{"id":55586,"date":"2020-01-23T00:00:00","date_gmt":"2020-01-22T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/slozhno-uyazvimo-nedonastroeno-kiberugrozy-2020"},"modified":"2020-02-18T14:03:43","modified_gmt":"2020-02-18T11:03:43","slug":"slozhno-uyazvimo-nedonastroeno-kiberugrozy-2020","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/slozhno-uyazvimo-nedonastroeno-kiberugrozy-2020","title":{"rendered":"Bonyolult, sebezhet\u0151, alulkonfigur\u00e1lt: kibert\u00e1mad\u00e1sok 2020","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Bonyolult,
\n
\nA technol\u00f3gia \u00e9vr\u0151l \u00e9vre fejl\u0151dik \u00e9s bonyol\u00f3dik, ezzel p\u00e1rhuzamosan pedig az t\u00e1mad\u00e1si m\u00f3dszerek is t\u00f6k\u00e9letesednek. A modern val\u00f3s\u00e1g online alkalmaz\u00e1sokat, felh\u0151szolg\u00e1ltat\u00e1sokat \u00e9s virtualiz\u00e1ci\u00f3s platformokat ig\u00e9nyel, \u00edgy m\u00e1r nem b\u00fajhatunk el a v\u00e1llalati t\u0171zfal m\u00f6g\u00f6tt, \u00e9s nem t\u0171rhetj\u00fck el, hogy ne mer\u00e9szkedj\u00fcnk ki a \u201evesz\u00e9lyes internetre\u201d. Mindez egy\u00fctt a IoT\/IIoT elterjed\u00e9s\u00e9vel, a fintech fejl\u0151d\u00e9s\u00e9vel \u00e9s a t\u00e1vmunkav\u00e9gz\u00e9s n\u00f6vekv\u0151 n\u00e9pszer\u0171s\u00e9g\u00e9vel nemcsak megv\u00e1ltoztatta a fenyeget\u00e9sek t\u00e1j\u00e1t, hanem teljesen \u00e1tform\u00e1lta is azt. Besz\u00e9lj\u00fcnk a kiberfenyeget\u00e9sekr\u0151l, amelyeket a 2020-as \u00e9v tartogat sz\u00e1munkra.<\/i>
\n<\/a><\/noindex><\/p>\n

A 0day sebezhet\u0151s\u00e9gek kihaszn\u00e1l\u00e1sa a jav\u00edt\u00e1sok kiad\u00e1sa el\u0151tt fog zajlani. <\/h3>\n

\nA szoftverrendszerek bonyolults\u00e1ga n\u0151, \u00edgy elker\u00fclhetetlen\u00fcl tartalmaznak hib\u00e1kat. A fejleszt\u0151k kiadnak jav\u00edt\u00e1sokat, de ehhez el\u0151sz\u00f6r \u00e9szlelni kell a probl\u00e9m\u00e1t, ami id\u0151t vesz ig\u00e9nybe, bele\u00e9rtve a tesztel\u0151 csapatokat is, akik k\u00e9nytelenek tesztel\u00e9seket v\u00e9gezni. De sok csapatnak \u00e9ppen az\u00e9rt van hi\u00e1nyos az ideje, hogy a jav\u00edt\u00e1sok bevezet\u00e9se elfogadhatatlanul elh\u00faz\u00f3dik, vagy ak\u00e1r csak r\u00e9szlegesen m\u0171k\u00f6d\u0151 jav\u00edt\u00e1st bocs\u00e1tanak ki. <\/p>\n

