Информационная безопасность — основные угрозы

В статье мы рассмотрим мотивацию атакующих и проведем их классификацию. Также классифицируем основные методы атак, оценим их риски и возможные последствия.

К сожалению, от атак не застрахован ни один веб‑проект. Даже если ваш сайт ничем не интересен профессиональным хакерам (реальных денег нет, данных мало и они не ценные), если проект не вызывает яркие негативные эмоции у кого‑либо, а монетизация возможной атаки ничтожна по прибыльности, то всё это лишь снижает риски, и всё равно проекту не избежать автоматизированных атак с целью захвата вычислительных ресурсов или для перенаправления трафика.

Мотивация атакующих

• Вымогательство — требуют деньги за прекращение атаки, за возврат зашифрованных / удаленных данных или за сохранение конфиденциальности полученных данных.
• Охота за данными — украденные данные могут быть проданы или иным образом монетизированы.
• Перехват пользовательского трафика — этот тип атаки направлен на посещаемые сайты, их трафик выгодно перенаправлять на иные ресурсы с целью монетизации.
• Захват вычислительных ресурсов — атакованная система встраивается в ботнет, нацеленный на спам‑рассылки или DDoS‑атаки на другие ресурсы, а в последние годы актуальным стало использование «угнанных» серверных мощностей для майнинга криптовалют.
• Недоброжелатели — мотивация атаки крайне проста: владелец системы чем‑то обидел злоумышленника, примеры: «бан на форуме», «блокировка аккаунта в компьютерной игре» и т.д.
• Идеологические противники — похожи на недоброжелателей, но обычно это группа лиц, действующих против деятельности владельца ресурса.
• Just for fun — мотивация атакующего может быть и просто в получении удовольствия от процесса взлома системы.

Виды атакующих

С прикладной точки зрения вполне достаточно наиболее простой и грубой классификации:

• Роботы — полностью автоматический, массовый и обычно простой сценарий атаки, вероятность контакта с этим типом атакующих — 100%.
• Скрипт‑кидди — простой неадаптивный сценарий атаки с использованием готового инструментария, вероятность контакта с этим типом атакующих достаточно высока для относительно популярных публичных ресурсов.
• Профи — адаптивный сценарий атаки с индивидуальным подходом к атакуемой системе. Вероятность контакта зависит от многих факторов: для популярных ресурсов и финансовых приложений — очень высокая, для остальных — зависит по большей части от тематики проекта.

Профи часто разделяют «по цвету шляпы», что отражает их мотивацию.

• White Hat Hacker — это специалисты по информационной безопасности, изучающие уязвимости или атакующие систему с явного разрешения владельца (по должностным обязанностям, по контракту или в рамках баг‑баунти программы).
• Black Hat Hacker — злоумышленники, целью которых является нажива или нанесение вреда атакуемой системе по другим соображениям.
• Gray Hat Hacker — весьма сомнительная категория, в которую входят специалисты по информационной безопасности, взламывающие системы, а затем (при успешном взломе) продающие свои услуги жертве. От блэк‑хэтов отличаются наличием декларируемой этики, не позволяющей им продавать данные или каким‑то другим образом монетизировать полученную ими информацию.

Иногда отдельно выделяют дополнительные группы:

• Script kiddie / Newbie — «недохакеры», освоившие пару программ для нагрузочного тестирования или пентестинга
• Criminal gangs — криминальные группировки, обычно охотятся за деньгами и данными на продажу
• Hacktivist — хактивисты, идеологические противники
• Cyberwarfare — кибер‑войска

Возможные последствия для проекта

• Снижение производительности или неработоспособность — атаки типа «отказ в обслуживании» могут замедлить работу системы или вывести веб‑приложение из строя в момент их проведения, но некорректно сконфигурированный проект может не восстановиться после сильной нагрузки.
• Заражение пользователей вирусами — взломанный сайт может служить площадкой для распространения вредоносного ПО или для фишинга.
• Перенаправление трафика — пользователей взломанной системы могут перенаправлять на другие сайты (казино, фарма, финансовые услуги и т.д.).
• Присоединение к ботнету — вычислительные мощности могут использоваться для спама, атак на другие системы или для майнинга.
• Кража данных и шпионаж — из взломанной системы могут быть украдены данные или может быть установлен бэкдор, позволяющий получать данные из системы в дальнейшем.
• Взлом учетных записей — учетные записи могут быть скомпрометированы как в атакованной системе, так и в других — к сожалению, у пользователей очень часто одинаковые пароли для нескольких разных систем.
• Дефейс — на веб‑страницах может быть размещена информация, наносящая репутационный ущерб.

Основные методы атак на веб‑проекты

• (D)DoS-атаки  — атаки типа «отказ в обслуживании»
• Различные инъекции — внедрение произвольного исполняемого кода, загрузка shell / бэкдора, SQL‑инъекции …
• Атаки на систему аутентификации и управления сессиями — взлом учетных записей, перехват сессий
• Межсайтовый скриптинг и подделка запроса — XSS & CSRF
• Атаки на экспозицию чувствительных данных — получение данных, которые хоть и недоступны из графического интерфейса, но по каким‑то причинам всё же могут быть получены без должной авторизации
• Атаки на неверную конфигурацию ПО — поиск «открытых портов», «дефолтных паролей» и т.д.
• MITM и сниффинг — перехват пользовательского трафика, подмена получаемых и отправляемых данных
• Социальная инженерия — большой набор методов, использующих человеческий фактор