Nemrég ért véget a 20. alkalommal megrendezett, #Hacktivity2023 MOST+NEXT konferencia Budapesten. Ebből az alkalomból rendhagyó cikksorozattal tisztelgünk a kitűnő előadások és értékes tudásanyag előtt, amit igyekszünk hétköznapi nyelvre fordítani, hogy a más területen dolgozó döntéshozók is könnyen megérthessék. Az első anyagban egy nehézsúlyú ex-NSA ügynök tanácsai olvashatók.
A bemutatott izgalmas szoftveres védelmi eszközöket és szolgáltatókat linkeljük is, vagy az előadásról készült videóban található meg az elérhetőségük, így csak pár kattintás a kiberbiztonsági upgrade! A #Hacktivity2023-sorozatba tartozó cikkeinkben a feldolgozott előadások tanulságait több szempontból is vizsgáljuk, így a tárgyalt téma ismertetését az ügyvezető (CEO) és a technológiai vezető (CTO) számára megfogalmazott tanácsok tarkítják. Ez itt az első rész, melyben megmutatjuk hogyan értesülhet a megtámadott cég idejekorán a rosszindulatú támadók szándékairól.
Hacker a színpadon
A keynote-előadást tartó John Strand az USA-ból érkezett, és több száz szervezetnél dolgozott már tanácsadóként és oktatóként a biztonság, a jogszabályi megfelelés és a behatolásvizsgálat területén. Keresett előadó és közkedvelt SANS-tanár, aki közreműködött az iparágat formáló Penetration Testing Execution Standard (PTES) és a CIS top 20 kritikus ellenőrzési keretrendszer kidolgozásában. Előadásának laborgyakorlat jelleget adott, hogy olyan egyszerű megtévesztési technikákat ismertetett, melyek még a legfejlettebb támadókat is megállíthatják, mindezt természetesen ingyenes eszközökkel.
John Strand a megszokott kiberbiztonsági technológiák védelmi mechanizmusként való alkalmazásának korlátaival kezdte, hangsúlyozva a proaktív megközelítés szükségességét. Bemutatta az amerikai Mitre Engage keretrendszert (régebbi nevén Shield), amely segít a szervezeteknek megfelelően változatossá tenni hálózataikat és infrastruktúrájukat, hogy azok valódi kihívást jelentsenek a támadók számára.
Strand idézte Jeff Mosst, a Defcon és a Black Hat hackerkonferenciák alapítóját, aki szerint az egyik érdekes jellemző a támadásokat előre jelző felderítési, megtévesztési technológia nyilvánvaló hiánya.
„A probléma a kiszámíthatóság”, mondta Strand. „Mindannyiunknak ugyanazok a tűzfalai, ugyanaz az EDR, ugyanaz a SIM-kártya, pontosan ugyanazok a technológiáink. Mindannyian mindent ugyanúgy csinálunk és ez könnyűvé teszi egy támadó számára, hogy megfelelő idővel és erőforrásokkal megkerülje ezeket a technológiákat.”
A CTO figyelmébe
Az előadó vitatta Jeff Moss kijelentését, és az ebből fakadó következtetést is, miszerint az összes biztonsági faktor 99%-ának működően a helyén kell lennie, mielőtt egy cég a támadókat megtévesztő technológiák alkalmazásába kezdene. Felsorolt néhányat a kiberbiztonsági hadszíntér legnagyobb fenyegetést jelentő szereplői közül, köztük olyan szervezeteket mint az NSA, a CIA, de a nemzetállamok sem maradtak ki, így elhangzott Oroszország, az Egyesült Államok, Izrael és Szaúd-Arábia neve is. Jelezte, hogy ezek a szereplők komoly fenyegetést jelenthetnek, és képesek megkerülni az olyan biztonsági technológiákat, mint a CrowdStrike és a SentinelOne. Azt is megemlítette, hogy minderre a saját cége, a Black Hills Information Security jóval kisebb költségvetéssel is képes – de mivel fehér kalapos hackerről van szó, nyilvánvalóan csak sérülékenységdetektálás és a védelem erősítésének céljával. Ez Strand szerint ugyanakkor azért is fontos, mert demonstrálja, hogy limitált erőforrásokkal is feltörhetők a nagynak és erősnek gondolt védelmi rendszerek, így a biztonsághoz fontos annak ismerete, hogy hogyan, és miért lehetséges mindez.
Összefoglalva, Strand fő tétele szerint a biztonsági intézkedések ne legyenek előre kiszámíthatók, ami csak megkönnyíti a védelem áttörését, a megtévesztő technológia alkalmazása pedig segíthet csökkenteni a kibertámadások kockázatát.
Visszatérve a Mitre Engage keretrendszerre elmondta, hogy ennek segítségével hatékonyan és olcsón használatba lehet venni a megtévesztő technológiákat a szervezetekben, létrehozva az említett variációkat a hálózatokban és infrastruktúrában. Ennek következtében a támadók hibázhatnak és lebukhatnak, ám itt jön a csavar: a lebukásnak még a nemzetállamok számára is túl magas az ára, ezért valószínűleg visszalépnek, ha észlelik a „barátságtalan” környezetet. Strand kiemelte a képzés fontosságát is, javasolva, hogy a szervezetek vegyék igénybe a fizetős kiberbiztonsági tanfolyamokat, és kövessék nyomon a támadási technikákról szóló vitákat.