A 2018-ban kiadott jav\u00edt\u00e1s a Microsoft Jet motorj\u00e1ban tal\u00e1lhat\u00f3 0day sebezhet\u0151s\u00e9ghez r\u00e9szleges volt<\/a><\/noindex>, vagyis nem sz\u00fcntette meg a probl\u00e9m\u00e1t teljesen.
\n2019-ben a Cisco kiadta a CVE-2019-1652 \u00e9s CVE-2019-1653 sebezhet\u0151s\u00e9gekhez k\u00e9sz\u00fclt jav\u00edt\u00f3csomagokat az \u00fatv\u00e1laszt\u00f3k firmware-j\u00e9ben, amelyek nem oldott\u00e1k meg a hib\u00e1kat.<\/a><\/noindex>.
\n2019 szeptember\u00e9ben a kutat\u00f3k Felfedeztek egy 0day sebezhet\u0151s\u00e9get a Dropbox Windows v\u00e1ltozat\u00e1ban, \u00e9s \u00e9rtes\u00edtett\u00e9k a fejleszt\u0151ket<\/a><\/noindex>, azonban 90 napig nem jav\u00edtott\u00e1k a hib\u00e1t. <\/p>\n

A feket\u00e9k \u00e9s a feh\u00e9r kalapos hekkerek f\u00f3kusz\u00e1ltan keresik a sebezhet\u0151s\u00e9geket, ez\u00e9rt a val\u00f3sz\u00edn\u0171s\u00e9ge annak, hogy \u0151k fedezik fel el\u0151sz\u00f6r a probl\u00e9m\u00e1t, l\u00e9nyegesen magasabb. N\u00e9h\u00e1nyuk c\u00e9lja, hogy jutalmat kapjon a Bug Bounty programok keret\u00e9ben, m\u00edg m\u00e1sok konkr\u00e9t rosszindulat\u00fa c\u00e9lokkal rendelkeznek. <\/p>\n

T\u00f6bb t\u00e1mad\u00e1s a deepfake haszn\u00e1lat\u00e1val.<\/h3>\n

\nA neur\u00e1lis h\u00e1l\u00f3zatok \u00e9s a mesters\u00e9ges intelligencia fejl\u0151d\u00e9se \u00faj lehet\u0151s\u00e9geket teremt a csal\u00e1sokra. A h\u00edres szem\u00e9lyek r\u00e9szv\u00e9tel\u00e9vel k\u00e9sz\u00fclt hamis pornogr\u00e1f vide\u00f3k ut\u00e1n konkr\u00e9t t\u00e1mad\u00e1sok jelentek meg, amelyek s\u00falyos anyagi k\u00e1rokat okoznak. <\/p>\n

2019 m\u00e1rcius\u00e1bana b\u0171n\u00f6z\u0151k 243 ezer doll\u00e1rt loptak el egy energetikai c\u00e9gt\u0151l egy telefonh\u00edv\u00e1s seg\u00edts\u00e9g\u00e9vel.<\/a><\/noindex>\"A v\u00e1llalat vezet\u0151je\" utas\u00edtotta a fi\u00f3k vezet\u0151j\u00e9t, hogy utalja \u00e1t a p\u00e9nzt a magyar alv\u00e1llalkoz\u00f3nak. A vez\u00e9rigazgat\u00f3 hangj\u00e1t mesters\u00e9ges intelligencia seg\u00edts\u00e9g\u00e9vel hamis\u00edtott\u00e1k. <\/i><\/p>\n

A deepfake technol\u00f3gia gyors fejl\u0151d\u00e9s\u00e9t figyelembe v\u00e9ve v\u00e1rhat\u00f3, hogy a kiberb\u0171n\u00f6z\u0151k a hamis audio- \u00e9s videofelv\u00e9telek k\u00e9sz\u00edt\u00e9s\u00e9t be\u00e9p\u00edtik a BEC-t\u00e1mad\u00e1sokba \u00e9s a m\u0171szaki t\u00e1mogat\u00e1si csal\u00e1sokba, hogy n\u00f6velj\u00e9k a felhaszn\u00e1l\u00f3k bizalm\u00e1t. <\/p>\n

A deepfake-ok f\u0151 c\u00e9lpontjai a fels\u0151vezet\u0151k lesznek, mivel a besz\u00e9lget\u00e9seik \u00e9s el\u0151ad\u00e1saik felv\u00e9telei k\u00f6nnyen el\u00e9rhet\u0151k. <\/p>\n

