Atak dnia zerowego wykorzystuje słabość sieci, oprogramowania lub infrastruktury celu – bez jego wiedzy. Tego typucyberatakimoże być niszczycielski, ponieważ atak będzie kontynuowany bez przeszkód, aż w końcu zostanie wykryty (o ile w ogóle zostanie wykryty).
Artykuł ten rzuca światło na niebezpieczeństwo. Definiujemy cechy incydentów zero-day i rozważamy niektóre z najbardziej znanych studiów przypadków.
Na szczęście w ostatnich latach opracowano pewne narzędzia i strategie, które pomagają ograniczyć ryzyko. Zakończymy rozważeniem niektórych z nich.
Co to jest atak zero-day?
Czy kiedykolwiek wróciłeś do domu i zastałeś otwarte okno lub otwarte drzwi? Przez cały czas, gdy byłeś poza domem, nie miałeś pojęcia, że twój dom jest zagrożony. Co gorsza, intruz mógł to zauważyć i postanowić wejść na Twoją posesję. Ty, nieświadoma, nie miałabyś pojęcia, że coś takiego się dzieje.
To doświadczenie jest dobrą analogią do incydentów bezpieczeństwa typu zero-day. Intruz zauważa „lukę” (której nie byłeś świadomy) i uruchamia plany, aby ją wykorzystać.
Istnieje kilka terminów, które należy uściślić i wyjaśnić, zanim zajmiemy się dalszym badaniem tego tematu. Są to:
- Luki dnia zerowego. Są to słabe punkty w zabezpieczeniach lub oprogramowaniu ofiary, o których ofiara nie jest świadoma.
- Exploity dnia zerowego. Gdy cyberprzestępca zidentyfikuje lukę, „exploity” dnia zerowego to metody i narzędzia, których używa do jej wycelowania. Zwykle będzie to złośliwy kod, który można umieścić w sieci lub oprogramowaniu ofiary.
- Atak dnia zerowego. Mając przygotowane środki ataku (tj. „exploit dnia zerowego”), można przeprowadzić atak. Może to przybierać różne formy.
Zasadniczo terminy te odwzorowują trzy etapy incydentu dnia zerowego: identyfikowana jest „luka”, planowane są sposoby „exploitu” i przeprowadzany jest „atak”.
Odniesienie do „dni zero” odzwierciedla pilność tych incydentów. W momencie, gdy osoba atakująca odkryje słabość, staje się ona „luką dnia zerowego”, co oznacza, że firma jest natychmiast zagrożona. Nie ma okresu karencji, w którym organizacja może wszystko naprawić.
Aby zminimalizować ryzyko ataków typu zero-day, konieczne jest zabezpieczenie urządzeń IoT, ponieważ często stają się one celem hakerów poszukujących luk w infrastrukturze sieciowej.
Jak rozwijają się incydenty dnia zerowego?
Incydenty typu zero-day, jak wszystkie, można podzielić na etapycyberataki.
1. Wzrost liczby ataków cybernetycznych
Na początek warto rozważyć szerszy kontekst, w którym występują incydenty dnia zerowego.
- Ciemna sieć zapewniła cyberprzestępcom tętniący życiem rynek, na którym mogą sprzedawać innym możliwości ataku
- Należy również zauważyć, że wszystko to dzieje się szybko, a cyberprzestępcy doskonale dotrzymują kroku, stale opracowując nowe sposoby ataków.
- Niepewne okoliczności geopolityczne, podziały polityczne i trudne perspektywy gospodarcze również podsycają ogień cyberprzestępczości.
Kilka trendów we współczesnym świecie stwarza również szczególne możliwości dla potencjalnych atakujących. Należą do nich pojawienie sięDuże dane, rozwój przetwarzania w chmurze i nieubłagana zmiana społeczeństwa w Internecie. Takie zmiany technologiczne otwierają nowe „krawędzie ataku”, czyli potencjalne słabości.
Zatem incydenty dnia zerowego należy postrzegać w kontekście głębszych zmian.
