Površina napada: Uvod (Epizoda 1)

U kibernetičkom prostoru, površina napada je termin koji se koristi u rješavanju problema informacione bezbjednosti računarskih sistema i označava ukupan broj mogućih ranjivosti. Drugim riječima, površina napada je skup svih uređaja, softvera, servisa i svih ranjivosti koje napadač može iskoristiti u sistemu neke organizacije. Sa aspekta sajber bezbjednosti, ova površina bi trebalo da bude što manja kako bi se smanjio rizik od neovlaštenog pristupa štićenim resursima.

Površina napada: Uvod; Dizajn: Saša Đurić

POVRŠINA NAPADA

Površina napada se može podijeliti u tri kategorije: digitalnu, fizičku i društveni inžinjering.

Digitalna površina napada.

Samo ime sugeriše da se radi o digitalnim dodirnim tačkama koje se mogu iskoristiti kao pristupna tačka za neovlašteni ulazak u sistem ili mrežu neke organizacije. To podrazumijeva:

• Aplikacije – Ranjivosti u aplikacijama su česta pojava i veoma lako mogu napadačima omogućiti ulaz u sistem organizacije na koju se vrši napad.
• Kôd – Kada se govori o programskom kôdu, tu najveću opasnost predstavlja korištenje kôda trećih strana koji može sadržavati ranjivost ili zlonamjerni softver.
• Portovi – Napadači su konstantno u potrazi za otvorenim portovima na mreži, a posebnu pažnju obraćaju na često korištene portove. Ako je servis koji koristi određen port pogrešno podešen ili ima ranjivost, to je prilika za napadače da uđu u sistem.
• Serveri – Oni su česte mete napada iskorištavanjem ranjivosti ili korištenjem DDoS napada.
• Internet stranice – Ovo je dio digitalne površine napada koji je izložen različitim vrstama napada koji između ostalog podrazumijevaju greške u kôdu i nepravilna podešavanja.
• Certifikati – Često viđena situacija je da organizacije dopuste da certifikat istekne, što otvara mogućnost koju napadači mogu iskoristi.

Ovo su samo najpoznatiji dijelovi digitalne površine napada, konačna lista je mnogo duža. U suštini, sve što se nalazi van firewall-a organizacije i dostupno je na Internetu je dio digitalne površine napada. Sva sredstava digitalne površine napada možemo posmatrati kao:

• Nepoznata sredstva. Ovdje se često radi o zaboravljenim sredstvima ili sredstvima koja nemaju odobrenje sigurnosnog tima organizacije (eng. shadow IT).
• Poznata sredstva. Ovdje se podrazumijevaju sva sredstva kojima se upravlja i koja su evidentira i odobrena za upotrebu u organizaciji od strane sigurnosnog tima.
• Lažna sredstva. Ovdje je riječ o zlonamjernoj infrastrukturi podignutoj od stane napadača, čija je svrha da oponaša prava sredstva organizacije, to može biti oponašanje domene, lažna Internet stranica, aplikacija i slično.

Nepoznata sredstva; Source: Piqsels.com

Fizička površina napada.

Kao suprotnost digitalnoj površini napada, fizička površina napada obuhvata sve krajnje fizičke uređaje kao što su desktop računari, laptopovi, tableti, štampači, svičevi, ruteri, nadzorne kamere, USB portovi, mobilni telefoni i slično. Jednom riječju, svi uređaji u organizaciji fizički dostupni napadaču sa kojih može pokrenuti napad i dobiti pristup unutar organizacije. Za razliku od digitalne površine napada, fizička površina napada može biti iskorištena čak i kada uređaji nisu povezani na lokalnu mrežu organizacije ili Internet. To se obično radi o insajderskim prijetnjama, kada su napadači prerušeni u servisne radnike, neprovjereni uređaji na lokalnoj mreži ili lažni zaposleni radnici.

Društveni inžinjering

Ova površina se odnosni na iskorištavanje ranjivosti ljudske prirode. Najčešće se koristi pecanje ili mrežna krađa identiteta (eng. phishing), odnosno ciljano pecanje (eng. spear phishing), kao i druge manipulativne metode kako bi se korisnici prevarili i omogućili neovlašteni pristup napadačima.

Organizacije godinama grade svoje IT okruženje koje je se stalno mijenja sa zahtjevima poslovanja i rastom organizacije. Široka upotreba virtualnih mašina, mikroservisa, stalni odlazak i dolazak radnika, kao i pojava novog hardvera i softvera znače da razumijevanje i upravljanje površinom napada mora biti konstantno i fleksibilno. Glavni moto ka postizanju tog cilja bi trebalo a bude: vidljivost i kontrola.