Człowiek - najsłabsze ogniwo internetu

Takie wnioski płyną z opublikowanego przez firmę Kaspersky artykułu Davida Emma "Łatanie ludzkich słabości". Emm omawia w nim czynnik ludzki oraz jego wpływ na bezpieczeństwo informatyczne.

Złożone zagrożenia

Obecny krajobraz zagrożeń informatycznych jest bardzo złożony. Cyberprzestępcy wykorzystują cały wachlarz sposobów, by "porywać" komputery użytkowników i nielegalnie zarabiać pieniądze.

Zagrożenia obejmują różne rodzaje trojanów, robaki i wirusy, które umożliwiają szkodliwemu oprogramowaniu wykorzystywanie luk w zabezpieczeniach systemu operacyjnego lub aplikacji. Cyberprzestępcy posługują się również wieloma wyrafinowanymi technikami, które pozwalają na ukrycie aktywności szkodliwego oprogramowania lub utrudniają analitykom wirusów analizę i wykrycie szkodliwego kodu.

O problemach cyberprzestępczości i ich rozwiązywaniu łatwo myśleć w kategoriach czysto technicznych. Równie istotne jest jednak zwalczanie jej "ludzkich" aspektów.

Ludzie - najsłabsze ogniwo w łańcuchu bezpieczeństwa

Niezależnie od technicznego zaawansowania szkodliwych programów, cyberprzestępcy często próbują wykorzystać ludzkie słabości, by rozprzestrzeniać swoje metody. Nie powinno to nikogo dziwić.

Człowiek zwykle jest najsłabszym ogniwem każdego systemu bezpieczeństwa. Przykładem może być zabezpieczanie domu: jeśli nawet masz najlepszy alarm antywłamaniowy na świecie, ale go nie aktywujesz, to tak jakbyś nie miał żadnej ochrony. To samo dotyczy bezpieczeństwa online.

Cyberprzestępcy nadal wykorzystują powszechnie socjotechnikę, tj. próbują nakłonić ludzi, aby zrobili coś, co zmniejszy ich bezpieczeństwo w sieci.

Mimo wielu apeli, wciąż skuteczne są oszustwa phishingowe. Ich celem jest zwabienie użytkowników na fałszywe strony internetowe i nakłonienie do tego, by ujawnili tam swoje dane osobowe - hasła, numery PIN i inne, które mogą zostać wykorzystane przez cyberprzestępców.

Klasyczne oszustwo phishingowe przybiera postać spekulacyjnej wiadomości e-mail, wysyłanej na miliony adresów w nadziei, że wystarczająca liczba osób złapie się na "haczyk" i kliknie w zawarty w mailu odsyłacz.

Podobnie jak kieszonkowcy, oszuści internetowi również podążają za modą. Zważywszy na coraz większą liczbę osób korzystających z portali społecznościowych, takich jak Facebook, MySpace, LinkedIn czy Twitter, nie dziwi fakt, że serwisy te stają się celem licznych ataków.

Cyberprzestępcy włamują się na konta na Facebooku, a następnie wykorzystują je do rozsyłania wiadomości zawierających odsyłacze do szkodliwych programów. Mogą też rozsyłać "tweety" z odsyłaczami, ukrywając ich rzeczywisty adres za pomocą usługi skracania adresów URL, lub po prostu udawać przyjaciela, który zgubił się w odległym kraju i desperacko potrzebuje pieniędzy na powrót do domu.

Żadna z tych metod nie jest specyficzna dla portali społecznościowych. Cyberprzestępcy po prostu wykorzystują metody, które już wcześniej okazały się skuteczne.

O popularności socjotechniki świadczy również wzrost liczby programów typu "scareware", czyli takich, których zadaniem jest wystraszenie internautów.

Na stronie internetowej ukazuje się komunikat, że twój komputer został zainfekowany i powinieneś pobrać darmowe oprogramowanie antywirusowe, aby usunąć to zkodliwe. Kiedy jednak pobierzesz i uruchomisz taki program, zostaniesz poinformowany, że do wyleczenia komputera potrzebujesz "pełnej" wersji - za którą musisz już zapłacić.

