#5 Analýza bezpečnosti: Zraniteľnosť a jej rola pri analýze rizík

27.6.202321.7.2023 Redakce ISVS.CZ Bezpečnost, KYBEZ, Metodika

Hodnota dát a údajov neprestajne rastie a s tým narastá aj dôležitosť úlohy kybernetickej bezpečnosti pri udržiavaní prevádzky organizácie. Aby organizácie boli schopné úspešne rozvíjať a udržiavať obchodné vzťahy, musia byť schopné chrániť údaje zákazníkov, ale aj zamestnancov pred narušeniami.

Aby bola dosiahnutá táto úroveň bezpečnosti, je nutné komplexne pochopiť zraniteľnosti kybernetickej bezpečnosti a metód, ktoré útočníci využívajú na získanie prístupu do siete. Efektívne spracovávanie zraniteľností nielen zlepšuje bezpečnosť, ale pomáha aj k obmedzeniu nových úspešných útokov.

Čo je zraniteľnosť a aké sú jej typy?

Zraniteľnosť v oblasti kybernetickej bezpečnosti je akékoľvek slabé miesto v informačných systémoch, vnútorných kontrolách alebo systémových procesoch organizácie, ktorú môžu zneužiť kybernetickí útočníci.

Zraniteľnosť predstavuje potenciálne riziko pre organizáciu, sama o sebe však nepredstavuje hrozbu pre organizáciu. Problém nastáva až vtedy, keď je zraniteľnosť zneužitá. Zneužitie môže byť vykonané úmyselne útočníkom alebo aj celkom neúmyselne legitímnym používateľom. Bez ohľadu na spôsob zneužitia, či nezneužitia predstavujú zraniteľnosti významnú hrozbu. Môžu viesť k úniku údajov, infikovaniu škodlivým softvérom alebo strate kritických služieb. S ohľadom na celkovú bezpečnosť organizácie je mimoriadne dôležité monitorovať zraniteľné miesta, pretože medzery v sieti môžu viesť k narušeniu systému.

Štyri najbežnejšie typy zraniteľností kybernetickej bezpečnosti

NESPRÁVNA KONFIGURÁCIA SYSTÉMU

Nesprávne konfigurácie systému vznikajú v dôsledku zraniteľných nastavení sieťových prostriedkov alebo rozdielnych bezpečnostných kontrol. Bežnou taktikou, ktorá je používaná, je skúmanie sietí s cieľom nájsť nesprávne konfigurácie systému a medzery, ktoré možno využiť. Keďže čoraz viac organizácií prechádza digitalizáciou, pravdepodobnosť nesprávnej konfigurácie siete rastie, preto je pri zavádzaní nových technológií dôležité spolupracovať so skúsenými odborníkmi na bezpečnosť.

ZASTARANÝ ALEBO NEOPRAVENÝ SOFTVÉR

Neopravené zraniteľnosti môžu útočníci zneužiť na uskutočnenie útokov a krádež súkromných údajov. Podobne ako v prípade nesprávnej konfigurácie systému, hackeri budú skúmať siete a hľadať neopravené systémy, ktoré by mohli kompromitovať. Na obmedzenie tohto rizika je dôležité stanoviť plán správy záplat, aby sa všetky nové systémové záplaty implementovali hneď po ich vydaní.

CHÝBAJÚCE ALEBO SLABÉ AUTORIZAČNÉ POVERENIA

Bežnou taktikou, ktorú útočníci používajú, je hrubá sila, ktorou sa dostanú do siete uhádnutím poverovacích údajov zamestnancov. Je dôležité vzdelávať zamestnancov o osvedčených postupoch kybernetickej bezpečnosti, aby ich prihlasovacie údaje nemohli byť ľahko zneužité na získanie prístupu do siete.

ŠKODLIVÉ VNÚTORNÉ HROZBY

Zamestnanci, ktorí majú prístup ku kritickým systémom, môžu nevedomky alebo so zlým úmyslom zdieľať informácie, ktoré hackerom umožnia narušiť sieť. Vnútorné hrozby sa dajú ťažko sledovať, pretože všetky akcie vykonané zamestnancami sa budú javiť ako legitímne, a preto nevyvolajú takmer žiadne varovné signály. Ak chcete pomôcť v boji proti týmto hrozbám, zvážte investíciu do riešení na kontrolu prístupu k sieti a segmentujte svoju sieť na základe služobného veku a odbornosti zamestnancov.

