Człowiek - najsłabsze ogniwo systemu antywirusowego

Celem tego artykułu nie jest sianie paniki wśród użytkowników ani nakłanianie ich, aby kupili oprogramowanie do ochrony swych komputerów. Tekst ten jest jedynie próbą podzielenia się kilkoma uwagami, jakie nasunęły analitykom wirusów w czasie pracy, buszowania po forach i czytania szeregu różnych artykułów i niezliczonych wiadomości z prośbą o pomoc, jakie codziennie otrzymują od czytelników.

Bezpieczeństwo komputerów jako system

Bezpieczeństwo informatyczne oznacza szereg różnych procesów i powinno być traktowane jako system. System ten, jak każdy inny, jest złożony i łączy w sobie wiele różnych, równorzędnych aspektów i podejść. Oznacza to, że nie można zlekceważyć żadnego z nich; system nie będzie działał poprawnie, jeśli zignorujemy jeden z jego obszarów lub części.

Bezpieczeństwo informatyczne niewiele różni się od ogólnie pojmowanego bezpieczeństwa. W końcu nikt nie zainstaluje opancerzonych drzwi z dobrym zamkiem w ogrodowej szopie. Podobnie, samochód może mieć najlepsze opony, ale jeśli hamulce są uszkodzone, nie będzie bezpieczny. Ochrona przed cyberzagrożeniami działa na tej samej zasadzie: należy zabezpieczyć wszystkie potencjalne słabe punkty, niezależnie czy jest to komputer biurkowy, serwer organizacji czy sieć korporacyjna.

Poza tym muszą istnieć bezpieczne ścieżki dostępu do danych. W tym artykule nie zamierzam jednak omawiać, w jaki sposób należy to zapewnić. Częścią systemu są również ludzie pracujący z informacjami. Są oni ogniwem w łańcuchu, które odpowiedzialne jest zarówno za wymianę informacji, jak i ogólne bezpieczeństwo.

Ludzie są częścią systemu

Obecnie dostępny jest szeroki wachlarz oprogramowania służącego do zapewnienia bezpieczeństwa, łącznie z osobistymi zaporami sieciowymi (firewall), systemami wykrywania włamań (IDS), rozwiązaniami antywirusowymi itd. Każdy typ oprogramowania przeznaczony jest do spełniania określonych funkcji i ma pomagać chronić system. Jednak wykorzystywanie nawet najlepszego oprogramowania, w którym zaimplementowano najbardziej zaawansowane technologie i najbezpieczniejsze algorytmy, nie jest w stanie zapewnić systemowi 100-procentowego bezpieczeństwa. Dzieje się tak dlatego, że w rozwoju i sosowaniu oprogramowania uczestniczą ludzie, którzy z natury mają skłonność do popełniania błędów. W rezultacie, ludzie, którzy są częścią systemu, zawsze będą najsłabszym ogniwem bezpieczeństwa systemu

Czynnik ludzki jest głównym powodem, dla którego udaje się tak wiele ataków na komputery i systemy. Oczywiście można przytoczyć wiele konkretnych przykładów. W tym miejscu przyjrzymy się, w jaki sposób i dlaczego hakerzy, twórcy wirusów i inni złośliwi użytkownicy wykorzystują czynnik ludzki: co sprawia, że ludzie są ich preferowaną metodę przenikania systemów.

Luki w zabezpieczeniu, kilka przykładów

Wielu użytkowników nie zdaje sobie sprawy, że oprogramowanie zawierające luki stanowi poważne zagrożenie dla bezpieczeństwa ich komputera lub systemu. Większość użytkowników postrzega swój komputer jako czarną skrzynkę; nie rozumieją, jak działa i tak naprawdę nie chcą tego zrozumieć. Chcą używać komputera tak samo jak odkurzacza, lodówki, pralki czy innych urządzeń AGD, czyli bez konieczności rozumienia, w jaki sposób wykonują one swoje funkcje.

