Roje zaatakują wcześniej niż sztuczna inteligencja

CRN Niemal od początku pandemii koronawirusa było oczywiste, że odciśnie ona swoje piętno także na branży bezpieczeństwa. Po roku eksperci potwierdzają swoje przypuszczenia, że cyberprzestępcy dostosowali metody działania do nowej rzeczywistości. Czy poszła za tym również zmiana mechanizmów ataków? A może mechanizmy pozostały te same, a zmianom uległa jedynie treść, przykładowo w komunikacji phishingowej?

Derek Manky Mechanizm ataków z informatycznego punktu widzenia nie zmienił się, ale ze względu na globalny i długotrwały charakter pandemii znacznie wzrosła ich skala. Dotychczas byliśmy świadkami głównie zmasowanych ataków phishingowych, odwołujących się do regionalnych lub krótkotrwałych wydarzeń, jak klęska żywiołowa czy duże imprezy sportowe. Wówczas wiele grup przestępczych kuło żelazo, póki gorące, ale taka akcja trwała tylko kilka tygodni, komunikaty zaś były wysyłane tylko w kilku najpopularniejszych językach do odbiorców w wybranych regionach. Tymczasem teraz widzimy zmasowane, skoordynowane ataki organizowane na globalną skalę, a maile phishingowe wysyłane są w 20–30 wersjach językowych. Cyberprzestępcy z łatwością wykorzystują fakt, że społeczeństwo generalnie znajduje się w poczuciu zagrożenia, więc – paradoksalnie – staje się jeszcze bardziej podatne na ataki, tym razem z wykorzystaniem inżynierii społecznej.

Czyli nadal poczta elektroniczna jest najczęściej wykorzystywana do nawiązywania kontaktu z potencjalną ofiarą…

Tak, ale w połowie ubiegłego roku zauważyliśmy nowy trend. Znacznie wzrosła liczba ataków, w ramach których nie e-mail, ale strony internetowe były wykorzystywane do prowadzenia manipulacyjnych działań oraz nakłaniania ofiar do pobrania i uruchomienia złośliwego kodu lub zalogowania się na fałszywej stronie, do złudzenia przypominającej oryginalną. Cyberprzestępcy zauważyli, że coraz więcej osób pracuje z domu, a więc większość ich działań nie jest objętych korporacyjnymi zabezpieczeniami. Poczta jednak często przychodzi najpierw na firmowe serwery i to tam spam zawierający phishing jest odsiewany. Potrzebne było więc zmodyfikowanie taktyki i wybranie innego narzędzia dotarcia do ofiary.

W swoim raporcie analizującym zagrożenia w drugiej połowie 2020 r. dużą uwagę poświęciliście scenariuszowi, w którym atakujący zyskują dostęp do zasobów przedsiębiorstw poprzez różne urządzenia podłączone do prywatnej, domowej sieci pracownika wykonującego swoje obowiązki zdalnie. Czy to nadal tylko teoretyczna możliwość, czy też tego typu ataki rzeczywiście miały już miejsce?

Teoretyczną możliwość przeprowadzenia takiego ataku zdefiniowano już kilka lat temu, a teraz jak najbardziej mają one miejsce. Pięć lat temu wśród 10 najpopularniejszych rodzajów ataków dominowały te skierowane przeciwko komputerom osobistym i urządzeniom z systemem Android. Dzisiaj połowa z pierwszej dziesiątki to ataki na różnego typu podłączone do internetu urządzenia – najpopularniejszy cel stanowią drukarki, serwery NAS i routery klasy konsumenckiej. Co ciekawe, widzieliśmy też próby wykorzystania tego sprzętu do hostowania złośliwego oprogramowania, przez co zarażanie innych urządzeń w sieci lokalnej oraz połączonej z nią sieci rozległej stawało się jeszcze łatwiejsze. Takie podejście przyczynia się do powstania jeszcze jednego problemu. Gdy serwer zawierający złośliwy kod lub zarządzający botnetem znajduje się w jakimś centrum danych, to organom ścigania, we współpracy z ekspertami, łatwiej jest wejść do takiego obiektu i wymusić wyłączenie tego serwera. Tymczasem, gdy takimi serwerami stają się urządzenia IoT w zainfekowanej rozległej sieci, tego typu interwencja staje się praktycznie niemożliwa.

Przeprowadzenie takiego ataku wydaje się jednak dość skomplikowaną operacją. Czy zawsze prowadzone są one ręcznie, czy też może udaje się je w jakiś sposób zautomatyzować?

