Identity TheftΌσο περίεργο και αν ακούγεται 16εκατομμύρια είναι τα θύματα «κλοπής ταυτότητας» μέσω διαδικτύου ετησίως. Προσωπικά το νούμερο δεν μου φαίνεται τόσο παράξενο, αν και εντυπωσιακό, καθώς στις περισσότερες αξιολογήσεις σε εταιρίες που έχω κάνει καταγράφω πολυάριθμα θέματα στο κομμάτι της ασφάλειας, μην σχολιάσω καν για το τι γίνεται σε οικιακούς υπολογιστές.

Τι είναι το Malware;

Το malware στην ουσία είναι ένα πρόγραμμα το οποίο έχει κατασκευαστεί για να τελεί κακόβουλες πράξεις. Με τον όρο κακόβουλες πράξεις εννοούμε την κλοπή εμπιστευτικών στοιχείων, κλοπή κωδικών, πιστωτικών καρτών, αποστολή spam μηνυμάτων, καταστροφή αρχείων, απομακρυσμένη πρόσβαση στον υπολογιστή κ.α.

Υπάρχουν διάφορες κατηγορίες στα malwares όπως virus, Trojan horse, worm κλπ, που πλέον όμως δεν έχουν ιδιαίτερη σημασία καθώς τα σύγχρονά malwares έχουν περισσότερα από ένα χαρακτηριστικά των υποκατηγοριών τους.

Για ποιο λόγο κατασκευάζονται malware προγράμματα;

Οι «προγραμματιστές» που ασχολούνται με την κατασκευή malware κυμαίνονται από άτομα που δρούνε για το προσωπικό τους συμφέρον, μέχρι οργανωμένες «εγκληματικές» ομάδες και κυβερνητικές οργανώσεις.

Πολλές φορές η κατασκευή malware προγραμμάτων οδηγεί στην εμπορική τους εκμετάλλευση. Εμπορική εκμετάλλευση μπορεί να σημαίνει την πώληση των προσωπικών δεδομένων των θυμάτων, ή ακόμα και την πώληση «προσβεβλημένων» υπολογιστών για διάφορες κακόβουλες ενέργειες, όπως την αποστολή μαζικών μηνυμάτων spam, την μαζική επίθεση σε «εταιρίες» προκειμένου να «ρίξουν» τα συστήματα τους (DoS attack) ή και την χρήση την συνολικής επεξεργαστικής ισχύς των συστημάτων για την λύση πολύπλοκων και χρονοβόρων υπολογισμών, όπως το «σπάσιμο» κωδικών.

Οι πιο συνηθισμένοι τρόποι που ένας υπολογιστής προσβάλλεται από κάποιο malware

Σύνδεσμοι ηλ. Ταχυδρομείου (email links) και επισυναπτόμενά (attachments)

Ένας από του πιο κλασσικούς τρόπους να εγκατασταθεί κάποιο malware στον υπολογιστή σας είναι μέσω email. Μπορεί να είναι είτε κάποιο επισυναπτόμενο, είτε κάποιο link που σας οδηγεί σε μια ιστοσελίδα που αυτόματα εγκαθιστά το απαραίτητο λογισμικό.

Phishing

Φαντάζομαι ότι μέχρι σήμερα θα έχετε δει μηνύματα που σας λένε ότι ο λογαριασμός σας έχει απενεργοποιηθεί και θα πρέπει να πατήσετε στον συγκεκριμένο σύνδεσμο (link) για να τον ενεργοποιήσετε ή να πατήσετε στο σύνδεσμο (link) και να μπείτε στον τραπεζικό σας λογαριασμό να ελέγξετε «περίεργες» κινήσεις κλπ.

