Bijeli protiv crnih hakera: nudimo nadu — ako ne i spas od kibernetičkih napada

Kako se razvija tehnologija i širi digitalizacija tako i zlonamjerni, takozvani crni hakeri skriveni iza monitora svojih računala nastavljaju kibernetičke napade na računalne sustave kompanija, institucija i pojedinaca. S vremenom, baš poput tehnologije, postaju brži, bolji i domišljatiji, pa je tako IBM Security izvijestio da je prosječno vrijeme za izvršavanje ransomware-napadač (koji blokira pristup računalu i podacima dok žrtva ne plati određeni iznos novca) u 2022. palo s dva mjeseca na manje od četiri dana! IBM-ov godišnji indeks ‘X-Force Threat Intelligence’ otkrio je i da je Europa druga najnapadnija regija u svijetu, odmah iza Azije i Pacifika.

Ne, dobra je vijest da, unatoč tome što crni hakeri ne posustaju u svojim napadima, postoje i tzv. bijeli hakeri, poznati i kao etički hakeri, koji svoje hakerske vještine koriste u pozitivne svrhe – za prepoznavanje nedostataka u sustavima tih tvrtki, institucija i pojedinaca, a sve kako bi im pomogli u otkrivanju ranjivosti iu konačnici smanjili štetu od mogućih hakerskih napada .

Nažalost, uspješan crveni tim

Pod pojmom bijelih hakera, naravno, ne misli se na tajne likove odvojene u bijelo, već su to informacijski stručnjaci koji djeluju kao tvrtka ili institucija za kibernetičku sigurnost, a ponekad i kao samostalni savjetnici. Jedna od tvrtki koje pomažu u zaštiti i obrani od crnih hakera u Hrvatskoj i regiji je Infigo IS. Njegov ‘crveni tim’ etičkih hakera pokušava provaliti u sustave njegovih klijenata, većinom banaka, osiguravajućih društava i Fintech-tvrtke, isto kao što bi to učinili i kriminalci, ali bez krađe podataka i prema dogovorenim pravilima. To je takozvano penetracijsko testiranje sustava protiv napada kojim se tvrtka upozorava na moguće sigurnosne propuste.

– Nažalost ili nasreću, ovisno kako gledamo, naš je crveni tim vrlo, vrlo učinkovit i učinkovit. Infigo ima najveći tim stručnjaka za penetracijska testiranja i crveni tim-vježbe u regiji. Crveni tim ima, nažalost, veliku uspješnost, što pokazuje da su naše tvrtke još uvijek u velikom broju nespremne za takve napade. Naravno, uvijek ima iznimaka. Stvari se poboljšavaju i, naravno, uvijek je najbolje da takve nedostatke otkriju legitimne testove, što onda daje i mogućnost za unaprjeđenje – ističe Bojan Ždrnjachief technology officer u Infigu i vođa crvenog tima te jedan od rijetkih certificiranih instruktora američkog SANS Cyber ​​​​​​Security Institute.

Njegovi inženjeri neprestano nadziru sve sigurnosne događaje u tvrtkama, a sve kako bi pravodobno reagirali na potencijalne incidente. Ždrnja, pak, primjećuje da posljednjih nekoliko godina sve više klijenata obraća pozornost na kibernetičku sigurnost, a da su usluge kibernetičke sigurnosti sve više tražene i svjedoči Domagoj Pehar, direktor Sektora mrežnih i sigurnosnih usluga u Combisu. Zbog toga Combisov tim za testiranje penetracije snažno raste.

– Može se pratiti sigurnost tvrtki općenito ili dio sigurnosti nekog sustava, a ponekad naš tim dobije samo ime tvrtke i započne etičko hakiranje kako bi otkrio slabost sustava i izradio preporuke za zaštitu. Često ako tvrtke iznesu podatke koje im dostavimo ili ako u svrhu procjene stanja preuzmemo kompletan informacijski sustav tvrtke, također prema dogovoru – objašnjava Pehar.

Ljudska pogreška

Osim ofenzivne sigurnosti putem etičkog hakiranja, Combis klijentima osigurava i obrambenu obranu od crnih hakera, odnosno postavljanje najvećeg mogućeg sustava detekcije i obrane. Nakon inicijalnog sigurnosnog testiranja, mnoge tvrtke odlučuju o drugom koraku te tako dobivaju potpunu analizu i ocjenu cyber sigurnosti.

