Εβδομάδα 1: Εισαγωγικές έννοιες

Σημειώσεις μελέτης βασισμένες στη διάλεξη της Ενότητας 1 και στις διαφάνειες «Εβδομάδα 1». Ο καθηγητής ανεβάζει το υλικό στο Moodle για περιορισμένο χρονικό διάστημα, οπότε οι σημειώσεις αυτές είναι γραμμένες ώστε να στέκονται και μόνες τους.

1. Σκοπός και οργάνωση του μαθήματος

Το μάθημα έχει δύο πλευρές. Από τη μία, μαθαίνουμε πώς σκέφτονται και πώς δρουν οι εισβολείς: ποιες μεθόδους χρησιμοποιούν για να παραβιάσουν ένα υπολογιστικό σύστημα ή ένα δίκτυο. Από την άλλη, μαθαίνουμε να αμυνόμαστε: να συγκρίνουμε τα διαθέσιμα εργαλεία και τις τεχνικές προστασίας και να επιλέγουμε τα κατάλληλα για κάθε είδος επίθεσης. Με άλλα λόγια, ασκούμαστε στις εργασίες ενός επαγγελματία της ασφάλειας πληροφοριών (Information Security Professional).

Τα θέματα που καλύπτει το μάθημα είναι:

• το κόστος που έχουν οι παραβιάσεις ασφαλείας για οργανισμούς και επιχειρήσεις·
• ποιοι είναι οι hackers και οι crackers και τι τους κινητοποιεί·
• η κατηγοριοποίηση των επιθέσεων: διακοπή (παρέμβαση), υποκλοπή (αναχαίτιση), τροποποίηση και πλαστογράφηση, καθώς και η διάκριση σε παθητικές και ενεργητικές επιθέσεις·
• η διαχείριση κινδύνων και τα δέντρα επιθέσεων·
• τα εργαλεία και οι τεχνικές των εισβολέων, και το κακόβουλο λογισμικό·
• η κρυπτογράφηση, η ανίχνευση εισβολών και τα αμυντικά αντίμετρα·
• η ασφάλεια σε νέες υπηρεσίες (κινητά, cloud, IoT)·
• οι πολιτικές ασφαλείας.

Επεξήγηση: Παθητική επίθεση είναι αυτή όπου ο εισβολέας μόνο παρακολουθεί (π.χ. υποκλοπή), χωρίς να αλλάζει κάτι, οπότε είναι δύσκολο να εντοπιστεί. Ενεργητική είναι αυτή όπου ο εισβολέας επεμβαίνει: αλλάζει, διακόπτει ή πλαστογραφεί δεδομένα.

1.1 Εργασίες

Κάθε εβδομάδα υπάρχει μια ατομική εργασία, το Security Mission: ένα «real-life task» ενός επαγγελματία της ασφάλειας. Τα Security Missions δεν βαθμολογούνται, αλλά είναι η καλύτερη εξάσκηση για το υπόλοιπο μάθημα.

Όλες οι εργασίες γράφονται στα ελληνικά. Ο καθηγητής ζητά ακαδημαϊκή γραφή, πηγές (πολλές και αξιόπιστες) και κριτική αξιολόγηση. Η αντιγραφή απαγορεύεται· η συνεργασία, οι απορίες, ακόμη και οι αποτυχίες είναι ευπρόσδεκτες, αρκεί να βρεις τι έφταιξε και να το σχολιάσεις.

1.2 Πού να ψάξεις

• Βιβλιογραφία: ενδεικτικά, Computer Security: Principles and Practice (Stallings & Brown), Security in Computing (Pfleeger), Security Engineering (Anderson), Hacking Exposed 7 (McClure κ.ά.) και ο οδηγός μελέτης CISSP (Stewart, Chapple, Gibson).
• Ιστότοποι: SANS, NIST CSRC, The Hacker News, Dark Reading, SecurityWeek, Cloud Security Alliance.
• Επιστημονικά περιοδικά: Computers & Security (Elsevier), IEEE Security & Privacy, IEEE Transactions on Information Forensics and Security, ACM Transactions on Information and System Security.
• Χάρτες του χώρου: τα Information Security Mindmaps δείχνουν με μια ματιά όλους τους τομείς της ασφάλειας.

2. Ασφάλεια πληροφοριών: βασικές έννοιες

Η ασφάλεια πληροφοριών (Information Security, συχνά InfoSec) είναι η πρακτική της προστασίας ευαίσθητων πληροφοριών από μη εξουσιοδοτημένη πρόσβαση, αποκάλυψη, αλλοίωση ή καταστροφή. Δεν είναι ένα μεμονωμένο εργαλείο αλλά ένα σύνολο μέτρων και πρακτικών με τρεις κεντρικούς στόχους: την εμπιστευτικότητα, την ακεραιότητα και τη διαθεσιμότητα. Γύρω από αυτούς τους τρεις στόχους οργανώνονται και οι υπόλοιπες έννοιες της ενότητας.

