Hakeri ne spavaju: sajberbezbednost danas

Osnovna paradigma se promenila. Više se ne radi o podizanju neprobojnih zidova, već o izgradnji otpornosti. Hakeri ne spavaju: uvek će se naći neko ko će pokušati da napadne baš vašu kompaniju, da ukrade baš vaše podatke. Kako da brzo detektujemo pretnju i napad, da ograničimo štetu i oporavimo se?

Autor: Luka Milinković

Globalni izveštaji svetskih IT giganata, kao i konsultantskih i analitičkih kuća potvrđuju ono što vidimo u praksi. S razvojem tehnologije, a posebno veštačke inteligencije, sajberpretnji i novih opasnosti nije manje, već ih je, zapravo, sve više… i sve su opasnije. Stvari ipak nisu crne, jer i bezbednost napreduje, ali samo ako pratimo bezbednosne trendove: standarde, metodologije, tehnologiju, rešenja. Treba da budemo oprezni i spremni na nove izazove! A uz adekvatnu pripremu, i korak ispred napadača. Procena rizika, a zatim prevencija i spremnost na nova dešavanja mnogo su bolji nego čekati da se stvari same dese i iznenaditi se onim što smo mogli da pretpostavimo.

Ekonomija sajberkriminala kao usluge

Specijalizovane kriminalne grupe sada nude svoje „usluge“ na mračnoj strani Interneta kroz Cybercrime-as-a-Service – CaaS. Tako da je moguće iznajmiti pristup mrežama, kupiti zlonamerni softver ili unajmiti tim za izvođenje ransomware ili phishing napada, što značajno smanjuje tehničku barijeru za ulazak u
svet sajberkriminala.

Veštačka inteligencija u službi prevaranata

Napredak tehnologije u svakom smislu, a posebno u pravcu veštačke inteligencije, dovodi do razvoja novih i unapređenja postojećih metoda odbrane i zaštite IT infrastrukture i kritičnih podataka, ali i do
razvoja sofisticiranijih pretnji i tehnika napada.

Njeno veličanstvo Veštačka Inteligencija sada je u službi svih. I čuvara i prevaranata. I stvaralaca i uništitelja. I svako pokušava da je iskoristi na najbolji način za svoje interese i (poslovne) potrebe.

Mnoge pretnje su ostale, kao što je phishing, ali su evoluirale. Retki su e-mail-ovi u kojima zlonamerne osobe samo pozivaju da kliknete na random generisan link. Sada u kreiranju phishing pretnji aktivno učestvuje AI, stvarajući mnogo bolji sadržaj prilagođen vrsti napada, ciljanoj kompaniji ili čak samom korisniku.

Ransomware 3.0

Ransomware napadi nisu više samo pitanje enkripcije podataka. Za razliku od tradicionalnih ransomware i ransomware 2.0 napada, sajberkriminalci su više zainteresovani za podatke koji se čuvaju na uređajima žrtve, pa tako napadi uključuju krađu osetljivih podataka pre šifrovanja, pretnju objavljivanjem, DDoS napade i direktno ucenjivanje klijenata i partnera žrtve.

Nova generacija phishing napada, pokretana veštačkom inteligencijom, prevazilazi ranije nedostatke, kao što su loš pravopis, generičke poruke i lako uočljivi lažni linkovi. Tako napadači sada uz pomoć sofisticiranih AI alata kreiraju personalizovane, uverljive i teško prepoznatljive prevare, a sami napadi postaju znatno efikasniji nego ranije.

Koristeći modele za obradu prirodnog jezika (NLP), slične onima koji pokreću napredne chat botove, napadači mogu da generišu e-mail-ove i poruke koji su gramatički besprekorni i stilski prilagođeni. AI analizira ogromne količine podataka sa društvenih mreža, različitih sajtova i drugih javno dostupnih izvora kako bi se prikupile informacije o meti. Rezultat ovakvih analiza su poruke koje mogu da imitiraju ton komunikacije određene kompanije, pa čak i stil pisanja konkretne osobe, koji za žrtvu može biti kolega ili nadređeni. Ovakav nivo personalizacije čini prevaru znatno težom za otkrivanje. Tako, na primer, e-mail može da sadrži informacije o nedavnom poslovnom događaju, projektu na kojem žrtva radi ili
druge lične detalje iz privatnog ili poslovnog života, koji su nađeni na Internetu. I sve to kako bi se stvorila iluzija legitimnosti.

