hirdetés
hirdetés

Biztonságos big data?

Gyenge láncszemek

A gazdasági nehézségek mellett a vállalatoknak fel kell készülniük arra, hogy titkaikra rengetegen kíváncsiak, és nem félnek bármilyen eszközt bevetni a megszerzésükhöz.

hirdetés

Valószínűleg az ipari forradalom óta, de lehet, hogy sokkal régebben létező jelenség az ipari kémkedés. Mindig is akadtak olyanok, akik saját ötletek kidolgozása helyett inkább mások agyszüleményét szerették volna csengő aranyakra váltani, esetleg úgy próbáltak versenyelőnyhöz jutni, hogy a konkurencia titkai után kutakodtak. Az ipari kémkedés minden szempontból kifizetődő dolog, még a modern korban is, amikor az innovációt, a leghatékonyabb módszereket a vállalatok igyekeznek minél gyorsabban levédetni. A konkurenciaharc olyan kiélezett lett, hogy az információ sokszor többet ér, mint a pénz, ráadásul a támadók olyankor nem a közvetlen versenytársak, hanem idegen államok kiberhadseregének soraiból kerülnek elő.

Biztonságos IT

Az, hogy a vállalat számítógépeit, informatikai hálózatát meg kell védeni a rossz szándékú behatolóktól, 2015-ben már senki számára nem újdonság. Persze bármennyire kiváló informatikusok kerülnek is ki az egyetemekről, mint sok más esetben, a rosszfiúk itt is legalább egy lépéssel előrébb járnak, ezért a védekezés sokszor tűnik kilátástalannak. Mindenesetre ma már azért megvan az a technológiai fejlettség és szakmai tapasztalat, amelynek köszönhetően meg lehet nehezíteni a támadók dolgát.

Tehát a hálózatra azt lehet mondani, nagyjából biztonságban van, már amennyire a mai világban, ahol olyan cégeket hekkelnek meg sikeresen, mint a Sony vagy az Apple, biztonságban lehet. Ez valóban így van a hagyományos értelemben vett IT esetében. Akad azonban itt egy új, még éppen csak formálódó trend, amely soha nem látott veszélyeket hordoz magában. Ez pedig nem más, mint az úgynevezett dolgok internetje, azaz az Internet of Things (IoT). Olyan világban élünk ugyanis, amelyben az új – és a már régen a mindennapjaink részének tekinthető – kütyük és berendezések egyre okosabbak lesznek. Értjük ezalatt azt, hogy a különböző eszközök belső hálózatokra és az internetre kapcsolódva kommunikálnak, márpedig ami része a hálózatnak, az a vállalatok számára potenciális veszélyforrást jelent.

Az Internet of Things korában az eddig elszigetelten működő ipari IT-biztonság új kihívások elé állítja nemcsak a szakembereket, hanem a törvényhozókat is. Ma már az iparban, termelésben is hálózatokba kötik az eszközöket, melyek biztonságáról ugyanúgy kell gondoskodni, mint egy vállalatirányítási szoftveréről.

BYOD-mozgalom

Ennek az új trendnek az egyik első komoly, gyöngyöző homlokú informatikusok számára sok rémálmot okozó folyománya volt az úgynevezett Bring Your Own Device „mozgalom”, amelynek keretében a vállalat dolgozói először saját telefonjukat, később tabletjüket kezdték el használni munkahelyükön. Az IT-osztály persze erre nem volt felkészülve, és míg az első időkben csak az Apple egyféle termékével kellett zöld ágra vergődniük, hamarosan beszállt a játékba a Google és annak rengeteg gyártó készülékén futó, nyílt forráskódú operációs rendszere, az Android, időzített bombaként lapulva a cég védelmi vonalain belül. Az elmúlt pár év során a vállalatoknak nagyjából sikerült kidolgozniuk a megfelelő BYOD-stratégiát, és úgy tűnhetett, az élet kezd visszatérni a rendes kerékvágásba.

