Podczas gdy w ostatnich latach najgłośniejsze doniesienia o incydentach dotyczyły dużych korporacji, miniony rok przyniósł dużą liczbę ataków skierowanych przeciwko agencjom rządowym. Firma Control Risks szacuje, że ok. 33% cyberataków jest dziś skierowana przeciwko sektorowi publicznemu. Obrona przed tego typu zagrożeniami będzie jednym z tematów rozpoczynającego się w piątek (8 lipca) szczytu NATO w Warszawie.
Na nadchodzącym szczycie NATO cyberprzestrzeń może zostać oficjalnie zakwalifikowana jako 5. obszar działań wojennych. Dzięki temu, ataki cybernetyczne będą mogły stanowić podstawę do zastosowania artykułu piątego Traktatu Północnoatlantyckiego. Artykuł ten mówi, że atak na jeden z krajów Sojuszu powinien być traktowany przez pozostałe państwa członkowskie jako atak na nie same.
Ataki DDoS i APT orężem przeciwko rządom
Obawy przed cyberatakiem, który dotknąłby krytycznej infrastruktury państwa, urzeczywistniły się w grudniu 2015, kiedy to atak typu APT sprawił, że jedna z ukraińskich elektrowni przestała funkcjonować. Wykorzystując oprogramowanie BlackEnergy, hakerzy odcięli prąd 225 000 użytkownikom oraz zablokowali infolinię wsparcia technicznego. W samym 2015 roku rządy Stanów Zjednoczonych, Holandii oraz Turcji padły ofiarą ataków DDoS. W styczniu w Tajlandii przeprowadzono ataki na 300 rządowych stron w akcie protestu przeciwko wyrokowi sądu. W tym samym miesiącu hakerzy związani z grupą Anonymous przeprowadzili podobne ataki na rządowe strony Arabii Saudyjskiej i Nigerii.
Cyfrowi terroryści i szantażyści coraz częściej wykorzystują DDoS (Distributed Denial of Service) jako formę ataku. Technika ta przyjmuje różne formy. Jedne mają sparaliżować działanie systemu, podczas gdy inne absorbują ważne zasoby (przepustowość, moc obliczeniową czy przestrzeń dyskową). Obserwuje się też wzmożoną liczbę zaawansowanych ataków DDoS skierowanych na warstwę aplikacji. Zamiast zalewania sieci ruchem czy sesjami, ataki tego typu omijają tradycyjne mechanizmy wykrywania i dotykają konkretnych aplikacji i usług, by powoli eksploatować znajdujące się w tej warstwie zasoby.
Na nadchodzącym szczycie NATO cyberprzestrzeń może zostać oficjalnie zakwalifikowana jako 5. obszar działań wojennych. Dzięki temu, ataki cybernetyczne będą mogły stanowić podstawę do zastosowania artykułu piątego Traktatu Północnoatlantyckiego. Artykuł ten mówi, że atak na jeden z krajów Sojuszu powinien być traktowany przez pozostałe państwa członkowskie jako atak na nie same.
Wzrosła również skala ataków. Dziesięć lat temu ataki DDoS o skali 50 Gb/s notowano dwa razy do roku. Dzisiaj takie zdarzenia mają miejsce niemal każdego tygodnia. W grudniu 2015 roku brytyjski nadawca publiczny BBC doświadczył największego ataku DDoS w historii, w którym ruch przekroczył 600 Gb/s. Analitycy z Quadrant Knowledge Solutions szacują, że w ciągu 5 lat światowy rynek rozwiązań do walki z atakami DDoS wzrośnie o 27,6% i jego wartość przekroczy 2 mld USD do 2020 roku.
W Azji rosną w siłę ataki typu APT. Dzieje się to w kontekście napięć i konfliktów terytorialnych pomiędzy Chinami, Indiami i krajami Azji Południowo-Wschodniej. Grupa znana jako APT 30 wykorzystywała modułowe złośliwe oprogramowanie do uzyskiwania wrażliwych danych m.in. z rządowych sieci.
Zaawansowane i trwające przez długi czas ataki APT (Advanced Persistent Threat) mogą przybrać formę złośliwego oprogramowania, które wykorzystuje luki w systemach komputerowych, tak jak to miało miejsce w ataku na ukraińską elektrownię. Zdarza się, że hakerzy przygotowują specjalne wiadomości e-mail z pozornie niegroźnymi załącznikami, które jednak po otwarciu wykorzystują podatności oprogramowania, aby dać atakującemu możliwość wykonania określonego kodu czy przejęcia kontroli nad komputerem ofiary. Gdy intruz znajdzie się już w sieci, wyprowadzenie danych z organizacji staje się łatwym zadaniem. Mogą to być hasła, pliki, bazy danych, konta pocztowe czy inne kluczowe informacje.
