Kibernetski napad 2030: »Videti bo kot spopad Predatorja in Terminatorja.«

Milan Gabor je etični heker, direktor in lastnik podjetja Viris, ki skrbi za informacijsko varnost: simuliranje kibernetskih vdorov, preglede aplikacij in sistemov, varnostno testiranje ter izobraževanje ljudi in podobno. Odlično pozna kibernetsko varnost in trende kibernetskih napadov.

Katere so tri največje kibernetske grožnje za slovenska podjetja v bližnji prihodnosti?

Vsekakor bo to izsiljevalska škodljiva koda, torej kraja in odtujevanje podatkov, njihovo šifriranje in potem izsiljevanje glede odkupnine. Druga grožnja bo še naprej kraja identitete in dostop do podatkov.

Močnejša grožnja kot doslej pa bo posreden napad na dobaviteljsko verigo. V tem primeru je napaden dobavitelj, ki je lahko dobavitelj programske ali strojne opreme za kritično infrastrukturo, namesto same kritične infrastrukture.

Koliko so danes na črnem trgu vredni podatki osebe, ki so ukradeni s hekerskim napadom?

Podatki za dostope, kot so gesla in uporabniška imena, ki nam jih napadalci poberejo, so na črnem trgu vredni okoli deset dolarjev. Podatki ključnih oseb pa so seveda lahko dražji.

Ali to pomeni, da so naši identitetni podatki najcenejši v zgodovini? 😊

Lahko bi tako rekli, saj so dejansko zelo poceni. Kadar ljudi vprašamo, koliko so po njihovem mnenju vredni takšni podatki na črnem trgu, navadno rečejo, da okoli sto dolarjev. Realnost pa je seveda drugačna.

Ali podjetniki in podjetja v Sloveniji kibernetsko varnost še vedno podcenjujejo? Katere so njihove največje napake, kar zadeva skrb za kibernetsko varnost?

Obstajata dva tipa podjetij: regulirana, ki morajo za kibernetsko varnost skrbeti po zakonu, ali na primer finančne ustanove, in druga podjetja, ki za to večinoma začnejo skrbeti, ko se kaj zgodi. Pred dvema letoma smo imeli dobro pobudo države, ki je podjetjem za spodbudo ponudila kibernetske vavčerje. Tako smo poskrbeli za varnost mnogih malih in srednjih podjetij (MSP). Zdaj že skoraj tri leta čakamo na nove vavčerje.

Ali so prav ta podjetja največja rak rana naše kibernetske varnosti? Koliko hekerji napadajo kritično infrastrukturo, koliko pa MSP in samostojne podjetnike?

Hekerji pri internetnem napadu na velika ali mala podjetja uporabljajo isto programsko opremo; napadejo lahko vse. Prav pri MSP je še vedno veliko šibkih gesel, kibernetska varnost in kibernetska higiena pa sta tam slabši. Še vedno ni povsod večfaktorskih avtentifikacij. Veliko je tudi starejše programske opreme, ki ni vedno posodobljena.

Ampak vsa ta gesla in avtentifikacije postajajo digitalizacijska džungla, ki gre uporabnikom vse bolj na živce. Bi bilo zaščito mogoče nekako standardizirati z uporabnikom prijaznejšimi rešitvami, ne pa da nenehno menjavamo gesla in podobno?

Zdajle je moj računalnik zaklenjen. Zdaj pa je odklenjen. Ste vmes videli, da sem vpisal geslo?

Ne.

Torej tehnologijo imamo?

Da, tehnologijo imamo, brez gesel. Vstopimo lahko s prepoznavo obraza, s prstnim odtisom in tako naprej. Obstajajo že podjetja, kjer zaposleni nimajo več nobenih gesel. Imamo pa sistem biometrije; če greste stran od računalnika, se ta samodejno zaklene, vendar to uporabljajo le redki.

Kako se spreminja profil napadalcev? So vse bolj poslovno organizirani?

Veliki igralci v kriminalnem podzemlju so organizirani kot prava podjetja. Tam so vodje skupine, pisci škodljivih kod, iskalci ranljivih žrtev, tudi denarne mule, ki skrbijo za pranje denarja. Okrevanje žrtev kibernetskih napadov takšnih napadalcev lahko traja tudi mesece. Univerza v Mariboru je po kibernetskem napadu potrebovala mesec dni, da si je opomogla.

