Stručnjak za sigurnost: ‘Hakerski napadi sve su učestaliji, a Hrvatska je sve atraktivnija meta‘

Posljednjih tjedana sve učestalije su vijesti o hakerskim napadima. Dok su prošlih godina te vijesti uglavnom dolazile iz inozemstva, sve češće takve vijesti počinju dolaziti i iz Hrvatske. Pritom nisu hakirane samo privatne tvrtke, već su sve češće mete napada državne institucije poput Hrvatske narodne banke, Ministarstva financija, Porezne uprave, Zagrebačke burze, Kliničkog bolničkog centra Zagreb, a prije par dana i HZZO, koji je ljudima poručio da sumnjive mailove odmah obrišu.

Prema podacima i procjeni Statiste, situacija s brojem hakiranja će se dodatno pogoršavati kroz godine. „Procijenjeni trošak kibernetičkog kriminala“, kako glasi naziv globalnog pokazatelja koliku financijsku štetu izaziva hakiranje, povećavat će se konstantno kroz godine, pa će kroz petogodišnji period, do 2029. godine, skočiti za gotovo 65 posto, odnosno, za 6,4 bilijuna dolara. Konkretno, nakon jedanaeste godine konstantnog rasta hakiranja, ukupni godišnji trošak kibernetičkih napada dosegnut će 15,63 bilijuna dolara. Pretpostavlja se da će i nakon 2029. godine taj pokazatelj nastaviti rasti.

Brza reakcija spašava ključne sustave u KBC Zagreb

Povodom sve većeg rasta hakerskih napada u Hrvatskoj, razgovarali smo sa stručnjakom Zlatanom Morićem, koji na Sveučilištu Algebra vodi novi studij kibernetičke sigurnosti. Morić nam potvrđuje kako svake godine svjedočimo porastu broja kibernetičkih napada koji su sve sofisticiraniji, što zahtijeva napredne metode zaštite. Ističe kako su napadi ne samo česti, već su i sve kompleksniji, stoga ključnim smatra kontinuirano unapređivanje naših obrambenih strategija.

- Upravo s tim ciljem, novi zakon o kibernetičkoj sigurnosti (NIS2) u Hrvatskoj stavlja naglasak na podizanje razine sigurnosti. Trenutno se radi na razvoju podzakonskih akata koji će definirati obvezne minimalne mjere zaštite za različite skupine, koje bi, da su bile implementirane, spriječile incidente poput napada na KBC Zagreb i neke privatne tvrtke. SOA je prije donošenja mjera na svojim stranicama objavila preporuke za zaštitu od kibernetičkih napada koje bi, da su bile implementirane u napadnutim tvrtkama, također spriječile sve nedavne incidente. Iako nisu implementirali sve sigurnosne kontrole prema NIS1 direktivi, KBC Zagreb imao je uspostavljene procedure za reagiranje u slučaju kibernetičkih napada. Zahvaljujući tome što su promptno informirali CERT i ZSIS, uspjeli su brzo reagirati na incident i minimizirati štetu. – dodaje Morić.

Zlatan Morić

Krešimir Pletikosa

Moramo se razvijati u skladu s novim prijetnjama

Morić potom tumači kako je Europska unija uvidjela kako mjere propisane u NIS1 direktivi nisu dovoljne, pa je upravo zato usuglašena i NIS2 direktiva.

- Iako su ovi "uspješni" napadi privukli javnu pažnju, važno je napomenuti da situacija nije izvanredna niti nepredviđena. Broj napada koji su spriječeni od početka godine je znatan, ali ti uspjesi rijetko postaju predmet medijske pažnje. Mediji prirodno teže izvještavaju o incidentima koji su se dogodili, a ne o onima koji su spriječeni. S obzirom na to, očekujem da će se broj pokušaja napada nastaviti povećavati, ali ključ uspjeha u njihovom sprječavanju leži u našoj sposobnosti da se prilagodimo i razvijamo u skladu s novim prijetnjama.