T\u00e1mad\u00e1sok bankok ellen fintech-en kereszt\u00fcl<\/h3>\n

\nA PSD2 eur\u00f3pai ir\u00e1nyelv elfogad\u00e1sa lehet\u0151v\u00e9 tette \u00faj t\u00edpus\u00fa t\u00e1mad\u00e1sok v\u00e9grehajt\u00e1s\u00e1t a bankok \u00e9s \u00fcgyfeleik ellen. Ide tartoznak a phishing kamp\u00e1nyok a fintech alkalmaz\u00e1sok felhaszn\u00e1l\u00f3i ellen, a DDoS-t\u00e1mad\u00e1sok a fintech startupok ellen, valamint a banki adatok megszerz\u00e9se ny\u00edlt API-n kereszt\u00fcl. <\/p>\n

Bonyolult t\u00e1mad\u00e1sok szolg\u00e1ltat\u00f3kon kereszt\u00fcl<\/h3>\n

\nA c\u00e9gek egyre ink\u00e1bb sz\u0171k\u00edtik a specializ\u00e1ci\u00f3jukat, a nem szakmai tev\u00e9kenys\u00e9geket kiszervezve. Dolgoz\u00f3ik megb\u00edznak a k\u00f6nyvel\u00e9ssel, m\u0171szaki t\u00e1mogat\u00e1ssal vagy a biztons\u00e1ggal foglalkoz\u00f3 kiszervezettekben. \u00cdgy egy szolg\u00e1ltat\u00f3 kompromitt\u00e1l\u00e1sa elegend\u0151 ahhoz, hogy a c\u00e9lzott infrastrukt\u00far\u00e1ba k\u00e1rt\u00e9kony k\u00f3dot juttassanak, p\u00e9nzt vagy inform\u00e1ci\u00f3t lopjanak. <\/p>\n

2019 augusztus\u00e1ban hackerek behatoltak k\u00e9t IT-c\u00e9g infrastrukt\u00far\u00e1j\u00e1ba, amelyek adatment\u00e9si \u00e9s t\u00e1rol\u00e1si szolg\u00e1ltat\u00e1sokat ny\u00fajtanak, \u00e9s m\u00e1r rajta kereszt\u00fcl bejuttatt\u00e1k a zsarol\u00f3v\u00edrusokat t\u00f6bb sz\u00e1z fogorvosi rendel\u0151be az Egyes\u00fclt \u00c1llamok ter\u00fclet\u00e9n. <\/a><\/noindex>
\nAz IT-c\u00e9g, amely a New York-i Rend\u0151rs\u00e9get szolg\u00e1lja ki, n\u00e9h\u00e1ny \u00f3r\u00e1ra le\u00e1ll\u00edtotta az ujjlenyomat-adatb\u00e1zist, mivel egy fert\u0151z\u00f6tt Intel NUC mini sz\u00e1m\u00edt\u00f3g\u00e9pet csatlakoztatott a rend\u0151rs\u00e9g h\u00e1l\u00f3zat\u00e1hoz.<\/a><\/noindex><\/i><\/p>\n

Mivel a besz\u00e1ll\u00edt\u00f3i l\u00e1ncok egyre hosszabbak lesznek, t\u00f6bb gyenge l\u00e1ncszem jelenik meg, amelyeket kihaszn\u00e1lhatunk a legnagyobb zs\u00e1km\u00e1ny t\u00e1mad\u00e1s\u00e1hoz.
\nA t\u00e1voli munkav\u00e9gz\u00e9s elterjed\u00e9se egy \u00fajabb t\u00e9nyez\u0151, amely megk\u00f6nny\u00edti a besz\u00e1ll\u00edt\u00f3i l\u00e1ncot c\u00e9lz\u00f3 t\u00e1mad\u00e1sokat. A nyilv\u00e1nos Wi-Fi-n vagy otthon dolgoz\u00f3 szabad\u00fasz\u00f3k k\u00f6nny\u0171 pr\u00e9da, \u00e9s mivel t\u00f6bb jelent\u0151s v\u00e1llalattal is kapcsolatba l\u00e9phetnek, a kompromitt\u00e1lt eszk\u00f6zeik k\u00e9nyelmes ugr\u00f3deszk\u00e1t jelentenek a k\u00f6vetkez\u0151 kiber t\u00e1mad\u00e1sok el\u0151k\u00e9sz\u00edt\u00e9s\u00e9hez \u00e9s v\u00e9grehajt\u00e1s\u00e1hoz. <\/p>\n

