Počítačová bezpečnosť

Počítačová bezpečnosť je oblasť vedy o počítačoch, ktorá sa zaoberá odhaľovaním a eliminovaním rizík spojených s používaním počítača.

Cieľom počítačovej bezpečnosti je zabezpečiť:

ochranu pred neoprávneným manipulovaním so zariadeniami počítačového systému,
ochranu pred neoprávnenou manipuláciou s dátami,
ochranu pred nelegálnou tvorbou kópií dát,
bezpečnú komunikáciu a prenos dát,
bezpečné uloženie dát,
integritu a nepodvrhnuteľnosť dát.

Koncepcia počítačovej bezpečnosti spočíva v troch krokoch:

prevencia - ochrana pred hrozbami
detekcia - odhalenie neoprávnenej činnosti a slabého miesta v systéme
náprava - odstránenie slabého miesta v systéme

S počítačovou bezpečnosťou súvisí i vedná disciplína nazývaná kryptológia.

Bezpečnostný projekt

Aby bola ochrana počítačového systému efektívna je potrebné vypracovať bezpečnostný projekt. Cieľom tohoto projektu je docielenie takého stavu, aby úsilie, riziko odhalenia a finančné prostriedky potrebné na narušenie bezpečnostného systému boli adekvátne v porovnaní s hodnotou, ktorú chráni bezpečnostný systém. Bezpečnostný projekt pozostáva z týchto častí:

zabezpečenie počítačového systému
zabezpečenie fyzického prístupu
zabezpečenie informácií
ekonomické a právne zabezpečenie

Zabezpečenie fyzického prístupu spočíva v zabránení prístupu nepovolaných osôb k častiam počítačového systému. Na toto zabezpečenie sa používajú bezpečnostné prvky ako pridelenie rozdielnych práv zamestnancom, elektronické zámky, poplašné zariadenia, kamerové systémy, autorizačné systémy chránené heslami, čipovými kartami a podobne, autentizačné systémy na snímanie otlačkov prstov, dlane, krvného riečiska, očnej dúhovky, rozpoznania hlasu a podobne, auditovacie systémy na sledovanie a zaznamenávanie určitých akcií zamestnancov (vstup zamestnanca do miestnosti, prihlásenie sa do systému, kopírovanie údajov…).

Zabezpečenie počítačového systému spočíva v zabezpečení počítačového systému pred útokom hakerov, škodlivých programov (vírusy, červy, trójske kone, spyware, adware…). Do tejto časti patrí aj zaškolenie zamestnancov, aby sa správali v súlade s počítačovou bezpečnosťou a dodržiavali etketu na sieti.

Zabezpečenie informácií spočíva v bezpečnom zálohovaní dát. Záloha dát by mala byť vytvorená tak, aby ju neohrozil útočník ani prírodná živelná pohroma (požiar, záplavy, pád lietadla…). Zálohované dáta je tiež potrebné chrániť proti neoprávnenej manipulácii použitím vhodného šifrovacieho systému.

Ekonomické a právne zabezpečenie spočíva v správnej motivácii a postihu zamestnancov.

Zraniteľnosti a útoky

Zraniteľnosť je slabina vo vývoji, v implementácii (realizácii), vo prevádzke, alebo vo vnútornej kontrole. Väčšina zistených zraniteľnosti je dokumentovaná v databáze Common Vulnerabilities and Exposures (CVE). Zneužitá slabina je taká, pre ktorú existuje aspoň jeden fungujúci útok alebo exploit. Zraniteľnosti môže útočník v systéme nájsť skúmaním, reverzným inžinierstvom, lovom, alebo ich môže zneužívať pomocou automatizovaných nástrojov alebo upravených skriptov. Aby sa zabezpečil počítačový systém, je dôležité porozumieť útokom, ktoré môžu byť proti nemu použité, a tieto hrozby sa zvyčajne dajú triediť do jednej z nasledujúcich kategórií:

Backdoor (zadné vrátka)

Zadné vrátka v počítačovom systéme, kryptosystéme alebo algoritme je akýkoľvek tajný spôsob, ako prejsť normálnou autentifikáciou alebo bezpečnostnými kontrolami. Môžu existovať z rôznych dôvodov, vrátane pôvodného zámeru alebo nesprávnej konfigurácie. Môžu byť pridané autorizovanou osobou na umožnenie nejakého legitímného prístupu alebo útočníkom za nekalým účelom. Bez ohľadu na motívy ich existencie, tieto prístupy vytvárajú zraniteľnosti. Zadné vrátka môže byť veľmi ťažké zistiť a zvyčajne sú objavené niekým, kto má prístup k zdrojovému kódu aplikácie, konfiguračným súborom alebo dôkladne pozná operačný systém počítača.