2.1 Τι είναι ασφάλεια

Σύμφωνα με το πρότυπο ISO/IEC 27001, ασφάλεια είναι η προστασία συστημάτων, δικτύων, δεδομένων και υπηρεσιών από κακόβουλες επιθέσεις, απώλεια δεδομένων, ζημιές ή μη εξουσιοδοτημένη πρόσβαση. Η ασφάλεια δεν είναι μόνο τεχνολογία· έχει τρεις όψεις:

• Τεχνολογία: τα εργαλεία, οι συσκευές και τα συστήματα που εφαρμόζουν την ασφάλεια (το NIST SP 800-53 τα καταγράφει ως «controls»).
• Διαδικασίες: οι κανόνες, οι πολιτικές και οι οδηγίες που καθοδηγούν τη διαχείριση της ασφάλειας σε έναν οργανισμό (π.χ. το NIST Cybersecurity Framework).
• Κατάσταση: η συνολική «υγεία» και ετοιμότητα ενός συστήματος σε μια δεδομένη στιγμή.

Την κατάσταση ασφάλειας (security posture) την επηρεάζουν τέσσερις παράγοντες: η τεχνική υποδομή (πόσο ενημερωμένα είναι τα συστήματα, π.χ. patches), ο ανθρώπινος παράγοντας (πόσο εκπαιδευμένοι είναι οι χρήστες), οι απειλές (ενεργές ή πιθανές, π.χ. ransomware, phishing) και το επίπεδο ετοιμότητας (υπάρχουν σχέδια αντιμετώπισης περιστατικών και ανάκαμψης;).

2.2 Επιθέσεις, μηχανισμοί και υπηρεσίες

Τρεις όροι που θα συναντάς συνέχεια:

• Επίθεση: κάθε ενέργεια που απειλεί την ασφάλεια των πληροφοριών ή των συστημάτων.
• Μηχανισμός ασφάλειας: κάτι σχεδιασμένο να ανιχνεύει, να αποτρέπει ή να επαναφέρει μετά από μια επίθεση ή βλάβη (π.χ. κρυπτογράφηση, αντίγραφα ασφαλείας).
• Υπηρεσία ασφάλειας: μια υπηρεσία που αυξάνει την ασφάλεια, χρησιμοποιώντας έναν ή περισσότερους μηχανισμούς (π.χ. η εμπιστευτικότητα χρησιμοποιεί την κρυπτογράφηση).

2.3 Η τριάδα CIA

Εμπιστευτικότητα (Confidentiality). Μια πληροφορία πρέπει να είναι προσβάσιμη μόνο σε όσους έχουν την κατάλληλη εξουσιοδότηση. Το πιο συνηθισμένο μέσο είναι η κρυπτογράφηση: ακόμη κι αν κάποιος αποκτήσει τα δεδομένα, δεν μπορεί να τα διαβάσει ή να τα κατανοήσει.

Ακεραιότητα (Integrity). Τα δεδομένα πρέπει να είναι ακριβή και αξιόπιστα και να μην έχουν αλλοιωθεί. Οι ψηφιακές υπογραφές, για παράδειγμα, επιτρέπουν να επαληθεύσουμε ότι ένα έγγραφο ή αρχείο είναι αυθεντικό και δεν άλλαξε.

Διαθεσιμότητα (Availability). Οι πληροφορίες και οι πόροι πρέπει να είναι διαθέσιμοι στους εξουσιοδοτημένους χρήστες όταν τους χρειάζονται. Γι’ αυτό τα κρίσιμα συστήματα διαθέτουν πλεονασμό (redundancy) και μηχανισμούς εναλλαγής (failover), ώστε να συνεχίζουν να λειτουργούν ακόμη και όταν παρουσιαστεί βλάβη στο υλικό.

Παράδειγμα: ένα e-shop που δέχεται πληρωμές με κάρτα και θέλει να προστατέψει τα στοιχεία των πελατών του (ονόματα, διευθύνσεις, κάρτες):

2.4 Ταυτότητα και δικαιώματα

Πιστοποίηση ταυτότητας (Authentication) είναι η επαλήθευση ότι ένας χρήστης, ένα σύστημα ή μια οντότητα είναι αυτός που ισχυρίζεται ότι είναι. Το πιο γνωστό παράδειγμα είναι ο συνδυασμός ονόματος χρήστη και κωδικού πρόσβασης.

Εξουσιοδότηση (Authorization) είναι το επόμενο βήμα: αφού ξέρουμε ποιος είναι ο χρήστης, αποφασίζουμε τι επιτρέπεται να κάνει, με βάση τον ρόλο και τις αρμοδιότητές του. Για παράδειγμα, μόνο ορισμένοι υπάλληλοι έχουν πρόσβαση σε ευαίσθητα οικονομικά αρχεία.

Μη αποκήρυξη (Non-repudiation) σημαίνει ότι ο αποστολέας ενός μηνύματος ή ο εκτελών μιας συναλλαγής δεν μπορεί αργότερα να αρνηθεί ότι το έκανε. Αυτό επιτυγχάνεται με ψηφιακές υπογραφές και ίχνη ελέγχου (audit trails), που αποδεικνύουν ποιος έστειλε τι.