Η τεχνική του phishing αρχικά σχεδιάστηκε για την υποκλοπή κωδικών (username/password), αν και σήμερα έχει εξελιχθεί σε οποιασδήποτε μορφής επίθεση μέσω email. Η ιδέα είναι ότι σας αποστέλλεται ένα email το οποίο συνήθως φαίνεται να είναι από κάποιον γνωστό οργανισμό, όπως τράπεζα, web site, κλπ, το οποίο σας παραπέμπει να πατήσετε σε κάποιο σύνδεσμο προκειμένου να πραγματοποιήσετε κάποια ενέργεια, όπως επιβεβαίωση στοιχείων, αλλαγή κωδικών κλπ.

Το site στο οποίο θα οδηγηθείτε μπορεί να δείχνει αξιόπιστο, με τα απαραίτητα λογότυπα, κάποιες φορές πολύ καλό αντίγραφο του γνήσιου. Στην πραγματικότητα όμως είναι ένα ψεύτικο site που χρησιμοποιείται σαν ενδιάμεσο για να υποκλέψει τους κωδικούς σας, την πιστωτική σας κάρτα ή και να προσβάλλει τον υπολογιστή σας με κάποιο malware.

Υπάρχουν περιπτώσεις που τα phishing μηνύματα περιέχουν PDF ή Microsoft Office αρχεία σαν επισυναπτόμενα (attachments), το οποία είναι έτσι φτιαγμένα που μπορούν να προβάλλουν τον υπολογιστή σας αν τα ανοίξετε.

Spear Phishing

Η διαφορά του spear phishing με το phishing είναι ότι το πρώτο είναι αρκετά στοχευμένο. Πρακτικά το μήνυμα κατασκευάζεται με τέτοιο τρόπο, αιφνιδιάζοντας το υποψήφιο θύμα με προσωπικές πληροφορίες, κάνοντας έτσι το μήνυμα πιο πιστευτό, αυξάνοντας τις πιθανότητες επιτυχίας. Μπορεί να είναι στοχευμένο σε μία εταιρία, σε κάποιον οργανισμό ή ακόμα και σε κάποιο συγκεκριμένο άτομο.

Απλή περιήγηση στο internet!

Και όμως, με το να σερφάρετε απλά στο ίντερνετ μπορεί να «κολλήσετε» malware! Πολλά web sites, συνήθως όχι και τόσο νόμιμα (παράνομα downloads, παράνομες ταινίες, πορνό κλπ), εκτελούν ειδικές ρουτίνες (java scripts) που μπορούν να προσβάλλουν τον υπολογιστή σας με malware.

Popups

Πολλά από τα παράθυρα που ανοίγουν σε ορισμένα websites και σας προτρέπουν να πατήσετε κάποιον σύνδεσμο (link), προκειμένου να κάνετε έλεγχο στον υπολογιστή σας, καθώς έχουν διαγνώσει ότι έχετε κολλήσει ιό… Είναι ιός!

Εγκατάσταση προγραμμάτων

Ωραίο αυτό το δωρεάν torrent πρόγραμμα, αλλά τι εγκαθιστά άραγε μαζί του; Πολλά «δωρεάν» προγράμματα εγκαθιστούν παράλληλα malware λογισμικό. Συνηθισμένο το “delta search” το οποίο εγκαθίσταται μαζί με torrent clients, δήθεν antimalware προγράμματα, tune-up tools κλπ.

Πως προστατεύεστε;

Antivirus

Αν και αυτονόητο, δεν είναι κοινή πρακτική η αγορά και η χρήση ενός καλού και αξιόπιστου antivirus. Sophos, Nod32, Kaspersky, είναι κάποιες καλές και αξιόπιστες λύσεις.

Το «σπασμένο» antivirus δεν είναι λύση. Το δωρεάν antivirus είναι μια μέση λύση. To antivirus είναι η βασική σας άμυνα, πρέπει να ενημερώνεται αυτόματα και συχνά. Όπως τα malwares εξελίσσονται, έτσι και τα antivirus λογισμικά πρέπει να ενημερώνονται προκειμένου να μπορούν να ανιχνεύσουν τις νεότερες επιθέσεις.

