Emulacja zagrożeń to bardzo istotna technika pozwalająca zwiększyć bezpieczeństwo sieci.
Cyberprzestępstwa stały się dochodowym interesem, i jak to w interesach bywa, przestępcy szukają sposobów, aby zwiększyć zyski oraz udział w rynku. Oznacza to, że ataki są wymierzane w setki lub nawet tysiące firm, aby zwiększyć prawdopodobieństwo skutecznego włamania. Najczęściej stosowaną techniką ataku jest ciche, złośliwe oprogramowanie, zaprojektowane tak, by było trudne do wykrycia i działało w sposób niezauważalny dla zespołu IT.
Aby zdać sobie sprawę ze skali zjawiska, wystarczy spojrzeć na statystyki z 201. roku - każdego dnia powstawało średnio od 70 000 do 100 000 nowych próbek złośliwego oprogramowania. Jest to liczba ponad 10 razy większa niż w 2011 i ponad 100 razy większa niż w 2006 roku. Korzystając z tradycyjnych technik chroniących przed złośliwym oprogramowaniem, nie ma możliwości nadążyć za tak ogromnym przyrostem. Badanie 2013 Security Report firmy Check Point wykazało, że 63% badanych przedsiębiorstw była zainfekowane botami, a ponad połowa przynajmniej raz dziennie padała ofiarą ataku złośliwego oprogramowania.
Najciemniej pod latarnią
Kod większości nowych wirusów jest zaszyty w najczęściej używanych w przedsiębiorstwach rodzajach plików: e-mailach, dokumentach Word, PDF, arkuszach Excel itp. Hakerzy posiadają specjalne narzędzia, które potrafią dobrze zamaskować skrypty uruchomieniowe i ukryć ich szkodliwe działania, takie jak zmiany w rejestrze systemu lub ściągnięcie pliku, który następnie infekuje sieć. Biorąc pod uwagę coraz większy ruch w korporacyjnych sieciach oraz coraz szerszy zakres złośliwego oprogramowania ukrytego w pozornie nieszkodliwych plikach, przedsiębiorstwa są wyjątkowo mocno narażone na ataki typu zero-day. Nawet przy użyciu warstwowej ochrony, stosując IPS i IDS, które potrafią powstrzymać część szkodliwych działań wirusów, nie ma możliwości powstrzymania infekcji, która dociera do sieci, a następnie się w niej rozprzestrzenia.
Podsumowując, sama liczba i złożoność nowych ataków sprawia, że nie mamy szans wiedzieć wszystkiego o naszym przeciwniku. Jednak możemy przynajmniej zrozumieć jego intencje i najczęstsze metody ataku. Dzięki temu zyskamy istotną wiedzę, którą możemy wykorzystać do identyfikowania i niwelowania nowych zagrożeń.
Podobnie jak celnicy stosują szereg technik służących obserwowaniu ludzi przekraczających granicę i namierzania tych mogących stwarzać zagrożenie, nowe technologie bezpieczeństwa posiadają możliwość analizowania e-maili, plików oraz danych wchodzących do sieci i izolowania złośliwych plików już na bramach sieci. W związku z tym nie dochodzi do infekcji, a działanie firmy pozostaje bez zakłóceń.
Obserwuj, emuluj, roześlij informację, chroń
Wspomniane techniki wykorzystują emulację zagrożeń. Działa ona tak, jak rentgen na kontroli granicznej - pozwala zajrzeć do wnętrza podejrzanego pliku, który ma przekroczyć bramę, oraz zbadać jego zawartość w zwirtualizowanym, odseparowanym środowisku zwanym „sandbox”. Plik jest tam otwierany i na bieżąco monitorowany pod kątem specyficznych działań, takich jak dokonywanie nietypowych zmian w rejestrze lub nawiązywanie połączeń sieciowych. Jeżeli plik zostanie uznany za podejrzany lub złośliwy, zostaje on zablokowany i poddany kwarantannie, co powstrzymuje potencjalną infekcję zanim jeszcze trafi do sieci i wyrządzi szkody.
Poza wykrywaniem i blokowaniem w ten sposób złośliwych plików, przedsiębiorstwa powinny mieć możliwość rozesłania informacji na temat nowego zagrożenia, aby pomóc innym w zabezpieczeniu się przed atakiem. Umożliwia to rozpowszechnianie wiedzy odnośnie nowego przeciwnika, w podobny sposób jak czynią to światowe organizacje zdrowia, które współpracują przy zwalczaniu nowych chorób. Dzięki temu skraca się czas pomiędzy odkryciem nowego ataku i wynalezieniem metody ochrony przeciwko niemu.
Badanie z 201. roku wykazało, że w 85 proc. przypadków wykrycie ataków cyberprzestępców trwało kilka tygodni lub dłużej. Gdyby firmy miały możliwość dzielenia się online informacjami na temat pojawiających się zagrożeń, częstotliwość infekcji znacząco by spadła. Pomogłoby to społeczności przedsiębiorstw posiadać chociaż minimum informacji na temat wspólnego przeciwnika zanim jeszcze nastąpi atak. Być może emulacja stanie się kiedyś najsilniejszą z metod zabezpieczania się przed nowymi zagrożeniami.
_ Krzysztof Wójtowicz, Check Point Software Technologies Poland _