Bagatelizowanie zagrożeń
Niektórzy użytkownicy sądzą, że wirusy, hakerzy i inne cyberzagrożenia są wynalazkiem producentów oprogramowania służącego do zapewnienia bezpieczeństwa. Nie powinno to aż tak dziwić, biorąc pod uwagę fakt, że niektóre osoby pracujące w branży bezpieczeństwa IT sądzą, że wirusy "przydarzają się tylko głupim użytkownikom", a oprogramowanie antywirusowe to pieniądze wyrzucone w błoto. Uważają, że wystarczy zainstalować system operacyjny, którego nie atakują wirusy oraz oprogramowanie bez żadnych luk w zabezpieczeniu i problem będzie z głowy.

Jednak lekceważenie wagi potencjalnych zagrożeń to tylko część problemu. Czynnik ludzki ujawnia się już podczas tworzenia i stosowania polityk i procedur bezpieczeństwa, a wiele luk, które mogą zostać wykorzystane do szkodliwych celów, pojawia się już na etapie projektowania.

Niedbalstwo administratorów
Bezpieczeństwo sieci bezprzewodowych znajduje się w opłakanym stanie dlatego, że wystąpiły błędy już podczas tworzenia protokołów bezprzewodowych. Liczba publikacji na temat bezpiecznego programowania dorównuje ilości błędów występujących w programach i jestem przekonany, że błędy te będą nadal wykrywane i popełniane. Ale nawet najstaranniej opracowane oprogramowanie musi zostać jeszcze zaimplementowane i tu ponownie wkracza człowiek: najlepszy firewall na świecie nie będzie dobrze chronił systemu, jeśli administrator systemu jest słabo wyszkolony.

W czasie gdy powstawał ten artykuł, w Internecie panoszył się robak o nazwie Lupper. Szkodnik ten rozprzestrzenia się przez znane luki, tak więc jeśli administrator regularnie czyta ostrzeżenia o wykryciu nowych luk i bezzwłocznie instaluje łaty, Lupper nie będzie miał dostępu do systemu. Odnosi się to do wszystkich robaków. Gdy publikowane są zalecenia dotyczące luk, zwykle prawie nikt nie zwraca na nie uwagi. Nawet jeśli pojawi się wirus typu "proof of concept", demonstrujący w jaki sposób dana luka może zostać wykorzystana, większość użytkowników dalej nie będzie zdawała sobie sprawy z zagrożenia i nie podejmie żadnych działań. Właśnie tak było w przypadku Luppera. Pojawienie się tego szkodnika potwierdziło, że kwestie bezpieczeństwa nie są traktowane poważnie już na początkowym etapie.

Trzymaj hasła w tajemnicy
Innym przykładem nieodpowiedzialnego podejścia do bezpieczeństwa jest traktowanie przez użytkowników poufnych informacji. Posłużmy się analogiczną sytuacją z życia codziennego: kto zostawiłby klucz w zamku na zewnątrz lub powiesił go na haku, gdzie wszyscy mieliby do niego dostęp? Oczywiście, nikt. Jednak wiele systemów wykorzystuje puste hasła lub używa jako hasła nazwy użytkownika, przez co uzyskanie do nich dostępu jest dziecinnie proste. Jako alternatywę wyobraźmy sobie sytuację, gdy administrator wymaga od użytkowników, aby ich hasła były trudne do odgadnięcia, a przez to lepsze z punktu widzenia bezpieczeństwa.

Wszystko ładnie wygląda w teorii, często jednak widywałem takie "bezpieczne" hasła napisane na kartce papieru i pozostawione na biurku użytkownika lub przyklejone do monitora. Nic dziwnego, że złośliwi użytkownicy wykorzystują taką sytuację.

Ciekawość - pierwszy stopień do ... infekcji
Powszechnie wykorzystywaną przez złośliwych użytkowników cechą ludzką jest ciekawość. Ogromna większość z nas zetknęła się kiedyś z robakami pocztowymi i wie, że rozsyłane są one jako załączniki zainfekowanych wiadomości. Rozesłanie robaka oznacza dla twórców wirusów i złośliwych użytkowników tylko połowę sukcesu. Aby robak mógł się dalej rozprzestrzeniać, należy go uaktywnić, otwierając załącznik. Wydawałoby się, że użytkownicy stali się bardzo ostrożni wobec załączników przychodzących z nieoczekiwanymi wiadomościami i nie otwierają ich. Niestety, cyberprzestępcy wiedzą jak przechytrzyć użytkowników, wykorzystując ich ciekawość.