Ale kto jest zamieszany w takie ataki? Sprawcy to:
- Cyberprzestępcy, których celem jest uzyskanie korzyści finansowych z tych przestępstw. Może to obejmować samodzielne przeprowadzanie ataków lub sprzedaż informacji lub narzędzi, które umożliwiają to innym (np. oprogramowanie ransomware jako usługa).
- Korporacyjni szpiedzy.Jedna strona (np. firma) może przeprowadzić atak na drugą w celu zebrania informacji.
- Aktywiści. Niektórzy hakerzy poprzez swoje ataki starają się osiągnąć cele społeczne lub polityczne. Nazywa się to czasami „haktywizmem”.
- Sprawcy wspierani przez państwo.Jeden naród może przeprowadzić atak na organizacje z innego narodu. Czasami nazywa się to „wojną cybernetyczną”.
Krótko mówiąc, warunki sprzyjają prywatności i cyberatakom, nic więc dziwnego, że ostatnio się one nasiliły. Co więcej, nie brakuje aktorów chętnych do przeprowadzania ataków lub pomagania w tym innym.
Te niepokojące okoliczności, w jakich znajdują się współczesne przedsiębiorstwa, mają kluczowe znaczenie dla pełnego zrozumienia incydentów dnia zerowego.
Wracając do naszej analogii, niemądrze jest nie sprawdzać, czy Twój dom jest bezpiecznie zamknięty w świecie online.
2. Luka dnia zerowego
Luka dnia zerowego to słabość w zabezpieczeniach lub oprogramowaniu ofiary, o której ofiara nie jest świadoma.
Oprogramowanie i inne aplikacje internetowe często są w toku. Ponieważ DevOps staje się coraz bardziej standardową praktyką, każda „aktualizacja” może nieświadomie wprowadzić niedoskonałości, które wpływają na wydajność lub bezpieczeństwo.
Dlatego programiści i inne firmy aktywnie obecne w Internecie zazwyczaj aktywnie szukają problemów i problemów w swoim oprogramowaniu i infrastrukturze IT.
Najlepszą praktyką jest ciągłe szukanie problemów (w tym luk w zabezpieczeniach). Jeżeli zostaną one zidentyfikowane w oprogramowaniu lub systemie, konieczna będzie decyzja, czy poprawkę można poczekać do następnej większej aktualizacji lub wypuścić bardziej natychmiastową „łatkę” rozwiązującą problem.
„Łatki” są często tymczasowe (pomyśl o przyklejeniu plastra na ranę), ale spełniają swoje zadanie jako środek tymczasowy.
Chociaż wszystko to jest w porządku, hakerzy będą jednocześnie wkładać wiele wysiłku w analizę i badanie sieci i oprogramowania poprzezataki złośliwego oprogramowania lub oprogramowania szpiegującego.
Ich celem są zazwyczaj instytucje, departamenty rządowe, infrastruktura, przedsiębiorstwa, a nawet osoby fizyczne. Czasami znajdą słabe punkty w celu, zanim cel zrobi to sam.
Wtedy zaczyna się problem. Organizacja (lub osoba) nie ma teraz żadnych dni bezpieczeństwa na rozwiązanie problemu – staje się to natychmiastowym zobowiązaniem. Jak jednak mogą naprawić lub załatać coś, o czym nie mają pojęcia?
To, co stanie się dalej, zależy od intencji aktora. Mogą sami wykorzystać tę lukę, przeprowadzić atak lub sprzedać Twoje dane osobowe (i ewentualnie środki do ich wykorzystania) innej stronie.
Rzeczywiście, niektórzy cyberprzestępcy specjalizują się w tym drugim przypadku, sprzedając exploityciemna siećza setki tysięcy dolarów.
Tak czy inaczej, po zidentyfikowaniu luka dnia zerowego staje się cenną szansą dla cyberprzestępców.
3. Exploit dnia zerowego
Znaleziono więc słabość i pojawiła się luka typu zero-day. Teraz napastnicy zaczną planować kolejne kroki, tj. sposób wykorzystania okazji.
„Exploit” dnia zerowego to środek lub taktyka zastosowana w ataku. Zwykle obejmują one osoby atakujące, które tworzą złośliwy kod (znany jako „kod exploita”), a następnie umieszczają go w ekosystemie celu.
