Информационная безопасность — основные угрозы

В статье мы рассмотрим мотивацию атакующих и проведем их классификацию. Также классифицируем основные методы атак, оценим их риски и возможные последствия.

К сожалению, от атак не застрахован ни один веб‑проект. Даже если ваш сайт ничем не интересен профессиональным хакерам (реальных денег нет, данных мало и они не ценные), если проект не вызывает яркие негативные эмоции у кого‑либо, а монетизация возможной атаки ничтожна по прибыльности, то всё это это лишь снижает риски и всё равно проекту не избежать автоматизированных атак с целью захвата вычислительных ресурсов или для перенаправления трафика.

Мотивация атакующих

• Вымогательство — требуют деньги за прекращение атаки, за возврат зашифрованных / удаленных данных или за сохранение конфиденциальности полученных данных
• Охота за данными — ворованная информация может быть продана или иным образом монетизирована
• Перехват пользовательского трафика — этот тип атаки направлен на посещаемые сайты, трафик с которых выгодно перенаправлять с целью монетизации на иные ресурсы.
• Захват вычислительных ресурсов — атакованная система встраивается в ботнет, нацеленный на осуществление спам‑рассылок или DDoS‑атак на другие ресурсы, а также в последние годы стало актуальным использование «угнанных» серверных мощностей для майнинга криптовалют.
• Недоброжелатели — мотивация атаки крайне проста: владелец системы чем‑то обидел злоумышленника, примеры: «бан на форуме», «блокировка аккаунта в копьютерной игре» и т.д.
• Идеологические противники — похожи на недоброжелателей, но обычно это группа лиц, действующих против деятельности владельца ресурса.
• Just for fun — мотивация атакующего может быть и просто в получении удовольствия от процесса взлома системы.

Виды атакующих

С прикладной точки зранее вполне достаточно наиболее простой и грубой классификации:

• Роботы — полностью автоматический, массовый и обычно простой сценарий атаки, вероятность контакта с этим типом атакующих — 100%
• Скрипт‑кидди — простой неадаптивный сценарий атаки с использованием готового инструментария, вероятность контакта с этим типом атакующих достаточно высокая для относительно популярных публичных ресурсов
• Профи — адаптивный сценарии атаки с индивидуальным подходом к атакуемой системе. Вероятность контакта зависит от многих факторов: для популярных ресурсов и финансовых приложений — очень высокая, для остальных — зависит по большей части от тематики проекта.

Профи часто разделяют «по цвету шляпы», что отражает их мотивацию.

• White Hat Hacker — это специалисты по информационной безопасности, изучающие уязвимости или атакующие систему с явного разрешения владельца (по должностным обязанностям, по контракту или по баг‑баунти программе)
• Black Hat Hacker — злоумышленники, целью которых является нажива или нанесение вреда атакуемой системе по другим соображениям.
• Gray Hat Hacker — весьма сомнительная категория, в которую входят специалисты по информационной безопасности, взламывающие системы, а затем (при успешном взломе) продающие свои услуги жертве. От блэк‑хэтов отличаются наличием декларируемой этики, не позволяющей им продавать данные или каким‑то другим образом монетизировать полученную ими информацию.

Иногда отдельно выделяют дополнительные группы:

• Script kiddie / Newbie — «недохакеры», освоившие пару программ для нагрузочного тестирования или пентестинга
• Criminal gangs — криминал, обычно охотятся за деньгами и данными на продажу
• Hacktivist — хактивисты, идеологические противники
• Cyberwarfare — кибер‑войска

Возможные последствия для проекта

• Снижение производительности или неработоспособность — атаки типа «отказ в обслуживании» обычно могут замедлить работу системы или вывести веб‑приложение из строя в момент их проведения, но некорректно сконфигурированный проект может не восстановиться после сильной нагрузки.
• Заражение пользователей вирусами — взломанный сайт может служить площадкой для распространения вредоносного ПО или для фишинга
• Перенаправление трафика — пользователи взломанной системы могут быть перенаправлены на другие сайты (казино, фарма, финансовые услуги и т.д.)
• Присоединение к ботнету — вычислительные мощности могут использоваться для спама, атак на другие системы или для майнинга
• Кража данных и шпионаж — из взломанной системы могут быть украдены данные или может быть установлен бэкдор, позволяющий получать данные из системы и в последующем.
• Взлом учетных записей — учетные записи могут быть скомпрометиованы как в атакованной системе, так и в других системах — к сожалению, у пользователей очень часто одинаковые пароли для нескольких разных систем
• Дефейс — на веб‑страницах может быть размещена информация, наносящая репутационный ущерб

Основные методы атак на веб‑проекты

• (D)DoS-атаки — атаки типа «отказ в обслуживании»
• Различные инъекции — внедрение произвольного исполняемого кода, загрузка shell / бэкдора, SQL‑инъекции…
• Атаки на систему аутентификации и управления сессиями — взлом учетных записей, перехват учетных записей
• Межсайтовые скриптинг и подделка запроса — XSS & CSRF
• Атаки на экспозицию чувствительных данных — получение данных, которые хоть и недоступны из графического интерфейса, но по каким‑то причинам всё же могут быть получены без должной авторизации
• Атаки на неверную конфигурацию ПО — поиск «открытых портов», «дефолтных паролей» и т.д.
• MITM и сниффинг — перехват пользовательского трафика, подмена получаемых и отправляемых данных
• Социальная инженерия — большой набор методов, использующих человеческий фактор