Na redakční otázky s tématem hackingu a počítačové bezpečnosti odpovídal Pavel Bašta, bezpečnostní analytik sdružení CZ.NIC, které provozuje Nádorní bezpečnostní tým CSIRT.CZ
Existuje obecná prevence hackerských útoků? Co mohou organizace na svou ochranu udělat s předstihem/proaktivně?
Obecná doporučení jsou stále stejná, udržovat aktualizované verze operačních systémů a používaného software, používat antivirový software, firewall, nejlépe pomocí technických opatření přesně vymezit, jaká práva mají konkrétní skupiny uživatelů, pravidelné zálohování dat, pravidelné vyhodnocování záznamů z logů, pravidelné školení uživatelů. Takovýchto doporučení je více a záleží samozřejmě také na povaze společnosti a na datech, se kterými pracuje. Samostatnou kapitolou jsou pak webové prezentace firem, u kterých hrozí jak možné zneužití k průniku k firemním datům či například citlivým datům zákazníků (pokud taková data v aplikaci jsou), tak také poškození dobrého jména. Opět to může být prostou změnou obsahu stránky, ovšem v daleko horší variantě může útočník webovou aplikaci zneužít k šíření malware, který se tak dostane na počítače zákazníků. To už je věc, která může mít na reputaci společnosti významný vliv. Bohužel dle našich zkušeností je řada společností, které právě na údržbu a pravidelné testování webových aplikací zapomínají.
Jaké jsou nejčastější formy hackerských útoků? O které typy jde v České republice, resp. v loňských událostech postihujících banky a mediální domy?
Z povahy činnosti národního CSIRTu, který se zabývá pouze útoky, které se nepodařilo vyřešit přímou komunikací mezi obětí a útočníkem, nemáme k dispozici dostatečná data, abychom mohli sestavit nějaké skutečně relevantní statistiky. Avšak i z našich, byť nekompletních statistik lze vyčíst určité trendy. Například v posledních dvou letech jsme zaznamenali abnormální nárůst tzv. DoS a DDoS útoků.
Jakou techniku či technologii pro hacking potřebuji? Souvisí hackerské útoky se škodlivými kódy?
Škodlivé kódy jsou jednou z technik, kterou útočníci používají. Podle mého odhadu se asi nejvíce útoků odehrává automatizovaně. Útočníci napíší skript, který pak prohledává celý adresní rozsah Internetu, v němž hledá konkrétní zranitelnost, kterou v případě jejího nalezení zneužije. S tímto se často setkáváme právě u napadení webových prezentací. Zde můžeme pozorovat, že se tyto útoky dějí ve vlnách a jediným pojítkem s dalšími stejně poškozenými stránkami bývá technické řešení webu či určitá použitá komponenta. Takto napadené weby jsou v drtivé většině případů použity právě pro další šíření virů na počítače uživatelů, kteří stránku navštívili. Asi nejvíce používaný a nejjednodušší způsob je však použití tzv. sociálního inženýrství, kdy je oběť přesvědčena, aby sama udělala to, co se po ní chce. Příkladem může být klasický phishing, kdy jsou oběti prostřednictvím e-mailu vyzvány k poskytnutí jejich přihlašovacích údajů například do internetového bankovnictví nebo útoky, které se v ČR objevily v průběhu loňského roku a které stále pokračují. Například v jednom konkrétním případě je obětem zasílána e-mailová zpráva, která se tváří, jako kdyby byla zaslána Českou poštou. U zprávy je příloha, která má údajně obsahovat informace o zásilce pro oběť. Ve skutečnosti však přiložený PDF soubor obsahuje nebezpečný bankovní trojan Hesperbot. Existují také speciální verze operačních systémů, které jsou upraveny tak, aby obsahovaly většinu známých nástrojů používaných k hackingu. Pokud jde o technické vybavení, to záleží na rozsahu chystaného útoku. Obvykle si však útočník vystačí s běžným PC. I zde záleží na tom, kdo a co je cílem útoku.
Znají bezpečnostní firmy osobnostní charakteristiky hackerů? Jaké jsou jejich motivy a o koho v reálu nejčastěji jde?
Dnes už se ve většině případů jedná o klasickou kriminální činnost, tyto útoky se provádějí čistě za účelem zisku. Proto bych si nedovolil říci, zda existuje nějaký konkrétní profil osobnosti hackera. Pokud jde o další motivaci, občas se také můžeme setkat s útoky z osobních důvodů. Často se jedná o krádeže účtů na sociálních sítích či třeba neoprávněné použití e-mailové adresy. Avšak existují stále i skupiny, které se hackingu věnují z jiných důvodů. Například aby ukázali, co všechno dokáží. Příkladem takové skupiny může být česká skupina hackerů, kteří si říkají Czechurity (https://twitter.com/Czechurity). Specifickou motivací je pak získávání citlivých informací, ať už jde o průmyslovou špionáž, výzvědnou činnost tajných služeb, či z druhé strany o aktivisty, kteří chtějí citlivé informace poskytnout veřejnosti.
Jaká je role organizací typu CSIRT?
CERT (Computer Emergency Response Team) a CSIRT (Computer Security Incident Response Team) jsou organizace, které řeší bezpečnostní incidenty vzniklé v počítačových sítích, koordinují jejich řešení a snaží se jim předcházet. V podstatě každá větší organizace má svůj tým pracovníků, kteří se již bezpečností zabývají, jejichž náplní práce je v podstatě to samé, co náplní práce týmů typu CSIRT. Rozdíl je, že týmy CSIRT jsou oficiálně deklarovány navenek a udržují spolupráci s komunitou ostatních CSIRT týmů. Hlavní výhodou tohoto přístupu je, že oficiální vstup do komunity urychluje a usnadňuje spolupráci, především pak předávání informací o útocích, či nových zranitelnostech. Jako příklad mohu uvést problém, který jsme řešili minulý měsíc, kdy se mezi CSIRT týmy distribuovala informace o zneužitelných serverech, které nalezl jeden bezpečnostní analytik. Pro Vaši představu, jen v ČR bylo těchto serverů nalezeno okolo osmi tisíc.