Exploity dnia zerowego często wykorzystują taktykę inżynierii społecznej. To wtedy ludzie zostają oszukani i nakłonieni do wykonania działania, które pozwala na przedostanie się kodu exploita do infrastruktury.
Na przykład:e-mail phishingowymogą zostać spreparowane i nakłonić odbiorcę do otwarcia załącznika lub odwiedzenia określonej witryny internetowej. Wykonanie dowolnej z tych rzeczy umożliwia atakującemu wejście.
Atak już się rozpoczął.
4. Atak dnia zerowego
Jeśli exploit zadziała, osoba atakująca uzyska dostęp do systemów celu. Mogą teraz z niego wydobyć lub w jakiś sposób go osłabić. Charakter ataków może się różnić w zależności od celu. Jednakże zazwyczaj mają one na celu osiągnięcie jednego lub więcej z poniższych celów.
- Aby ukraść wrażliwe dane (w celu sprzedaży lub udostępnienia publicznego)
- Aby przeprowadzać oszukańcze transakcje
- Zakłócanie infrastruktury krytycznej (np. dostaw energii, transportu, komunikacji)
- Kradnąć tajemnice i dane wywiadowcze (oraz umożliwiać szpiegostwo)
- Aby uzyskać przewagę nad celem (np. kradzież danych lub przejęcie systemu, a następnie żądanie okupu)
- Aby uzyskać dostęp do urządzenia i kont danej osoby
Innymi słowy, ataki mają różne formy i mogą mieć ogromny wpływ na finanse i reputację. DodatkoweKoszt VoIPktóre rozważasz, będzie niczym w porównaniu z potencjalnym skutkiem naruszenia bezpieczeństwa danych w Twojej firmie.
Co więcej, ataki mogą trwać przez dłuższy czas. Rzeczywiście, mogą się one utrzymywać tak długo, jak długo luka pozostaje niewykryta. Z tego powodu hakerzy często starają się przeprowadzać ataki powoli, zmniejszając w ten sposób ryzyko wykrycia. Mogą minąć miesiące, a nawet lata — tylko w przypadku wyrządzenia ogromnych szkód — zanim luka zostanie ostatecznie wykryta i zamknięta.
To powiedziawszy, i jak zobaczymy, istnieją sposoby na ograniczenie ryzyka niewykrytych luk w zabezpieczeniach, więc z pewnością nie jest to sytuacja beznadziejna. Gdy tylko atak zostanie wykryty, organizacja docelowa może podjąć kroki w celu usunięcia luki, na przykład wydając łatkę.
Oznacza to również początek kluczowej sekcji zwłok, podczas której ustala się, co poszło nie tak i ocenia zakres szkód.
Słynne przykłady incydentów dnia zerowego
Istnieje wiele znanych przykładów incydentów dnia zerowego. W rzeczywistości do tej kategorii zaliczają się najczęstsze cyberataki ostatnich lat. Rozważmy kilka przykładów.
- Stuxneta (2010).Jeden z najstarszych i najbardziej niesławnych ataków dnia zerowego wymierzony był w irański program nuklearny, powodując znaczne szkody w jego obiektach. Chociaż odkryto go w 2010 r., uważa się, że prace nad robakiem Stuxnet (wykorzystanym exploitem) rozpoczęły się w 2005 r.
- Yahoo (2013).W jednym z najbardziej znaczących ataków dnia zerowego hakerzy złamali szczegóły około trzech miliardów kont użytkowników.
- Sony (2014).Zespołowi hakerów udało się uzyskać dostęp do poufnych treści firmy (w tym nowych filmów), planów biznesowych i osobistych danych kontaktowych. Atak ten był cichy i błyskawiczny.
- Microsoft Word (2017).Hakerzy odkryli słabość w oprogramowaniu i opracowali trojana (nazwanego Dridex), aby ją wykorzystać. Osoby, które pobrały ten złośliwy dokument, otworzyły drzwi do swoich sieci hakerom. Zanim został wykryty i załatany, problem dotyczył milionów użytkowników.