2.5 Οι υπηρεσίες ασφάλειας

Αν βάλουμε μαζί όλα τα παραπάνω, παίρνουμε τις έξι υπηρεσίες ασφάλειας, τα «δομικά στοιχεία» της ασφάλειας:

1. Εμπιστευτικότητα: ιδιωτικότητα των δεδομένων.
2. Αυθεντικοποίηση: ποιος δημιούργησε ή έστειλε τα δεδομένα.
3. Ακεραιότητα: τα δεδομένα δεν έχουν παραποιηθεί.
4. Μη αποποίηση (non-repudiation): κανείς δεν μπορεί να αρνηθεί μια ενέργειά του.
5. Έλεγχος πρόσβασης: αποτροπή κακής χρήσης των πόρων.
6. Διαθεσιμότητα: απόδοση και μη διαγραφή.

2.6 Διαχείριση της ασφάλειας σε έναν οργανισμό

Διαχείριση κινδύνων (Risk management). Ο οργανισμός εντοπίζει, αξιολογεί και μετριάζει τους πιθανούς κινδύνους για τα πληροφοριακά του αγαθά, για παράδειγμα με τακτικούς ελέγχους ασφαλείας και διόρθωση των αδυναμιών που βρίσκονται. (Τη βλέπουμε αναλυτικά στην ενότητα 5.)

Αντιμετώπιση περιστατικών (Incident response). Είναι η διαδικασία εντοπισμού, αντιμετώπισης και περιορισμού ενός περιστατικού ή μιας παραβίασης. Ένας οργανισμός πρέπει να έχει έτοιμο και δοκιμασμένο σχέδιο που λέει τι γίνεται σε περίπτωση κυβερνοεπίθεσης.

Πολιτικές και διαδικασίες ασφαλείας. Οι πολιτικές είναι γραπτοί κανόνες που περιγράφουν πώς ο οργανισμός προσεγγίζει την ασφάλεια· οι διαδικασίες δίνουν βήμα προς βήμα οδηγίες για την εφαρμογή τους. Παράδειγμα: μια πολιτική που ορίζει πόσο σύνθετοι πρέπει να είναι οι κωδικοί, μαζί με μια διαδικασία για την τακτική αλλαγή τους.

Ευαισθητοποίηση και εκπαίδευση. Οι εργαζόμενοι και οι χρήστες εκπαιδεύονται στις καλές πρακτικές, π.χ. με τακτικά σεμινάρια για το phishing και την ασφαλή περιήγηση. Ο άνθρωπος είναι συχνά ο πιο αδύναμος κρίκος, οπότε η εκπαίδευση είναι μέτρο ασφαλείας όσο και η τεχνολογία.

Έλεγχοι και τεχνολογίες ασφαλείας. Είναι τα μέτρα που εφαρμόζονται στην πράξη: τείχη προστασίας (firewalls), λογισμικό προστασίας από ιούς, κρυπτογράφηση, συστήματα ανίχνευσης εισβολών (IDS). Για παράδειγμα, ένα firewall φιλτράρει την εισερχόμενη και εξερχόμενη κίνηση του δικτύου για να εμποδίσει μη εξουσιοδοτημένη πρόσβαση.

Συμμόρφωση και κανονισμοί. Οι πρακτικές ασφαλείας πρέπει να συμμορφώνονται με νόμους, κανονισμούς και πρότυπα του κλάδου. Το πιο γνωστό παράδειγμα στην Ευρώπη είναι ο GDPR (Γενικός Κανονισμός για την Προστασία Δεδομένων).

Συνολικά, η ασφάλεια πληροφοριών είναι κρίσιμη για κάθε σύγχρονο οργανισμό, αφού όλο και περισσότερες λειτουργίες βασίζονται σε ψηφιακά δεδομένα. Είναι ένας τομέας που αλλάζει συνεχώς, καθώς εμφανίζονται νέες απειλές και τεχνολογίες, και προστατεύει όχι μόνο τα δεδομένα αλλά και τη φήμη του οργανισμού και την εμπιστοσύνη των πελατών του.

3. Είδη επιθέσεων και απειλών

3.1 Οι τέσσερις κατηγορίες επιθέσεων

Φαντάσου μια πληροφορία που ταξιδεύει από μια πηγή σε έναν δέκτη. Η κανονική ροή (normal flow) είναι η σωστή, ανεμπόδιστη λειτουργία· τη χρησιμοποιούμε ως σημείο αναφοράς για να καταλάβουμε πότε κάτι αποκλίνει. Μια επίθεση αλλάζει αυτή τη ροή με έναν από τέσσερις τρόπους:

Επεξήγηση: Η τροποποίηση πλήττει και την εμπιστευτικότητα, γιατί για να αλλάξεις ένα μήνυμα πρέπει πρώτα να το έχεις δει. Οι αλλαγές συχνά είναι δυσδιάκριτες, οπότε η επίθεση εντοπίζεται δύσκολα.

