Kyberbezpečnost: Iniciativu nenechte útočníkovi

Mnoho společností samozřejmě dělá simulaci rizik, pracuje s různými scénáři vývoje a připravuje se na možné budoucí situace. V oblasti kybernetické bezpečnosti jde o nikdy nekončící úkol, jenž jen s velkými obtížemi zvládne organizace vlastními silami. I proto není od věci najít někoho, kdo dokáže předpovídat budoucí hrozby a poskytovat v předstihu návod na jejich ošetření. Jakkoli to zní podezřele až neseriózně, v organizaci Information Security Forum (IFS) se na tomto poli poměrně daří.

Každoročně vydává výhled nejpravděpodobnějších hrozeb, které nabudou na intenzitě v horizontu dvou let. A její predikce se do značné míry potvrzují. Ve zprávě Threat Horizon 2019, která vyšla v roce 2017, například upozornila na pravděpodobné zneužití technologie blockchain pro podvodné transakce a praní špinavých peněz. O dva roky později se původní podezření potvrdilo, neboť útočníci infikovali část open source kódů blockchainu backdoory. S jejich pomocí posléze narušili chod mnoha systémů, jež tyto technologie využívaly.

Zpráva Threat Report 2020, která vznikla v roce 2018, varovala mimo jiné před nedostatky nových biometrických systémů pro autentizaci uživatelů. Naznačila, že tato řešení jsou či budou poměrně náchylná na chybné detekce. Díky těmto vlastnostem je útočníci relativně snadno přelstí. Pravděpodobně si ještě vzpomeneme na nejednu informaci z minulého roku, která upozorňovala na nedostatky systémů pro rozpoznávání tváře v mobilních telefonech. Hrozba dorazila o něco dříve, ale predikce se opět naplnila.

Loňské vydání Threat Horizon 2020 upozorňovalo na možnost zneužití dronů pro cílené útoky. I tato hrozba se naplnila, což dokládá minimálně přerušený provoz na některých letištích. Nyní můžeme sledovat, i přes jistá omezení způsobená pandemií koronaviru, zda bude po zbytek roku eskalovat.

Konflikty na obzoru

Ve dva roky staré předpovědi identifikovali specialisté organizace IFS devět pravděpodobných scénářů rozvoje hrozeb. Letos bychom měli čelit hrozbě kombinovaných kybernetických a fyzických útoků. Jejich strůjci se podle předpovědi stanou státy i teroristické skupiny. Kombinace obou přístupů, tj. digitálního a materiálního, má maximalizovat dopad útoků. Mimo jiné cílí a počítá s nedostupností komunikačních a datových služeb. Ta minimálně ztíží koordinaci bezpečnostních a záchranných složek.

Další z hrozeb se zaměřuje na globální navigační systém GPS. Podle odborníků organizace IFS se útočníci budou snažit především o narušení nebo falšování signálu. Zkomplikovali by tím situa­ci především v dopravě, ale nejen v ní. Narušení by čelily i telekomunikační, meteorologické nebo vojenské systémy a služby.

Na rozvodné energetické systémy cílí další z letošních potenciálních hrozeb. Útočníci zneužijí zranitelnosti v propojených domácích zařízeních, jako jsou termostaty, chladničky, myčky nádobí, klimatizace nebo chytré varné konvice. Jejich masovým spuštěním se pokusí vyřadit z provozu energetické rozvody v regionu. V případě úspěchu by minimálně narušili chod lokální ekonomiky.

Technologie mimo kontrolu

Rozvíjející se technologie přinášejí netušené možnosti nejen pro jejich strůjce a uživatele, ale také pro kybernetické útočníky. Ti počítají s jejich praktickým nasazením a počátečními nedostatky v oblasti zabezpečení. Do relativně použitelné fáze vývoje vstoupily například kvantové počítače. Pokud jejich dostupnost a výkon nadále porostou, na čemž dodavatelé usilovně pracují, dokážou překonávat současné šifrovací standardy. Na kyberbezpečnostní scéně nejde o nijak novou myšlenku. Nově se však tato hrozba stává reálnější a informatici by se změnou bezpečnostních mechanismů, jež dnes chrání elektronické transakce, měli začít počítat.

Na intenzitě nabudou také útoky vedené škodlivými kódy, jimž asistuje umělá inteligence. Tento malware se dokáže učit v prostředí, v němž se pohybuje. Adaptuje se a hledá neznámé zranitelnosti. Díky své neúnavnosti překonává schopnosti lidských hackerů.

Na popularitě získává také koncept propojených vozidel. Ta sice nabízejí řadu užitečných funkcí a vyšší komfort, současně ale představují vděčný cíl pro útočníky. Pokud se jim podaří systémy ve vozidlech ovládnout, dokážou ohrozit lidské životy. Celý automobilový průmysl čelí této sílící hrozbě, která může minimálně pozastavit rozvoj některých inovací a v důsledku i zničit jeho reputaci.

Tlak na úsudek

O falešném pocitu bezpečí, jenž nabízejí biometrické autentizační technologie, jsme se už zmiňovali. Uživatelům sice nabízejí vyšší komfort, a ti je proto preferují a vyžadují, podniky by na ně ale neměly spoléhat. Specialisté organizace IFS upozorňují na jejich potenciální selhání, neboť jde o velmi vděčný cíl pro kybernetické útočníky. Jejich překonáním by získali přístup k citlivým a hodnotným informacím v mnoha organizacích. Lze předpokládat, že biometrii musejí stále doplňovat tradičnější formy vícefaktorové autentizace.

Další hrozbu z letošní sestavy, kterou ovšem organizace IFS specifikovala již před dvěma lety, představují regulatorní požadavky a jejich plnění. Na jedné straně podniky čelí rostoucí komplexnosti prostředí, v němž své technologie provozují a zpracovávají data, na druhé musejí plnit řadu formálních nařízení a zvyšovat transparentnost. Za nezvládnutí obou komplexních požadavků, které často mohou být i v konfliktu, jim ve finále hrozí nemalé finanční postihy.

Ke zcela tradičním hrozbám se řadí i útoky cílené na důvěryhodné osoby, jež zajišťují ochranu citlivých informací nebo k nim alespoň mají přístup. Jde o osvědčený a v podstatě velmi jednoduchý způsob, jak veškerá opatření překonat. Útočníci použijí finanční pobídku, vydírání nebo zavádějící informace. Velké organizace obvykle mají zavedené mechanismy, jež je před těmito útoky do určité míry chrání, pro menší ale bývají nákladné či komplikované. Vnitřní útočník nemusí závadnou činnost sám provést. Postačí, když třetí stranu informuje o slabých místech zabezpečení.