Све што треба да знате о операцији Аурора

У јануару 2010. Гугл је открио да је постао жртва софистицираног сајбер напада који потиче из Кине. Нападачи су циљали на Гугл-ову корпоративну мрежу, што је резултирало крађом интелектуалне својине и приступом Гмаил налозима активиста за људска права. Поред Гугла, напад је такође циљао преко 30 компанија у финтецх-у, медијима, интернету и хемијском сектору.

Ове нападе је извела кинеска група Елдервуд, а касније су их стручњаци за безбедност назвали Операцијом Аурора. Па шта се заправо догодило? Како је то спроведено? А какве су биле последице операције Аурора?

Шта је операција Аурора?

Операција Аурора је била серија циљаних сајбер напада на десетине организација, укључујући Гоогле, Адобе, Иахоо, Симантец, Морган Станлеи, Рацкспаце и Дов Цхемицалс, између осталих. Гоогле је прво поделио детаље о нападима у посту на блогу у којем се тврди да су то напади које спонзорише држава.

Убрзо након Гоогле-ове објаве, више од 30 других компанија открило је да је исти противник провалио у њихове корпоративне мреже.

Назив напада потиче од референци у малверу на фасциклу под називом „Аурора“ коју су пронашли истраживачи МацАфее-а на једном од рачунара које су користили нападачи.

Како је напад изведен?

Ова операција сајбер шпијунаже је покренута помоћу техника спеар-пхисхинг. У почетку су циљани корисници примили злонамерни УРЛ у е-поруци или инстант поруци која је покренула низ догађаја. Када би корисници кликнули на УРЛ, то би их одвело на веб локацију која је извршила даљи злонамерни ЈаваСцрипт код.

ЈаваСцрипт код је искористио рањивост у Мицрософт Интернет Екплорер-у која је у то време била прилично непозната. Такве рањивости су често називани „експлоатима нултог дана“.

Експлоатација нултог дана омогућила је покретање злонамерног софтвера у Виндовс-у и постављање позадинских врата за сајбер криминалце преузму контролу над системом и краду акредитиве, интелектуалну својину или шта год да су тражење.

Шта је била сврха операције Аурора?

Операција Аурора је била веома софистициран и успешан напад. Али прави разлози напада остају нејасни. Када је Гоогле открио Аурора бомбу, навео је следеће разлоге и последице:

• Крађа интелектуалне својине: Нападачи су циљали на корпоративну инфраструктуру, што је резултирало крађом интелектуалне својине.
• сајбер шпијунажа: Такође се наводи да су напади били део операције сајбер шпијунаже која је покушала да се инфилтрира на Гмаил налоге кинеских дисидената и активиста за људска права.

Међутим, неколико година касније, виши директор Мицрософтов институт за напредну технологију је навео да су напади заправо имали за циљ да испитају америчку владу, да провери да ли је открила идентитет тајних кинеских агената који обављају своје дужности у Сједињеним Државама.

Зашто је операција Аурора привукла толико пажње?

Операција Аурора је сајбер напад о коме се нашироко расправља због природе напада. Ево неколико кључних тачака које га издвајају:

• Ово је била веома циљана кампања у којој су нападачи имали детаљне обавештајне податке о својим циљевима. Ово би могло да наговештава умешаност веће организације, па чак и актера националних држава.
• Сајбер инциденти се дешавају стално, али многе компаније не говоре о њима. За компанију тако софистицирану као што је Гугл, излазак и објављивање тога у јавности је велика ствар.
• Многи стручњаци за безбедност сматрају кинеску владу одговорном за нападе. Ако су гласине тачне, онда имате ситуацију у којој влада напада корпоративне субјекте на начин који никада раније није био изложен.

Последице операције Аурора

Четири месеца након напада, Гугл је одлучио да затвори своје операције у Кини. Укинуо је Гоогле.цом.цн и преусмерио сав саобраћај на Гоогле.цом.хк — Гоогле верзију за Хонг Конг, пошто Хонг Конг има различите законе у односу на Кину.

Гугл је такође реструктурирао свој приступ како би ублажио шансе да се такви инциденти понове. Имплементирала је архитектура са нултим поверењем под називом БеиондЦорп, што се показало као добра одлука.

Многе компаније беспотребно обезбеђују повишене привилегије приступа, које им омогућавају да уносе промене у мрежу и раде без ограничења. Дакле, ако нападач пронађе пут до система са привилегијама на нивоу администратора, лако може злоупотребити те привилегије.

Модел нултог поверења ради на принципи приступа са најмањим привилегијама и нано-сегментација. То је нови начин успостављања поверења у коме корисници могу да приступе само оним деловима мреже који су им заиста потребни. Дакле, ако су акредитиви корисника угрожени, нападачи могу приступити само алатима и апликацијама доступним том кориснику.

Касније је много више фирми почело да усваја парадигму нултог поверења регулишући приступ осетљивим алатима и апликацијама на својим мрежама. Циљ је верификовати сваког корисника и отежати нападачима да изазову широку штету.

Одбрана од операције Аурора и сличних напада

Напади Операције Аурора открили су да чак и организације са значајним ресурсима као што су Гоогле, Иахоо и Адобе и даље могу бити жртве. Ако велике ИТ компаније са огромним финансирањем могу бити хаковане, онда ће мање фирме са мање ресурса имати потешкоћа да се бране од таквих напада. Међутим, Операција Аурора нас је такође научила одређеним важним лекцијама које нам могу помоћи да се одбранимо од сличних напада.

Чувајте се социјалног инжењеринга

Напади су истакли ризик од људског елемента у сајбер безбедности. Људи су примарни пропагатори напада и природа друштвеног инжењеринга кликања на непознате везе се није променила.

Да би се осигурало да се напади слични Аурори не би поновили, компаније морају да се врате основе информационе безбедности. Они морају да едукују запослене о безбедним праксама сајбер безбедности и начину на који они комуницирају са технологијом.

Природа напада постала је толико софистицирана да је чак и искусним професионалцима у области безбедности то тешко разликовати добар УРЛ од злонамерног.

Користите шифровање

ВПН-ови, прокси сервери и вишеструки слојеви енкрипције могу се користити за сакривање злонамерне комуникације на мрежи.

Да би се открила и спречила комуникација компромитованих рачунара, све мрежне везе морају бити надгледане, посебно оне које излазе ван мреже компаније. Препознавање абнормалне мрежне активности и праћење количине података који излазе са рачунара може бити добар начин да се процени његово здравље.

Покрените Превенцију извршавања података

Други начин да смањите безбедносне претње је покретање Превенције извршења података (ДЕП) на вашем рачунару. ДЕП је безбедносна функција која спречава покретање неовлашћених скрипти у меморији вашег рачунара.

Можете га омогућити тако што ћете отићи на Систем и безбедност > Систем > Напредна подешавања система у контролној табли.

Укључивање ДЕП функције ће отежати нападачима да изведу нападе налик Аурори.

Аурора и пут напред

Свет никада није био толико изложен ризицима од напада које спонзорише држава као што је сада. Пошто се већина компанија сада ослања на удаљену радну снагу, одржавање безбедности је теже него икад.

На срећу, компаније брзо усвајају приступ безбедности без поверења који функционише на принципу да никоме не верују без сталне провере.

Разоткривено: 6 митова о безбедности без поверења

Модел нултог поверења је ефикасан начин за ограничавање кршења података, али постоји превише заблуда о његовој примени.

Реад Нект

О аутору