3.2 Παθητικές και ενεργητικές απειλές

Παθητικές απειλές είναι όσες απλώς συλλέγουν πληροφορίες χωρίς να επηρεάζουν τη λειτουργία του συστήματος. Παραβιάζουν κυρίως την εμπιστευτικότητα και είναι δύσκολο να εντοπιστούν, γιατί δεν αφήνουν ίχνη.

Ενεργητικές απειλές είναι όσες τροποποιούν δεδομένα ή λειτουργίες. Παραβιάζουν την ακεραιότητα, τη διαθεσιμότητα ή την αυθεντικότητα.

Επεξήγηση: Στο replay ο επιτιθέμενος δεν χρειάζεται να καταλάβει το μήνυμα. Αν υποκλέψει ένα κρυπτογραφημένο «πλήρωσε 100 €» και το ξαναστείλει, το σύστημα μπορεί να το εκτελέσει ξανά. Γι’ αυτό τα πρωτόκολλα βάζουν στα μηνύματα χρονοσφραγίδες ή μοναδικούς αριθμούς (nonces).

4. Ο κύβος του McCumber

Ο κύβος του McCumber είναι ένα μοντέλο για να σχεδιάζουμε και να αξιολογούμε ολοκληρωμένα ένα σχέδιο προστασίας πληροφοριών. Λέει ότι για κάθε πληροφορία πρέπει να σκεφτείς τρεις διαστάσεις ταυτόχρονα, σαν τις τρεις ακμές ενός κύβου:

1. Στόχοι ασφάλειας: εμπιστευτικότητα, ακεραιότητα, διαθεσιμότητα (CIA).
2. Καταστάσεις της πληροφορίας: αποθήκευση (storage), μετάδοση (transmission), επεξεργασία (processing).
3. Μέσα προστασίας: πολιτικές και διαδικασίες, ανθρώπινοι παράγοντες (εκπαίδευση, ευαισθητοποίηση), τεχνολογία.

Κάθε «κυβάκι» του κύβου είναι ένας συνδυασμός, π.χ. «εμπιστευτικότητα των δεδομένων κατά τη μετάδοση με τεχνολογία» (κρυπτογράφηση TLS). Αν ένα κυβάκι μείνει κενό, εκεί υπάρχει κενό ασφάλειας.

Το e-shop ξανά:

5. Κίνδυνος και διαχείριση κινδύνου

Κίνδυνος (risk) είναι η πιθανότητα να συμβεί κάτι που θα καταστρέψει, θα βλάψει ή θα αποκαλύψει πληροφορίες. Η διαχείρισή του είναι βασικό κομμάτι ενός ασφαλούς περιβάλλοντος. Οι κίνδυνοι έχουν διάφορες πηγές:

5.1 Η διαδικασία διαχείρισης κινδύνου

1. Εντοπισμός (Identify): καταγραφή των assets, των απειλών και των ευπαθειών.
2. Αξιολόγηση (Assess): εκτίμηση της πιθανότητας και των επιπτώσεων κάθε κινδύνου.
3. Προτεραιοποίηση (Prioritize): ταξινόμηση κατά σοβαρότητα (High / Medium / Low).
4. Αντιμετώπιση (Treat): επιλογή στρατηγικής (βλ. παρακάτω).
5. Παρακολούθηση (Monitor): συνεχής έλεγχος και επανεκτίμηση.
6. Αναφορά και βελτίωση (Report & Improve): τεκμηρίωση, lessons learned, βελτίωση των πολιτικών.

5.2 Οι τέσσερις στρατηγικές αντιμετώπισης

Συχνά συνδυάζουμε στρατηγικές. Για τον κίνδυνο ενός DDoS, για παράδειγμα: μείωση με CDN και rate limiting, και μεταφορά σε μια υπηρεσία προστασίας από DDoS.

6. Η ασφάλεια σε ένα Πληροφοριακό Σύστημα

Όταν σχεδιάζουμε την ασφάλεια ενός Πληροφοριακού Συστήματος (Π.Σ.), δεν αρκεί να το βλέπουμε ως σύνολο· πρέπει να προστατεύουμε και κάθε επιμέρους στοιχείο του. Η προστασία αφορά κάθε είδους απειλή, είτε τυχαία (π.χ. βλάβη, ανθρώπινο λάθος) είτε σκόπιμη (επίθεση). Επιπλέον, η ασφάλεια δεν είναι μόνο τεχνικό ζήτημα: συνδέεται με διαδικασίες και διοικητικά μέτρα, αλλά και με ηθικές και κοινωνικές αντιλήψεις. Τέλος, τα μέτρα προστασίας δεν πρέπει να εμποδίζουν την ομαλή λειτουργία του συστήματος. Ένα σύστημα τόσο «ασφαλές» που κανείς δεν μπορεί να το χρησιμοποιήσει έχει αποτύχει.

6.1 Αρχές σχεδιασμού

Αποκέντρωση (Dispersion). Αν ένα σύστημα είναι μοιρασμένο σε πολλά σημεία, ένας επιτιθέμενος χρειάζεται πολλαπλές επεμβάσεις για να το καταστρέψει ολοκληρωτικά. Δεν υπάρχει ένα μοναδικό σημείο αποτυχίας.