Oczywiście, że te ataki są zautomatyzowane. Atakujący nie traciliby czasu na indywidualne penetrowanie sieci, co do której nie mają pewności, czy jest słabo zabezpieczona lub jakie korzyści mogą odnieść z ataku. Tworząc mechanizm działania skupiają się zatem na łatwych celach – niezałatanych systemach lub wykorzystują podatności dnia zerowego. Takie podejście cechuje się pewnymi ograniczeniami, ale w efekcie jest bardziej skuteczne dla przestępców, bo nie tracą czasu, a mają jakiś zysk. Dlatego tak ważne jest jak najszybsze instalowanie aktualizacji bezpieczeństwa.

Kolejnym interesującym rodzajem zagrożenia – tym razem chyba jednak nadal tylko teoretycznym – jest koncepcja roju urządzeń, którym przypisane są konkretne zadania do wykonania podczas eksploracji środowiska IT ofiary…

Rzeczywiście, z tego typu atakiem w pełnej skali jeszcze nie mieliśmy do czynienia, ale próby zastosowania tego mechanizmu już widzieliśmy w ubiegłym roku. Dla projektujących takie ataki pomocne są międzyplatformowe języki programowania, jak Go. W przeszłości, aby stworzyć rój urządzeń IoT, konieczne było napisanie oddzielnego kodu dla wszystkich wykorzystywanych w nich platform, zapewnienie kontroli jakości kodu itd. Natomiast teraz, gdy możliwe stało się stworzenie kodu jeden raz i uruchomienie go wszędzie, to otwarta została prawdziwa puszka Pandory. O wiele łatwiej będzie zbudować bazujące na IoT botnety przeprowadzające ataki DDoS i inne. W październiku 2020 r. wykryty został działający w ten sposób botnet HEH, którego kod został napisany w języku Go. Wyposażono go także we własny unikalny protokół komunikacyjny, dzięki któremu urządzenia mogły komunikować się między sobą w sposób nieznany zwykłym rozwiązaniom ochronnym i przesyłać między sobą pliki. Nie zaobserwowaliśmy wykorzystania w tym botnecie sztucznej inteligencji, ale jej ślady się pojawiają, należy więc zakładać, że ten sposób atakowania będzie ewoluował. Dlatego podejrzewamy, że możliwe staną się ataki z wykorzystaniem grup różnych urządzeń, z których każde będzie miało jakieś zadanie do spełnienia, w zależności od swojej mocy obliczeniowej i dostępnej dla złośliwego kodu funkcjonalności.

No właśnie, sztuczna inteligencja oraz uczenie maszynowe już od kilku lat są stosowane jako nowa broń przeciwko cyberatakom, lecz zachodzi poważna obawa, że z tych mechanizmów będą korzystali też przestępcy. Ale do tego potrzebna jest pewna specyficzna naukowa wiedza i doświadczenie. Czy należy zakładać, że naukowców uda się skłonić do przejścia na ciemną stronę?

Trudno oszacować postawy etyczne osób profesjonalnie zajmujących się sztuczną inteligencją, natomiast rzeczywiście nie jest to proste zagadnienie. Wiele osób myśli o sztucznej inteligencji jako o pojedynczym, spójnym systemie, natomiast tak nie jest. Do przygotowania się do przeprowadzenia skutecznego ataku potrzebnych byłoby kilka różnych modeli uczenia maszynowego – innych dla analizy ruchu sieciowego, protokołów poczty elektronicznej czy tworzenia złośliwego kodu. Skuteczne ich połączenie w jeden system będzie bardzo trudne dla cyberprzestępców, a my w dziedzinie zastosowania sztucznej inteligencji w rozwiązaniach ochronnych jesteśmy o krok do przodu, bo zainwestowaliśmy więcej środków w badania i rozwój oraz analizę możliwych sposobów jej użycia.

Co zatem na obecną chwilę pozostaje cyberprzestępcom?

Dziś skupiają się oni na automatyzacji ataków, bo to ona umożliwiła zwiększenie ich skuteczności i opłacalności. A jako że hakerzy nadal zadowalają się dostępnymi na szeroką skalę łatwymi zdobyczami i wykorzystują luki oraz metody atakowania znane od dwóch lat, prawdopodobnie przez najbliższe miesiące nie będą poświęcali wiele energii na opracowanie nowych technik ataku, bazujących na sztucznej inteligencji i uczeniu maszynowym. A jeśli już zaprzęgną te mechanizmy do akcji, to raczej będą one stosowane do ukrywania obecności i działalności złośliwego kodu przed różnego typu narzędziami ochronnymi, poprzez zaszumienie protokołów komunikacyjnych oraz takie zamodelowanie procesu ataku, aby nie wyglądał na atak.

Jakie inne przykłady zastosowania sztucznej inteligencji i uczenia maszynowego przez cyberprzestępców można sobie jeszcze wyobrazić?