- Zoom (2020).Zgłoszono, że co najmniej jeden exploit dnia zerowego atakujący Zoom był dostępny do kupienia w ciemnej sieci za 500 000 dolarów. Według doniesień umożliwiłoby to atakującym szpiegowanie komunikacji, a nawet przejęcie kontroli nad komputerem użytkownika, co czyni go idealnym do szpiegostwa.
- Wiatry słoneczne (2020).Atakujący uzyskali dostęp do systemów firmy po zidentyfikowaniu luki w jej procesie CI/CD we wrześniu 2019 r. Wstrzyknęli złośliwy kod do aktualizacji oprogramowania SolarWinds, które zostały udostępnione ponad 18 000 klientów. Umożliwiło to atakującym uzyskanie dostępu do systemów tych klientów. Atak był tak dyskretny, że zgłoszono go dopiero w grudniu 2020 r.
Z oczywistych powodów nadal nie możemy być pewni pełnego zakresu incydentów dnia zerowego. Ponieważ są one tajne i tajne, kto wie, ile ataków na dużą skalę jest aktywnych, nawet gdy to czytasz? Nie ma gwarancji, że wszyscy zostaną wykryci – w końcu taka jest natura bestii.
Zapobieganie atakom dnia zerowego
Nie wszyscy hakerzy działają w złej wierze. Rzeczywiście,etyczne hakowanieodgrywa kluczową rolę w walce z cyberatakami.
Na przykład w 2020 r. konkurs w ramach inicjatywy Zero-Day Initiative rzucił wyzwanie wielu hakerom, aby odkryli i wyeliminowali słabe strony. Zgłoszono trzy luki w Zoomie.
Jeśli zostaną użyte, umożliwią atakującym przejęcie kontroli nad komputerem użytkownika Zoom (pozostawiając im swobodę podglądania, otwierania programów i dostępu do danych). Po tym odkryciu Zoom mógł rozpocząć pracę nad rozwiązaniem.
Tego typu inicjatywy odgrywają ważną rolę w zapobieganiu atakom dnia zerowego, ale organizacje nie wystarczają, aby na nich polegać. Aby złagodzić zagrożenia, należy również wdrożyć narzędzia, procesy i wartości kulturowe. Na szczęście można wiele zrobić, np.:
- Zapewnienie aktualności całego oprogramowania i aplikacji.Oznacza to, że będziesz mieć dostęp do wszystkich najnowszych poprawek zabezpieczeń dla wszelkich znanych luk. W przeciwnym razie te słabości mogą pozostać w Twojej sieci.
- Używaj wyłącznie oprogramowania od zaufanych dostawców.Musisz mieć pewność co do oprogramowania i aplikacji, które wprowadzasz do swojego ekosystemu. Czy rygorystycznie pilnują, aby w ich produktach nie było exploitów?
- Wdrażanie silnej segmentacji sieci.Możesz ograniczyć wpływ potencjalnych ataków, dzieląc infrastrukturę na mniejsze części. Mocne ściany pomiędzy segmentami mogą pomóc w zapobieganiu rozprzestrzenianiu się ataków.
- Przeprowadzanie skanowania podatności w czasie rzeczywistym w celu wykrycia potencjalnych słabych punktów w kodzie.Po zidentyfikowaniu luk należy niezwłocznie zaradzić, aby mieć pewność, że nie zostaną wykorzystane.
- Przeprowadzanie regularnych i bieżących ocen ryzyka całej infrastruktury IT.Powinno to obejmować wspomniane powyżej skanowanie pod kątem luk w zabezpieczeniach, ale powinno także uwzględniać inne aspekty, takie jak zmiany sprzętu, poziom szkoleń i kontrole bezpieczeństwa w całej firmie (np. kto może uzyskać dostęp do czego?). Na przykład, jeśli zastanawiasz się, czy kontynuować któryś z nichtelefon stacjonarny lub VoIPtelekomunikacji, należy wziąć pod uwagę argumenty dotyczące bezpieczeństwa.