Takie oprogramowanie pozwala cyberprzestępcom upiec dwie pieczenie na jednym ogniu: nie tylko wyłudzają od ciebie pieniądze, ale również zdobywają numer twojej karty kredytowej.

Człowiek zwykle jest najsłabszym ogniwem każdego systemu bezpieczeństwa. Przykładem może być zabezpieczanie domu: jeśli nawet masz najlepszy alarm antywłamaniowy na świecie, ale go nie aktywujesz, to tak jakbyś nie miał żadnej ochrony.To samo odnosi się do bezpieczeństwa online.

---

Jednym z problemów związanych z atakami wykorzystującymi socjotechnikę jest to, że stanowią ruchomy cel: kolejne oszustwa nigdy nie wyglądają tak samo. Z tego powodu zwykłym użytkownikom trudno jest określić, co jest bezpieczne, a co nie.

Naturalnie, brak świadomości to nie jest jedyny problem. Darmowe treści audio, wideo lub zdjęcia nagich gwiazd to popularny chwyt, za pomocą którego oszuści próbują nakłonić ludzi do kliknięcia w odsyłacz, który powinni zignorować.

Zdrowy rozsądek często podpowiada, że jeżeli coś wydaje się zbyt piękne, żeby było prawdziwe, prawdopodobnie nie jest prawdziwe. Jednak ten sam zdrowy rozsądek czasami zostaje uśpiony, właśnie wtedy, gdy powinien ostrzec cię, że podjęcie działania - w tym przypadku kliknięcia w odsyłacz - może być szkodliwe.

Uwaga na hasła!

Czasami, żeby ułatwić sobie życie, idziemy na skróty nie uświadamiając sobie, w jaki sposób nasze działania wpłyną na nasze bezpieczeństwo. Dotyczy to na przykład haseł.

Transakcji biznesowych coraz częściej dokonujemy online - zakupy, przelewy bankowe, płacenie rachunków itd. Nierzadko posiadamy 10, 20 lub więcej kont online, dlatego zapamiętanie (a nawet wybranie) unikatowego hasła dla każdego z nich jest bardzo trudne. W tej sytuacji wiele osób za dobrą opcję uważa stosownie tego samego hasła dla każdego konta lub wykorzystanie imienia dziecka, małżonka lub miejsca, które jest ważne ze względów osobistych, a przez to łatwe do zapamiętania.

Inną powszechnie stosowaną metodą jest "recykling" haseł - na przykład wykorzystanie "mojeimię1", "mojeimię2", "mojeimię3" itd. dla kolejnych kont.

Każda z tych metod zwiększa prawdopodobieństwo, że cyberprzestępca takie hasło odgadnie lub, jeżeli uda mu się włamać na jedno z kont, łatwo uzyska dostęp do pozostałych. Ryzyko to nie jest jednak oczywiste dla użytkowników, którzy nie są zaawansowani technicznie. Nawet jeśli są świadomi potencjalnego zagrożenia, nie widzą "alternatywy", bo nie są w stanie zapamiętać 10, 20 czy większej liczby haseł.

Problem haseł da się rozwiązać. Zamiast próbować zapamiętać poszczególne hasła, stwórz stały składnik swoich haseł, a następnie zastosuj do niego prostą formułę. Oto przykład: do nazwy, powiedzmy "mójbank", zastosuj następującą formułę:

1. Czwarty znak napisz wielką literą.

2. Przedostatni znak przesuń do przodu.

3. Po drugim znaku dodaj wybraną liczbę.

4. Na końcu dopisz wybrany znak niealfanumeryczny.

Hasło będzie wtedy miało postać: "Nm1ójBak;". Przy użyciu tej metody, za każdym razem wykonując te same cztery kroki, możesz stworzyć unikatowe hasło dla każdego konta online.

Co należy zrobić?