Programiści coraz częściej stosują technikę Artificial Intelligence Fuzzing do badania kodu w celu wykrycia jego wad oraz luk bezpieczeństwa. Spodziewamy się, że z podobnych narzędzi w ciągu kilku najbliższych lat zaczną korzystać cyberprzestępcy. Dzięki temu proces analizy, który człowiekowi zajmuje 30 dni, można skrócić do jednego. No i wspomniane już roje urządzeń – stworzenie takiego systemu atakującego nie będzie możliwe bez sztucznej inteligencji. Uważam, że mamy około trzech lat, aby się przygotować do obrony przed tego typu próbami.

Pozostaje mieć nadzieję, że uda się utrzymać cyberprzestępców na dystans, ale widzę tu potencjalną inną pułapkę. Skoro powierzacie sztucznej inteligencji i uczeniu maszynowemu analizę złośliwego kodu i prowadzonych ataków, czy jesteście w stanie później zrozumieć to, czego te mechanizmy się nauczyły? Czy też raczej trzeba założyć, że w pewnym momencie zgromadzona wiedza będzie zbyt skomplikowana i zaczniemy być świadkami walki algorytmów po obu stronach?

Na razie korzystamy z mechanizmów tzw. nadzorowanego uczenia maszynowego, a więc mamy pełną kontrolę nad zgromadzoną wiedzą, analizujemy ją i ręcznie implementujemy w rozwiązaniach ochronnych. Interpretacja przez człowieka nowej, nietypowej sytuacji, jaką są przyjęte przez cyberprzestępców nowatorskie metody ataku, jest niezbędna i raczej przez długi czas to się nie zmieni.

Eksperci ds. bezpieczeństwa zbierają tę wiedzę w dokumentach zwanych playbookami, opisujących taktyki i metody postępowania podczas ataków. Jak bardzo przydatne jest to narzędzie? I do kogo jest kierowane – producentów rozwiązań ochronnych, ich integratorów czy może użytkowników?

Playbooki to wieloaspektowe repozytorium wiedzy, podzielone na trzy części, opisujące techniki, taktyki i procedury ataku. Zawiera tysiące różnego rodzaju danych, które ułatwiają ocenę czy przypuszczony atak okazał się skuteczny oraz rekomendują sposób obrony. Można tam znaleźć techniczne rekomendacje co do narzędzi ochronnych, charakterystykę złośliwego kodu, wykorzystane w nim podatności, stosowane przez cyberprzestępców adresy IP i URL, zastosowane w phishingu złośliwe domeny itd. Generalnie playbooki są przeznaczone dla działających w przedsiębiorstwach centrów SOC i działów zarządzanych przez Chief Security Officera, aby przyspieszyć skuteczne reagowanie na atak i przeciwdziałanie mu. Pozwalają zrozumieć kim są atakujący, jaki jest ich styl komunikacji w e-mailach phishingowych oraz kto jest potencjalną ofiarą – przykładowo firmy z konkretnych branż lub regionów geograficznych.

W jaki sposób ta wiedza jest dystrybuowana? Czy jest to po prostu zwykły dokument, czy też coś na kształt pliku konfiguracyjnego, który można wgrać do rozwiązania posiadanego przez firmę?

Stosowane są oba podejścia. Ale najwięcej korzyści daje możliwość zaimplementowania tej wiedzy bezpośrednio w narzędziu ochronnym przez jego producenta, za pomocą pliku stworzonego w języku opisowym STIX, zgodnie z metodologią MITRE ATT&CK. Do dyspozycji zespołów technicznych jest czytnik tych playbooków, dzięki czemu możliwe jest zagłębienie się w ich treść. Natomiast dla osób z zarządu, chociażby na stanowisku CSO, dostępne są streszczenia playbooków w postaci zwykłych dokumentów, w których m.in. zawarto informacje o celach atakujących i rodzajach narzędzi, które pozwolą odeprzeć atak.

Naiwnością byłoby jednak założenie, że cyberprzestępcy nie są świadomi istnienia tej metody, dlatego mogą systematycznie dokonywać drobnych zmian w metodologii ataku, aby zmylić narzędzie ochronne korzystające z playbooka. Jak często zawarte w nim dane są aktualizowane?

Nieustannie, jak tylko zaobserwujemy jakieś zmiany. Dlatego takie podejście ma o wiele więcej zalet niż zwykła publikacja sprzed kilku miesięcy analizy w technicznym blogu. Zresztą im więcej tych playbooków tworzymy i rozbudowujemy zawartą w nich wiedzę, tym łatwiej zauważyć zależności pomiędzy różnymi atakami. Dzięki temu można odkryć, że za różne działania odpowiada ta sama grupa przestępcza, mimo że na pierwszy rzut oka to nie jest oczywiste. A posiadanie takiej wiedzy ułatwia odkrycie kto w rzeczywistości stoi za atakami oraz przedstawienie odpowiedniej dokumentacji organom ścigania.