Ύπαρξη αντικατάστασης (Duplication). Το σύστημα πρέπει να συνεχίζει να λειτουργεί ακόμη κι αν ένα υποσύστημά του σταματήσει, επειδή υπάρχει αντίγραφο που αναλαμβάνει. Η ίδια ιδέα βοηθά και στον εντοπισμό λαθών επεξεργασίας: αν δύο αντίγραφα δώσουν διαφορετικό αποτέλεσμα, κάτι πήγε στραβά.

Άμυνα σε βάθος (Defence in Depth). Αντί για ένα μόνο εμπόδιο, τοποθετούμε πολλά επίπεδα ελέγχων. Ένας μη εξουσιοδοτημένος χρήστης πρέπει να περάσει από όλα πριν φτάσει στο σύστημα, οπότε η αποτυχία ενός μέτρου δεν αρκεί για να γίνει η παραβίαση.

6.2 Επίπεδα ασφάλειας

Για να παρακολουθούμε τις αδυναμίες και να βρίσκουμε λύσεις πιο εύκολα, χωρίζουμε την ασφάλεια ενός Π.Σ. σε επίπεδα:

• Φυσική ασφάλεια: η προστασία του εξοπλισμού και των χώρων·
• Ασφάλεια λειτουργικών συστημάτων·
• Ασφάλεια δικτύων υπολογιστικών συστημάτων·
• Ασφάλεια συστημάτων βάσεων δεδομένων.

Η διάλεξη συνοψίζει τη φιλοσοφία της ασφάλειας με τη φράση «ό,τι κλειδώνει, ξεκλειδώνει»: κανένα μέτρο δεν είναι απόλυτο. Η ασφάλεια είναι ένας συνεχής αγώνας ανάμεσα σε όσους προστατεύουν και όσους επιτίθενται, χωρίς οριστικό νικητή.

6.3 Ενδεικτικές μέθοδοι άμυνας

• Κρυπτογράφηση: μετατρέπει τα δεδομένα σε μορφή που δεν διαβάζεται χωρίς το κλειδί. Προστατεύει την εμπιστευτικότητα και την ακεραιότητα.
• Έλεγχοι λογισμικού: μηχανισμοί που περιορίζουν την πρόσβαση σε δεδομένα και λειτουργίες, π.χ. τα δικαιώματα σε μια βάση δεδομένων ή το ΛΣ που προστατεύει κάθε χρήστη από τους άλλους.
• Έλεγχοι υλικού: φυσικές συσκευές για την αυθεντικοποίηση και την πρόσβαση, π.χ. έξυπνες κάρτες (smartcards).
• Πολιτικές: κανόνες που ακολουθούν όλοι οι χρήστες, π.χ. τακτική αλλαγή κωδικών.
• Φυσικοί έλεγχοι: κλειδωμένα server rooms, κάμερες και συναγερμοί, κάρτες RFID, PIN ή βιομετρικά για την είσοδο, και τοποθέτηση του εξοπλισμού σε σημεία προστατευμένα από φωτιά ή πλημμύρα.

7. Επιθέσεις σε ένα δικτυακό Πληροφοριακό Σύστημα

Τα δίκτυα υπολογιστών δέχονται πολλά είδη επιθέσεων, καθένα με δικό του στόχο και δικές του μεθόδους. Ακολουθούν οι πιο συνηθισμένες.

7.1 Άρνηση παροχής υπηρεσιών (DoS / DDoS)

Ο επιτιθέμενος κατακλύζει ένα δίκτυο, σύστημα ή υπηρεσία με τόση κίνηση ή τόσα αιτήματα ώστε να μη μπορεί να εξυπηρετήσει τους νόμιμους χρήστες. Στόχος είναι η διατάραξη της υπηρεσίας, δηλαδή πλήγμα στη διαθεσιμότητα. Όταν η επίθεση γίνεται από πολλούς υπολογιστές ταυτόχρονα, συνήθως από ένα botnet, ονομάζεται κατανεμημένη (DDoS). Συνηθισμένες μέθοδοι είναι η πλημμύρα πακέτων UDP και η ενίσχυση μέσω DNS.

Επεξήγηση: UDP flood: αποστολή τεράστιου αριθμού πακέτων UDP ώστε ο στόχος να εξαντλήσει τους πόρους του απαντώντας σε αυτά. DNS amplification: ο επιτιθέμενος στέλνει μικρά αιτήματα σε διακομιστές DNS με πλαστή διεύθυνση αποστολέα (του θύματος), και οι διακομιστές στέλνουν πολύ μεγαλύτερες απαντήσεις στο θύμα. Botnet: δίκτυο μολυσμένων υπολογιστών που ελέγχονται εξ αποστάσεως από τον επιτιθέμενο.