- Korzystanie z zapory sieciowej i oprogramowania antywirusowego.Brzmi to oczywisto, ale musisz mieć pewność, że masz najlepsze usługi chroniące swoją infrastrukturę. W miarę rozwoju Twojej organizacji możesz potrzebować różnych poziomów ochrony.
- Promowanie kultury świadomej bezpieczeństwa.Błąd ludzki jest kluczem do powodzenia wielu ataków typu zero-day, dlatego upewnij się, że Twoi pracownicy rozumieją potrzebę zachowania higieny bezpieczeństwa (np. wokół haseł) oraz ryzyko inżynierii społecznej (np. jak unikać złośliwych załączników i linków). Cały Twój zespół musi zaszczepić wysoki poziombezpieczeństwo cyfrowe.
- Chroń dane swojej firmy.Te 12 konkretnych wskazówek pomoże Ci zabezpieczyć urządzenia i chronić firmę przed szpiegowaniem danych.
Wreszcie potrzebujesz szybkiego i solidnego podejścia do zarządzania poprawkami. Pamiętaj, że łatka to szybka poprawka kodu rozwiązująca problem z oprogramowaniem — w tym przypadku lukę w zabezpieczeniach. Gdy tylko problem zostanie zidentyfikowany, firma musi opracować poprawkę, a następnie udostępnić ją wszystkim użytkownikom i klientom.
Wdrożenie automatyzacji umów może również usprawnić proceszarządzanie poprawkamiproces poprzez automatyzację tworzenia, przeglądu i wdrażania umów prawnych, zapewniając sprawne i skuteczne wprowadzanie niezbędnych poprawek i aktualizacji.
Wykrywanie i reagowanie na ataki dnia zerowego
Doskonały stan cyberbezpieczeństwa zmniejsza ryzyko, że stanie się celem exploitów dnia zerowego. Jednak nawet genialne wykonanie tych wszystkich czynności nie wyklucza ataku. Pamiętaj, że wystarczy jedna niezauważona luka w zabezpieczeniach i atakujący wchodzi w grę.
Mając to na uwadze, ważne jest, aby być przygotowanym na ataki, jeśli one wystąpią. Należy tu wziąć pod uwagę kilka rzeczy.
- Po pierwsze, krajobraz zagrożeń stale się rozwija, dlatego upewnij się, że Twoi specjaliści IT (np. inżynierowie danych) przechodzą regularne szkolenia w zakresie wszystkich najnowszych zagrożeń i technik bezpieczeństwa. Oprócz zapobiegania, pomoże to w wykrywaniu ataków i odpowiednim reagowaniu.
- Po drugie, upewnij się, że Twoja organizacja ma niezawodne procesy monitorowania i wykrywania w całej sieci. Należy śledzić i monitorować całą aktywność sieciową, a wszelkie nietypowe zachowania należy natychmiast sygnalizować. Istnieją różne podejścia do wykrywania i monitorowania (tj. statystyczne, behawioralne i oparte na sygnaturach). Ważne jest, aby mieć pewność, że masz dobrą mieszankę tych składników.
- Po trzecie, w przypadku ataku należy zaplanować najgorszy przypadek. Opracuj plan reagowania na incydenty na żywo, określając dokładnie, co się stanie i kto to zrobi. Upewnij się, że wszyscy wiedzą o planie i rozważ to na stroniestudia przypadków.
Spraw, aby silne bezpieczeństwo było najwyższym priorytetem
W naszym coraz bardziej cyfrowym świecie firmy nie mogą sobie pozwolić na rezygnację z zabezpieczeń; Niebezpieczeństwo, że osoba atakująca odkryje lukę typu zero-day i wykorzysta ją, jest zbyt duże, aby je zignorować.
Szkody finansowe i wizerunkowe, jakie może to spowodować, są ogromne. Krótko mówiąc: bardzo ważne jest, aby unikać samokształceniabłędy cyberbezpieczeństwato może kosztować Twoją prywatność!
To pod wieloma względami zastraszająca perspektywa. Istnieje jednak wiele narzędzi pomagających w walce z zagrożeniami. Zachowaj czujność i informuj o zagrożeniach oraz o tym, co możesz zrobić, aby sobie z nimi poradzić.