Po dokonanej kradzieży atakujący może utrzymać swój dostęp do sieci, aby obserwować, co się w niej dzieje i jakie zasoby są do niej dodawane. Cyberprzestępcy tworzą też podobne do robaków algorytmy, które instalują się na fizycznych nośnikach takich jak pamięci USB czy twarde dyski. W momencie gdy zainfekowany sprzęt zostanie podłączony do nowego urządzenia, algorytm ulega rozprzestrzenieniu.
Jak się chronić przed atakami DDoS i APT
Wielowarstwowe i komplementarne podejście jest jedną z najlepszych dróg umocnienia ochrony w dobie eskalacji cyberzagrożeń. Skuteczna ochrona jest zazwyczaj oparta na spójnej i możliwej do rozbudowy strukturze bezpieczeństwa. Składają się na nią obecne możliwości obrony, rozwijające się technologie bezpieczeństwa oraz uczące się mechanizmy, które tworzą rozpoznanie na podstawie wykrytych, nieznanych wcześniej zagrożeń. Innym ważnym elementem jest oszacowanie ryzyk w środowisku sieci i opracowanie planu odpowiedzi na zagrożenia. Należy zabezpieczyć słabe punkty, monitorować zdarzenia w sieci i upewnić się, że stosowana ochrona poradzi sobie nawet z dużymi atakami.
Obawy przed cyberatakiem, który dotknąłby krytycznej infrastruktury państwa, urzeczywistniły się w grudniu 2015, kiedy to atak typu APT sprawił, że jedna z ukraińskich elektrowni przestała funkcjonować. Wykorzystując oprogramowanie BlackEnergy, hakerzy odcięli prąd 225 000 użytkownikom oraz zablokowali infolinię wsparcia technicznego. W samym 2015 roku rządy Stanów Zjednoczonych, Holandii oraz Turcji padły ofiarą ataków DDoS.
Zamiast koncentrowania się na usunięciu całego ruchu z ataku DDoS, strategia działania powinna być oparta na zachowaniu funkcjonowania najważniejszych usług i zminimalizowaniu zaburzeń w systemie. Na plan powinno się składać tworzenie kopii zapasowych i punktów odzyskiwania oraz dodatkowe monitorowanie i określenie ścieżki do przywrócenia usługi tak szybko, jak to możliwe. Wielowarstwowa strategia ochrony przed atakami DDoS zakłada również korzystanie z fizycznych, dedykowanych rozwiązań, które są zaprojektowane do zwalczania i minimalizowania zagrożeń z każdej strony sieci.
Aby ograniczać zagrożenie wiążące się z atakami APT, rządy powinny wdrożyć funkcje bezpieczeństwa, które zatrzymają złośliwe oprogramowanie oraz umocnią sieć przed przeniknięciem wrażliwych informacji. Jedną z możliwości jest wdrożenie podstawowej segmentacji sieci, która pozwala zatrzymać rozprzestrzenianie się APT w jej ramach.
Edukacja użytkowników i współpraca z ekspertami
Administratorzy muszą pamiętać, że nie zawsze konieczne jest, aby każdy pracownik miał dostęp do zasobów, które zawierają wrażliwe dane. Przez ograniczanie dostępu tam, gdzie to możliwe, organizacja może ograniczyć ryzyko wielu ataków. Wprowadzenie dwuetapowej weryfikacji dla użytkowników zdalnych bądź wymagających dostępu do ważnych danych również utrudni atakującym wykorzystanie skradzionych loginów i haseł.
Bardzo ważna jest edukacja pracowników administracji rządowej. Urzędnicy posiadający dostęp do wrażliwych informacji powinni przejść specjalne szkolenia, jak się z nimi obchodzić. Przykładowo wprowadzenie ograniczenia wykorzystania napędów USB jest jedną z możliwości podniesienia bezpieczeństwa sieci.
Obserwuje się też wzmożoną liczbę zaawansowanych ataków DDoS skierowanych na warstwę aplikacji. Zamiast zalewania sieci ruchem czy sesjami, ataki tego typu omijają tradycyjne mechanizmy wykrywania i dotykają konkretnych aplikacji i usług, by powoli eksploatować znajdujące się w tej warstwie zasoby.
Kluczowa jest też bliska współpraca z dostawcą rozwiązań bezpieczeństwa. Specjaliści partnera będą przekazywać aktualne informacje na temat zagrożeń zespołowi IT oraz określać ścieżki działania w razie wykrycia incydentu. Agencje rządowe powinny zacieśniać współpracę z organizacjami zajmującymi się cyberbezpieczeństwem i dzielić się wiedzą na temat zagrożeń, aby mieć najlepsze rozpoznanie aktualnego krajobrazu ryzyk.
Ataki APT, DDoS, infekcje robakami, botnety – dzisiejsze techniki cyberprzestępców stają się coraz bardziej zaawansowane i uporczywe. Rządy powinny z uwagą i inicjatywą podejść do kwestii bezpieczeństwa oraz wprowadzić wieloaspektowe podejście, aby zredukować ryzyko ataków do minimum.
Mariusz Rzepka jest dyrektorem Fortinet na Polskę, Ukrainę i Białoruś.
