Gdzie jest Twój słaby punkt? Powierzchnia ataku, czyli jak zidentyfikować miejsca i osoby, które może wykorzystać cyberprzestępca. I się obronić.

Powierzchnia ataku. Pierwsza myśl, która nam przychodzi, to wszystko to co może być przedmiotem zainteresowania cyber(przestępcy) i co może dać przewagę takiej osobie lub osobom. Intuicja wcale nas nie myli, ale w kontekście cyberbezpieczeństwa zagadnienie jest bardziej zniuansowane.

I zmienne, bo technologia pomimo swych zalet, otwiera również wiele drzwi, które powinny być zamknięte i zabezpieczone. Porządnie, ale jednocześnie z rozwagą.

Minęło już kilka tygodni od kiedy poruszyliśmy wątek dużego ataku na MyDr i gdzie dyskutowaliśmy nad możliwymi powodami udanego przejęcia znacznej części danych obywateli i zgodnie z przewidywaniami temat ucichł i nie wywołuje już większych emocji. A tymczasem w Berlinie głośno o niedawnym ataku na urząd, którego rezultatem jest wyciek blisko 6 terabajtów danych (piszę o tym tutaj ).

I dlatego czas, abyśmy zmierzyli się z ważnym zagadnieniem jakim jest zarządzanie powierzchnią ataku (Attack Surface Management - ASM). A czym ono jest? O tym za chwilę, a tradycyjnie już ogłoszenia drobne:

Dla pierwszych 10 osób, które zapiszą się do NEWSLETTERA, darmowy dostęp do platformy edukacyjnej (ale nie takiej zwykłej!) z zakresu cyberbezpieczeństwa - zapisy znajdziecie m.in . w prawym górnym rogu, Zostały 4 miejsca na trzecią edycję szkolenia " Zostań AI Governance Officer'em ", która odbędzie się 22 września (dużo extrasów dla uczestników), Kacper Janowski owski, inżynier rozwiązań AI, przygotował trzecią część technicznego poradnika dla AI Governance dla rozwiązań agentowych – ten i poprzednie teksty znajdziecie tutaj.

No więc przechodzimy do tematu głównego - czym jest ASM?

Hah, nie tak szybko. W wielu organizacjach funkcjonuje coś takiego jak rejestr/inwentarz zasobów (możecie posłuchać o tym na kanale YT), który zawiera zbiór wszystkich (lub co najmniej znanych) zasobów, które posiadamy. Znajdziemy tam zarówno serwery, routery i jednostki robocze (komputery), jak również rozwiązania cyfrowe, w tym oprogramowanie. To w jakimś sensie opisuje „miejsca”, w których kryją się dostępy, których przejęcie może doprowadzić atakującego do osiągnięcia jego celów. To zbliża nas do pojęcia powierzchni ataku.

Przygotowane na bazie wiedzy własnej i przy wsparciu modelu Fable 5.1

Według OWASP (to taka organizacja non-profit aktywna w obszarze cyberbezpieczeństwa) powierzchnia ataku to wszystkie punkty, w których atakujący może spróbować wprowadzić dane do systemu, wyciągnąć z niego informacje lub wywołać określony efekt. Innymi słowy, powierzchnia ataku to każde miejsce, ale i osoba (np. ze względu na funkcję administratora), które mogą posłużyć do uzyskania nieuprawnionego dostępu.

Ron Eddings i Melody Kaufmann, w swojej książce „Zarządzanie powierzchnią ataku w cyberbezpieczeństwie. Strategie i techniki ochrony zasobów cyfrowych” piszą wprost - to to co jest celem ataku. Z kolei wektor ataku (tym zajmiemy się później) to sposób w jaki atak przeprowadzamy.

Przykładowo może to wyglądać tak (pierwszy jest wektor, drugi powierzchnia ataku – według autorów):

✅ Phishing -> Poczta elektroniczna i wiadomości tekstowe sms,

✅ Złośliwe oprogramowanie -> zainstalowane oprogramowanie, systemy operacyjne,

✅ Ataki bruteforce -> poczta elektroniczna, systemy operacyjne,

✅ socjotechnika (manipulacja) -> poczta elektroniczna, zainstalowane aplikacje, systemy operacyjne i wiadomości tekstowe, sms.

