Tudja, mi az a Zero day (nulladik napi) támadás?

Biztosan hallotta már valahol a „nulladik nap" kifejezést. Leggyakrabban olyan kibertámadásokhoz és fenyegetésekhez kapcsolódnak, amelyek olyan nagy sebezhetőséggel sújtanak, amelyre még nem fejlesztettek ki védelmet. Alapvetően addig, amíg valaki támadással rá nem mutat erre a sérülékenységre, a legtöbb esetben nem is tudni róla.

Ez a fajta sebezhetőség kihasználható a "Zero day exploit" használatával. Mi van mögötte? Például szoftver, alkalmazás vagy annak a része, parancssorozat. Mindez pedig kihasználhatja a sérülékenységet okozó programozási hibát. A támadó fel nem fedezett hibát használhat a rendszer megfertőzésére. Ezt megteheti spyware, ransomware, malware, keylogger vagy trójai program segítségével. Mindez végső soron adatszivárgást, károsodást vagy teljes átvételt, a céleszköz, rendszer feletti irányítást okozhat. 

Az utóbbi időben sokat és mindenhol szó esik a kiberbiztonságról, de még mindig vannak olyan cégek és magánszemélyek, akik alábecsülik vagy teljesen figyelmen kívül hagyják a biztonságot. Ha a felhasználó választhat a zenei vagy filmszolgáltatás előfizetése között, a vállalkozás pedig a felhőtárhely mérete és a biztonsági megoldás között, Ön szerint ki nyer?

De térjünk vissza a „nulladik napi támadás" kifejezéshez. Hogyan működik, ki a leggyakrabban egy ilyen támadás célcsoportja, és hogyan lehet védekezni a „nulladik napi támadások" ellen?

Hogyan működik a nulladik napi támadás?

A legtöbb szoftverhibát alapvetően a fejlesztők fedezik fel és javítják frissítésekkel. De addig a pillanatig, amíg a fejlesztő rá nem jön, mi a probléma, vagy hol van a biztonsági rés, ez az időszak valójában nulladik napi sebezhetőségnek számít. 

A támadók kihasználják ezt a hibát, mielőtt a fejlesztő rátérne annak felfedezésére és kijavítására. Az agresszor rosszindulatú kódot hoz létre, amely ezen a hibán keresztül gyorsan behatol a rendszerbe, és kárt okoz. Tehát ez az alapvető tény, hogy a nulladik napi támadás valójában olyasvalami, amely ezt az időközt keresi, mielőtt ezt a hibát hivatalosan is felfedezik.

A nulladik napi támadások különböző célcsoportokra irányulnak

Lehetnek ezek magánszemélyek, lehetnek vállalatok, különféle cégek, kormányzati szervezetek. Azt mondhatjuk, hogy alapvetően nem a célt keresi az ember, hanem a hibát, a repedést. Ha egy egyént, egy klasszikus felhasználót veszünk, akkor a támadók személyes okokból bármelyiket célozhatják, ha el akarják lopni az adataikat pénzügyi számlákhoz. Ily módon nemcsak személyes adatokat lophatnak el, hanem különösen az adott fizetési számlákhoz kapcsolódó adatokat. 

A vállalkozások és korporációk egy másik célcsoport, és ez valójában meglehetősen kockázatos dolog és érzékeny téma. A cégek és korporációk különféle személyes adatokat, üzleti titkokat takarnak, és egy ilyen támadás anyagi károkat is okozhat. A nulladik napi sebezhetőségi támadásnak köszönhetően a támadók olyan információkhoz juthatnak hozzá, amelyeket eladhatnak, visszaélhetnek és teljesen lejárathatják a megtámadott vállalatot.

Kormányzati szervezetek, így ez valóban jelentősebb. A nulladik napi támadások segítségével behatolhatnak a kormányzati rendszerekbe, hogy különösen érzékeny információkat és katonai stratégiákat szerezzenek. Akkor ez veszélyezteti az állam, a kormányzati szervezetek kiberbiztonságát, és ez már nagyon kényes téma. Néha a sebezhetőséget, a támadást, a nulladik napot olyan aktivisták (hacktivisták) is használják, akik szeretnének rámutatni valamire, ami nem tetszik az adott kormányzati szervezetben. 

Maguk az aktivisták és újságírók olyan csoportot alkotnak, amelyet a támadók célba vehetnek. Fel akarnak fedni néhány megszerzett feltárt információt, amelyeket többé-kevésbé tovább értékesítenek. 

A legnagyobb hatás a nulladik napi támadás a kritikus infrastruktúrák, például vízforrások, energiarendszerek és közlekedési hálózatok ellen. Ott már nem csak a szervezetnek, hanem az egész társadalomnak okozott kárról van szó. Pusztán a támadás okozta internetkimaradás óriási számú szervezetre és személyre van hatással.

Megelőzhetők-e a nulladik napi támadások?

Nehéz megakadályozni valamit, amiről nem tudja, hogy létezik. Az egyetlen lehetőség a megelőző intézkedések, amelyek minimalizálhatják a kockázatokat. Ezek lényegében ugyanazok, akár egyén, akár szervezet esetében. 