Útok odmietnutia služby (denial of service)

Útoky typu denial of service (DoS) sú navrhnuté tak, aby znemožnili používateľom prístup ku konkrétnemu zariadeniu, sieti alebo službe (napr. prístup na webstránku, do databázy a podobne). Útočníci môžu zabrániť využívaniu služby jednotlivým obetiam napríklad tým, že opakovane zadajú nesprávne heslo, až kým sa konto obete nezablokuje, alebo môžu preťažiť schopnosti stroja alebo siete spracovávať dáta a zablokovať tak všetkých používateľov naraz. Zatiaľ čo sieťový útok z jedinej IP adresy je možné zablokovať pridaním nového pravidla firewallu, mnoho druhov útokov typu Distributed denial of service (DDoS) je možných, keď útok pochádza z veľkého množstva bodov a je oveľa ťažšie sa proti nemu brániť. Tieto útoky môžu pochádzať z počítačov zvaných zombies, botnetu alebo z rôznych iných možných techník, vrátane útokov typu odrážanie a zosilnenie utokov, keď sú nevinné systémy zneužité na odoslanie útočnej prevádzky k obeti.

Útok s priamym prístupom (direct-access)

Nepovolaný používateľ, ktorý získal fyzický prístup k počítaču, je veľmi pravdepodobne schopný priamo z neho skopírovať dáta. Môže tiež ohroziť bezpečnosť tým, že urobí úpravy nastavenia operačného systému, nainštaluje malvér ako červy, keyloggery, odpočúvacie zariadenia alebo použije bezdrôtové mikrofóny. Aj keď je systém chránený štandardnými bezpečnostnými opatreniami, môže byť prelomený spustením iného operačného systému (často na báze OS Linux) alebo nástroja z CD-ROM alebo iného bootovateľného média. Možná ochrana proti tomuto typu útoku je šifrovanie disku a využitie Trusted Platform Module .

Odpočúvanie

Odpočúvanie je skryté počúvanie súkromnej počítačovej konverzácie (komunikácie), často medzi hostiteľmi na sieti. Napríklad programy ako Carnivore a NarusInSight používali agentúry FBI a NSA na odpočúvanie systémov poskytovateľov internetových služieb. Aj stroje, ktoré fungujú ako uzavretý systém (napr. bez kontaktu s vonkajším svetom), môžu byť vystavené odpočúvaniu sledovaním slabých elektromagnetických prenosov generovaných hardvérom. TEMPEST je špecifikácia NSA odkazujúca na tieto útoky.

Viac-vektorové, polymorfné útoky

Počas roku 2017 sa objavila nová trieda viac-vektorových (multivector), polymorfných kyberhrozieb, ktoré sa kombinovali z rôznych typov útokov a menili formu, aby sa vyhli kontrole kyberbezpečnosti pri ich šírení.

Phishing

Phishing je typ sociálneho inžinierstva, pri ktorom útočník odošle podvodnú (napr. sfalšovanú, falošnú alebo inak klamlivú) správu navrhnutú s cieľom oklamať osobu, aby odhalila útočníkovi citlivé informácie alebo nasadiť škodlivý softvér do infraštruktúry obete, ako napr. ransomvér . Phishingové útoky sú čoraz sofistikovanejšie a často transparentne odzrkadľujú cieľovú stránku, čo útočníkovi umožňuje sledovať všetky akcie, ktoré obeť vykonáva na stránke a prekračovať akékoľvek dodatočné bezpečnostné opatrenia spolu s obeťou. Od roku 2020 je phishing zďaleka najbežnejším útokom kyberzločincov , FBI Internet Crime Complaint Center zaznamenáva dvakrát viac prípadov phishingu ako akýkoľvek iný typ počítačovej kriminality.

Escalácia oprávnení

Escalácia oprávnení (Privilage escalation) opisuje situáciu, keď útočník s určitou úrovňou obmedzeného prístupu je schopný, bez autorizácie, zvýšiť svoje oprávnenia alebo úroveň prístupu. Napríklad, štandardný používateľ počítača môže využiť slabiny systému na získanie prístupu k zakázaním dátam; alebo dokonca sa stať root a mať plný neobmedzený prístup k systému.

