Kegyelmet nem ismerő támadások

A fejlett, célzott támadások az informatikai infrastruktúrákra, illetve az azok által tárolt, kezelt adatokra nézve igencsak jelentős kockázatokat hordoznak. E fenyegetettségek ellen a technológiai védelem korántsem elegendő, annál jóval többre van szükség.

Idén az informatikai biztonság – a már hagyományosan sok problémát okozó kártékony programok mellett – elsősorban a mobileszközök által jelentett kockázatokról, a cloud computing kapcsán felmerülő védelmi nehézségekről és az internetes fenyegetettségekről szólt. Eközben azonban egy jól megfigyelhető trend bontakozott ki, amely szerint a kiberbűnözés sok esetben már nem vaktában lövöldöz, hanem célzott támadásokat hajt végre. Méghozzá olyan módon, hogy azok a kiszemelt szervezetek védelmi infrastruktúráját a lehető legtöbb szinten próbára tegyék. A célzott támadások elszaporodása némileg hasonlít a vírusok világában elmúlt években tapasztalható fejleményekhez. Napjainkban ugyanis a kártékony programok terjesztőinek már többnyire nem az a céljuk, hogy globális, a saját hírnevüket növelő fertőzésekhez járuljanak hozzá, hanem az, hogy kisebb területeken terjedő, sok variánsból álló víruscsaládokat hozzanak létre. Ezek révén a lehető legtovább tudnak észrevétlenek maradni mind az antivírus cégek, mind a felhasználók előtt. Céljuk pedig egyértelműen az anyagi haszonszerzés és az adatlopás. Nagyon hasonló a helyzet a fejlett támadások kapcsán is.

Az elmúlt évek során egyre többször lehetett találkozni az APT (Advanced Persistent Threat) rövidítéssel, amely napjainkban kezd olyan felkapott kifejezéssé válni, mint például a virtualizáció vagy a cloud computing. Azonban ez esetben olyan problémáról van szó, amelyet minden szervezetnek nagyon komolyan kell vennie. Kétségtelen, hogy a biztonsági cégek az APT-t is egyre többször említik meg marketingkampányaikban, azonban – mint látni fogjuk – most nem egy termékről, szolgáltatásról vagy egy hype-olt technológiáról beszélünk, hanem olyan fenyegetettségről, amely ellen csak összetett, többszintű védelem kialakításával lehet felvenni a küzdelmet, és a siker még ekkor sem garantált.

Mi is az az APT?
Az APT (Advanced Persistent Threat) a fejlett, perzisztens fenyegetettségek összefoglaló neve, rövidítése. Rögtön adódik a kérdés, hogy a „fejlett„, a „perzisztens” és a „fenyegetettség„ kifejezések ezúttal pontosan mit is takarnak.

Fejlett: a támadók számos eszközt használnak fel céljuk eléréséhez. Vagy rendelkeznek azokkal az erőforrásokkal, amelyek révén nulladik napi sebezhetőségek kihasználására alkalmas exploitokat tudnak készíteni, vagy a feketepiacon vásárolnak ilyen kódokat, illetve azokat magukban foglaló kártékony programokat. Céljuk, hogy elkerüljék a célkeresztbe állított rendszert körülölelő vagy az abban működő védelmi eszközöket. A NIST (National Institute of Standards and Technology) mindezt így fogalmazta meg: a támadók alkalmazkodnak a védők erőfeszítéseihez annak érdekében, hogy azokkal szembeszállhassanak.

Perzisztens: a támadók egy jól meghatározott céllal tevékenykednek, és többnyire nem véletlenszerűen, találgatás útján próbálnak rájönni, hogy milyen sebezhetőségeket tudnak kihasználni, hanem már felkészülten, alapos felderítőmunka után lépnek akcióba. Ameddig el nem érik a céljukat (például meg nem találják az általuk keresett bizalmas adatokat), addig nem hagyják el a rendszert. Gondoskodnak arról, hogy a hozzáférésük fenntartható legyen. Sok esetben több hozzáférési pontot is kialakítanak, hogy a jelenlétüket huzamosabb ideig biztosítani tudják.

Fenyegetés: a támadók általában nem egyszerű port szkenneléseket, SQL injection támadásokat stb. hajtanak végre, és legtöbbször nem alkalmaznak automatizált károkozásra alkalmas programokat sem. Nyilván ezek is megjelenhetnek az eszköztárukban, azonban ez esetben célzott, irányított és komplex akciókról beszélünk, amelyek komoly fenyegetést jelenthetnek az informatikai rendszerekre és az adatokra. Ennek megfelelően a védekezés sem kivitelezhető hatékonyan csupán hagyományos biztonsági eszközök bevetésével.

Az APT-támadások felépítése
Az APT-támadásokat általában három vagy négy szakaszra bonthatjuk, de a lényeg minden esetben ugyanaz.

A cikk teljes terjedelemben a Computerworld.hu-n olvasható.