Jak pokazuje poniższy diagram, bardzo wielu użytkowników otworzy intrygującą wiadomość, która odsyła ich do załącznika.

Dlaczego otwierasz podejrzane załączniki?

Interesujące jest to, że chociaż producenci oprogramowania antywirusowego nieustannie przestrzegają przed niebezpieczeństwem, liczba użytkowników, którzy otwierają podejrzane załączniki, nie zmienia się. Z drugiej strony, twórcy wirusów wciąż znajdują nowe sposoby wykorzystania ludzkiej ciekawości i naiwności.

Ukrycie robaków w załącznikach wiadomości nie jest jednak jedynym sposobem ich rozprzestrzeniania. Często, zamiast pliku zawierającego szkodnika, użytkownicy dostają odsyłacz do właściwego kodu robaka. Tak wiec robak nie może być uruchomiony bez udziału człowieka, którego trzeba przekonać do tego, aby kliknął odsyłacz. Wydaje się, że jest to bardzo proste: weźmy na przykład robaka Monikey, który wysyła wiadomości e-mail, jak poniższa:

Wiadomość e-mail wysłana przez robaka Monikey

Na pierwszy rzut oka to zupełnie normalna wiadomość informująca użytkownika, że ktoś wysyła mu e-kartkę z pozdrowieniami. Naturalną reakcją użytkownika będzie kliknięcie odsyłacza, aby przeczytać kartkę. Na to właśnie liczą osoby, które wysłały wiadomość: chcąc obejrzeć kartkę, niczego niepodejrzewający użytkownik uruchomi robaka. W jaki sposób można więc odróżnić zainfekowane wiadomości od nieszkodliwych? Poniżej przedstawiamy prawdziwą wiadomość e-mail wysłaną przez serwis POSTCARD.RU:

Wiadomość e-mail wysłana przez POSTCARD.RU.

Po pierwsze, należy zauważyć, że wiadomość e-mail pokazana na ilustracji 1 została napisana w kodzie HTML - w ten sposób można w niej zamaskować odsyłacz prowadzący do strony zawierającej robaka, który będzie wyglądał jak odsyłacz do POSTCARD.RU. Na ilustracji 2 widzimy wiadomość e-mail z serwisu POSTCARD.RU. Zawiera ona ostrzeżenie, że wszystkie wiadomości e-mail wysyłane z tego serwisu pisane są tylko zwykłym tekstem; wiadomość w HTML-u nie pochodzi z serwisu i może zawierać złośliwy program. Jeśli użytkownik chce obejrzeć kartkę, powinien skopiować odsyłacz do przeglądarki - prawdziwy odnośnik spowoduje wyświetlenie e-kartki.

Pod żadnym pozorem użytkownicy nie powinni jednak klikać odsyłaczy w HTML-u; w przeciwnym razie, jak w wielu innych przypadkach, otworzy się strona zawierająca złośliwy program, który zostanie następnie aktywowany.

Podobne podejście stosowane jest często w masowym rozsyłaniu spamu. W wiadomościach można przeczytać: "Jeśli chcesz zostać usunięty z naszej listy mailingowej, kliknij poniższy odsyłacz". Ktoś mógłby zapytać, w czym tkwi problem - naturalnie użytkownicy nie chcą dostawać masy spamu, będą więc chcieli skorzystać z tej opcji. Po kliknięciu odsyłacza otworzy się strona w HTML-u, rzekomo w celu sprawdzenia bazy danych abonentów, a następnie pojawi się następujący komunikat: "Twój adres został usunięty". Przynajmniej tak ma myśleć użytkownik. W rzeczywistości jednak na komputerze ofiary zostanie zainstalowany koń trojański. Trzeba sobie uświadomić jeden fakt: spamerzy nie przejmują się życzeniami użytkowników i jeśli weszli już w posiadanie jakiegoś adresu, będą wysyłali na niego spam, niezależnie od prób zrezygnowania z subskrypcji. Próby rezygnacji skończą się otrzymywaniem większej ilości spamu lub zainstalowaniem złośliwego programu. Najlepszym sposobem poradzenia sobie ze spamem jest usuwanie niechcianych wiadomości.