Morić ističe kako su potencijalni vektori za hakerski napad raznoliki, no iz za sada dostupnih informacija, može se pretpostaviti da su hakeri koristili metodu socijalnog inženjeringa. Pojašnjava kako se u toj metodi manipulira osobama unutar ciljanih organizacija, kako bi se dobile povjerljive informacije ili kako bi se te osobe navelo na neoprezne radnje koje dovode do sigurnosnih propusta. Ljudska ranjivost je često najslabija karika u sigurnosnom lancu, a napadači to, kaže Morić, itekako znaju iskoristiti.

Edukacija je jedan od ključnih faktora obrane

Premda je ljudski faktor takoreći najjednostavniji vektor za napad, Morić kaže da se ne može isključiti niti faktor zastarjele softverske infrastrukture, nedostatnih sigurnosnih ažuriranja ili nedovoljnog broja sigurnosnih kontrola i njihovih loših podešavanja i nadgledanja. Svaki od tih faktora može olakšati provođenje hakerskih napada.

- Osim direktnog financijskog gubitka, postoji rizik od gubitka povjerljivih i osjetljivih podataka, što može imati dugotrajne posljedice za pojedince i organizacije. U slučaju zdravstvenih ustanova, kao što je KBC Zagreb, postoji dodatni rizik koji se tiče sigurnosti i privatnosti medicinskih podataka pacijenata. Ovi podaci su izuzetno osjetljivi i njihovo neovlašteno otkrivanje može dovesti do ozbiljnih kršenja privatnosti i povjerenja – dodaje sugovornik.

Govoreći općenito, sposobnost organizacija da odgovore na ove prijetnje i minimiziraju njihove posljedice ovisi o pripremljenosti i proaktivnom pristupu zaštite digitalnih resursa. Morić ističe kako su kontinuirana edukacija, razvoj strategija kibernetičke zaštite i analiza rizika neophodni kako bi se smanjila vjerojatnost uspjeha budućih napada.

Digitalizacija je Hrvatsku učinila atraktivnijom metom

Što se tiče broja hakerskih napada, Morić ističe kako je njihova učestalost u porastu globalno, pa se taj trend odražava i u Hrvatskoj. Porast broja kibernetičkih napada u Hrvatskoj može se pripisati nekoliko faktora, među kojima je i sve veća digitalizacija poslovnih i osobnih aktivnosti. Kako se povećava količina digitalno dostupnih podataka i usluga, tako se paralelno povećava i i broj prilika za zloupotrebu. Ne može se zanemariti i tehnološki napredak općenito.

- Pored tehničkog napretka i dostupnosti alata za izvođenje napada, značajna promjena u kibernetičkom prostoru odnosi se na aktere koji stoje iza napada. Dok su nekad hakerske skupine bile glavni izvršitelji, danas vidimo da su države i kriminalne organizacije sve aktivnije u ovom prostoru. Ovi entiteti često plaćaju hakerskim skupinama za usluge koje uključuju upad u sustave, eksfiltraciju podataka i druge radnje koje im omogućuju prikupljanje važnih informacija ili nezakonito stjecanje novca – dodaje Morić.

Profesionalizacija i komercijalizacija hakerskih aktivnosti značajno utječe i na povećanje broja, ali i sofisticiranost hakerskih napada. Hrvatska pak nije iznimka. Kao i u svakoj zemlji, određene industrije mogu privući veću pažnju hakerskih skupina, posebice ako su tvrtke povezane s globalnim tržištem ili upravljaju većom količinom osjetljivih podataka.

- Percepcija o slabijim sigurnosnim mjerama može dodatno učiniti pojedine zemlje atraktivnijim metama za napade. Važnost kontinuiranih ulaganja u kibernetičku sigurnost i edukaciju je stoga ključna, kako na nacionalnoj tako i na razini pojedinih organizacija, kako bi se suprotstavilo ovom rastućem izazovu – kaže Morić.

Ulaganje u infrastrukturu nije dovoljno

Kada se govori o uzrocima kibernetičkih napada, Morić objašnjava kako kombinacija infrastrukturnih slabosti i ljudskog faktora igra ključnu ulogu. No, ljudski faktor je često presudan u većini slučaja.