Kako pomembna bo umetna inteligenca (UI) pri hekerskih napadih in obrambi pred njimi?

Napadalci lahko uporabljajo UI brez omejitev. Vemo, da se zdaj pripravljajo pravila etične uporabe UI. A napadalci jih ne bodo upoštevali, zato so vedno malo v prednosti. UI uporabljajo predvsem zato, da izboljšajo napade in da so hitrejši.

Zdaj vas lažje napadejo z eno verzijo napada, mene pa z drugo. Napadi postajajo bolj prilagojeni posamezni žrtvi, prej pa so eno vrsto napada uporabili za vse. Zdaj lahko vsakega zaposlenega napadejo drugače, in sicer tako, da se podučijo o vsakem posamezniku. To bo zanimivo, ker tudi na obrambni strani z UI prihajajo nova orodja za obrambo.

Kdo bo z uporabo imel večjo prednost? Napadalci ali obramba?

Napadalci, ker nimajo regulatornih in etičnih omejitev. Pri obrambi morate denimo upoštevati varstvo osebnih podatkov, zakonodajo in druga priporočila.

Kateri kibernetski scenarij vas najbolj skrbi v naslednjih treh do štirih letih?

Kraje gesel, nato pa se z UI ta gesla na vse možne načine izrabi za dostop do kritičnih sistemov in obide tudi najboljše zaščite. Nihče ne ve, kako se bodo kibernetski napadi razvijali z UI.

Danes imamo UI agente, ki vse korake naredijo v enem. Lahko celo izpeljete hekerski napad na podjetje, ne da bi kaj vedeli o tehnologiji. Agentu UI poveste, kdo je primarna tarča, on pa zna napad pripraviti in izpeljati sam.

Ali vse to pomeni, da lahko pričakujemo bolj množične napade kot doslej?

Ja, napadi bodo bolj množični. Ena od verzij UI je denimo našla ranljivosti v 26 let stari programski opremi, ki jih doslej ni našel nihče. Ne bodo je dali niti v javno uporabo, ampak so jo dali določenim pomembnim podjetjem, na primer Applu, Microsoftu, Googlu, da najdejo vse ranljivosti pri sebi. Napisala je namreč takšno izkoriščevalsko kodo, da se je bojijo. To verzijo bodo uporabili za reševanje problemov. A nekoč bi lahko kaj takšnega kdo uporabil za drugačne namene.

Ali je morda dobra novica vendarle ta, da so z UI vojaški cilji merjeni bolj natančno in bo tako manj žrtev vojn? Ker z napadi na kritično infrastrukturo se tako doseže velik učinek.

Ukrajinci so ob ruskem napadu na Krim leta 2014 uspešno izklopili četrtino tamkajšnjega električnega omrežja. A tudi danes v vojnah ljudje umirajo ob napadih z droni. Z njimi bi bilo možno napasti Maribor ali Ljubljano tako, da je žrtev več, kot bi jih bilo pri napadu s kasetno bombo.

Kako lahko podjetja poskrbijo za najbolj učinkovito kibernetsko varnost?

Ni se veliko spremenilo. Še vedno je treba paziti pri geslih; ta so najšibkejši člen. Podjetje mora biti zaščiteno z nekim požarnim zidom … V zadnjih letih pa so napadalci bolj pozorni na arhive. Podjetjem pogosto poskušajo odvzeti celoten arhiv, torej ‘backup’, in jim ga pobrisati, tako da podjetje ne more okrevati.

Kaj je rešitev: ločeno shranjevanje arhiva ali kaj drugega?

Ja, ločeno omejevanje dostopa do arhiva in več načinov arhiviranja.

Je varno, da ga imajo podjetja v oblaku?

Ne ravno. Tudi to je možnost, vendar je arhiv oziroma ‘backup’ dobro najprej imeti nekje shranjen lokalno, še bolje dislocirano. Nekateri jih shranjujejo celo na kasetah na dislocirani enoti. Res pa to pomeni, da mora nekdo to fizično početi sproti, tudi vsak dan.