Jakiś czas temu byliśmy świadkami nowego podejścia do masowego rozsyłania wiadomości, polegającego na tym, że celem sprytnie skonstruowanych wiadomości stały się konkretne grupy. Spamerzy zaczęli masowo wysyłać wiadomości na adresy korporacyjne, które wyglądały jakby pochodziły od przełożonych użytkowników. W tym celu preparowano pole adresu. Jednak prawdziwy, niewidoczny adres zwrotny był rzeczywistym adresem spamera. Naturalnie sumienni pracownicy zwykle słuchają swoich przełożonych, dlatego też otwierali załączniki uruchamiając tym samym złośliwy program. Trzeba zaznaczyć, że podobne incydenty nie zyskują dużego rozgłosu; osoby odpowiedzialne za bezpieczeństwo w atakowanych organizacjach zazwyczaj nie dopuszczają do tego, aby informacje o nich przedostały się na zewnątrz.

Przy rozsyłaniu złośliwych programów przy użyciu technik spamowych, często wykorzystywana jest popularność rozwiązań antywirusowych. W ten sposób dwie pieczenie zostają upieczone na jednym ogniu: użytkownik uruchomi złośliwy program, a przy okazji zostaną zdyskredytowani producenci programów antywirusowych. Jeśli użytkownicy otrzymają wystarczająco dużo wiadomości, które wyglądają, jakby pochodziły od firm antywirusowych, wcześniej czy później zaczną myśleć, że firmy te wysyłają zainfekowane uaktualnienia i przestaną uaktualniać swoje rozwiązania antywirusowe. Rozwiązania antywirusowe będą wtedy znacznie mniej skuteczne.

Przy okazji warto podkreślić, że żadna firma antywirusowa nie wysyła masowo swych uaktualnień, a użytkownicy nie powinni instalować na komputerach programów, które przychodzą pocztą elektroniczną. Jednak technika ta okazała się skuteczna w przypadku robaka Swen, który "udawał" łatę bezpieczeństwa opublikowaną przez Microsoft. Robak zdołał zainfekować kilkaset tysięcy komputerów na całym świecie. Jego autorzy wyczekali na odpowiedni moment, gdy istniały duże szanse na to, że użytkownicy - przerażeni incydentem wywołanym przez innego robaka lub wirusa - zainstalują łatę bezpieczeństwa.

Incydent ten pokazuje, że twórcy wirusów wykorzystają przeróżne wydarzenia na świecie, aby zainfekować jak największą liczbę komputerów. Działają bardzo szybko i skutecznie - jako przykłady można podać masowe rozsyłanie trojanów po wybuchu bomb w londyńskim metrze, awarii elektrycznej w Moskwie i huraganie Katrina w Stanach Zjednoczonych. Wysłane wiadomości nawiązywały do tych i innych katastrof, aby skłonić użytkowników do otwarcia załączników lub kliknięcia odsyłaczy.

Złośliwe programy dla komunikatorów internetowych (ICQ, Miranda itd.) wykorzystują bardzo podobne podejście.

W jaki sposób złośliwe programy dla komunikatorów internetowych infekują komputery? Zazwyczaj wysyłany jest odsyłacz do kodu robaka, a kliknięcie go powoduje aktywację szkodliwego programu. Aby skłonić do tego użytkowników, stosuje się te same metody, jak w przypadku wysłania wiadomości e-mail. Jednak w pewnych przypadkach cyberprzestępcy posuwają się jeszcze dalej, jak pokazuje to przykład trojana LdPinch. Jego autorzy przypuszczali, że osoba, która otrzyma odsyłacz będzie chciała porozmawiać lub przynajmniej podziękować. Skonstruowali więc bota, który tworzył prawdopodobne odpowiedzi na ich pytania lub wypowiedzi.