- Naime, unatoč naprednoj tehnologiji i sofisticiranim sigurnosnim sustavima, ljudske greške – poput neopreznog upravljanja lozinkama, klikanja na sumnjive poveznice ili nedostatka opreza u rukovanju osjetljivim informacijama – predstavljaju jedan od najvećih sigurnosnih rizika. Nerijetko se događa da organizacije investiraju u najnoviju tehnologiju poput firewalla, SIEM-a, SOAR-a ili XDR rješenja, ulažući znatna financijska sredstva, ali zanemaruju ulaganje u ljude koji bi te sustave trebali upravljati – kaže Morić.

Rezultat ne ulaganja u ljude je da ti obrambeni sustavi operiraju često samo s osnovnim mogućnostima, daleko od svojeg punog potencijala, jer često nisu pravilno podešeni ili se organizacijske procedure i politike ne prilagođavaju kako bi maksimizirale njihovu efikasnost. Morić ističe da su, uz već postojeće programe cjeloživotnog obrazovanja u području kibernetičke sigurnosti, na Sveučilištu Algebra pokrenuli novi prijediplomski studij kibernetičke sigurnosti s ciljem izobrazbe stručnjaka koji će moći adresirati i tehničke i ljudske aspekte sigurnosti. Program je dizajniran tako da studenti steknu duboko razumijevanje tehničkih i psiholoških aspekata kibernetičke sigurnosti, što ih priprema za suočavanje s izazovima u ovom brzo razvijajućem polju. Edukaciju i kontinuirani razvoj vještina Morić smatra ključnim za smanjenje incidenata povezanih s ljudskim faktorom.

Zlatan Morić

Krešimir Pletikosa

S pravilnim metodama prevencije ne moramo živjeti u strahu

Morića smo pitali i koliko bi mi obični ljudi trebali biti zabrinuti ili u strahu od ovakvih hakerskih napada. Odgovara nam da smo, kao i organizacije, izloženi rizicima kibernetičkih napada, te da njihovu ozbiljnost ne smijemo podcijeniti. No, kaže kako ipak ne bi trebali živjeti u strahu, već da bi se trebali osnažiti pravim znanjem i alatima za zaštitu.

-Svaki korisnik interneta trebao bi biti svjestan osnovnih sigurnosnih mjera, kao što su korištenje snažnih i jedinstvenih lozinki, redovito ažuriranje softvera na svim uređajima i oprez pri otvaranju e-mailova ili klikanju na poveznice od nepoznatih izvora. Osim toga, korisno je koristiti dvofaktorsku autentifikaciju gdje god je to moguće, kao i redovito provjeravati postavke privatnosti na online računima – kaže Morić.

Ističe i kako bi na umu trebali imati da se kod većine napada na privatne osobe cilja na krađu identiteta ili financijskih sredstava. Premda su posljedice takvih napada ozbiljne, primjenom i osnovnih sigurnosnih mjera može se značajnije smanjiti rizik.

Naprednije metode kibernetičke zaštite

Priliku za razgovor imali smo i sa Spotifyevim backend engineerom Mohammedom Aboullaiteom, koji nam je otkrio poneke detalje o naprednijim metodama kibernetičke zaštite. Aboullaite priča kako je jedna od naprednijih metoda kojima se može braniti od kibernetičkih napada korištenje eBPF-a, odnosno, „proširenog Berkeley Packet Filtera“. Kako bi što lakše objasnio o čemu je riječ, Aboullaite je povukao paralelu s automobilskim svijetom.

-eBPF omogućuje da pokrećete prilagođene programe unutar jezgre operativnog sustava Linux (kernel) bez mijenjanja same jezgre. To je kao da možete dodavati nove značajke motoru svog automobila dok je on u pogonu, bez zaustavljanja ili ponovnog sastavljanja motora – kaže Aboullaite.

Mohammed Aboullaite

Ustupljena Fotografija

Poput nadogradnje automobila koji se vozi autocestom

Prije nego što se počeo koristiti eBPF, promjene u načinu kako se ponaša Linux kernel zahtijevale su modificiranje izvornog koda jezgre, te ponovno sastavljanje i pokretanje sustava. Taj proces je bio dugotrajan i rizičan.

Korištenjem eBPF-a, nove sposobnosti ili prikupljanje informacija iz kernela sigurno i dinamički, bez ponovnog pokretanja ili modifikacija jezgre. Služeći se ponovno primjerom iz automobilskog svijeta, Aboullaite pojašnjava da je to kao da nadograđujemo automobil dok se vozimo autocestom.

