Nem is oly régen még mindannyian azt hittük, így kell ezt csinálni - mondja Körös Zsolt, a Noreg Kft. igazgatója. - Aztán kiderült, hogy ez már ósdi módszer. A médiából nemrégiben értesülhettünk róla, hogy egy illegális behatolónak sikerült bejutnia a MasterCard atlantai szolgáltatójának adatbázisába, ahonnan ügyféladatokat töltött le. Ilyenek az új idők. Nincs maszk, nincs fegyver, nincs táska, se cédula. Még bankrabló sincs. Csak illegális behatoló. Viszont a megszerzett érték jóval nagyobb, mint amihez egy hagyományos bankrablással hozzá lehet jutni.

A hackertámadással egy a tranzakciós adatok kezelésével megbízott cég rendszerét törték fel. Nem pénzt vittek el, hanem adatokat. Kártyatulajdonosok adatait tízezerszámra. A behatoló vagy behatolók személye természetesen nem ismert. Az újmódi bankrablás egyébként is megfordította a viszonyokat. Eddig azt kellett kideríteni, ki lopott. Most azt kutatjuk: kitől loptak. Mert a behatolás csak a kezdett, ha nem tudjuk, kinek az adatai tűntek el, nem tudjuk megvédeni őt a további következményektől. A bankrablás egykor a bank problémája volt. Ma mindannyiunkat személyesen érint.

És még valami változott. Nincs szükség pénztárosra sem. A behatolók a számítástechnikai rendszer hiányosságait kihasználva jelentkezhettek be a hálózatba. Fegyverhasználat helyett pedig valószínűleg egy vírusszerű programocskát futtattak le a rendszeren. Az adatlopás egyébként még májusban történt. A cég azóta sietve megerősítette a rendszer védelmét - és csak azután az adatlopásról szóló hírt.

Az adatlopás persze egyáltalán nem most született sportág. Mi, akik az IT biztonsággal foglalkozunk, már jól ismerjük a táncrendjét. Ha a cél egy vállalat hálózatába történő sikeres behatolás és onnan fontos információk eltulajdonítása, akkor a felkészülés a legálisan megszerezhető publikus adatok megszerzésével kezdődik. Minden olyan adaté, amely a vállalat számítógépes hálózatának felépítéséről adhat képet. Az első lépés a vállalat IP címtartományának felderítése és a cég által a külvilág felé nyújtott szolgáltatások feltérképezése. DoS támadással rövid időre a számítógépes biztonsági rendszert működtető gépeket iktathat ki a támadó. Felhasználói azonosítók, fájlmegosztások felderítése mellett az egyes szolgáltatásokat biztosító alkalmazások azonosítása is fontos cél. Jelszó megszerzésével vagy egy jól eltalált sérülékenységet kihasználva a támadó végül behatolhat a számítógépes hálózat egyik gépére.

Bejutni alapfeltétel, de ez még nem elegendő az eredményes behatoláshoz. A támadó további jelszótöréssel vagy egyéb sérülékenység kihasználással megpróbálja elérni a rendszergazdai jogosultságot. És közben, ha ideje engedi, gondol a jövőre is. Hátsó kapuk létrehozásával biztosítja, hogy legközelebb is megjelenhessen az általa már feltört hálózaton. A hátsó kapu akkor is lehetőséget ad a behatolásra, ha az eredeti sérülékenység "befoltozását" a rendszer fenntartója már megoldotta. A behatoló ezután tovább dolgozik - most már azon, hogy behatolási körét kiterjeszthesse. Miután a vállalat számítógépes hálózatában tartózkodik, igyekszik további információkat gyűjteni, hogy azután újabb, akár fontosabb információkat tartalmazó gépekre is be tudjon törni. Végül arra koncentrál, hogy eltüntesse a betörésre, és legfőképp magára a betörő személyére mutató nyomokat.

Ugye, mindez elég ijesztően hangzik? Hiszen ott sem vagyunk. A betörést csak utólag észleljük, gyakran még azt is csak megkésve. Akkor is védtelenek maradunk, ha már utólag kijavítottuk rendszerünk gyengeségét. Egyáltalán tehetünk valamit? Van mód a védekezésre, vagy a számítástechnika teljesen védtelenné tesz bennünket? - Körös Zsolt mindezt mosolyogva kérdi, így joggal remélhetjük, van válasz a költőinek tűnő kérdésekre.