Eksperci jako jedno z największych wyzwań najbliższych czasów w kontekście bezpieczeństwa wskazują możliwości stwarzane przez standard 5G. Z jakiego typu problemami będziemy musieli się zmierzyć?

Głównym wyzwaniem jest szybkość transmisji danych. Bez odpowiednio wydajnych narzędzi ochronnych trudne może okazać się przeanalizowanie procesu ataku, bo ten zakończy się, zanim w ogóle zorientujemy się, że miał miejsce. Ale możliwość skorzystania ze standardu 5G spowoduje też, że znacznie rozrosną się wykorzystywane przez firmy środowiska IT, w tym projekty IoT. A to utrudni ich inspekcję, co jest szczególnie niekorzystne w kontekście wspomnianego już faktu, że to właśnie urządzenia Internetu rzeczy będą wykorzystywane do hostowania złośliwego kodu i prowadzenia ataków.

Jeśli mowa o szybkości, to nie sposób nie wspomnieć o komputerach kwantowych. Oczywiście, pełnoprawne takie urządzenie, do którego można wgrać własne oprogramowanie, jeszcze nie istnieje. Ale to tylko kwestia czasu, a wtedy łamanie haseł stworzonych z wykorzystaniem skomplikowanych algorytmów

ma trwać sekundy. Czy rzeczywiście komputery kwantowe mogą sprowadzić tak duże niebezpieczeństwo dla właścicieli poufnych danych?

Teoretycznie takie ryzyko oczywiście istnieje, ale nie podejrzewam, że będzie to znaczący problem w ciągu najbliższych kilku lat. Faktycznie, nie mamy jeszcze w pełni funkcjonalnych komputerów kwantowych, a gdy te powstaną, będą zbyt drogie, aby mogli pozwolić sobie na nie cyberprzestępcy – pierwszymi właścicielami będą instytucje rządowe i placówki badawcze. Tak więc nie jest to dla nas priorytet, ale oczywiście przyglądamy się rozwojowi tej techniki i jej potencjalnemu wpływowi na konieczność zmodyfikowania metod kryptograficznych. Uważam, że wcześniej i w większej skali będziemy mieli problem z atakami wykorzystującymi roje urządzeń.

Ale posiadanie komputerów kwantowych przez rządy państw nie zawsze może oznaczać korzystną sytuację. Szczególnie w przypadku skonfliktowanych krajów. Mieliśmy w ubiegłym roku przykład szeroko zakrojonego ataku rosyjskiego na amerykańskie instytucje rządowe i raczej należy spodziewać się podobnych incydentów. Na ile te zagadnienia, w pewnym stopniu polityczne, są w oku zainteresowania firm badających rynek bezpieczeństwa IT?

Co do zasady nie komentujemy pojedynczych ataków, w które zaangażowane były struktury rządowe, ale oczywiście ten temat jak najbardziej jest w zasięgu naszego zainteresowania. Tego typu ataki przygotowywane są i prowadzone indywidualnie, więc nie ma w ich przypadku zastosowania wielu mechanizmów automatyzujących – cały czas kontrolę nad przebiegiem sprawują ludzie. Natomiast my jesteśmy przygotowani do odpierania także tego typu ataków, mamy opracowane odpowiednie playbooki i cały czas je aktualizujemy. Budujemy też specjalne relacje z instytucjami publicznymi, które mogą być potencjalną ofiarą i dodatkowo wspieramy je, bo nie zawsze zatrudniają one wystarczająco doświadczonych ekspertów. Współpracujemy też z Interpolem i CERT-ami z całego świata, także polskimi, które – muszę zaznaczyć – świetnie sobie radzą.

Dużą rolę w tych międzynarodowych atakach na szczeblu rządowym odgrywa psychologia, bo z tego typu „działaniami cyberwojennymi” mamy do czynienia coraz częściej. Czy ten aspekt ma w ogóle jakikolwiek wpływ na przebieg ewentualnego ataku?

W pewnym stopniu tak, bo chociażby komunikaty w ramach inżynierii społecznej konstruowane są tak, aby oddziaływać na emocje człowieka i te same metody można stosować przy atakach APT. Także przy tworzeniu playbooków analizujemy taktykę ataku, a w niej widać pewne aspekty psychologiczne. Niemniej, finał takiego ataku zawsze jest prowadzony z wykorzystaniem cyfrowych narzędzi i to na walce z nimi się skupiamy. Od zagłębiania się w psychologię są eksperci z innych dziedzin nauki.

Rozmawiał Krzysztof Jakubik