Stosowanie nowych, bardziej wyrafinowanych metod nie oznacza jednak, że twórcy wirusów zapomnieli o tych starych i wypróbowanych - polegających na wykorzystywaniu odsyłaczy, które minimalnie różnią się od wiarygodnych adresów, dlatego na pierwszy pobieżny rzut oka nie można dostrzec oszustwa (np. zamiast i pojawia się l). Techniki te wciąż są stosowane, ponieważ okazują się skuteczne.

We wszystkich wymienionych wyżej przypadkach użytkownik otrzymuje złośliwy program w tej czy innej formie. Wielu z nich uruchamia go, niektórzy jednak stosują się do wielokrotnie pojawiających się ostrzeżeń, aby nie klikać odsyłaczy, ani nie otwierać załączników. W rezultacie, aby zaatakować użytkowników świadomych zagrożeń, twórcy wirusów muszą znaleźć nowe, skuteczniejsze metody. Oczywiście mogliby zainfekować więcej komputerów, gdyby użytkownik nie musiał dostawać niczego bezpośrednio, a jedynie "podłapał" złośliwy program surfując po Sieci. Dlatego hakerzy coraz częściej włamują się na strony i umieszczają na nich złośliwe programy. W tym celu wybierane są popularne strony, często są to strony znanych firm. Chociaż umieszczone na nich złośliwe programy zazwyczaj pozostają tam tylko kilka dni, do czasu ich usunięcia zainfekowanych może zostać tysiące komputerów.

Wszystko to świadczy o tym, że na użytkowników surfujących po Internecie czyha wiele różnych zagrożeń.

Istnieje oczywiście wiele innych sposobów wykorzystywania natury ludzkiej, a na temat socjotechniki można napisać osobny artykuł. Osoba chcąca przeniknąć do systemu, czasami nie wie, od czego powinna zacząć. Jedną z wypróbowanych metod jest poznanie kogoś w organizacji, na którą planuje się atak. Stwarza to wiele możliwości przeprowadzenia ataków, często bez wykorzystywania do tego celu jakiejkolwiek technologii, a jedynie ludzkich wad. Potencjalny haker może na przykład zadzwonić do takiej organizacji, twierdząc, że jest tam zatrudniony i uzyskać wiele różnych informacji, od numerów telefonu do adresów IP. Informacji tych można następnie użyć do zaatakowania sieci organizacji.

Wniosek

Komputery stają się coraz bardziej rozpowszechnione w każdej dziedzinie życia. Cyberprzestępczość oferuje coraz większe możliwości osiągnięcia korzyści finansowych, a techniki stosowane przez cyberprzestępców ewoluują w błyskawicznym tempie.

Stworzenie niezawodnego i skutecznego systemu bezpieczeństwa nie jest łatwe we współczesnym świecie. Liczba potencjalnych słabych punktów sprawia, że wykrywanie nowych dziur w zabezpieczeniu systemów i łatanie ich to niekończący się proces. W miejsce starych technologii pojawiają się nowe, które mają rozwiązać istniejące problemy - jednak nowe technologie również obarczone są wadami.

Hakerzy, twórcy wirusów i złośliwi użytkownicy wymyślają coraz to nowe sposoby uniknięcia stosowanych obecnie programów służących zapewnieniu bezpieczeństwa. Między cyberprzestępcami a ekspertami z dziedziny bezpieczeństwa IT toczy się nieustanna wojna, w której branża bezpieczeństwa, na szczęście, odnosi coraz więcej zwycięstw. Użytkownicy mają jednak możliwość przechylenia szali zwycięstwa na jedną lub drugą stronę: niestety nieprzewidywalność (lub przewidywalność) ludzkiego zachowania może sprawić, że nawet najbardziej skoordynowane wysiłki w celu zapewnienia bezpieczeństwa systemów mogą spełznąć na niczym.

Mimo to mamy nadzieję, że artykuł ten skłoni niektórych czytelników do głębszego zastanowienia się nad problemem bezpieczeństwa komputerów i zwracania większej uwagi na związane z tym kwestie.