Očekivanja od računalne sigurnosti u 2016. godini

Sigurnost kao sastavni dio razvoja i dizajna proizvoda

Internet stvari (Internet of Things, IoT) ne može biti uspješan ukoliko sigurnost nije sastavni dio dizajna proizvoda ili usluge.
Iz sfere korisnika: Napadači koriste svaku priliku koja se otvara postojanjem sve većeg broja povezanih uređaja, pa će tako i interes napadača za napadima na IoT uređaje rasti. Broj uređaja i raznih IoT implementacija još uvijek je relativno malen pa stoga ne očekujemo velike napade na korisničke uređaje. Međutim, mislimo da će biti povremenih manjih napada i da oni koji su već prihvatili IoT uređaje u svojem okruženju moraju na to biti na vrijeme upozoreni te da moraju biti svjesni moguće opasnosti. Očekujemo da će prvi znakovi stvarnih napada na IoT uređaje biti napadi s ciljem ucjene (ransomware). Napadi na povezane medicinske uređaje ili automobile sa sobom mogu, pak, nositi prilično stvarnu sigurnosnu prijetnju pa očekujemo da će upravo ovi napadi potaknuti raspravu i konačno donošenje regulative u području odgovornosti tvrtki. Certifikati i potpisivanje koda bit će važan korak u tome da IoT uređaji postanu sigurniji ali, kako se dalje bude razvijalo ovo područje, sigurnost mora biti u samoj srži novih IoT uređaja.

Iz sfere industrije: Cijeli industrijski sektor koji se bavi proizvodnjom povezanih uređaja može se pohvaliti velikim rastom produktivnosti ali, s obzirom na potencijalno velik broj novih vektora za napad, očekujemo da će se veći broj tvrtki teško s tim suočavati. Prekidi u poslovanju zbog vanjskih napada ili pada IT sustava postavit će nove izazove pred industriju ali neće biti moguće zaustaviti odlučan put ka povezivanju svih uređaja. Strategije za zaštitu podataka i telemetriju mogućih napada morat će se značajno razviti. Vjerujemo da će se glavni menadžeri odgovorni za sigurnost morati odlučiti za potpun, sveobuhvatan pristup sigurnosti svoje IT infrastrukture, kao i za dedicirane slojeve zaštite.

Ugrađivanje osnovnih sigurnosnih principa u način na koji proizvodimo i osmišljavamo nove tehnologije bit će ključno u sljedećih nekoliko godina. Bez obzira radi li se o dizajniranju pametnih gradova, infrastrukture ili robota koji će sve više preuzimati naše dnevne uloge, moramo se pobrinuti da programiranje, primjena nadogradnji softvera i identifikacija korisnika budu sigurni od početka do kraja. Okruženje u kojem se razvijaju ove nove tehnologije mora u svojoj srži imati sve ove principe, i to s jasnim ciljem – kako bismo bili sigurni da je cijeli proces što je moguće sigurniji te kako bi se izbjegli napadi u kasnijim fazama.

Cyber-osiguranje: osiguranje dobrog ponašanja
Uz velik broj upada u sustave tijekom 2015. godine, osiguranje informatičkog i internetskog poslovanja za tvrtke i pojedince bit će neizbježno. Vrlo je vjerojatno da će velik naglasak biti stavljen na potrebu da i pojedinci i tvrtke usvoje dobre sigurnosne prakse. U slučaju tvrtki, radi se o procesu, edukaciji zaposlenika i dodatnim treninzima. U slučaju privatnih korisnika, pak, radi se o tome da će više pozornosti morati posvetiti tome što dijele i s kim.

Zakoni vezani uz privatnost otići će još korak dalje
Predstojeća direktiva Europske unije o zaštiti podataka vrlo će jasno i nedvosmisleno reformirati upravljanje prikupljenim podacima u Europskoj uniji. Organizacije će se morati pridržavati novih pravila koja će određivati kako se obrađuju osobni podaci te će biti uvedena mnogo stroža pravila za usklađivanje s regulativom. To će predstavljati velik izazov čak i za one koji su najbolje informirani pa se već pojavljuje zabrinutost vezana uz složenog novog procesa upravljanja informacijama i s tim povećane troškove. Međutim, ovo sve nužno je kako bi korisnici mogli iskoristiti pune potencijale Interneta i novih tehnologija, uz istovremenu primjenu odgovarajućih sigurnosnih mjera koje štite njihovu privatnost.

