Σπ. Μπαμιατζής (Επίκουρος Καθηγητής): Προστασία των επιχειρήσεων και των δεδομένων από κυβερνοεπιθέσεις

Οι κυβερνοεπιθεσεις στον κυβερνοχώρο συνεχίζουν να εξελίσσονται και γίνονται πιο περιπλοκες και αυτοματοποιημένες. Πολλες στρατηγικες εχουνε αναπτυχθει τα τελευταια χρονια με σκοπο να μπορεσουν να αναπτυξουν μια αξιοπιστη και αποτελεσματικη αμυνα η οποια θα μπορουσε να αποτελεσει ενα προχωμα στην ταχυτητα με την οποια ενα συστημα αμυνεται απο τις συνεχεις και περιπλοκες επιθεσεις.
Αποκλειστικός σκοπός αυτης της στρατηγικης, που εχει την αρχη της στην επιστημη του πολεμου, ειναι να ελαττωθει ο χρονος που γινεται η επιθεση με σκοπο να δωσει την ευκαρια στον υπευθυνο της κυβερνοασφαλειας να αντιδρασει και ισως αποτρεψει την επιθεση η ακομα και να την αντιστρεψει.
Το Βαθος στην Αμυνα, Defense in Depth είναι μια στρατηγική που χρησιμοποιεί πολλαπλά μέτρα ασφαλείας για την προστασία της ακεραιότητας των πληροφοριών. Η στρατηγικη αυτη στηριζεται σε πολλαπλα επιπεδα προστασιας ωστε εάν παραβιαστει μια γραμμή άμυνας, υπάρχουν επιπλέον αλλες δικλιδες ασφαλειας  για να διασφαλισεί ότι οι απειλές δεν θα περάσουν να υπερσκελισουν τις γραμμες αμυνας.
H Εκθεση της Αναφορά Διερεύνησης Παραβίασης Δεδομένων (DBIR) 2020 απο την Αμερικανικη εταιρεια Verizon ανέλυσε περισσότερα από 32.000 περιστατικά ασφαλείας και σχεδόν 4.000 επιβεβαιωμένες παραβιάσεις παγκοσμίως ειναι εντυπωσιακη

• Οι παραβιάσεις δεδομένων διπλασιάστηκαν από το DBIR του 2019.
• Επιθέσεις στο cloud: Οι επιθέσεις σε εφαρμογές Ιστού αυξήθηκαν στο 43%, διπλασιασμένες τον προηγούμενο χρόνο.
• Επιθέσεις με οικονομικά κίνητρα: Ένα συγκλονιστικό 86% των παραβιάσεων δεδομένων ήταν για οικονομικό κέρδος (71% στο προηγούμενο DBIR.)
• E-mail Ηλεκτρονικό ταχυδρομείο και προσωπικα απορητα: 67% των επιθέσεων αφορούσαν ηλεκτρονικό ψάρεμα (phishing), κλοπη e-mail επιχειρησεων και κλοπή προσωπικων λογαριασμων και στοιχειων.

Οι κίνδυνοι κυβερνοεπιθεσεων εχουν αυξηθει κατακορυφα και αυτη ακριβως η κατακορυφη αυξηση ειναι που κανει την επιλογης της Στρατηγικης Αμυνα σε Βαθος επιτακτικη αναγκη. Η Αμυνα σε Βαθος στηριζεται σε τρεις πολους:
Πρωτον Οι Φυσικοί έλεγχοι. Tα μέτρα ασφαλείας που προστατεύουν τα συστήματα πληροφορικής από φυσικές βλάβες. Παραδείγματα φυσικών ελέγχων περιλαμβάνουν φρουρούς ασφαλείας και κλειδωμένες πόρτες.
Δευτερον Οι τεχνικοί έλεγχοι. Oι μέθοδοι προστασίας που ασφαλίζουν τα συστήματα δικτύου. Το υλικό, το λογισμικό και η προστασία του δικτύου περιλαμβάνονται στους τεχνικούς ελέγχους μιας εταιρείας.
Τριτον Οι διοικητικοί έλεγχοι. Oι πολιτικές και οι διαδικασίες που εφαρμόζει ένας οργανισμός, που απευθύνεται στους υπαλλήλους.