Az IoT\/IIoT sz\u00e9lesk\u00f6r\u0171 haszn\u00e1lata a k\u00e9mked\u00e9s \u00e9s zsarol\u00e1s c\u00e9lj\u00e1b\u00f3l<\/h3>\n

\nAz IoT-eszk\u00f6z\u00f6k, p\u00e9ld\u00e1ul az okost\u00e9v\u00e9k, az \u201eokos\u201d hangsz\u00f3r\u00f3k \u00e9s k\u00fcl\u00f6nb\u00f6z\u0151 hangasszisztensek sz\u00e1m\u00e1nak gyors n\u00f6veked\u00e9se, valamint a felt\u00e1rt sebezhet\u0151s\u00e9geik sokas\u00e1ga sz\u00e1mos lehet\u0151s\u00e9get teremt az enged\u00e9ly n\u00e9lk\u00fcli haszn\u00e1latukhoz.
\nAz okoseszk\u00f6z\u00f6k kompromitt\u00e1l\u00e1sa \u00e9s az emberek besz\u00e9d\u00e9nek AI \u00e1ltali felismer\u00e9se lehet\u0151v\u00e9 teszi a megfigyel\u00e9s al\u00e1 ker\u00fclt szem\u00e9lyek azonos\u00edt\u00e1s\u00e1t, \u00edgy ezek az eszk\u00f6z\u00f6k zsarol\u00e1sra vagy v\u00e1llalati k\u00e9mked\u00e9sre haszn\u00e1lhat\u00f3 k\u00e9szletekk\u00e9 v\u00e1lnak. <\/p>\n

Egy m\u00e1sik ir\u00e1ny, amelyben az IoT-eszk\u00f6z\u00f6ket tov\u00e1bbra is alkalmazni fogj\u00e1k, a botnetek l\u00e9trehoz\u00e1sa k\u00fcl\u00f6nf\u00e9le rosszindulat\u00fa kiber szolg\u00e1ltat\u00e1sok c\u00e9lj\u00e1b\u00f3l: spam k\u00fcld\u00e9s, anonim haszn\u00e1lat \u00e9s lefolytat\u00e1s DDoS t\u00e1mad\u00e1sok<\/a><\/noindex>.
\nN\u00f6vekedni fog a kritikus infrastrukt\u00far\u00e1ra ir\u00e1nyul\u00f3 t\u00e1mad\u00e1sok sz\u00e1ma, amelyek ipari IoT elemekkel vannak felszerelve. ipari internetes dolgok.<\/a><\/noindex>C\u00e9lpontjuk lehet p\u00e9ld\u00e1ul a v\u00e1lts\u00e1gd\u00edj k\u00f6vetel\u00e9se a v\u00e1llalat m\u0171k\u00f6d\u00e9s\u00e9nek le\u00e1ll\u00edt\u00e1s\u00e1nak fenyeget\u00e9s\u00e9vel. <\/p>\n