Η καλύτερη λύση για οικιακούς χρήστες είναι οι σουίτες ασφαλείας που συνδυάζουν πέρα από το antivirus και άλλες λειτουργίες που ενισχύουν την συνολική προστασία ενός συστήματος. Οι περισσότερες εταιρίες που παρέχουν antivirus προγράμματα, παρέχουν, με έξτρα κόστος φυσικά, και τις απαραίτητες σουίτες ασφαλείας.

Για εταιρικές λύσεις τα πράγματα γίνονται πιο σύνθετα ανάλογα με την επιχείρηση. Συνήθως οι εταιρικές λύσεις περιλαμβάνουν πολλαπλά επίπεδα προστασίας στην περίμετρο του δικτύου, στους servers και στα συστήματα των χρηστών. Λύσεις όπως το NetAssurance  που καλύπτουν όλο το φάσμα της ασφάλειας μιας επιχείρησης θεωρούνται ιδανικές.

Ενημερώσεις λειτουργικού συστήματος και εφαρμογών

Το λειτουργικό σύστημα δεν κατασκευάζεται χωρίς ελαττώματα. Για την ακρίβεια, κατασκευάζεται με αρκετά, ιδιαίτερα στο κομμάτι της ασφάλειας. Γι’ αυτό το λόγο οι κατασκευαστές παράγουν ενημερώσεις προκειμένου να βελτιώσουν τις ευάλωτες πτυχές των προϊόντων τους. Το ίδιο ισχύει όχι μόνο για λειτουργικά συστήματα, αλλά και για εφαρμογές όπως το Office, Acrobat Reader κλπ.

Να σημειώσω, ότι «τρύπες» στο λειτουργικό σύστημα μπορούν να παρακάμψουν ακόμα και τις άμυνες του antivirus. Κάτι που παραλείπεται συχνά ακόμα και από επαγγελματίες στο χώρο της πληροφορικής.

Οι οικιακοί χρήστες λοιπόν, καλό είναι να ενημερώνουν είτε αυτόματα, είτε χειροκίνητα το σύστημα τους, όσο πιο συχνά γίνεται. Στην περίπτωση των Windows, από τη στιγμή που υπάρχει νόμιμη άδεια, οι ενημερώσεις του λειτουργικού συστήματος είναι δωρεάν. Το ίδιο ισχύει και για Linux και Apple λειτουργικά.

Σε περίπτωση εταιριών, οι ενημερώσεις των λειτουργικών συστημάτων, καλό είναι να ελέγχονται κεντρικά από Patch Management εργαλείο. Ανάλογα με την επιχείρηση, αυτό μπορεί να είναι κάποια δωρεάν λύση όπως ο WSUS Server για τις λύσεις της Microsoft ή κάποιο πιο εξειδικευμένο προϊόν όπως Symantec Patch Management Solution, MS System Center Configuration Manager κλπ.

Ασφαλής χρήση

Το πιο ευάλωτο σημείο σε ένα σύστημα είναι ο ίδιος ο χρήστης. Η σωστή ενημέρωση και κάποιες ασφαλείς πρακτικές βοηθάνε στην προστασία σας.

Μερικές συμβουλές:

  • Προσπαθήστε να εγκαθιστάτε μόνο αξιόπιστα λογισμικά προγράμματα στον υπολογιστή σας. Τουλάχιστον όσο γίνεται.
  • Σε περίπτωση που θέλετε να επισκέπτεστε «περίεργα» web sites, κάντε το τουλάχιστον με απενεργοποιημένα τα scripts στον web browser. Ένα καλό εργαλείο για τέτοιες περιπτώσεις είναι το noscript extension για τον Firefox.
  • Οποιαδήποτε συναλλαγή σας, θα πρέπει να είναι μέσω πιστοποιημένου web site. Τα πιστοποιημένα web sites εμφανίζουν, καθ’ όλη τη διάρκεια της συναλλαγής, το πρόθεμα HTTPS και την αντίστοιχη πιστοποίηση στη μπάρα του browser (δείτε τις εικόνες):