Aký je rozdiel medzi zraniteľnosťou, rizikom a hrozbou?

Zraniteľnosť možno definovať ako budúcu hrozbu pre bezpečnosť organizácie. Je to slabina alebo medzera v obrane organizácie, ktorú by mohla hrozba zneužiť.

Hrozba je potenciálne nebezpečenstvo alebo nepriaznivé konanie, ktoré by mohlo spôsobiť škodu alebo ujmu.

Riziko je pravdepodobnosť, že konkrétna hrozba využije konkrétnu zraniteľnosť, a tým bude mať za následok škodu.

Zraniteľnosti sa do systému nezavádzajú, ale sú v ňom od začiatku. Neexistuje veľa prípadov, ktoré by sa týkali počítačovej kriminality, ktorá by viedla k zraniteľnostiam. Zvyčajne sú výsledkom chýb operačného systému alebo nesprávnej konfigurácie siete. Na druhej strane, kybernetické bezpečnostné hrozby sa do systému zavádzajú ako stiahnutie vírusu alebo útok sociálneho inžinierstva.

Hrozba + Zraniteľnosť = Risk

Hrozba – nový incident s potenciálom ublížiť systému/ organizácii

Zraniteľnosť – známa slabina, ktorú môžu útočníci zneužiť

Risk – Potenciálna škoda, keď hrozba zneužije zraniteľnosť

CIA triáda

Vplyv kybernetických útokov je viazaný na triádu CIA zdrojov. Efektívny bezpečnostný systém spĺňa všetky tri zložky: C – confidentiality (dôvernosť), I – integrity (integrita) a A – availability (dostupnosť). Vďaka tomuto jednoduchému, ale komplexnému kontrolnému zoznamu je možné nachádzať zraniteľnosti a vytvárať riešenia. Vďaka bezpečnostnej triáde CIA je možné hodnotiť, čo sa pokazilo a čo fungovalo pri incidente. Napríklad, možno bola po útoku škodlivého softvéru, ako je ransomware, ohrozená dostupnosť, ale zavedené systémy boli stále schopné zachovať dôvernosť dôležitých informácií. Tieto údaje možno použiť na odstránenie slabých miest a zopakovanie úspešných politík a implementácií.

Úloha zraniteľnosti pri analýze rizík

V prípade, že útočník identifikuje a zneužije zraniteľnosť vo svoj prospech, tak náklady organizácie významne vzrastú. Môže sa to týkať úniku údajov, či útokov ransomwaru, ktoré sa bežne pohybujú v miliónoch českých korún. Posúdenie zraniteľnosti je proces definovania, identifikácie, klasifikácie a stanovenia priorít zraniteľností v počítačových systémoch, aplikáciách a sieťových infraštruktúrach. Posudzovanie zraniteľností zároveň poskytuje organizácii potrebné znalosti, povedomie a podklady o rizikách, aby mohla porozumieť hrozbám svojho prostredia a efektívne na ne reagovať.

Z tohto dôvodu je oveľa nákladovo efektívnejšie, ak organizácia pristupuje k identifikácii zraniteľnosti ešte predtým ako ich útočník zneužije. Čím skôr sú zraniteľnosti identifikované a odstránené, tým nižšie náklady pre organizáciu to predstavuje. Identifikácia a prehľad zraniteľností je proces, ktorý môže ochrániť organizáciu pred veľkými nákladmi v budúcnosti a zabezpečiť komplexnú bezpečnosť systémov.

Netreba však strachovať, identifikáciu zraniteľností je možné vytvoriť aj vďaka efektívnym nástrojom, ktoré vás ochránia pred výdavkami v budúcnosti. Jedným z týchto intuitívnych nástrojov je aj aplikácia CSA.

CSA umožňuje evidovať a hodnotiť aktíva, vytvárať prehľad hrozieb a zraniteľností, hodnotiť riziká a tým chrániť organizáciu v rámci kybernetickej bezpečnosti. Posúdenie zraniteľností poskytuje organizácii podrobné informácie o všetkých bezpečnostných slabých miestach v jej prostredí. Poskytuje tiež návod, ako posúdiť riziká spojené s týmito slabými miestami. Tento proces ponúka organizácii lepšie pochopenie jej aktív, bezpečnostných nedostatkov a celkového rizika, čím sa znižuje pravdepodobnosť, že kybernetický útočník naruší jej systémy a zastihne organizáciu nepripravenú.