A legalapvetőbb dolog az, hogy minden eszközben frissítse a szoftvert, legyen az PC vagy mobil eszköz. A felhasználói visszajelzések alapján a fejlesztők sok problémát kijavítanak, és gyakran menet közben fedeznek fel olyan hibákat termékeikben, amelyek már a hivatalos verzióban vannak.

A biztonsági szoftverekbe való befektetés kulcsfontosságú. A vírus- és kártevőirtó szoftverek mellett a tűzfal fontos védelmi elem.

Végül, de nem utolsósorban a rendszertevékenység figyelése és az adatok biztonsági mentése.

A következő lépés a biztonságos viselkedés az interneten (ne kattintson mindenre, ami felbukkan), és természetesen az alkalmazottak oktatása a nulladik napi fenyegetésekről és sebezhetőségekről.

A cégek biztonsági szakértőkkel dolgozhatnak, akik gondoskodnak a javítások kezeléséről, a rendszeres penetrációs tesztekről. 

A megoldás a Zero Trust modell beültetése is. A beállítás azon a feltételezésen alapul, hogy a hálózaton egyetlen eszköz és felhasználó sem megbízhatatlan, és minden egyes hozzáféréskor be kell azonosítani és bizonyítani kell a jogosultságot. 

PrintNightmare

De nézzük meg a nyomtatási biztonsági intézkedéseket, hogyan is néz ki ott. 2021-ben a biztonsági fejlesztők komoly sebezhetőséget fedeztek fel. Ez a Print Spooler szolgáltatás biztonsági rése volt, amely a Windows összes verziójának része. Ez egy kijavítatlan nulladik napi sebezhetőség volt a Windows operációs rendszer összes támogatott és kiterjesztett biztonsági frissítési verziójában. A kihasználás nagyon gyorsan elterjedt, és a hiba az volt, hogy a támadó távolról tudott kódot futtatni rendszerjogosultságokkal. Az MS Windows nyomtatási szolgáltatásainak ez a biztonsági rése a PrintNightmare nevet kapta.

Az Exploit olyan rosszindulatú kód, amely hibákat vagy biztonsági réseket használ fel a rendszerben, hogy váratlan vagy nem kívánt számítógépes viselkedést idézzen elő. Átveheti az irányítást a teljes számítógépes rendszer felett, kiterjesztheti a jogosultságokat, vagy megtagadhatja a szolgáltatást (DDoS támadások). 

Miért vált ez a sebezhetőség rémálommá a vállalkozások számára?

A felhasználás az RpcAddPrinterdriverben található. Támogatja a távoli nyomtatást és az illesztőprogramok telepítését. Ez egy kötelező szolgáltatás, amely lehetővé teszi az IT-rendszergazdák számára a SeLoadDriverPrivilege-ot. Ez lehetővé teszi számukra, hogy új nyomtató-illesztőprogramokat telepítsenek a távoli nyomtatási sorkezelőre.

Alapvetően ez visszéléssé válik, mert azt jelenti, hogy bármely "hitelesített" felhasználó, nem csak a megbízható, felhatalmazott rendszergazdák, bármilyen "nyomtató-illesztőprogramot" hozzáadhat a Windowshoz. Bármely véletlenszerű felhasználó tartományadminisztrátorrá emelheti ezt a jogosultságot. Így tud pusztítást végezni egy támadó rosszindulatú kóddal.

A Microsoft kijavított egy exploitot, ami miatt folyamatosan változtatták a Windows Point and Print alapértelmezett értékeit. A Point and Print komplikációja az volt, hogy amikor egy 3-as típusú illesztőprogramokkal rendelkező szerverről megosztott nyomtatóhoz csatlakozunk, a nyomtató-illesztőprogram (szoftver) letöltődik a szerverről a kliens számítógépre.

Az exploit javítás a Point and Print szabálymódosítása volt. Ennek azonban számos Windows-nyomtatási környezetben kellemetlen mellékhatásai voltak. A Microsoft által a Point and Print szolgáltatáshoz létrehozott új szabály az, hogy a nyomtató-illesztőprogram nyomtatószerverről történő telepítéséhez mostantól rendszergazdának kell lennie/adminisztrátori hozzáféréssel kell rendelkeznie az ügyféleszközön. Egy másik új alapértelmezés, amit bevezettek, hogy nem tud csatlakozni egy Windows megosztott nyomtatóhoz, ha nem Windows rendszert használ.

Ezért vált ismert történetté a PrintNightmare sebezhetősége. A Microsoft ezt a kizsákmányolást meglehetősen gyorsan kezelte a javításaival. Bár a nyomtatási szolgáltatás leállítása gyors megoldás volt, maga a nyomtatás leállt, ami nem volt jó. A Windows javítások kiadása utáni frissítés megoldotta ezt a problémát. Ebben az esetben is láthatjuk, hogy a nyomtatók és a távoli nyomtatás is lehetséges célpontjai a nulladik napi sebezhetőségnek.

Bár a PrintNightmare-rel és annak változataival elméletileg a Microsoft foglalkozott, egyes szervezeteket a mai napig érint. A fő ok a meglehetősen zavaros csoportházirendek és a vállalati nyomtatási beállítások.