Reverzné inžinierstvo

Reverzné inžinierstvo (Reverse engineering) je proces, pri ktorom sa ľudský vyrobený objekt rozoberie na zistenie jeho dizajnu, kódu a architektúry alebo na extrakciu znalostí z objektu; podobne ako vedecký výskum, rozdiel je len v tom, že vedecký výskum sa týka prírodného javu.

Side-channel attack (Bočný kanál útoku)

Akýkoľvek výpočtový systém ovplyvňuje svoje prostredie nejakou formou. Tento vplyv, ktorý má na svoje prostredie, zahŕňa širokú škálu kritérií, ktoré sa môžu pohybovať od elektromagnetickej žiarenia až po zvyškový vplyv na bunkách RAM, čo vedie k možnosti útoku pri studenom štarte (Cold boot attack), až po chyby v hardvérovej implementácii, ktoré umožňujú prístup a alebo odhadovanie iných hodnôt, ktoré by normálne mali byť nedostupné. V scenároch útoku bočným kanálom by útočník zhromažďoval takéto informácie o systéme alebo sieti, aby odhadol jeho interný stav a ako výsledok získal prístup k informáciám, ktoré obete považujú za bezpečné.

Social engineering ( Sociálne inžinierstvo )

Sociálna inžinierstvo, v kontexte počítačovej bezpečnosti, má za cieľ presvedčiť používateľa, aby prezradil tajomstvá ako hesla, čísla kariet atď. alebo udelila fyzický prístup napríklad tým, že sa vydáva za vysokého manažéra, banku, dodávateľa alebo zákazníka.Väčšinou ide o využitie dôvery ľudí a závislosť na ich kognitívnych biasoch. Bežným podvodom sú e-maily posielané pracovníkom účtovníctva a finančného oddelenia, ktoré sa vydávajú za CEO a naliehavo žiadajú o nejakú akciu. V začiatku roka 2016 FBI hlásila, že takéto podvody so zneužitím obchodných e-mailov (busniess email compromise, BEC) stáli americké firmy viac ako 2 miliardy dolárov za približne dva roky.

V máji 2016 bol tím NBA Milwaukee Bucks obeťou tohto typu cyberpodvodu, pri ktorom útočník sa vydával za prezidenta tímu Petera Feigina, čím vedúci všetkým zamestnancom tímu 2015 W-2 daňové formuláre.

Spoofing

Spoofing je akcia ktorá sa vydáva za platnú entítu prostredníctvom falšovania dát (ako je napríklad IP adresa alebo používateľské meno), aby získali prístup k informáciám alebo zdrojom, na ktoré by inak nemali oprávnenie. Existujú rôzne typy spoofingu, vrátane:

E-mailový spoofing, kde útočník falšuje odosielanie (od, alebo zdroj) adresy e-mailu.

IP adresa spoofing, kde útočník mení zdrojovú IP adresu v sieťovom pakete, aby skryl svoju identitu alebo sa vydával za iný počítačový systém.

MAC Spoofing, kde útočník modifikuje Media Access Control (MAC) adresu svojho sieťového rozhrania, aby skryl svoju identitu alebo sa vydával za iného.

Biometrický spoofing, kde útočník vytvorí falošnú biometrickú vzorku, aby sa vydával za iného používateľa.

Tampering ( Manipulácia )

Tampering popisuje zlé úpravy alebo zmeny dát. Úmyselný, ale neoprávnený konanie, ktorý vedie k úprave systému, súčastí systému, jeho predpokladaného správania alebo dát. Takzvané Evil Maid attacks a bezpečnostné služby, ktoré vkladajú zo sledovacích kapacít do smerovačov, sú príklady.

Malware

Je to akýkoľvek softvér ktorý je zámerne navrhnutý tak, aby spôsobil narušenie počítača, servera alebo počítačovej siete. V týchto komponentov môžu unikať akékoľvek informácie ( osobne, obchodne, hesla ), ktoré môžu poskytnúť útočníkovi kontrolu nad systémom, môže je poškodiť alebo odstrániť údaje.

Pozri aj

Iné projekty

Commons ponúka multimediálne súbory na tému Počítačová bezpečnosť

Tento článok týkajúci sa počítačov je zatiaľ „výhonok“. Pomôž Wikipédii tým, že ho doplníš a rozšíriš.