Powierzchnia ataku obejmuje zarówno fizyczny sprzęt (np. telefony pracowników, które zawierają firmowe oprogramowanie), jak i złożone systemy oprogramowania, do których można zaliczyć nie tylko np. serwery wirtualne, ale także zautomatyzowane procesy. Mało tego, o czym absolutnie nie możemy zapominać, to także ludzie, procesy biznesowe i to co nas otacza, a może dać atakującemu dostęp do tego co dla niego istotne i wartościowe.

A czy np. repozytorium kodu jak GitHub może być powierzchnią ataku? A pamiętacie omawiany przez nas atak MyDr? Tam również GitHub posłużył (przynajmniej według relacji samych atakujących) do uzyskania dalszych dostępów, a więc tak – może być. Innym przykładem może być repozytorium naszych modeli AI, które można zmanipulować, a po ich wykorzystaniu przez nas, umożliwić atakującemu uzyskanie przewagi lub nawet osiągnięcie celu.

Idąc dalej za zaproponowaną przez Eddingsa i Kaufmann taksonomią, powierzchnia ataku będzie zestawem słabych punktów, celów lub miejsc, które po zaaplikowaniu odpowiedniej metody (wektora) ataku mogą być skutecznym sposobem na pozyskanie np. ogromnej bazy wiedzy o obywatelach.

Typy powierzchni ataku, czyli gdzie leży nasza słabość?

Można powiedzieć, że dzisiaj powierzchnie ataku można podzielić na trzy zasadnicze obszary:

✅ tradycyjne powierzchnie ataku, do których zaliczamy m.in. serwery, sieci wewnętrzne i zewnętrzne czy tzw. end-pointy (punkty końcowe), jak urządzenia podpięte do sieci,

✅ nowoczesne powierzchnie ataku, jak konkretne konfiguracje, tożsamości i powiązane z nimi uprawnienia czy interfejsy API do łączenia się pomiędzy systemami,

✅ rozszerzone powierzchnie ataku, do których zaliczamy np. samych dostawców rozwiązań chmurowych, kontenery czy rozwiązania „AI”.

Przygotowane na bazie własnej wiedzy i przy wsparciu Fable 5.1

Każdy punkt w całościowym obrazie może być bardzo cenny (choć nie musi). Istotne jest jednak to, jak to wszystko jest ze sobą połączone i dlatego tak cenne dla atakującego może być poznanie samej architektury rozwiązań stosowanych w organizacji oraz zrozumienie wykorzystywanego stosu technologicznego. Te informacje mogą być przy tym niewłaściwie chronione, co następnie może posłużyć do obchodzenia zabezpieczeń szybciej niż gdyby atakujący musiał natrudzić się, aby to wszystko samodzielnie zrozumieć.

A czy sama informacja o tym z jakich rozwiązań korzystamy może być pomocna? Może, szczególnie jeżeli pojawi się „okienko” w postaci niezałatanej luki w oprogramowaniu, którą można szybko wykorzystać.

A skoro to już - mniej więcej - rozumiemy, to czym jest ASM?

Nasi ulubieni autorzy „z książki” wskazują, że to „(…) zrozumienie i analizowanie powierzchni atakuj oraz nadzorowanie nimi”. To całokształt działań, które podejmujemy, aby dać sobie poczucie bezpieczeństwa, przy czym nie jest to zadanie łatwe, bo funkcjonujemy w świecie ograniczonych zasobów - ludzkich i budżetowych - które zmuszą nas do pewnych kompromisów.

Przygotowane na bazie wiedzy własnej i przy wsparciu modelu Fable 5.1.

ASM składać się może z 3-6 kroków, które podejmujemy, aby lepiej zarządzić powierzchnią ataku (o tym jeszcze opowiem w jednym z kolejnych felietonów), wśród których mamy takie działania jak:

✅ identyfikacja i klasyfikacja,

✅ prioretytyzacja,

✅ usuwanie podatności (remediacja),

✅ adaptacja oraz

✅ ciągłe monitorowanie.

Proces zarządzania jest procesem ciągłym i obejmuje m.in. wyszukiwanie podatności, ale o tym dowiecie się w kolejnym odcinku. Nie pozostaje mi nic innego jak jeszcze raz zachęcić Was do zapisania się do Newslettera na stronie i oczywiście szkolenia!