7.2 Man-in-the-Middle (MitM)

Ο επιτιθέμενος παρεμβάλλεται ανάμεσα σε δύο μέρη που επικοινωνούν, χωρίς να το γνωρίζουν. Έτσι μπορεί να υποκλέψει τις πληροφορίες, να τις τροποποιήσει ή να υποδυθεί το ένα από τα δύο μέρη. Μέθοδοι είναι το ARP spoofing, το DNS spoofing, το SSL stripping και η υποκλοπή σε δίκτυα Wi-Fi.

Επεξήγηση: ARP spoofing: σε ένα τοπικό δίκτυο, ο επιτιθέμενος πείθει τις άλλες συσκευές ότι η δική του συσκευή είναι π.χ. ο δρομολογητής, οπότε η κίνηση περνά από αυτόν. DNS spoofing: πλαστές απαντήσεις DNS στέλνουν το θύμα σε λάθος (κακόβουλη) διεύθυνση. SSL stripping: ο επιτιθέμενος «υποβαθμίζει» τη σύνδεση από HTTPS σε μη κρυπτογραφημένο HTTP, ώστε να διαβάζει την κίνηση.

7.3 Phishing και spear phishing

Ο επιτιθέμενος στέλνει παραπλανητικά email ή μηνύματα που μοιάζουν να προέρχονται από αξιόπιστο αποστολέα, για να ξεγελάσει το θύμα ώστε να αποκαλύψει ευαίσθητες πληροφορίες, όπως κωδικούς ή αριθμούς καρτών. Το spear phishing είναι η στοχευμένη εκδοχή: το μήνυμα φτιάχνεται για ένα συγκεκριμένο άτομο ή οργανισμό και γι’ αυτό είναι πιο πειστικό. Στόχος είναι η κλοπή στοιχείων για απάτη ή μη εξουσιοδοτημένη πρόσβαση, μέσω email, SMS ή τηλεφωνικών κλήσεων με κακόβουλους συνδέσμους ή συνημμένα.

7.4 Κακόβουλο λογισμικό (malware)

Malware είναι κάθε λογισμικό που έχει σχεδιαστεί για να βλάψει, να κλέψει δεδομένα ή να αποκτήσει έλεγχο ενός συστήματος ή δικτύου. Περιλαμβάνει ιούς, σκουλήκια (worms), δούρειους ίππους (Trojans), λογισμικό λύτρων (ransomware), λογισμικό κατασκοπείας (spyware) κ.ά. Διαδίδεται συνήθως μέσω μολυσμένων συνημμένων, κακόβουλων ιστοτόπων και drive-by downloads.

Επεξήγηση: Drive-by download: λήψη κακόβουλου λογισμικού απλώς με την επίσκεψη σε μια ιστοσελίδα, χωρίς ο χρήστης να πατήσει κάτι, συνήθως εκμεταλλευόμενο μια ευπάθεια του browser.

7.5 SQL Injection

Ο επιτιθέμενος εκμεταλλεύεται μια ευπάθεια σε μια διαδικτυακή εφαρμογή για να «φυτέψει» δικό του κώδικα SQL στα ερωτήματα προς τη βάση δεδομένων, συνήθως γράφοντάς τον σε πεδία εισόδου μιας φόρμας. Αυτό μπορεί να οδηγήσει σε μη εξουσιοδοτημένη πρόσβαση, αλλοίωση ή διαρροή δεδομένων, ή ακόμη και σε διακοπή λειτουργίας.

Επεξήγηση: Η ρίζα του προβλήματος είναι ότι η εφαρμογή «κολλάει» την είσοδο του χρήστη απευθείας μέσα στο ερώτημα SQL, οπότε η βάση δεν ξεχωρίζει τα δεδομένα από τις εντολές. Η βασική άμυνα είναι τα παραμετροποιημένα ερωτήματα (prepared statements).

7.6 Cross-Site Scripting (XSS)

Ο επιτιθέμενος εισάγει κακόβουλο σενάριο (script) σε μια ιστοσελίδα που βλέπουν άλλοι χρήστες, για παράδειγμα μέσα από ένα πεδίο σχολίων. Όταν το θύμα ανοίξει τη σελίδα, το σενάριο εκτελείται στον browser του και μπορεί να κλέψει πληροφορίες ή να εκτελέσει ενέργειες εκ μέρους του.

Επεξήγηση: Διαφορά από το SQL injection: το SQL injection στοχεύει τη βάση δεδομένων στον διακομιστή, ενώ το XSS στοχεύει τους άλλους χρήστες της σελίδας, μέσω του browser τους.

7.7 Επιθέσεις ωμής βίας και λεξικού

Ο επιτιθέμενος προσπαθεί να μαντέψει έναν κωδικό δοκιμάζοντας πάρα πολλούς πιθανούς κωδικούς ή φράσεις πρόσβασης, μέχρι να βρει τον σωστό. Στόχος είναι η μη εξουσιοδοτημένη πρόσβαση σε λογαριασμούς ή συστήματα.

Επεξήγηση: Η ωμή βία (brute force) δοκιμάζει όλους τους δυνατούς συνδυασμούς· η επίθεση λεξικού δοκιμάζει μόνο μια λίστα πιθανών κωδικών (συνηθισμένες λέξεις, γνωστοί διαρρεύσαντες κωδικοί), οπότε είναι πολύ πιο γρήγορη απέναντι σε αδύναμους κωδικούς.