- Minden ügyfelünknek a leghatározottabban azt ajánljuk, építsen védelmet. Olyan védelmet, amelyre az ő személyes körülményei között az ő számára biztonságot nyújt. Megéri. Nagyon is megéri - ha jól választja meg, mire van szüksége. Mert a felhasználónak nem tökéletes és megfizethetetlenül drága, hanem az éppen elegendő, s ezért rentábilis biztonságra van szüksége. A Noreg munkatársainak tapasztalata, megszerzett tudása, gyakorlata, piacismerete teszi lehetővé, hogy meg tudjuk határozni, az ügyfélnek pontosan milyen feltételeknek eleget tevő biztonsági szintet kell elérnie ahhoz, hogy azt mondhassa: biztonságban vagyok. Ez minden további nélkül lehetséges. Kidolgoztunk egy rendszert, a Noreg biztonsági szintek rendszerét, amely lehetővé teszi, hogy ügyfeleink éppen azt kapják meg tőlünk, amire szükségük van. Nem többet és nem is kevesebbet.

A Noreg biztonság gyakorlata szerint a védendő információ mértékének megfelelő gyakorisággal, de legalább félévente el kell végezni az informatikai rendszerek sérülékenység vizsgálatát, és az ennek során felfedezett problémákat záros határidőn belül ki kell küszöbölni. A bizalmas adatok veszélyeztetettsége egyre nő, mivel a titkos információk megszerzése érdekében írott, az informatikai rendszerek sérülékenységét kihasználó rosszindulatú programok száma is növekvő tendenciát mutat.

A sérülékenység vizsgálatok elvégzése során a kockázatok feltárására a Noreg biztonság módszertana alapján meghatározott korszerű számítógépes eszközöket használunk. A vizsgálatok rugalmasak. Végrehajthatóak a vizsgálandó informatikai rendszeren belülről és kívülről is - a lehetséges támadási irányoknak megfelelően. Ha a sérülékeny pontok automatikus feltárásán kívül szükséges a lehetséges támadási pontok részletes analízise is, akkor a Noreg a sérülékenység vizsgálat eredményeit felhasználva külső támadások sorozatát imitálva etikus hackelést is bevetheti.

A sérülékenység vizsgálatok elvégzésével megállapítjuk, melyek a rendszer azon pontjai, melyeket kihasználva egy potenciális támadó bejuthat a belső rendszerekbe. Megtudjuk, mi lehet egy esetleges betörés célja, azaz melyek azok az információk, amelyekhez egy külső támadó hozzáférhet. Felmérjük, melyek a rendszer telepítéséből, üzemeltetéséből adódó sérülékenységek. Minderről részletes technikai jelentés készül, amely a sérülékenységi pontok felismerésére építve pontos javaslatot tesz a rendszer biztonságának fokozására. A Noreg biztonság a kockázatok rentábilis értékhatáron belüli célszerűen megtervezett minimalizálását jelenti. A védelemnek azt a szintjét, amit szükséges és érdemes kiépíteni.

A sérülékenységek éltető táptalajt jelentenek a kihasználásukra készülő rosszindulatú programok készítőinek. A biztonsági rést ezért célszerű mihamarabb befoltozni, ezzel lehetőleg megelőzni, mire a legújabb programok támadásba lendülnek. Az idő nagyon fontos tényező. A rosszindulatú támadásokkal szemben akkor vehetjük fel hatékonyan a harcot, ha azonnal lépünk, és a felmérés által feltárt sérülékenységeket a lehető leghamarabb megszüntetjük. Ez a legeredményesebb eljárás a mind nagyobb számban megjelenő vírusok, férgek esetében is. A hatékony védelem érdekében a Noreg Kft. ezért a védelmi programok adatállományának folyamatos frissítését javasolja.

A megelőzés azonban csak csökkenti a veszélyt. Mivel a támadók egyre gyorsabban használják ki a felfedezett sérülékenységeket, az IT-vezetők egyre kevésbé képesek időben megtenni a válaszlépéseket. Az ismertté vált sérülékenységek azonnal a támadások célpontjává válnak, így a vállalatok informatikai rendszerei a javítások elkészültéig védtelenek maradnak. Ebben a kritikus időszakban a cél a biztonsági szabályok megszegéséből és a rosszindulatú kódok ténykedéséből fakadó károk minimalizálása.

