Kybernetické útoky: Malé ryby, také ryby

Lukáš Kříž, 21. září 2016 16:00 0 komentářů
Kybernetické útoky: Malé ryby, také ryby

Menší společnosti čelí stejným kybernetickým hrozbám jako ty velké. Zabezpečení infrastruktury je v relativním srovnání vychází dráž, následky úspěšného útoku zvládají hůř. Hackeři je proto šetřit nebudou.

Černý trh nemusí mít pouze pokoutnou podobu známou z románů. Běžně se stává, že zcizená data kupují v dobré víře i poměrně seriózní společnosti. Prodávající záhy zmizí, případně o obchodu nic neví, protože patří rovněž mezi oběti kybernetického zločinu.

Nízké ceny, vysoké zisky

Náklady na kybernetický zločin se podle dohadů bezpečnostních firem ročně pohybují kolem 800 milionů liber. Například koupě přizpůsobeného škodlivého kódu vyjde na 7 až 2 200 liber. Jeden milion ověřených rozeslání nevyžádaných zpráv, tj. spamu, stojí 45 až 95 liber. Za týdenní pronájem sady na kompromitování legitimních webových stránek dají útočníci s nedostatečným vlastním know-how 60 až 450 liber.

Pokud chtějí být útočníci ziskoví, musejí disponovat „dobře zásobeným skladem“. Podle odhadů společnosti Symantec prodávají hackeři na černém trhu informace o kreditních kartách za 30 pencí až 12 britských liber za kus. Tisíc e-mailových adres stojí podle původu 30 pencí až šest liber. Uvedené prodejní ceny naznačují, že zcizená data nejsou nijak nedostupným, ani nedostatkovým zbožím.

Těžko vyčíslitelné škody

Na jedné straně tedy figurují náklady a zisky kybernetického zločinu, na druhé sčítají finanční ztráty jeho oběti. Jejich vyčíslení bývá v mnoha směrech obtížné. Firmy mohou uvádět přímé náklady na odstranění následků útoku nebo vyčíslit okamžité obchodní ztráty, ale jen problematicky kvantifikují škody na pověsti, případné soudní spory s klienty, ztrátu citlivých informací nebo výši potenciálních pokut. V případě malých a středních firem hovoří odhady různých zdrojů o tisících až desetitisících dolarů škod či ztrát vyvolaných úspěšným kybernetickým útokem. Existují ale i studie, které nemalé části obětí z řad SMB predikují brzké ukončení provozu.

Využívání zranitelností komerčního softwaru

Pro kybernetické útoky využívají hackeři tři základní typy zranitelností nebo způsoby ataku. Jde o velmi zjednodušené rozlišení, které ale dává základní představu o hrozbách, jimž podniky všech velikostí čelí. V praxi se velmi často překrývají a kombinují.

K velmi populárním způsobům útoku patří zneužití zranitelností v aplikačním vybavení, případně obecně v softwaru. Každý rok se podobných chyb v nejrůznějších programech objevují tisíce. Výrobci softwaru obvykle vydávají záplaty, které si uživatelé musejí nainstalovat. Pokud tak neučiní, stávají se velmi zranitelní. Nezřídka se ale stává, že oprava vyjde se značným zpožděním, případně není zveřejněna vůbec. Pro útočníky mají ovšem největší cenu zranitelnosti, o nichž odborná veřejnost ještě neví.

Další způsob útoku

Druhý obecný způsob útoků nepracuje s chybami aplikací, ale s jejich standardní funkcionalitou. Obvykle sází na nepozornost uživatelů. Ve webovém prostředí je jejich internetový prohlížeč převede na jinou standardně či normálně vypadající stránku. Nebo při instalaci „známého“ programu, obvykle z neznámého zdroje, odkliknou vše, co jim průvodce nabídne. Až do této chvíle tedy útočník pracuje s řádnou funkcionalitou aplikačního vybavení.

Třetí cestu reprezentují chyby uživatelů. Některé zdroje uvádějí, že díky nim dochází k 95 procentům úspěšných kybernetických útoků. V praxi mohou mít podobu jednoduchých nebo výchozích hesel do nejrůznějších systémů, propůjčování identit nebo již zmíněné stahování obsahu z neznámých a neprověřených zdrojů.