Min\u00e9l t\u00f6bb felh\u0151 van, ann\u00e1l t\u00f6bb vesz\u00e9ly.<\/h3>\n

\nAz IT infrastrukt\u00far\u00e1k felh\u0151be val\u00f3 t\u00f6meges \u00e1tk\u00f6lt\u00f6z\u00e9se \u00faj t\u00e1mad\u00e1si c\u00e9lpontokat teremt. A felh\u0151alap\u00fa szerverek telep\u00edt\u00e9si \u00e9s konfigur\u00e1l\u00e1si hib\u00e1it sikeresen kihaszn\u00e1lj\u00e1k a kiberb\u0171n\u00f6z\u0151k. Az adatb\u00e1zis-\u00f6sszeoml\u00e1sok, amelyek a felh\u0151ben tal\u00e1lhat\u00f3 nem biztons\u00e1gos be\u00e1ll\u00edt\u00e1sokkal kapcsolatosak, \u00e9vr\u0151l \u00e9vre n\u00f6vekv\u0151 probl\u00e9m\u00e1t jelentenek. <\/p>\n

2019 okt\u00f3ber\u00e9ben nyilv\u00e1nosan el\u00e9rhet\u0151v\u00e9 v\u00e1lt egy ElasticSearch szerver, amely 4 milli\u00e1rd szem\u00e9lyes adatot tartalmazott.<\/a><\/noindex>
\n2019 november v\u00e9g\u00e9n a Microsoft Azure felh\u0151j\u00e9ben nyilv\u00e1nosan felfedeztek egy True Dialog nev\u0171 c\u00e9g adatb\u00e1zis\u00e1t, amely k\u00f6zel 1 milli\u00e1rd rekordot tartalmazott.<\/a><\/noindex>ezekben a felhaszn\u00e1l\u00f3k teljes neve, e-mail c\u00edme \u00e9s telefonsz\u00e1ma, valamint SMS-\u00fczenetek sz\u00f6vege szerepelt. <\/i><\/p>\n

A felh\u0151kben t\u00e1rolt adatok kisziv\u00e1rg\u00e1sa nemcsak a v\u00e1llalatok h\u00edrnev\u00e9t rong\u00e1lja, hanem b\u00edrs\u00e1gok \u00e9s k\u00f6vetel\u00e9sek alkalmaz\u00e1s\u00e1hoz is vezet.<\/p>\n

A korl\u00e1tozott hozz\u00e1f\u00e9r\u00e9s, a helytelen jogosults\u00e1gkezel\u00e9s \u00e9s a napl\u00f3z\u00e1s hanyag kezel\u00e9se csak n\u00e9h\u00e1ny hiba, amelyet a v\u00e1llalatok elk\u00f6vetnek felh\u0151h\u00e1l\u00f3zataik be\u00e1ll\u00edt\u00e1sakor. Ahogy a v\u00e1llalatok \u00e1tt\u00e9rnek a felh\u0151be, egyre t\u00f6bb k\u00fcls\u0151 szolg\u00e1ltat\u00f3 is r\u00e9szt vesz a folyamatban, k\u00fcl\u00f6nf\u00e9le biztons\u00e1gi szak\u00e9rtelemmel, ami tov\u00e1bbi t\u00e1mad\u00e1si lehet\u0151s\u00e9geket jelent. <\/p>\n

A virtualiz\u00e1ci\u00f3s probl\u00e9m\u00e1k fokoz\u00f3d\u00e1sa<\/h3>\n

\nA szolg\u00e1ltat\u00e1sok kont\u00e9neriz\u00e1l\u00e1sa megk\u00f6nny\u00edti a szoftverek fejleszt\u00e9s\u00e9t, karbantart\u00e1s\u00e1t \u00e9s telep\u00edt\u00e9s\u00e9t, ugyanakkor tov\u00e1bbi kock\u00e1zatokat is teremt. A n\u00e9pszer\u0171 kont\u00e9nerk\u00e9pek sebezhet\u0151s\u00e9gei tov\u00e1bbra is probl\u00e9m\u00e1t jelentenek mindenki sz\u00e1m\u00e1ra, aki haszn\u00e1lja \u0151ket. <\/p>\n