Λογοι που ευνοουν τις κυβερνοεπιθεσεις

• Η καθυστερηση στην ανακάλυψη ιών ή κακόβουλου λογισμικού
• Οι εργαζόμενοι πέφτουν θύματα τακτικής ηλεκτρονικού ψαρέματος
• Οι γνωστές ατέλειες δεν επιδιορθώνονται και οι ενημερώσεις αγνοούνται
• Οι πολιτικές ασφαλείας δεν εφαρμόζονται από υπαλλήλους και χρήστες
• Λείπει ή κακώς εφαρμοζεται η κρυπτογράφηση
• Έλλειψη προστασίας από κακόβουλο λογισμικό
• Η εργασίας από το σπίτι εισάγει νέους κινδύνους καθως η συνδεση απο το σπιτι συνδεεται με μη ασφαλή δίκτυα και εκθέτουν δεδομένα
• Δεν εχει γινει ενδολεχης ελεγχος ασφαλειας της περιμετρου και του εσωτερικου χωρου για τυχον ευκολη προσβαση στο εσωτερικο του κτιριου.
• Οι επιχειρηματικοί συνεργάτες ή οι αλυσίδες εφοδιασμού εχουν ατελειες ασφαλειας στην διαδικτιακη παροχη των υπηρεσιων τους προς την επιχειρηση.

Ποια είναι τα προτεινόμενα επίπεδα ασφάλειας στον κυβερνοχώρο για τις επιχειρήσεις;

Για να προστατευτουν τα δεδομενα και να διατηρηθει με ασφαλεια ο κυβερνοχωρος προτεινονται τα κατωθι:
Για να προσδιορίστει ποια επίπεδα χρειάζονται την προστασια, 1) η επιχειρηση πρεπει να καθορισει με λεπομερεια, τα ατομα και τα δεδομενα τα οποια αν εκτεθουν σε κινδυνο η υποστουν βλαβη, η επιχειρηση θα σταματησει να υφισταται. Δηλαδη θα εχει τερματισει τη παραγωγη υπηρεσιων κα/η προιοντων. Και 2) πρεπει να μελετηθουν, να κατανοηθουν, και να διαχειριστουν οι τροποι και οι μεθοδοι που μπορει ενας επιδοξος εισβολεας να θεσει σε κινδυνο τον κυβερνοχωρο της επιχειρησης.
Το πρωτο εκ των δυο ανωτερω επιλογων μπορει να πραγματοποιηθει με τις αγορες και εφαρμογες των κατωθι προιοντων και τεχνικων εφαρμογων:

• Με τις εφαρμογες προγραμματων Αντι-ιων
• Secure Web Gateway, το οποιο ειναι μια λύση που φιλτράρει ανεπιθύμητο λογισμικό / κακόβουλο λογισμικό από την κυκλοφορία Ιστού / Διαδικτύου που ενεργοποιείται από τον χρήστη και επιβάλλει τη συμμόρφωση με την εταιρική και κανονιστική πολιτική
• Ασφαλής πύλη Διαδικτύου, το οποιο είναι ένα υλικό ή λογισμικό λύση για την επιβολή πολιτικών ασφαλείας, του δικτύου ή μεταξύ του δικτιου και του Διαδικτιου.
• Τείχος προστασίας, το οποιο ειναι ενα λογισμικο που επιτρεπει η μπλοκαρει εξουσιοδοτημενους χρηστες και μπλοκαρει οσουν δεν εχουν την απαραιτητη εξουσιοδοτιση.
• Έλεγχος ταυτότητας δύο παραγόντων
• Συστήματα ανίχνευσης και πρόληψης εισβολής
• Κρυπτογράφηση
• Πρόληψη απώλειας δεδομένων
• Εικονικό ιδιωτικό δίκτυο (VPN), Ένα εικονικό ιδιωτικό δίκτυο επεκτείνει ένα ιδιωτικό δίκτυο σε ένα δημόσιο δίκτυο και επιτρέπει στους χρήστες να στέλνουν και να λαμβάνουν δεδομένα σε κοινόχρηστα ή δημόσια δίκτυα, σαν οι υπολογιστικές τους συσκευές να ήταν απευθείας συνδεδεμένες στο ιδιωτικό δίκτυο.

Το δευτερο με την παροχη υπηρεσιων εξειδικευμενου προσωπικου, «Ηθικων Χακερς», Ethical Hackers, οι οποιοι κατοπιν αδειας απο την επιχειρισι θα προασπαθησουν να βρουν τα τρωτα σημεια που μπορει να αποτελεσουν προσβαση κυβερνοεπιθεσης απο τους εγκληματιες το διαδικτιου. 

* Ο κ. Σπύρος Μπαμιατζής είναι ΜΑ in Counter-Terrorism/Cyber-Terrorism, Επίκουρος Καθηγητής, Βοηθός Προγράμματος Κυβερνοασφαλειας, IvyTech College, Lake County, IN USA

www.bankingnews.gr