Známe-li způsoby, můžeme přejít i k rozšířeným taktikám útoků. Přední příčky zaujímají techniky sociálního inženýrství. Na ně navazuje nemalá část dílčích útočných disciplín, jako je například známý phishing, podvody s identitou, v dalších sledech i dnes populární ransomware. Sociální inženýrství figuruje i u podvodných webových stránek, které musí uživatele jednoznačně přesvědčit o své pravosti a nezáludnosti.

V prostředí menších firem může být technicky náročnější řešit útoky typu DoS – Denial of Service. Ty obvykle nesouvisí s žádným zásadním nedostatkem v zabezpečení systémů, ani s pochybením uživatelů. Ačkoli jsou spojovány povětšinou s velkými organizacemi, nevyhýbají se ani menším podnikům. Podle britských vládních zdrojů jim v roce 2014 čelilo 16 procent tamních firem kategorie SMB. Útoky typu DoS v podstatě nelze úspěšně řešit interně. Nabízí se zde spolupráce s externí bezpečnostní firmou nebo alespoň kontaktování pracovišť typu CERT/CSIRT.

Neinvestujte do dobrého pocitu, ale do funkčních opatření

Podle studie společnosti Trustwave vynaloží podniky kategorie SMB ročně 157 dolarů na uživatele za bezpečnostní software. V případě velkých jde o 73 dolarů ročně na hlavu. Téměř třetina investic do bezpečnostních řešení ale není v případě SMB plně využita. Menším firmám chybí know-how, lidé i prostředky na implementace a následný provoz.

Nákup bezpečnostního softwaru často slouží jako alibi, jako teoretický argument vysoké úrovně ochrany. Jak ale experti firmy Trustwave podotýkají, řada současných hrozeb se před obrannou aplikací nezastaví. Menší firmy by tedy neměly vyhazovat peníze za dobrý pocit, ale investovat je do funkčních řešení a opatření.


Komentáře

RSS 

Komentujeme

Bezpečnost IT a tygří logika

Pavel Houser , 14. únor 2017 11:00
Pavel Houser

Jak praví známý vtip, běží-li za vámi tygr, netřeba se pohybovat rychleji než šelma – stačí předběhn...

Více






Kalendář

20. 03.

24. 03.
CeBIT 2017
25. 03. INSPO 2017
28. 04. Oracle Code 2017
RSS 

Zprávičky

Blokování nelegálního hazardu na internetu není protiústavní

Pavel Houser , 22. únor 2017 13:22

Plénum Ústavního soudu zamítlo návrh skupiny 21 senátorů Senátu Parlamentu České republiky na zruš...

Více 0 komentářů

Amazon otevře v Polsku své páté logistické centrum

ČTK , 22. únor 2017 13:03

Česká pobočka firmy uvedla, že letos nabere v Dobrovízi u Prahy a ve své pražské kanceláři 1000 stál...

Více 0 komentářů

SpaceX a Boeing se možná zpozdí s dopravou lidí na ISS

ČTK , 22. únor 2017 09:30

Společnosti SpaceX a Boeing se možná zpozdí s nasazením svých lodí pro dopravu posádek na Mezinárodn...

Více 0 komentářů

Starší zprávičky

Verizon koupí aktivity Yahoo za sníženou cenu 4,48 miliardy USD

ČTK , 21. únor 2017 16:05

Americký telekomunikační operátor Verizon Communications se dohodl na nových podmínkách převzetí zák...

Více 0 komentářů

Jen desetina SMB firem těží z digitální transformace

ITBiz.cz , 21. únor 2017 09:00

Studie IDC a SAP ukázala, že čtyři z pěti SMB firem vidí v digitální transformaci značné výhody včet...

Více 0 komentářů

Trump si nechal registrovat tisíce internetových domén

ČTK , 21. únor 2017 08:30

Málokterá veřejná osoba je tak aktivní ve skupování internetových domén jako americký prezident Dona...

Více 4 komentářů

Mall Group ovládla internetový obchod s elektrem CZC.cz

ČTK , 20. únor 2017 16:39

Skupina Mall Group se stala jediným vlastníkem e-shopu CZC.cz. Od zakladatele obchodu Josefa Matějky...

Více 2 komentářů