– Svako otkriće ranjivosti možemo gledati i kao priliku tvrtkama da poprave nesigurnosti za koje nisu znale da postoje, svaka pogreška poticaja je za učenje, svaka edukativna akcija, bez obzira na veličinu, netko će nešto naučiti. Najopasniji je pristup ‘meni se to ne može ili se neće dogoditi’. Riječ je o iznimno osjetljivom području o kojem se mora više govoriti i više voditi računa jer zanemarivanje sigurnosti na kraju tvrtke može najviše stajati – upozorava Pehar.

A upravo je podizanje svijesti o opasnostima kibernetičkih napada ono čime se bavi Tomislav Vuk, savjetnik za kibernetičku sigurnost. U svom poslu redovito vodi edukaciju te za klijente radi testove za phishing-napadi, u kojima napadači pokušavaju ukrasti novac ili identitet krađom broja kreditne kartice ili lozinke.

– Osvještavanje znači obučavanje ljudi da prepoznaju cyber napade poput Krađa identiteta ili prevara te da ih spriječe, ali i da shvate da se ti napadi mogu ticati i organizacije i njih samih i njihovih obitelji. S obzirom na to da je uzrok ljudske pogreške 95 posto svih proboja, prema IBM-ovu izvješću ‘Cybersecurity Intelligence’, to područje sigurnosti izrazito je zastupljeno i potrebno – objašnjava Vuk, također partner tvrtke KnowBe4, specijaliziran upravo za to područje.

Njegovi klijenti dolaze iz raznih branši, ali najotvoreniji i najpotrebitiji su, kaže, iz IT i high-tech sektora.

– Klijenti su razne tvrtke kojima je stalo da zaštite podatke, poslovanje i ugled, neke su pretrpjele i po nekoliko ozbiljnih incidenata koji su ih mnogo stajali i željeli ih u budućnosti sklopiti. Prvi savjet koji im nudim jest da jednim phishing- testiranje kako bi se vidjelo koliko je vjerojatno da će ljudi otvoriti takve lažne e-poruke i kako bi se procijenilo koliko bi ih koštao napad, na primjer ransomwareom – napominje Vuk, koji, osim tvrtkama, povremeno pomaže i pojedincima.

Digitalne opasnosti

Obujam posla, kaže Vuk, ovisi o tome koliko klijent ima podatke, korisnika računala, koliko je velika IT i mrežna infrastruktura, koliko su vrijedni podaci te, naposljetku, koliko novčano, ali i reputacijski stoji zaustavljanje poslovnih procesa uslijed kibernetičkog napada. No zajedničko je, dodaje Vuk, većina tvrtki s kojima radi da su ljudi na internetu i da su izloženi, da upotrebljavaju iste jednostavne zaporke na različitim mjestima i da je to potencijalna opasnost.

Dakle, opasnosti digitalnog svijeta među najvećim su izazovima današnjice, a svijest i edukacija o njima nikada u povijesti nije bila važnija. Poslovna zajednica u tome, dakako, nije sama. Osim tvrtki i pojedinaca, tu su, naravno, i institucije zadužene za održavanje informacijske sigurnosti. U Hrvatskoj od 2016. različitim stručnim i promotivnim aktivnostima djeluje Hrvatski institut za kibernetičku sigurnost (HIKS), koji okuplja profesionalce i druge institucije iz područja kibernetičke sigurnosti. Kako objašnjava Boris Baitlpotpredsjednik HIKS-a i voditelj Odjela kibernetičke sigurnosti u Atosu Hrvatska, osnovni je cilj udruge unaprjeđivanje informacijske sigurnosti u Hrvatskoj, a svojim članovima i općoj populaciji pruža priliku za edukaciju i profesionalni rast.

– HIKS ima viziju pružiti članovima znanja i resursa za rješavanje različitih problema kibernetičke, informacijske, softverske i infrastrukturne sigurnosti te pružiti dodatnu vrijednost zajednici. Također, HIKS želi provoditi aktivnosti na unapređenju profesionalnih vrijednosti i ciljeva industrije kibernetičke sigurnosti – objašnjava Bajtl.

Pravodobna reakcija

Ne možemo utjecati na to hoće li nam se hakerski napad dogoditi ili smanjiti mogućnost da se dogodi, ali zato se možemo (i moramo) maksimalno pripremiti za taj najcrnji scenarij, i privatno i poslovno.

– U informacijskoj sigurnosti ne postoji srebrni metak. Ne postoji jedinstveno rješenje koje će nas zaštititi od svega, već je to kontinuirani proces u koji treba ulagati. Naravno, nikad ne možemo biti 100% sigurni, ali pravilnim aktivnostima na tom području ipak možemo značajno ograničiti rizik i potencijalnu štetu od incidenata – zaključuje Ždrnja.

Pravovremena reakcija, slaže se i Pehar, itekako može učiniti razliku. I u napadu iu zaštiti od hakerskih napada str