7.8 Υποκλοπή πακέτων (packet sniffing)

Ο επιτιθέμενος παρακολουθεί την κίνηση του δικτύου για να συλλάβει ευαίσθητα δεδομένα κατά τη μετάδοσή τους, όπως στοιχεία σύνδεσης ή προσωπικά δεδομένα. Χρησιμοποιεί εργαλεία παρακολούθησης δικτύου ή εκμεταλλεύεται μη ασφαλή δίκτυα Wi-Fi. Πρόκειται για τυπική παθητική επίθεση.

7.9 Κοινωνική μηχανική (social engineering)

Εδώ ο στόχος δεν είναι το μηχάνημα αλλά ο άνθρωπος. Ο επιτιθέμενος εκμεταλλεύεται την ανθρώπινη ψυχολογία (εμπιστοσύνη, βιασύνη, περιέργεια) για να πείσει κάποιον να αποκαλύψει πληροφορίες, να πατήσει έναν κακόβουλο σύνδεσμο ή να κάνει μια ενέργεια. Μέθοδοι είναι το pretexting, το tailgating, το baiting, το quid pro quo και το phishing.

Επεξήγηση: Pretexting: ο επιτιθέμενος στήνει ένα πειστικό σενάριο («είμαι από το IT») για να ζητήσει πληροφορίες. Tailgating: μπαίνει σε προστατευμένο χώρο ακολουθώντας κάποιον που έχει πρόσβαση. Baiting: αφήνει ένα «δόλωμα», π.χ. ένα μολυσμένο USB, ελπίζοντας ότι κάποιος θα το χρησιμοποιήσει. Quid pro quo: προσφέρει κάτι (π.χ. «τεχνική βοήθεια») με αντάλλαγμα πρόσβαση ή στοιχεία.

8. Ποιοι επιτίθενται και πώς

8.1 Οι τρεις κοινές απειλές

Αυτόματες επιθέσεις: worms και botnets. Προγράμματα που εξαπλώνονται μόνα τους (worms) ή δίκτυα μολυσμένων υπολογιστών που ελέγχει ένας επιτιθέμενος (botnets). Εκμεταλλεύονται ευπάθειες, σαρώνουν αυτόματα θύρες, στέλνουν μολυσμένα email. Αποτέλεσμα: μαζική μόλυνση, DDoS, εξόρυξη κρυπτονομισμάτων, κλοπή δεδομένων. Παράδειγμα: ένα worm εκμεταλλεύεται μια unpatched υπηρεσία SMB, μολύνει όλο το εσωτερικό δίκτυο και το κάνει botnet για DDoS. Άμυνα: patch management και τακτικό vulnerability scanning, διαχωρισμός του δικτύου (segmentation) ώστε να μην εξαπλώνεται, προστασία τερματικών (EDR, antivirus με ανάλυση συμπεριφοράς), IDS/IPS, και παρακολούθηση της εξερχόμενης κίνησης για επικοινωνίες με τον διακομιστή ελέγχου (C2) του botnet.

Κακόβουλος χρήστης με πρόσβαση στο δίκτυο. Ένας υπάλληλος, συνεργάτης ή εισβολέας με κλεμμένα credentials που ήδη βρίσκεται μέσα. Εξάγει αρχεία, στήνει backdoors, μετακινείται σε άλλους υπολογιστές (lateral movement), κάνει δολιοφθορά. Είναι δύσκολο να εντοπιστεί, γιατί η πρόσβασή του είναι νόμιμη. Παράδειγμα: ένας υπάλληλος κατεβάζει λίστες πελατών σε προσωπική συσκευή και τις ανεβάζει σε δημόσιο cloud. Άμυνα: ελάχιστα δικαιώματα (least privilege) και πρόσβαση με βάση τον ρόλο (RBAC), MFA, καταγραφή και παρακολούθηση της δραστηριότητας των χρηστών (UEBA), πολιτικές Data Loss Prevention (DLP), διαχωρισμός καθηκόντων και περιοδικός έλεγχος των δικαιωμάτων.

Επαγγελματίες χάκερ (Advanced Threat Actors). Εξειδικευμένες ομάδες ή άτομα με οικονομικά ή πολιτικά κίνητρα (APT, Advanced Persistent Threat). Χρησιμοποιούν spear phishing, zero-days και δικό τους malware, στοχεύουν συγκεκριμένους οργανισμούς και μένουν κρυμμένοι για μεγάλο διάστημα. Παράδειγμα: μια ομάδα παραβιάζει έναν προμηθευτή λογισμικού και μέσα από τις ενημερώσεις του φτάνει σε όλους τους πελάτες του (supply-chain attack). Άμυνα: threat intelligence και προληπτικό threat hunting, micro-segmentation, honeypots για αποπροσανατολισμό, κεντρική καταγραφή (SIEM) με μακροχρόνια διατήρηση logs για forensics, red teaming και τακτικά penetration tests, application whitelisting και έτοιμα σχέδια αντιμετώπισης περιστατικών.