Technologia stanowi trzon każdego rozwiązania zwalczającego szkodliwe oprogramowanie. Nierozsądnie byłoby jednak ignorować ten aspekt bezpieczeństwa, który wiąże się z człowiekiem. W realnym świecie wiemy, że alarmy antywłamaniowe, zabezpieczenia okien oraz łańcuchy bezpieczeństwa zakładane na drzwiach mogą stanowić skuteczne sposoby zabezpieczenia nieruchomości. Na nic się jednak zdadzą, jeżeli ktoś z własnej woli otworzy drzwi nieznajomemu.

Podobnie jak kieszonkowcy, oszuści internetowi również podążają za modą. Zważywszy na coraz większą liczbę osób korzystających z portali społecznościowych, takich jak Facebook, MySpace, LinkedIn czy Twitter, nikogo nie powinno dziwić, że serwisy te stają się celem coraz większej liczby ataków.

---

Podobnie, korporacyjna strategia bezpieczeństwa będzie mniej skuteczna, jeżeli nie uwzględni jednego elementu - człowieka. Oprócz zabezpieczenia zasobów cyfrowych musimy znaleźć twórcze sposoby wyeliminowania "słabości", jakie stanowią zasoby ludzkie. Nie jest to tylko problem biznesu.

Większość indywidualnych użytkowników, którzy korzystają z internetu w domu, boryka się z tymi samymi problemami. Jako społeczeństwo musimy znaleźć sposoby podniesienia świadomości zagrożeń związanych z aktywnością online i opracować skuteczne metody zminimalizowania ryzyka.

Zdrowy rozsądek online

Jesteśmy stosunkowo dobrze przygotowani do zarządzania ryzykiem w realnym świecie. Posiadamy na przykład wiele utrwalonych strategii opartych na "zdrowym rozsądku", za pomocą których uświadamiamy dzieciom potencjalne zagrożenia podczas przechodzenia przez ulicę: uczymy je korzystać z wyznaczonych do tego miejsc lub, jeżeli nie jest to możliwe, spojrzeć najpierw jedną, potem w drugą stronę. Od lat powstają reklamy telewizyjne, drukowane i radiowe informujące o zagrożeniach związanych z jazdą pod wpływem alkoholu lub niezapinaniem pasów bezpieczeństwa.

Naturalnie rady, jakich udzielamy naszym dzieciom, oraz ostrzeżenia w ramach kampanii rządowych o bezpiecznym kierowaniu pojazdem nie gwarantują bezpieczeństwa. Dostarczają jednak informacji, które pomagają zminimalizować ryzyko. Dzisiaj kierowanie pojazdem pod wpływem alkoholu jest powszechnie uważane za naganne. Jednocześnie mamy o wiele mniej wypadków spowodowanych przez nietrzeźwych kierowców na drogach niż czterdzieści lat temu.

Niestety, nie możemy porównać tego stanu ze światem online. Nie powinno to jednak dziwić. W porównaniu ze wszystkimi pokoleniami kierowców i jeszcze większą liczbą pokoleń pieszych przechodzących przez ulicę, internet to bardzo nowe zjawisko. Ludzie dopiero zaczynają zdawać sobie sprawę, w jaki sposób sieć może poprawić ich życie: niestety, wielu pozostaje w błogiej nieświadomości potencjalnych zagrożeń.

Mamy tu do czynienia z pewnego rodzaju paradoksem. Dzieci uczą się od swoich rodziców zdroworozsądkowych strategii zapewniających bezpieczeństwo w realnych świecie. Jednak dzisiejsi rodzice często nie posiadają wystarczających kompetencji, aby edukować swoje dzieci na temat bezpieczeństwa online, ponieważ nie są obeznani z tą "nową" technologią. Dzieci natomiast wprawdzie potrafią korzystać z technologii, zwykle jednak niewiele wiedzą na temat potencjalnych zagrożeń online.

Istotne jest, abyśmy wspólnie rozwinęli taki zdrowy rozsądek również w odniesieniu do świata online. Jeżeli nam się to uda, współczesne dzieci będą lepiej przygotowane do tego, aby zapewnić ochronę swoim własnym dzieciom.

