa za neovlašten ulazak u sustav?
Vrlo je teško obraniti se od postojanja programa za neovlašten ulazak u sustav ako ni ne znate da on postoji. No možete promijeniti zadane vjerodajnice na uređajima kao što su Wi-Fi usmjerivači. Također biste trebali onemogućiti račune za goste koje vam neki upravljački sustavi omogućuju.
Modeliranje prijetnji (engl. threat modelling): razmatranje rizika
Stručnjaci za sigurnost koriste različite metode procjene rizika za definiranje i procjenu potencijala rizika i veličine utjecaja u slučaju da se rizik ostvari. U kibernetičkoj sigurnosti stručnjaci često govore o modeliranju prijetnji. To je praksa utvrđivanja potencijalnih prijetnji i određivanja prioriteta te njihova ublažavanja da bi se zaštitilo nešto vrijedno, npr. resurs kao što su povjerljivi podaci ili intelektualno vlasništvo.
Okvir za modeliranje prijetnji koji se često koristi je Microsoftov STRIDE. STRIDE je mnemonička oznaka za pojmove:
lažno predstavljanje (engl. spoofing) – predstavljanje osobe kao da je nešto ili netko drugi,
neovlašteno mijenjanje (engl. tampering) – mijenjanje podataka ili koda,
repudijacija (engl. repudiation) – opovrgavanje izvođenja neke radnje,
otkrivanje informacija (engl. information disclosure) – otkrivanje informacija nekome tko nije ovlašten da ih vidi,
uskraćivanje usluge (engl. denial of service) – uskraćivanje ili degradiranje usluge korisnicima,
prisvajanje prava (engl. elevation of privilege) – stjecanje mogućnosti bez odgovarajućeg ovlaštenja.
To su sve moguće prijetnje u modelu koji procjenjuje moguće vektore napada. Vektori napada su različiti identificirani procesi, pohrane podataka, sučelja i granice povjerenja sustava. STRIDE je dio Microsoftovog modeliranja prijetnji pod nazivom Secure Development Lifecycle (SDL). Pročitajte više o modelu STRIDE.
Sign up to solve exercises
Nakon završetka prvog poglavlja, trebali biste znati:
Objasniti osnove kibernetičke sigurnosti, uključujući što to znači i zašto je važna.
Objasniti što je haker.
Razumjeti što znači „rizik“ u smislu kibernetičke sigurnosti.