Ως προς τη συχνότητα, οι τρεις απειλές σχηματίζουν μια πυραμίδα: στη βάση, οι πιο συχνές, είναι οι επιθέσεις από κακόβουλο λογισμικό· στη μέση οι κακόβουλοι χρήστες· στην κορυφή, οι πιο σπάνιες αλλά και οι πιο εξελιγμένες, οι επαγγελματίες χάκερ.

8.2 Κατηγορίες χάκερ

8.3 Η μεθοδολογία των χάκερ σε 5 φάσεις

1. Αναγνώριση (Reconnaissance): συλλογή πληροφοριών για τον στόχο.
2. Ανίχνευση (Scanning): αναζήτηση ανοιχτών θυρών, υπηρεσιών και ευπαθειών.
3. Απόκτηση πρόσβασης (Gaining Access): εκμετάλλευση μιας ευπάθειας.
4. Διατήρηση πρόσβασης (Maintaining Access): backdoors, ώστε να μπορεί να επιστρέψει.
5. Διαγραφή ιχνών (Clearing Tracks): σβήσιμο logs και κάθε ένδειξης.

Τις φάσεις θα τις δούμε αναλυτικά σε επόμενη διάλεξη.

9. Εργαστήριο: Ethical Hacking Lab

Για τις πρακτικές ασκήσεις στήνεις ένα ασφαλές, απομονωμένο εργαστήριο στον υπολογιστή σου, με δύο εικονικές μηχανές (VMs) στο VMware:

• Kali Linux: η «εργαλειοθήκη» του pentester. Διανομή Linux για penetration testing και έλεγχο ασφάλειας, με περισσότερα από 300 εργαλεία, δωρεάν και ανοιχτού κώδικα (διάδοχος του BackTrack). Προϋποθέτει βασικές γνώσεις Linux.
• OWASP Broken Web Applications: ο «στόχος». Μια VM με εφαρμογές ιστού που έχουν σκόπιμα γνωστές ευπάθειες, για να μαθαίνεις επιθέσεις ιστού, να δοκιμάζεις εργαλεία και να βλέπεις πώς δουλεύουν τα WAF.

Οι δύο VMs συνδέονται μόνο μεταξύ τους, μέσω ενός απομονωμένου εικονικού δικτύου (virtual switch):

• Μη χρησιμοποιήσεις bridging προς την πραγματική κάρτα δικτύου.
• Μη συνδέσεις άλλες VMs ή πραγματικούς υπολογιστές.

Ο λόγος είναι και πρακτικός και νομικός: τα εργαλεία του Kali μπορούν να βλάψουν πραγματικά συστήματα, και επίθεση σε σύστημα χωρίς άδεια είναι παράνομη (βλ. επαγγελματική ηθική, Εβδομάδα 0).

10. Σύνοψη

• Η ασφάλεια πληροφοριών στηρίζεται στην τριάδα εμπιστευτικότητα – ακεραιότητα – διαθεσιμότητα, και έχει τρεις όψεις: τεχνολογία, διαδικασίες, κατάσταση.
• Η πιστοποίηση απαντά στο «ποιος είσαι;», η εξουσιοδότηση στο «τι επιτρέπεται να κάνεις;», η μη αποκήρυξη στο «μπορείς να το αρνηθείς;».
• Οι τέσσερις κατηγορίες επιθέσεων: διακοπή (διαθεσιμότητα), αναχαίτιση (εμπιστευτικότητα), τροποποίηση (ακεραιότητα), πλαστογράφηση (αυθεντικότητα). Οι παθητικές απειλές μόνο παρακολουθούν· οι ενεργητικές αλλάζουν κάτι.
• Ο κύβος του McCumber: στόχοι CIA × καταστάσεις της πληροφορίας (αποθήκευση, μετάδοση, επεξεργασία) × μέσα προστασίας (πολιτικές, άνθρωποι, τεχνολογία).
• Διαχείριση κινδύνου: εντοπισμός, αξιολόγηση, προτεραιοποίηση, αντιμετώπιση (αποφυγή, μείωση, μεταφορά, αποδοχή), παρακολούθηση, βελτίωση.
• Η ασφάλεια είναι και θέμα οργάνωσης: σχέδιο αντιμετώπισης περιστατικών, πολιτικές, εκπαίδευση, συμμόρφωση.
• Βασικές αρχές σχεδιασμού: αποκέντρωση, αντικατάσταση (πλεονασμός), άμυνα σε βάθος.
• Κάθε επίθεση πλήττει κυρίως έναν από τους στόχους της τριάδας, π.χ. το DDoS τη διαθεσιμότητα, το sniffing την εμπιστευτικότητα, το MitM και το SQL injection και την ακεραιότητα.
• Οι πιο συχνές επιθέσεις είναι αυτόματες (malware)· οι πιο επικίνδυνες προέρχονται από επαγγελματίες (APT). Οι χάκερ ακολουθούν 5 φάσεις, από την αναγνώριση μέχρι τη διαγραφή ιχνών.