Mikor azonban a CIO-k megkönnyebbülten felnéztek a telefonok képernyőjéről, azt látták, hogy a gyártók időközben új perspektívát találtak, és elárasztották a piacot „okos” készülékekkel. Az, hogy a hűtőgép twitterezik, hogy a sütőt a munkahelyről tudjuk irányítani, hogy hazaérve friss étel várjon minket, ma már nem újdonság. Bár az okoskészülékeket gyártók már figyelembe veszik a kiberbiztonsági szempontokat IoT-eszközeik fejlesztésekor, a Kaspersky Lab egyik kísérlete során vizsgált, alkalmazásvezérelt eszközök mindegyikében legalább egy biztonsági rést találtak a kibervédelmi szakemberek.

A problémák ott kezdődnek, hogy ilyen eszközök nemcsak az otthonokban vannak jelen, hanem a munkahelyeken is, és előbb-utóbb, vagy már jelen pillanatban is kapcsolódnak a céges hálózathoz. Márpedig ezeket az eszközöket sajnos nem a biztonság jegyében tervezik, úgyhogy sokkal egyszerűbb célpontot jelentenek a támadóknak. Így válik egy „egyszerű” kávéfőzőből rés a pajzson, amelyen átjutva a kíváncsiskodók már kényelmesen garázdálkodhatnak a vállalat féltve őrzött titkai között.

Összességében elmondhatjuk, hogy bár a Szilícium-völgy koponyáiból kipattanó technológiai csodák jelentősen megkönnyítik mindennapi életünket, komoly veszélyeket is rejtenek. De mégsem annyit, mint a – kiküszöbölni lehetetlen – leggyengébb láncszem; az ember.

Emberi tényező

Soha egy percre sem szabad elfelejteni, hogy bár az utóbbi időben elsősorban a technológiával azonosítják – erre Hollywood szuperprodukciói is rátesznek egy lapáttal –, a kémkedés az elektromos áramnál sokkal öregebb szakma, a titkok feltárásával foglalkozók már a számítógépek megjelenése előtt is aktívan ügyködtek. A klasszikus kémtörténetek csúcsidőszakában, a hidegháborúban ugyan az államok küldték egymásra ügynökeiket, de ezek az emberek már akkoriban is hatékonyan voltak képesek a kívánt információkhoz jutni, nem egy monitor mögött ülve, hanem kint a terepen, emberek között.

Csak egy példa a közelmúltból: hatalmas port kavart a Stuxnet féreg megjelenése, amely az ipari folyamatok felügyeleti vezérlésére használt SCADA-rendszereket vette célba. Elfogadott ténynek tekintik, hogy a féreg – amelyet állítólag izraeli szakértők hoztak létre amerikai segítséggel – egy pendrive-on keresztül fertőzte meg az iráni atomprogramban használt zárt rendszert. Azt pedig még a legélénkebb fantáziájúak sem képzelik, hogy az a pendrive csak úgy magától belebegett a minden lehetséges módszerrel védett létesítménybe, hogy garázdálkodni kezdjen. Nem, azt az eszközt valaki behelyezte egy számítógépbe, így vetve évekkel vissza a perzsák atomprogramját.

Ha egy vállalat titkainak megszerzéséről van szó, a legdirektebb, legegyszerűbb megoldás természetesen lefizetni azt a személyt, aki szállítani tudja a hőn áhított információt. Ezzel a módszerrel a fent említett kémek is gyakran éltek, igaz, akkoriban a politika sokkal nagyobb szerepet játszott a dologban, így gyakran ideológiák mentén lehetett jó pozícióban lévő forrásra – a másik oldal szemszögéből nézve árulóra – szert tenni. Akit nem eszmékkel, azt sok pénzzel vették rá az együttműködésre, és ez a mai ipari kémkedésben is járható útnak tűnik. Egy ilyen „támadás” ellen védekezni meglehetősen nehéz feladat. Az, hogy az alkalmazottakat rendesen megfizeti a cég, csak egy dolog, hiszen több pénzt kínálni nem bonyolult feladat. Sokkal fontosabb lehet a dolgozó lojalitásának elnyerése, hogy a leendő megvesztegető biztosan elégedetlenül távozzon. Ezt a hűséget elnyerni természetesen minden embernél másképp lehet, annyi azonban nyilvánvaló, hogy a megbecsülés, a tisztelet csak segíthet az ügyön.

