Suvremeno hakersko tržište ne zanima dokazivanje ili slanje političkih poruka, kao što je to nekoć bio slučaj, već uspješno i dugotrajno preuzimanje podataka, a potom njihova prodaja. Tako za razliku od jednostavnog napada u kojem zbog sigurnosnog propusta haker 'ruši' stranicu i ostavi željenu poruku, ovi napadi ne teže biti javni, već žele nečujno, što je moguće duže, izvući što je moguće veći broj informacija.
Suvremeno poslovanje bavi se informacijama i ovisno je o njima, pa i hakersko tržište postaje sve gladnije, zbog čega se konstantno povećava potražnja za ukradenim podacima. Suvremeni napadi na sigurnost koriste modalitete kojima se mogu transformirati i prilagoditi okruženju te permanentno stvarati ugrozu. Sofisticiranije zloćudne aplikacije se nakon početne kratkotrajne infiltracije ili prikriju s vremenskim odmakom ili dožive metamorfozu skrivajući tragove i mjesta infiltracije te se počinju ponašati kao normalni dio sustava, pod krinkom legitimnih radnji, a sve u ime zaposlenika kompanije koju napadaju.
Riječ je o takozvanom parazitiranju, koje se može spriječiti ugrađivanjem mehanizama koji razumiju specifičnosti okruženja tvrtke, njenih poslovnih procesa, organizacijske strukture i imovine. Broj interakcija ovakvih napada svakako su povezani i s povećanom primjenom SMAC ili Nexus tehnologija, što uključuje socijalne mreže, mobilnost, analitiku Big Data i Cloud, te njihovom integracijom u poslovne procese.
Kôdovi uče i simuliraju
Koliko SMAC tehnologije mogu unijeti i nove rizike pokazano je na USENIX Security konferenciji u San Diegu tijekom kolovoza. Istraživači sa Sveučilišta u Michiganu i Kaliforniji pokazali su kako razvijenom tehnikom mogu ukrasti osobne podatke s korisničkog računa poput Google maila, ili identifikacijski broj poput socijalnog osiguranja ili broj kreditne kartice, a da pri tome nisu koristili propuste neke od pojedine aplikacije.
Zapravo su iskoristili standardnu karakteristiku operativnog sustava jedne od najraširenijih mobilnih platformi i način funkcioniranja grafičkog korisničkog sučelja (GUI) kroz koji prolaze sve korisničke informacije. Pri tome operativni sustav koristi blokove memorije za obradu pojedinih koraka interakcije, a nakon toga se blok memorije oslobodi i ostaje sa zapisanim podacima.
Istraživači su razvili kôd koji, kroz automatizirano učenje o cirkuliranju podataka koje GUI koristi, može naučiti simulirati identičan korisnički ekran poput aplikacije koju inače koristite, potom zabilježi unesene informacije, i uz poruku o grešci u komunikaciji proslijedi vaše podatke, a vas prepusti originalnoj aplikaciji da nastavite interakciju.
Napredna zaštita
SMAC tehnologije uglavnom ne funkcioniraju kao izdvojene već se preklapaju. Stoga bi i sigurnosne mjere, od sigurnosnih procjena, preko politika i kontrola trebale stvoriti sveobuhvatnu sliku i adresirati sve elemente.
Neuspjeh u kontroli tko pristupa mobilnim aplikacijama i povjerljivim informacijama te analizama bit će izvor mnogih problema pri primjeni SMAC platformi, stoga je potrebna efikasna strategija koja obuhvaća mnoge modele autentifikacijskih i kontrolnih mehanizama primijenjenih prema gradaciji osjetljivosti podataka te razumijevanje kontekstualnih specifičnosti modela i profila vlastitih poslovnih procesa, mogućih ugroza i rizika po njima.
Ljudi nisu svjesni koliko su ranjivi njihovi podaci posebice u vremenu sve izraženijeg korištenja mobilnih platformi, zato je podizanje razine svijesti o sigurnosnim rizicima jedno od područja na kojem treba raditi. S obzirom da su napadi sve napredniji i potencijalno su već prikriveno unutar poslovnog sustava, fokus se treba prebaciti s isključive zaštite perimetra i brze reakcije na sigurnosni proboj. Stoga je u moderno poslovanje potrebno implementirati tehnologije i rješenja koje brzo mogu obraditi mnoštvo podatka različitih izvora uz njihovo dovođenje u kontekstualizaciju okruženja, ali i razumijevanje specifičnosti konteksta.
Inače, na nadolazećoj Combis konferenciji, koja će se 25. i 26. rujna održati u Šibeniku, a kojoj je ICT.business.info medijski pokrovitelj, možete saznati odgovore na brojna pitanja o zaštiti poslovanja jer je cijeli niz predavanja vezan uz IT sigurnost.
* O autoru: Berislav Lastrić, tehnički direktor Sektora sistemske integracije, COMBIS