- eBPF je revolucija za kibernetičku sigurnost. Omogućuje nam praćenje aktivnosti sustava na vrlo dubokoj razini, otkrivanje prijetnji u stvarnom vremenu i čak sprječavanje napada - sve to uz minimalan utjecaj na performanse sustava. Na primjer, možemo koristiti eBPF za praćenje svakog pristupa svakoj datoteci, mrežnoj vezi ili za praćenje kreiranja procesa. To nam daje do sad neviđenu vidljivost u ono što se događa u sustavu. Takav pristup nam pomaže u otkrivanju neobičnog ponašanja koje bi moglo ukazivati na kibernetički napad – pojašnjava Aboullaite.

Premda eBPF koristit resurse sustava, njegov utjecaj ne performanse je, tumači Aboullaite, minimalan. Sama tehnologija eBPF-a dizajnirana je da bude učinkovita i u mnogim slučajevima su koristi koje pruža znatno veći od utjecaja na performanse. Ponovno koristeći se analogijom s automobilskim svijetom, Aboullaite kaže da je korištenje eBPF-a kao dodavanje vrlo učinkovitog turbopunjača motoru – dobiva se mnogo više snage bez značajnijeg povećanja potrošnje goriva.

Stiže na najveću developersku konferenciju u ovom dijelu Europe

O tim metodama Aboullaite će govoriti i na nadolazećoj Shift konferenciji u Zadru, koja privlači IT stručnjake iz cijelog svijeta, te na kojoj kibernetička sigurnost nije samo usputna tema. Ova konferencija, koju posjetitelji često nazivaju i tech-festivalom, po prvi puta održavat će se četiri dana, s početkom u nedjelju, dan ranije nego prošle tri. Nedjelja je zamišljena kao opušteniji dan, s nekoliko manjih, opuštenijih i tematski raznolikih događaja na više lokacija u Zadru.

Uz Aboullaitea iz Spotifyja, na Shift stižu i predstavnici drugih velikih međunarodnih kompanija, poput Microsofta, Googlea i Amazona, te predstavnici developerima dobro poznatih Red Hata, GitHuba i Atlassiana. Predstavnici tih kompanija će posjetiteljima iz cijelog svijeta moći dati jedinstvenu perspektivu u uspješne tehnološke kompanije, rekao nam je u nedavnom razgovoru Nikola Pavešić, Infobipov direktor za developersko iskustvo i startupe.

Shift konferencija

Ustupljena Fotografija

Fleksibilnije, skalabilnije i otpornije aplikacije

Aboullaite ističe kako su cloud-native rješenja sve češća u IT industriji. Pojašnjava kako je riječ o načinu izgradnje i pokretanja softverskih aplikacija koje u potpunosti iskorištavaju cloud computing.

- Umjesto tradicionalnih, monolitnih aplikacija, cloud-native aplikacije su izgrađene kao zbirka malih, neovisnih usluga (mikroservisa) koje se lako mogu skalirati i ažurirati. Neki od najboljih primjera takvih rješenja su platforme za orkestraciju kontejnera poput Kuberneteesa, te serverless usluge poput AWS Lambde. Arhitekture mikroservisa koriste tvrtke poput Netflixa ili Ubera, a takva okruženja omogućuju fleksibilnije, skalabilnije i otpornije aplikacije.

Uloga eBPF-a u ovim cloud native okruženjima je značajna, budući da ih može poboljšati na nekoliko načina. Jedan od njih je poboljšana vidljivost, budući da eBPF može pružiti detaljne uvide u ponašanje i performanse aplikacija, čime se mogu brže dijagnosticirati problemi. Poboljšana je i sigurnost, budući da se mogu pratiti sumnjive aktivnosti među kontejnerima i mikroservisima, što omogućuje da se u stvarnom vremenu detektiraju problemi.

eBPF može i optimizirati mreže, čime se mogu stvoriti učinkovitije veze između mikroservisa, poboljšavajući ukupne performanse aplikacije. Dobiva se i detaljniji uvid u informacije o korištenju resursa, čime se optimizira smještaj kontejnera i pomaže pri odlučivanju o skaliranju.