Deepfake audio i video prevare

Jedna od najopasnijih primena veštačke inteligencije u phishing-u jeste upotreba deepfake tehnologije. Na ovaj način napadačima se omogućava da kreiraju veoma realistične audio i video snimke koji imitiraju glas i izgled osobe od poverenja, kao što je direktor kompanije (CEO), kolega ili član porodice.

Ova vrsta napada može biti izuzetno ubedljiva. Da ovo nije samo mašta, pokazuju zabeleženi slučajevi gde su zaposleni u finansijskim odeljenjima primali glasovne poruke ili pozive, navodno od svojih direktora, sa hitnim zahtevom za transfer novca. S obzirom na autentičnost glasa, žrtve često ne posumnjaju u prevaru. Da li treba da budemo sumnjičavi ili da svima i svemu verujemo? Izgleda da je danas najbolja zaštita: sumnjaj u sve što pročitaš, vidiš ili čuješ! Sumnjaj u svaki digitalni sadržaj koji nisi (dobro) proverio.

Tako, po ko zna koji put, dolazimo do Zero Trust arhitekture, koja je ključna za svaku kompaniju, za svaki server, za svaki IT ekosistem. Samo sada ona dobija još šire značenje. Zero Trust arhitektura nalaže da se nijednom korisniku ili uređaju ne veruje podrazumevano. Svaki zahtev za pristup resursima mora biti strogo proveren, bez obzira na to odakle dolazi. Danas možemo sumnjati i u svaki digitalni sadržaj, jer se lakše nego ikada može generisati sadržaj koji će izgledati stvarno, pa i bolje od toga.

Sve ovo nije samo pitanje obmanjivanja žrtve, već i obmanjivanja svih ostalih. Tako reputacija žrtve može biti ozbiljno narušena ako se napadač okomi na nju. Kreiranje lažnih, kompromitujućih fotografija, videa, audio materijala može se brzinom svetlosti proširiti Internetom bez ikakvog znanja žrtve. Bez očekivanja i mogućnosti da reaguje, nanoseći ogromnu štetu i ružne posledice. Ali kome sve? Da li samo žrtvi? Ili i bližnjima u privatnom i poslovnom životu, a vrlo često i samoj kompaniji.

Veštačka inteligencija omogućava napadačima da automatizuju i skaliraju svoje operacije na do sada neviđenom nivou

Automatizacija i optimizacija napada

Veštačka inteligencija omogućava napadačima da automatizuju i skaliraju svoje operacije na do sada neviđenom nivou. AI algoritmi mogu da analiziraju ponašanje mete, kao što su, na primer, radne navike ili vreme odgovaranja na e-mail sadržaje, kako bi odredili optimalan trenutak za slanje phishing poruke i tako povećali šanse za uspeh.

Pored toga, AI čet-botovi mogu da se koriste za interakciju sa žrtvama u realnom vremenu na lažnim sajtovima ili putem društvenih mreža kroz lažne profile, postepeno gradeći poverenje pre nego što zlonamerne osobe zatraže osetljive informacije. AI je posebno unapredila ciljane phishing (spear phishing) napade, koji su usmereni na specifične pojedince ili organizacije. Automatizovanim prikupljanjem podataka, AI omogućava kreiranje visokociljanih i relevantnih poruka koje je gotovo nemoguće razlikovati od legitimne komunikacije.