  • Email μηνύματα που σας προτρέπουν να ανοίξετε εξωτερικούς συνδέσμους (Links) προσπαθήστε να τα αποφεύγετε. Ιδιαίτερα αν δεν ξέρετε τον αποστολέα. Αλλά ακόμα και αν τον ξέρετε, δεν σημαίνει ότι ο υπολογιστής του δεν έχει προσβληθεί από κάποιο malware που στέλνει για λογαριασμό του μηνύματα.
  • Αν θέλετε οπωσδήποτε να επισκεφτείτε κάποιον εξωτερικό σύνδεσμο που αναφέρεται σε κάποιο email, προτιμήστε να κάνετε copy/paste τη διεύθυνση στο browser αντί για κλικ πάνω στο σύνδεσμο. Πολλές φορές κακόβουλοι σύνδεσμοι φαίνονται «σωστά» στο μάτι ενώ στην πραγματικότητα σας οδηγούν αλλού. Το copy/paste σας πηγαίνει εκεί που δείχνει το μάτι.
  • Αν πρόκειται για εξωτερικό σύνδεσμο σε website που γνωρίζετε, πχ τράπεζα, paypal κλπ, και θέλετε να ελέγξετε ότι όλα είναι εντάξει, ανοίξτε την ιστοσελίδα όπως το κάνετε συνήθως και όχι μέσω του συνδέσμου.
  • Προσπαθείτε να ανοίγετε μόνο επισυναπτόμενα (attachments) από emails που περιμένετε.
  • Σε καμία περίπτωση μην κοινοποιείτε τους κωδικούς σας.
  • Οι κωδικοί σας θα πρέπει να είναι αρκετά πολύπλοκοι και διαφορετικοί για κάθε site. Το πρόβλημα που προκύπτει είναι το πώς θα τους θυμάστε και πως θα τους παράγετε. Η ιδανική λύση είναι με τη χρήση εργαλείου διαχείρισης κωδικών (password manager). Ένα καλό προϊόν είναι ο mSecure password manager.
  • Αποφεύγετε την αποθήκευση των κωδικών μέσω του web browser, ειδικά για «ευαίσθητους» λογαριασμούς, καθώς η υποκλοπή τους είναι εξαιρετικά απλή.
  • Κάθε φορά που ολοκληρώνετε μία συναλλαγή ή την περιήγηση σας σε κάποιο site που έχετε κάνει εισαγωγή με τη χρήση κωδικού, κάντε αποσύνδεση (logoff).
  • Σε εταιρικό περιβάλλον ιδανικό είναι οι χρήστες να μην έχουν δικαιώματα administrator στους υπολογιστές τους. Επίσης, ευαίσθητες συναλλαγές, καλό είναι να γίνονται από συγκεκριμένους υπολογιστές που χρησιμοποιούνται μόνο για αυτό τον σκοπό.

Συμπεράσματα

Το κομμάτι της ασφάλειας πληροφοριών είναι ένα κυνήγι μαγισσών, ειδικά σε εταιρικό περιβάλλον που τα πράγματα είναι πολύπλοκα. Συνεχής ενημέρωση, ασφαλής «συμπεριφορά», σωστή παραμετροποίηση, είναι μερικά από τα εργαλεία που έχουμε ενάντια στους επιτήδειους που κυκλοφορούν στο διαδίκτυο.

Αν είσαστε οικιακός χρήστης, μπορείτε να εφαρμόσετε, όσο το δυνατόν μπορείτε, τις συμβουλές που αναφέρω παραπάνω. Αν έχετε επιχείρηση, καλό είναι να συμβουλευτείτε κάποιον επαγγελματία για να δείτε πώς μπορείτε να αξιοποιείσετε λύσεις όπως το NetAssurance για κάνετε το εταιρικό σας δίκτυο πιο ασφαλές.