A CEO és a CTO is jó, ha tudja
A kiberbiztonsági szakértő megoldásként az Antisyphon nevű cég által kínált különböző ingyenes vagy nagyon alacsony költségű tanfolyamokat ajánlotta követésre, melyeket a legendás és méregdrága SANS kiberbiztonsági tudásközpont korábbi oktatói (Senior Fellow és Fellow státuszú szakértők) vezetnek. Az Antisyphon nyílt célja, hogy a közösség számára anyagi korlátoktól függetlenül elérhetővé tegye a szükséges információbiztonsági ismereteket számos témában kínálva tanfolyamokat (Cyber Deception, Core Skills, PCI 101, Reporting for Penetration Testers, Packet Decoding). A képzésért itt egy becsületkasszába kell – vagy ha úgy tetszik lehet – fizetni. A demonstrációs részben Strand bemutatta, hogyan lehet úgynevezett Canary tokeneket, azaz ingyenes szoftveres eszközöket használni a kibertámadások korai észlelésére és a gyors válaszreakciók beindításához.
A korai alatt azt kell érteni, hogy a cégnek talán még egyetlen szerverét sem érte semmilyen támadás, csak az adatgyűjtés és a megfigyelés indult el támadói oldalról, de máris tudható, hogy valaki rosszban sántikál.
A Canary tokenek egyfajta mézesbödönként elképzelhető különböző típusú „csali” tokenek, amelyek könnyen elérhetők a támadók számára, és használatuk azonnali figyelmeztetést generál a megtámadott vállalat szakemberei számára a támadásról vagy gyanús tevékenységről anélkül, hogy a támadó erről tudomást szerezne. Tartalmukra nézve lehetnek például webes hibák, DNS-tokenek, AWS-kulcsok, Azure bejelentkezési tanúsítványok és érzékeny parancstokenek is. Szomorú tényként – mondhatni a no comment szekcióban – az előadó arra is felhívta a figyelmet, hogy szoftveres riasztóképességgel felszerelt védelmi eszközként a passwords.docx nevű dokumentumot is kötelező létrehozni, mivel egyfelől a támadók nem hagyják érintetlenül, másfelől a cégek és vállalatok túlnyomó többségének rendszerei a mai napig tartalmazzák ezt a körültekintően megnevezett állományt, és a tartalma is éppen az, amit a neve sugall.
Érdekes insight a kiberbiztonsági szakma tapasztalataiba, hogy amikor Strand megszavaztatta a zömmel nemzetközi, hardcore kibervédelmi szakemberekből álló hallgatóságot arról, hogy kit vagy mit tartanak a legkomolyabb kiberbiztonsági fenyegetésnek „odakint”, a szavazást nagy többséggel
a National Security Agency (NSA), az Amerikai Egyesült Államok rádióelektronikai, jelhírszerzéssel foglalkozó (SIGINT) hírszerző szervezete, az Egyesült Államok Hírszerző Közösségének egyik legnagyobb költségvetésű és létszámú tagja nyerte.
Azt, hogy John Strand nem a levegőbe beszélt, az is alátámasztja, hogy egy meglepő fordulattal elárulta: ő maga is sokáig végzett korábban nemzetállami szintű hackertámadásokat az Egyesült Államok kormányának az emlegetett NSA megbízásából. „Sokan nagyon szemérmesek ezzel kapcsolatban. Nos, én nem vagyok az”, mondta Strand, majd így folytatta: „A munkám titkosítását feloldották, és ma már elmondhatom, hogy természetesen főképp a támadó technológiák körül forgott. Volt egy nagyon fontos szabályunk: ne hagyd, hogy lebukj. Ennek számos oka volt, de a legfőbb az, hogy senki nem akarja, hogy elrabolják”, érzékeltette a hackerélet nehézségeit a hacker. „Amikor nemzetállam vagy, és rengeteg pénzt költesz nulladik napi sérülékenységekre (zero day exploitokra) akkor óvatosan mozogsz, mivel ezek a sérülékenységek nagyon drágák. Az ár elérheti az 1 millió dollárt is. Ha elkapnak behatolás közben, akkor a sérülékenység, az exploit is örökre elég az egymillió dollárral együtt.”
„Tehát ha a nemzetállami szintű ellenfél – és erről saját tapasztalatból tudok beszélni – úgy gondolja, hogy működik valamiféle megtévesztő technológia a szervezetben, akkor azt azonnal úgy értékeli, hogy megnövekedett a lebukás kockázata.”
„Több mint valószínű, hogy visszavonulnak és elmennek. Pusztán azért, mert a lebukásnak túl magasak a költségei”, summázta John Strand ex-NSA ügynök.
(Aki megnézné John Strand teljes előadását, amit jó szívvel javaslunk is, az IDE kattintva teheti meg: 00:43:00-01:20:12.)