Kihasznált hiszékenység

Nézzük, akkor mi történik, ha a vállalat egyetlen alkalmazottját sem sikerül megvásárolni. Több hagyományos módszer is a kémek rendelkezésére áll, ennek egyik legegyszerűbb példája a szemétben turkálás. Igen, még manapság sem ritka, hogy fontos dokumentumok landolnak az irodaház kukájában, amelyet szorgalmas emberek nem restellnek átnézni. Nemritkán komoly következményekkel jár az, hogy felelőtlenül hajítanak ki a szemétbe dolgokat.

Ha a lefizetés nem jár sikerrel, és a vállalat biztonságos szinten űzi a hulladékgazdálkodást, akkor a szervezetbe való beszivárgás egyik legkifinomultabb módja következik, a Social Engineering. A pszichológiai manipuláció során a cél valakitől olyan adatokat, hozzáféréseket megszerezni, amelyeket egyébként titkolnia kéne. Ezzel a támadási formával a mindennapokban is sokat lehet találkozni, csalók így próbálnak meg bankkártyaadatokhoz, online fiókokhoz hozzájutni. Egyes IT-biztonsággal foglalkozó cégeknél a felvételi eljárás részét képezi a jelentkező utcára küldése azzal, hogy egy órán belül térjen vissza egy vadidegen ember e-mail-felhasználónevével és -jelszavával.

Persze egy vállalat alkalmazottjánál, aki esetleg hozzáfér kritikus információkhoz, azt gondolnánk, hogy sokkal nehezebb helyzetben vannak a rosszfiúk, de a tapasztalatok sajnos azt mutatják, hogy ez nem így van. Rengeteg céghez sikerült már bejutni ilyen módon, komoly anyagi károkat okozva. És valószínűleg a felfedezett – és beismert – esetek mellett szép számmal akadnak olyanok is, amelyek csak később derülnek majd ki. (A kiberbiztonsági vállalat, a Fire Eye adatai szerint a fertőzéstől a felfedezésig átlagosan 205 nap telik el, ami azt jelenti, hogy ilyen hosszú időn át tudnak garázdálkodni a rossz szándékú behatolók.) Az ármánykodók módszereiről hosszasan lehetne értekezni, a jelenségnek komoly szakirodalma lelhető föl, ami az adathalászattól egészen a gyanútlan áldozat válla fölött lelesett kódok megszerzéséig tartó skálát lefedi. Ami a védekezést illeti, már sokkal nehezebb a helyzet, hiszen csalók mindig is voltak, mint ahogy átverhető emberekből sincsen sajnos hiány. Egyedül az oktatással, felkészítéssel lehet elkerülni a Social Engineering okozta károkat.

Érdekes kérdés, hogy a modern, technológia-központú világban mennyire veszélyeztetettek a fiatalabb generációk tagjai, akiknek szociális készségei (nemzedékük sajátosságaiból – multitasking üzemmód, online világ, virtuális személyiség – adódóan) sok esetben elmaradnak a náluk idősebb korosztályokétól. Marco Preuss, a Kaspersky Lab európai Kutató és Elemző Csapatának (GReAT) igazgatója a november végén, Budapesten megrendezett európai biztonsági hétvége megnyitóján lapunknak elmondta: valóban problémát jelenthet, hogy a Facebook-generáció tagjai gyengébben teljesítenek az emberekkel való alapvető kapcsolatokban, de azt sem szabad elfelejteni, hogy a tanulási folyamatuk is gyorsabb. Az Y és Z generáció esetében a hírek gyorsan terjednek a közösségi hálózatokon, így a rossz tapasztalatok is nagyobb közönséget érnek el, amelyekből azok tanulhatnak. A vállalat szakértői egyébként arra számítanak, hogy 2016-ban jelentős fejlődést fogunk látni a számítógépes kémkedés területén.

Egyértelmű tehát, hogy ha a vállalatok biztonságban akarják tudni kulcsfontosságú titkaikat, komoly befektetésre van szükségük. A védelmi rendszereket naprakészen kell tartani jól képzett informatikusok kezében, és a megfelelően edukált alkalmazottak lojalitásával is bírniuk kell, hogy üzletkritikus információk ne hagyhassák el a főhadiszállást. 

Sós Éva
a szerző cikkei

hirdetés
Ha hozzá kíván szólni, jelentkezzen be!
 
hirdetés
hirdetés
hirdetés

Kiadónk társoldalai

hirdetés