Napadi na lanac snabdevanja

Napadi na lanac snabdevanja (Supply Chain Attacks) su napadi gde kompromitovanjem jednog softverskog vendora ili servis provajdera, napadači mogu istovremeno ugroziti hiljade njegovih korisnika. Napadači ciljaju manje bezbedne karike u lancu snabdevanja kako bi stekli pristup mrežama stotina ili hiljada njihovih klijenata, što ovakve napade čini izuzetno efikasnim i teškim za odbranu.

U kontekstu napada pomoću kompromitovanih poslovnih e-mail-ova (Business E-mail Compromise – BEC), napadači koriste AI da imitiraju internu komunikaciju i ubede zaposlene da izvrše neovlašćene aktivnosti, kao što su transferi novca, otkrivanje poverljivih podataka, slanje poverljive dokumentacije, davanje povišenih privilegija itd.

Tradicionalno više nije dovoljno

Stručnjaci za sajberbezbednost upozoravaju da tradicionalne mere zaštite, poput spam filtera, često nisu dovoljne da zaustave AI generisane pretnje. Zbog toga je od ključne važnosti kontinuirana edukacija zaposlenih, razvijanje kritičkog razmišljanja prilikom provere elektronske komunikacije i primena naprednih bezbednosnih rešenja koja koriste veštačku inteligenciju za detekciju anomalija
u komunikaciji.

Važno je da se svaka sumnjiva situacija koja se ispita u kompaniji pažljivo proceni: ako nije suviše poverljiva, treba je preneti svim zaposlenima u kompaniji. Na taj način zaposleni bi se upoznali sa stvarnim pretnjama koje nisu samo predmet mašte sajberinženjera i bezbednosnih edukacija već su se stvarno dogodile. Neki od primera koje bi trebalo predstaviti zaposlenima nakon što se uoče u kompaniji su:

• lažni profili na društvenim mrežama gde se osobe predstavljaju lažnim opisima poslova (nekada čak i u vašoj kompaniji), lažnom biografijom, lažnom fotografijom, vrlo često generisanom AI alatima;
• phishing e-mail-ovi koje su stigli pojedinim zaposlenima;
• pokušaji prevare preko telefonskih poziva;
• lažno kreirani sajtovi na koje su se usmeravali zaposleni prilikom posete legitimnih sajtova;
• lažni (kompromitujući) video, audio ili foto materijali nekih zaposlenih;
• haking napadi na kompanije s kojima sarađujete bilo da su vaši klijenti, partneri ili vendori.

Ko je odgovoran za bezbednost podataka?

Još jedan od velikih problema za organizacije jeste i hronični nedostatak kvalifikovanih stručnjaka za informacionu bezbednost. Ovaj jaz onemogućava efikasno korišćenje naprednih bezbednosnih tehnologija i pravovremeni odgovor na incidente. U poslednje vreme je primetno da svest o bezbednosnim rizicima raste, a to dovodi do povećanja budžeta za IT i sajberbezbednost. Takođe, fokus se stavlja na alate i rešenja za sveobuhvatniju zaštitu i bolju integraciju postojećih resursa, kao i na ulaganje u ljudske resurse i sprovođenje zahteva standarda i regulative. Vrlo često se ulazi i u eksternalizaciju sajberservisa kako bi se dobili veća stručnost i brže reagovanje u kritičnim situacijama.

Veliki problem za organizacije je hronični nedostatak kvalifikovanih stručnjaka za informacionu bezbednost. Ovaj jaz onemogućava efikasno korišćenje naprednih bezbednosnih tehnologija i pravovremeni odgovorna incidente

Stručnjaci, ali i kompanije, počinju da shvataju da se nijedna organizacija ne može boriti i odbraniti sama, pa tako raste značaj platformi za razmenu informacija o pretnjama (Threat Intelligence Sharing), kako unutar industrijskih sektora, tako i između privatnog i javnog sektora. A sve sa ciljem adekvatne zaštite, jače odbrane i bolje iskorišćenosti novih tehnologija u cilju prevencije i detekcije pretnji, a ne boljeg kreiranja napada. I ono najvažnije. Bezbednost je odgovornost svih nas! Svaki zaposleni, od direktora do praktikanta, ima ulogu u zaštiti informacija.