A hackerek ellen védekezni csakis a saját eszközeikkel bánni tudó szakemberekkel lehet. Ők az ún. etikus hackerek, akiket folyamatosan megújuló képzés szerint oktatnak, hogy a bűnözők előtt járhassanak. Kevés ilyen képzés van, az is méregdrágán. Most indul egy ilyen Budapesten, a Netacademián. De van olcsóbb védekezés is: oda kell figyelni!

Napjainkban a legsikeresebb hackertámadási mód az emberek átejtése a palánkon: hivatalos nevén a „social engineering” – SE. Kutatásokból is látszik, hogy az adatvesztések-adatlopások „110 százaléka” emberi hibára vezethető vissza, sok esetben social engineeringre vagy kombinált támadásra. Hogyan lehet ellene védekezni? Van egy mondás: „az a gyanús, ami nem gyanús!” – mondja Fóti Marcell, az etikus hackereket is képző Netacademia ügyvezető igazgatója.

Az egész – hangzatos nevű – SE arról szól, hogyan helyezhető át egy áldozat olyan környezetbe, hogy minden, amit elkövet, továbbra is helyesnek látszik. Pl. hogyan vesznek rá egy becsületes katonát háborús helyzetben, hogy tagadja meg a parancsot? Nem érvekkel és kéréssel, hanem a valóság megváltoztatásával. Elég, ha „megtudja”, hogy a felettese áruló... – fogalmaz az emberi lélekhez is értő programozó.

Hogy ez a jelenség világszerte működik, arra bizonyítékul elég, ha a WikiLeaks-botrányt említjük. Ez ugyanis ráirányította a figyelmet a social engineering problémakörére. Minek egy rendszert feltörni, amikor a kényes adatokat el is lehet kérni az alkalmazottaktól? Az adatokat kezelők biztonsági tudatossága szempontjából rémes lemaradásban vagyunk. De mint látszik, a világ egésze is – fogalmaz Fóti Marcell az internetbiztonsági helyzetről.

Most március végén világszerte a világ 35 kiemelt oktatóközpontjában egy időben kezdik el oktatni a nemzetközi központ, az EC-Council által jegyzett etikushacker-tananyag legújabb változatát. A kiválasztott oktatóközpontok között van az a budapesti Netacademia, ahol a NATO szakértőit és több bank informatikusait is oktatták, valamint a Zrínyi Miklós Nemzetvédelmi Egyetem hálózatvédelmi oktatóit is ők képezték.

Az internetes hálózatbiztonság terén rengeteg változás történt. Elfogytak a könnyen kijátszható sérülékenységek. A két-három évvel ezelőtti „hekkercuccok” jelentős része ma már használhatatlan. Vannak helyettük újak, bonyolultabbak – mondja Fóti. Bár egyre nagyobb az igény az etikushacker-képzés iránt, mégis a legtöbb cég és persze a legtöbb felhasználó sincs tudatában, milyen nagy veszélyben vannak féltett adatai, ha számítógépei védtelenül csatlakoznak az internetre. Kevés ilyen esetről hallani, hisz a cégek igyekeznek eltitkolni, ha informatikai támadás éri őket. A hackerek sokszor nyom nélkül dolgoznak, nem olyan látványosak a betörések, mint egy bankrablás, viszont legalább olyan jövedelmező lehet.

Megváltozhat azonban egy vezető hozzáállása, ha megtudja, hogy egy nemzetközi céget is akár hat óra alatt tönkre lehet tenni „csupán” az internetet használva. Csak egy példa: valamelyik dolgozó beviszi az otthoni wifieszközt, hogy laptopján vezeték nélkül netezhessen, és ezért azt összekapcsolja a céges hálózattal, mert úgy van kedve. Ezen az eszközön vacak a jelszó, és az utca túloldaláról be lehet jutni a céges belső hálózatba. És aki bent van, az bent van! – mondja Fóti Marcell.

Érdemes szakembereknél érdeklődni – a gyári beállítások legtöbbször nem elég óvatosak, ezt kell módosítani, ha új eszköz kerül a hálózatba.

Nemcsak cégek, hanem kormányok is megrendelhetik az etikushacker-képzést, nálunk is képeztek ki rend- és titokvédelmi hatósági szakemberet – mondja a képzőintézet vezetője. A kormányok számára kiképzett hackerek csapata akár nyugtalanító is lehet, elég, ha az arab országokra gondolunk, ahol hirtelen, kormányzati parancsra „levágtak” a netről több millió embert. Máshol erősen szűrik vagy akár meg is változtatják a netes információkat (pl. Kína). Ez is kétélű fegyver tehát, és egyre élesedik.

Az etikus hackereket képző szakember sokat tud, tudását számtalan, világszerte elfogadott és tiszteletben tartott elismerés is jelzi. Azt azonban ő sem tudja, hogy mi a helyzet a hazai informatikai támadásokkal. „Erről ugyanis nincs nyilvántartás. Merthogy Magyarországon nincs bejelentési kötelezettség. Ha meghackeltek, eltitkolod. Annyi.”

Hackercucc

Ma már új biztonsági rést felfedezni komoly mérnöki munka. De más felfedezését használni egyszerűbb, mint valaha. Talán a leghírhedtebb eszközcsalád a MetaSploit Framework (www.metasploit.com), amellyel (szinte) gyerekjáték a mások által felfedezett exploitokat akár hálózaton keresztül is felhasználni, uralmat szerezni mások számítógépe felett. A MetaSploit ellen az egyetlen orvosság az operációs rendszerek és alkalmazások rendszeres frissítése, hogy mire egy támadás megjelenik az eszközben, arra a számítógépünk már ne legyen érzékeny. Aztán itt van a Back-Track néven futó „operációs rendszer” (www.backtrack-linux.org), ami egy olyan Linux-variáns, ahol a menüpontokban csak hackercuccokat találunk, abból viszont több százat. Van benne wifi, jelszó, Bluetooth és mindenféle egyéb törőszerszám. Védekezni ellene? No, az kihívás. Megfelelő felkészültség nélkül nem is lehet. Ezért van lényeges szerepe az etikushacker-képzésnek.

Nyom nélkül