A v\u00e1llalatoknak szembe kell n\u00e9zni\u00fck a kont\u00e9nerarchitekt\u00fara k\u00fcl\u00f6nb\u00f6z\u0151 \u00f6sszetev\u0151iben tal\u00e1lhat\u00f3 sebezhet\u0151s\u00e9gekkel, a v\u00e9grehajt\u00e1si hib\u00e1kt\u00f3l kezdve az orcheszt\u00e1torokon \u00e9s a build k\u00f6rnyezeteken \u00e1t. A t\u00e1mad\u00f3k keresni fogj\u00e1k \u00e9s ki fogj\u00e1k haszn\u00e1lni a gyenge pontokat a DevOps folyamat\u00e1nak kompromitt\u00e1l\u00e1s\u00e1ra. <\/p>\n

A virtualiz\u00e1ci\u00f3hoz kapcsol\u00f3d\u00f3 egy m\u00e1sik tendencia a serverless sz\u00e1m\u00edt\u00e1stechnika. A Gartner el\u0151rejelz\u00e9se szerint 2020-ra a v\u00e1llalatok t\u00f6bb mint 20%-a fogja ezt a technol\u00f3gi\u00e1t alkalmazni.<\/a><\/noindex>Ezek a platformok lehet\u0151v\u00e9 teszik a fejleszt\u0151k sz\u00e1m\u00e1ra, hogy k\u00f3dot futtassanak szolg\u00e1ltat\u00e1sk\u00e9nt, megsz\u00fcntetve a teljes szerverek vagy kont\u00e9nerek b\u00e9rl\u00e9s\u00e9nek sz\u00fcks\u00e9gess\u00e9g\u00e9t. Azonban a serverless megold\u00e1sokra val\u00f3 \u00e1tt\u00e9r\u00e9s nem biztos\u00edt v\u00e9delmet a biztons\u00e1gi probl\u00e9m\u00e1kkal szemben. <\/p>\n

A t\u00e1mad\u00e1sok bej\u00e1rati pontjai a serverless alkalmaz\u00e1sok eset\u00e9ben az elavult \u00e9s kompromitt\u00e1lt k\u00f6nyvt\u00e1rak, valamint a helytelen\u00fcl konfigur\u00e1lt k\u00f6rnyezetek lesznek. A t\u00e1mad\u00f3k ezeket felhaszn\u00e1lva gy\u0171jtik \u00f6ssze a bizalmas inform\u00e1ci\u00f3kat \u00e9s hatolnak be a v\u00e1llalati h\u00e1l\u00f3zatokba. <\/p>\n

Hogyan v\u00e9dekezhet\u00fcnk a fenyeget\u00e9sek ellen 2020-ban?<\/h3>\n

\nA kibert\u00e1mad\u00e1sok egyre n\u00f6vekv\u0151 bonyolults\u00e1g\u00e1t figyelembe v\u00e9ve a v\u00e1llalatoknak ki kell terjeszteni\u00fck a biztons\u00e1gi szakemberekkel val\u00f3 egy\u00fcttm\u0171k\u00f6d\u00e9s\u00fcket, hogy cs\u00f6kkents\u00e9k a kock\u00e1zatokat az infrastrukt\u00far\u00e1juk minden szektor\u00e1ban. Ez lehet\u0151v\u00e9 teszi a v\u00e9d\u0151k \u00e9s fejleszt\u0151k sz\u00e1m\u00e1ra, hogy tov\u00e1bbi inform\u00e1ci\u00f3khoz jussanak, jobban ellen\u0151rizz\u00e9k a h\u00e1l\u00f3zatra kapcsolt eszk\u00f6z\u00f6ket \u00e9s megsz\u00fcntess\u00e9k azok sebezhet\u0151s\u00e9geit. <\/p>\n

A folyamatosan v\u00e1ltoz\u00f3 fenyeget\u00e9si t\u00e1j a t\u00f6bbr\u00e9teg\u0171 v\u00e9delem bevezet\u00e9s\u00e9t ig\u00e9nyli, amely olyan biztons\u00e1gi mechanizmusokon alapul, mint: <\/p>\n