Edukacja w miejscu pracy

Na początek ważne jest, aby nie mylić edukacji ze szkoleniem. Próba wyszkolenia ludzi na ekspertów od bezpieczeństwa komputerowego byłaby zamierzeniem nierealistycznym. Zamiast tego powinniśmy podnosić świadomość potencjalnych zagrożeń online i uczyć ludzi, co mogą zrobić, aby samemu zapewnić sobie ochronę.

W przypadku przedsiębiorstw i organizacji edukacja personelu powinna być jednym z kluczowych elementów składowych skutecznej strategii bezpieczeństwa. Pracownikom trzeba wyjaśnić, prostym i bezpośrednim językiem, naturę zagrożenia. Powinni rozumieć, jakie zabezpieczenia zostały wprowadzone przez organizację i dlaczego, oraz w jaki sposób mogą one wpłynąć na wykonywanie przez nich obowiązków.

Strategia bezpieczeństwa jest znacznie skuteczniejsza, jeżeli personel rozumie ją i popiera. Istotne jest również stworzenie kultury otwartości: pracowników należy zachęcać do zgłaszania podejrzanej aktywności, a nie ukrywania tego z obawy przed konsekwencjami dyscyplinarnymi. Jeżeli pracownicy czują się zagrożeni lub są wprowadzani w zakłopotanie, prawie na pewno będą mniej gotowi do współpracy.

Jak w każdej dziedzinie bezpieczeństwa, nie wystarczy stworzyć odpowiednich procedur, zmusić personel do ich podpisania i na tym poprzestać. Skuteczna polityka bezpieczeństwa powinna ewoluować wraz ze zmieniającym się krajobrazem zagrożeń i powinna być regularnie aktualizowana.

Musimy również pamiętać o tym, że ludzie uczą się w różny sposób: niektórzy są słuchowcami, inni wzrokowcami. Najlepiej zastosować różne strategie, aby mieć pewność, że pracownik zrozumie komunikaty o bezpieczeństwie. Możliwości obejmują prezentacje, kampanie plakatowe, konkursy , kreskówki, "wskazówki dnia" wyświetlane w momencie logowania się do sieci korporacyjnej itp.

Istotne jest również to, aby nie traktować informacji i szkoleń dotyczących bezpieczeństwa jako zagadnień czysto informatycznych. Należy umieścić je w ogólnym kontekście, który obejmuje higienę i bezpieczeństwo podczas pracy.

I edukacja w domu

Granica między pracą a domem zaciera się. Osoby, które używają komputerów do pracy, wykorzystują je również do robienia zakupów, dokonywania transakcji bankowych lub rozwijania kontaktów towarzyskich z domu. Wykorzystywanie komputerów dla celów niezwiązanych z pracą również można włączyć do programu podnoszenia świadomości w zakresie kwestii bezpieczeństwa.

Pokazując, w jaki sposób można chronić swoje komputery, zabezpieczać routery itd., pomożemy wykształcić zainteresowanie kwestią bezpieczeństwa. W ten sposób personel, który coraz częściej pracuje z domu, nie będzie narażał zasobów firmowych na niepotrzebne ryzyko.

Naturalnie, są osoby, które nie używają komputera w pracy (lub są na emeryturze), ale korzystają z niego w domu. W związku z tym ważne jest, aby edukacja na temat bezpieczeństwa została rozszerzona również na sferę życia codziennego.

Przyszłość

Cyberprzestępczość nie zniknie - jest zarówno produktem ery internetowej, jak i częścią ogólnego krajobrazu przestępczego. Dlatego myślenie, że "można wygrać tę wojnę", jest nierealistyczne. Zamiast tego powinniśmy znaleźć sposób na zmniejszenie ryzyka.

Ponieważ wiele z obecnych cyberataków wykorzystuje ludzkie słabości, istotne jest znalezienie sposobów "załatania" ich, analogicznie do zabezpieczania urządzeń komputerowych. Edukacja dotycząca bezpieczeństwa przypomina sprzątanie w domu - nie można traktować go jako jednorazowego zadania, trzeba sprzątać regularnie, aby zapewnić sobie dobre rezultaty.