Miért ismétlődnek a nagy adatszivárgások

Ugyanaz a történet, csak a cégnév változik

Ha végigolvasom az utóbbi tizenöt év nagy behatolásait, egy idő után összefolynak. Más a cég, más az iparág, más az összeg, a történet váza mégis ugyanaz. Valaki bejut egy gyenge ponton, hónapokig észrevétlen marad, aztán egy reggel a sajtó írja meg, mennyi ügyféladat tűnt el. A vezetés megdöbben, pedig a gyenge pont jó eséllyel évek óta ott volt.

Ezt a leckét azért tartom az egész kurzus alapjának, mert az AI bevezetése semmit nem változtat ezen a vázon. Az új eszközök új belépési pontokat hoznak, a támadó viszont továbbra is ott jön be, ahol a legkönnyebb. Ha megértem, miért buktak el a nagyok, tudom, mit kell a saját cégemnél elsőként rendbe tenni.

A vezetői gyökérok három lépésben

A behatolások gyökérokait két csoportra osztom, vezetőire és technikaira. A vezetői oldal a kevésbé látványos, mégis onnan indul minden. Három lépése van, és a sorrend nem cserélhető fel. Elöl áll a prioritás, vagyis hogy a vezetés egyáltalán a fontos ügyek közé sorolja a biztonságot. Utána jön a ráfordítás, pénz, ember és idő. A sort a végrehajtás zárja, vagyis hogy a megszavazott pénzből működő védelem lesz.

A legtöbb cég a második lépésnél megáll. Elfogadnak egy költségvetést, beszereznek pár eszközt, és a vezetői értekezleten kipipálják a témát. A pénz megszavazása önmagában viszont nem védelem. Ha nincs, aki a beállításokat végigviszi, a jogosultságokat rendszeresen átnézi és a riasztásokra reagál, a drága eszköz díszlet marad.

Vezetőként ezért azt figyelem, hogy a három lépés mindegyikének van-e gazdája. Ki dönt, ki fizet, ki csinálja meg. Ha a harmadik kérdésre nincs név, a baj előre borítékolható.

Amikor a költségvetés sem véd meg, az OPM esete

Az amerikai szövetségi személyzeti hivatal, az Office of Personnel Management évi hárommillió dollárt költött kiberbiztonságra. Ugyanabban az időben a Mezőgazdasági Minisztérium tizenötmilliót. A különbség önmagában beszédes, mert a személyzeti hivatal őrizte a szövetségi alkalmazottak átvilágítási anyagát, vagyis a legérzékenyebb adatkört az egész kormányzatban.

2015-ben kiderült, hogy a támadók húszmillió állami dolgozó adatához és ötmillió ujjlenyomathoz jutottak hozzá. Ujjlenyomatot nem lehet lecserélni, mint egy jelszót. Az eset azt mutatja meg, hogyan csap át a prioritás hiánya ráfordítási hiányba, és az hogyan végződik a végrehajtás összeomlásában. A pénz kevés volt, de a kevés pénz is egy döntés következménye.

Magyar vállalati környezetben ugyanez a kérdés máshogy hangzik. A bérszámfejtés, a HR adatbázis és az ügyfélnyilvántartás a legérzékenyebb adatkör, és gyakran ezek kapják a legkevesebb figyelmet, mert nem termelnek bevételt. A biztonsági költségvetést az adat értékéhez mérem, nem az osztály méretéhez.

A technikai gyökérokok évtizedek óta ugyanazok

A technikai oldalon rövid a lista, és ez a jó hír benne. A behatolások túlnyomó része négy úton történik. Fiókátvétel ellopott vagy kiszivárgott jelszóval. Kártevő, ami egy megnyitott melléklettel vagy letöltéssel érkezik. Beszállítói kapcsolat, ahol a partner hálózata a mi hálózatunk előszobája. És szoftversebezhetőség, egy ismert hiba, amire már létezik javítás, csak nem telepítette senki.

Ezek a kategóriák a kilencvenes évek óta nem változtak. Változott az eszköztár, a támadók automatizáltak, és ma már AI-t is használnak a levelek megírásához, az ajtó mégis ugyanaz a négy. Aki ezt a négyet rendben tartja, a támadások nagy többségét kizárja anélkül, hogy egyetlen új technológiát megvett volna.

Az AI eszközök ebbe a négy kategóriába simulnak bele. Egy chatbot fiókja ugyanúgy átvehető ellopott jelszóval, egy modellszolgáltató ugyanúgy beszállító, és egy AI könyvtárban ugyanúgy lehet javításra váró hiba. Új ajtó ritkán nyílik, a régieket viszont több kéz használja.

Target, a beszállító nyitott ajtaja

A Target amerikai áruházlánc 2013-as esete a beszállítói kockázat tankönyvi példája. A támadó a fűtési és légkondicionálási beszállítón, a Fazio Mechanical Services nevű cégen keresztül jutott be. A szervizcégnek a karbantartási rendszerekhez kellett hozzáférés, ez a hálózat viszont össze volt kötve azzal, amelyen a pénztárak futottak. Egyetlen kis cég ellopott belépése így vezetett el negyvenmillió bankkártyaszámhoz.

A számla több mint 250 millió dollár lett. Az informatikai és a biztonsági vezető távozott, a vezérigazgató lemondott. Magyar cégnél ugyanez a kérdés hangzik el, amikor a könyvelő, a bérszámfejtő vagy az épületüzemeltető kap távoli hozzáférést. Mihez fér hozzá azon kívül, amire a munkájához szükség van?

JPMorgan, egyetlen kimaradt szerver

A JPMorgan Chase bank 2014-ben szenvedett el behatolást, és a kiváltó ok szinte hihetetlenül egyszerű. Egyetlen szerveren hiányzott a kétfaktoros hitelesítés. A bank több ezer rendszert védett vele, egy maradt ki, és a támadóknak ez az egy elég volt. Hetvenmillió név és email cím került ki.

A tanulság mindhárom esetből ugyanaz. A legtöbb behatolás mögött az elemi higiénia hiánya áll, nem egy soha nem látott támadás. Nem a kivételes zseni ellen kell védekezni, hanem a saját leltárhiányunk ellen. Amiről nem tudom, hogy létezik, azt nem is védem.

A három eset közös vonása, hogy a kár évekkel a döntés után érkezett. A Target hálózatát korábban kötötték össze, a JPMorgan szerverét korábban hagyták ki, és egyik döntés sem tűnt akkor veszélyesnek. A biztonsági munka ezért türelmet kér, mert a sikere abban mérhető, hogy nem történik semmi.