Malo analogne telovadbe v digitalni dobi. 😊

Lahko se zgodi, da boste pri hrambi v oblaku zaradi omejene pretočnosti potrebovali dva tedna, da iz njega potegnete vso količino podatkov. Vse to so izzivi, ki jih je treba upoštevati.

Kolikšna pa je cena kibernetske varnosti?

Američani pravijo, da je ta cena nekaj odstotkov letnih prihodkov, če želite biti zaščiteni z najsodobnejšimi sistemi zaščite. A večinoma podjetja za ta namen uporabljajo zunanje partnerje. Če oprema, ki ste jo kupili, ni primerno konfigurirana, ni nujno, da pomaga. Sicer pa najdražje ni vedno najboljše.

Na kaj naj bodo v svojem kolektivu pozorni direktorji, ki niso strokovnjaki za kibernetsko varnost?

Malo naj se sprehodijo in pogledajo, kje imajo zaposleni na delovnem mestu kaj zapisano. Pod tipkovnicami ali na monitorjih so morda še nalepljeni listki z gesli. Prav na enem zadnjih testov smo ga našli na robu mize.

Na koliko časa je dobro menjati gesla?

Odvisno od tega, kako dolga so gesla. Če imajo po osem znakov, jih je treba menjati redno, vsakih nekaj mesecev. Če pa imate daljša gesla in druge začetne mehanizme, potem je dovolj enkrat na leto oziroma je to seveda odvisno tudi od varnostne politike, občutljivosti gesel in drugih dejavnikov.

Kateri je bil najbolj nenavaden ali presenetljiv napad, ki ste ga videli v praksi?

Od tistih, o katerih smem govoriti, bi omenil napade, ki niso prišli od zunaj. Podjetje lahko napade tudi kdo od znotraj, ki ima dostop do sistema: slabo plačani in nezadovoljni sistemski administrator; nekdo, ki mu niso podaljšali pogodbe, pa je izbrisal del baze; razvijalec, ki je vgradil logično bombo in jo vsake toliko podaljševal, ko pa je odšel iz podjetja, se je ta sprožila …

Videli smo tudi že takšno izsiljevanje, da je nekdo prinesel novo verzijo programske opreme, ki je imela hrošča, nato pa zaračunaval dodatne ure za njegovo reševanje. Nekdo je imel celo dostop do posnetkov klicev za nujno medicinsko pomoč in jih je poskusil unovčiti na črnem trgu.

Treba pa je paziti tudi, da se forenzično raziskavo izpelje zakonito in pravilno. Zgodilo se je že, da so zaradi forenzičnih postopkovnih napak v podjetju morali ponovno zaposliti osebo, ki so jo zaradi tega nepravilno odpustili.

Kakšen pa bo hekerski napad leta 2030?

Po mojem mnenju se bo napadalni agent UI boril z obrambnim agentom UI. Rdeči proti modremu. Na eni strani imamo namreč obrambno strojno opremo, v katero se že vgrajuje UI, a napadalci so v prednosti, ker se ne ozirajo na spoštovanje zakonodajnih predpisov.

To bo pa malce hollywoodsko. V bistvu bo kot bitka virtualnih transformerjev …

Da, tako nekako bo videti. Ali pa kot bitka virtualnega Predatorja in virtualnega Terminatorja. Vsak bo imel svojo tehnologijo in opremo. Tisti, ki bo vanju vlagal več, bo zmagal.

Kaj pa bo ostalo nam, ljudem? Da spremljamo, kakšen bo rezultat boja?

Ljudje bomo lahko gledali in upali, da bo naš agent UI zmagal. In seveda bomo odločali o tem, koliko bomo investirali v tehnologijo. Mi bomo izbirali UI, ki bo čim boljša za obrambo.

Več napadov bo na manj kritične deležnike v dobavni verigi. Če nekdo vdre v majhno knjižnico, lahko hitro prodre do drugih knjižnic. Če vdre v eno elektrarno, pa kmalu lahko pride do jedrske elektrarne. Če obramba ni dovolj hitra …

Pred kratkim se denimo v nekem napadu z UI znaki v škodljivi kodi sploh niso videli. Takšnih kod, generiranih z UI, bi lahko bilo v prihodnje veliko.