Mit javasol a Noreg? Nos, erre is tudunk megoldĂĄst.

Az informatikai rendszereket számos olyan behatás érheti, amelyeket nem tekintünk a normál üzemszerű működés részének. Ezek a behatások támadásoknak minősülnek, amelyek ellen védekezni kell. Erre szolgálnak a tűzfalak, amelyek azonban nem képesek arra, hogy az általuk engedélyezett forgalmat további részletes vizsgálatnak vessék alá. Ennek a feladatnak az ellátására behatolás-védelmi rendszereket fejlesztettek ki. Ezek funkciója az, hogy minden észlelt aktivitást megvizsgáljanak és egyenként mérlegeljenek azok történésének pillanatában. A behatolás-védelmi rendszer azon túl, hogy aktivitásokat képes minősíteni, még az aktivitások befolyásolására is képes. Támadás esetén képes átprogramozni a tűzfalat, és letiltani kommunikációs csatornákat is. Mivel ismeri a különböző sérülékenységeket, ezért tudja a képes a rendszer sérülékenységeit kihasználni próbáló támadásokat detektálni, és megakadályozni, ezért lényegében virtuális patch megoldásként is működik. A Noreg ilyen, virtuális patch lehetőségét biztosító védelmi rendszerek alkalmazását javasolja, amikor a számítástechnikai rendszerek működés közbeni folyamatos védelmet igényelnek.

Életünk egyre több területén veszi át a számítástechnika az irányítás, lebonyolítás szerepkörét. Egyre több rendszer épül arra, hogy számítógépekkel oldjon meg valamilyen feladatot, ami azután szükségszerűen függőségi viszonyt hoz létre. Minél bonyolultabb a megoldani probléma, annál nagyobb a függés. Komoly veszélyforrás, hogy a bonyolult feladatokat ellátó rendszerek egyre növekvő összetettsége egyre növekvő sérülékenységgel jár együtt. Ez a sérülékenység nagyon sok okból fakadhat, a természeti katasztrófától a gazdasági környezet bizonytalanságán át tervezési, üzemeltetési problémákig számos veszélyforrás létezik. Ritkán gondolunk rá, de ezek egyik legjelentősebbike az emberi tényező. A kezelő, használó személyek olyan beavatkozásokra képesek, amelyek akár véletlenül, akár tudatosan alkalmazva súlyos következményekkel járó láncreakciókat indíthatnak el. A Noreg biztonság fontos része ezért a rendszerek működtetésének oktatása, szabályzatok készítése és azok betartásának rendszeres ellenőrzése.

A biztonság elhanyagolása olyan veszélyforrást hoz létre, amely könnyen komoly kárt okozó eredményhez vezethet. Ne feledjük, hogy manapság egy bankrabláshoz elég egy jól felkészült hacker és egy rendelkezésére álló számítógép. Aki időben gondol rá és tesz érte, nagy valószínűséggel biztonságban érezheti magát.

A veszély már semmiképp sem mondható jelentéktelennek. Az elmúlt hónapokban számos, a MasterCardéhoz hasonló esetről számoltak be az Egyesült Államokban. Az elmúlt hetekben a CitiFinancial adattároló kazettái tűntek el szállítás közben. Négymillió ügyfél titkosítatlan adatai kerültek illetéktelen kezekbe. Február végén a Bank of America mágnesszalagjai tűntek el hasonló módon, több mint egymillió ügyfél adataival. Korábban a ChoicePoint, a LexisNexis adatbróker cégek, valamint a Berkeley és a Stanford egyetem vesztett el személyes adatokat.

A Cyber Security Industry Alliance jelentésében az áll, hogy az amerikai szavazók 97 százaléka szerint kezelendő probléma a személyazonosság-lopás, és 64 százalékuk szerint a kormánynak növelnie kell a számítógépek biztonságát. Az Adobe és az RSA Security tanulmánya azt állítja, hogy tízből nyolc washingtoni szakértő szerint a jogalkotók nem gondoskodnak megfelelően az adatok biztonságáról. Mi a Noregnél éppen a biztonságról való gondoskodást tartjuk legfontosabb feladatunknak.