Razvoj sigurnosnih prijetnji
Razina sofisticiranosti koju smo dosad smatrali specifičnom za napade iza kojih su stajale pojedine države uskoro će se moći vidjeti i kod napada koje će provoditi pojedinci. Broj hakerskih grupa koje provode sofisticirane napade također će dodatno zamutiti crtu koja dijeli "običan" cyberkriminal i precizno ciljane napade. Sve ćemo više svjedočiti napadima iz "stvarnog svijeta" koji će se prenositi u sferu internetskog rata, a pritom će na površinu isplivati i novi igrači, motivirani prije svega političkim razlozima.

Posebno osmišljeni i prilagođeni napadi
Usko ciljani napadi na vladine organizacije i tvrtke bit će još precizniji u svojem ciljanju žrtve, a sve zbog veće profesionaliziranosti hakerskih grupa. Kako bi izbjegle otkrivanje te kako bi zaobišle sigurnosne provjere, hakerske grupe osmislit će napade koji će biti specifični za pojedinu primjenu. Vjerujemo da će svaka žrtva biti napadana s pojedinačnog C&C servera, korištenjem posebno razvijenih zloćudnih programa i to uz različite vektore napada. Zbog svega toga bit će mnogo teže otkriti napade jednostavnom tehnikom identificiranja indikatora kompromitiranosti sustava (Indicators of Compromise, IoC), a što je dosad bilo moguće raditi kroz dijeljenje informacija i korelaciju podataka o napadima između pojedinih tvrtki ili zemalja.

Još više digitalnih ucjena
"Prijevare s elementom ucjene bit će sve popularnije. To je profitabilan posao, zadatak je relativno jednostavan i omogućava osvetničku zabavu za sve one koji napade provode zbog zadovoljstva a ne zbog financijske dobiti. Kriptirani ransomware bit će sve rašireniji a podatke neće biti moguće dobiti natrag bez plaćanja ucjene. No, također ćemo vidjeti rast broja slučajeva gdje ucjenjivač prijeti javnom objavom podataka. U slučaju tvrtki, možemo očekivati da će ucjene igrati još veću ulogu u ukupnom broju sigurnosnih kompromitiranja tvrtke. Napadači će svakako pokušati ostvariti financijsku korist i naplatiti svoju ucjenu prije nego što ukradene podatke objave javnosti", procjenjuje Candid Wueest, istraživač i analitičar sigurnosnih prijetnji u Symantecu.

Slabosti u mobilnom oklopu
Broj novih zloćudnih programa za Android vrlo vjerojatno će i dalje ostati visok ili će čak i dalje rasti. Međutim, tvrtke i korporativni sektor uzvratit će na ove prijetnje. Kako se sve više i više mogućnosti – poput tokena za autorizaciju, korporativnih aplikacija, sustava plaćanja i drugih aplikacija – postupno seli na pametne telefone, mobilni telefoni bit će primarni cilj hakerskih napada. Vjerojatno ćemo vidjeti još snažniji nadzor nad korištenjem poslovnih aplikacija i fokusiranje na sprječavanje napada koji bi se provodili otimanjem pojedinih ključnih funkcija tih aplikacija.

Dosadašnji sigurnosni upadi uspješno su "potrgali" danas prevladavajući sustav autorizacije
Velik broj sigurnosnih napada i uspješnih upada u sustave u 2015. dokazao je organizacijama da je trenutačni model koji počiva na sustavu korisničkih imena i lozinki, jednostavno, loš, te da će stoga morati ubrzati svoje planove da se od takvog sustava odmaknu. Autorizacija korištenjem dvaju ključeva (two-factor authentication, 2FA), koja počiva ne samo na onome što pravi vlasnik prava na pristup mora znati – poput lozinke – već i na dodatnom podatku koji će samo on imati – poput ključa na mobilnom telefonu – postat će još češća. Iako će krajnjim korisnicima možda biti teško prilagoditi se na ove višestruke kombinacije prilikom prijave na razne sustave, potreba za time bit će jednostavno velika i nužna. Biometrijske metode također će se nastaviti razvijati te će dostići i već vrlo sofisticirana rješenja. Otisci prstiju neće biti jedino takvo rješenje, već očekujemo da ćemo vidjeti i biometrijske potpise temeljene na elektrokardiogramu (EKG), dakle otkucajima srca, ili identificiranju vena – taj korak će se dogoditi u trenutku kada tvrtke shvate da je prilično lako replicirati otisak prsta.