IT Professional Security - ΤΕΥΧΟΣ 26

κτυακών επιθέσεων μπορούν να χρησιμοποιηθούν και οι πλατφόρμες
penetration testing, μετά από κάποιες τροποποιήσεις.
Το ιδιαίτερο χαρακτηριστικό που έχουν αυτές οι πλατφόρμες
είναι και εδώ η ευκολία στη χρήση τους (user friendly platforms).
Το νέο λοιπόν χαρακτηριστικό των δικτυακών επιθέσεων είναι
η αυτοματοποίησή τους μέσα από κατάλληλα εργαλεία και ειδικά
διαμορφωμένες πλατφόρμες. Αυτοματοποίηση, η οποία τις
καθιστά αρκετά προσιτές σε χρήστες οι οποίοι δεν χρειάζεται
πλέον να έχουν τις γνώσεις που είχαν στο παρελθόν. Οι γνώσεις
αλλά και τα εργαλεία που χρειάζεται κάποιος για να πραγματοποιήσει
οποιαδήποτε δικτυακή επίθεση σήμερα, διατίθενται
δωρεάν στο διαδίκτυο. Υπάρχουν σε κυκλοφορία ακόμα και
videos τα οποία καθοδηγούν βήμα βήμα τον επίδοξο hacker στο
πώς να διεξάγει τις επιθέσεις του. Έτσι, ανάλογα με το χρόνο
που θα διαθέσει, μπορεί σε σχετικά μικρό χρονικό διάστημα να
είναι σε θέση να διεξάγει δικτυακές επιθέσεις με ιδιαίτερα υψηλές
πιθανότητες επιτυχίας.
Zero Day Attacks
Η σημερινή κατάσταση στα δίκτυα πληροφοριών, έτσι όπως έ-
χει διαμορφωθεί δίνει τη δυνατότητα στους κακόβουλους χρήστες
να διεξάγουν επιθέσεις ακόμα και με εργαλεία ιδιαίτερα
περιορισμένης χρονικής διάρκειας. Οι επιθέσεις αυτού του είδους
συνήθως ονομάζονται Zero Day ή Zero Hour Attacks.
Ουσιαστικά, με τις zero day επιθέσεις, ο επιτιθέμενος προσπαθεί
να εκμεταλλευτεί συγκεκριμένα κενά ασφαλείας σε εφαρμογές
ηλεκτρονικών υπολογιστών, τα οποία προέρχονται από
λάθη των σχεδιαστών που δημιούργησαν τις εφαρμογές. Πολλές
είναι επίσης οι φορές που οι σχεδιαστές δεν γνωρίζουν καν
αυτά τα κενά ασφαλείας στις εφαρμογές τους, μέχρι και την
πραγματοποίηση των zero day επιθέσεων.
Θα μπορούσαμε να πούμε ότι ο κύκλος που ακολουθείται στις
zero day επιθέσεις είναι ο εξής:
Οι σχεδιαστές μίας συγκεκριμένης εταιρείας δημιουργούν
μία εφαρμογή και στη συνέχεια τη διαθέτουν στην αγορά.
Οι επιτιθέμενοι αναλύουν την εφαρμογή και εντοπίζουν συγκεκριμένα
κενά ασφαλείας τα οποία έχει.
Στη συνέχεια δημιουργούν ειδικά κακόβουλα λογισμικά, μέσω
των οποίων εκμεταλλεύονται τα κενά ασφαλείας της ε-
φαρμογής και αποκτούν πρόσβαση στους ηλεκτρονικούς
υπολογιστές αυτών που την χρησιμοποιούν.
Όταν οι επιθέσεις εξαπλώνονται προσβάλλοντας όλο και περισσότερους
ηλεκτρονικούς υπολογιστές και η συγκεκριμένη
τεχνική επίθεσης γίνει ευρέως γνωστή, ενεργοποιούνται
οι δημιουργοί της εφαρμογής, εντοπίζουν το κενό ασφαλείας
και το διορθώνουν, τροποποιώντας συνήθως τον κώδικα
γραφής της.
Στη συνέχεια διανέμουν το νέο κώδικα (κατά κανόνα μέσω
updates) στους χρήστες της εφαρμογής και η συγκεκριμένη
επίθεση αναχαιτίζεται.
Κατόπιν οι επιτιθέμενοι αναλύουν εκ νέου την εφαρμογή ή
άλλες διαφορετικές εφαρμογές και μόλις βρουν κενά α-
σφαλείας, φτιάχνουν νέα κακόβουλα λογισμικά και ο κύκλος
ξεκινά πάλι.
Οι επιθέσεις αυτού του είδους ονομάστηκαν zero day λόγω
του περιορισμένου χρόνου ζωής τους. Πραγματοποιούνται δηλαδή
μέχρι οι σχεδιαστές να διανέμουν το νέο κώδικα που τις
αντιμετωπίζει. Υπάρχουν όμως και περιπτώσεις όπου οι εταιρείες
είτε αργούν να εντοπίσουν το πρόβλημα είτε αργούν να
δημιουργήσουν τα αντιμετρά, με αποτέλεσμα οι επιθέσεις αυτές
να συνεχίζουν αμείωτες. Για παράδειγμα, υπάρχει εταιρεία
λογισμικού η οποία μετά από 7 έτη κατάφερε να τροποποιήσει
τον κώδικά της, προκειμένου να αντιμετωπίσει τέτοιου είδους
επίθεση. Αξίζει να αναφερθεί στο σημείο αυτό ότι αν στους υ-
πολογιστές που έχουν ήδη προσβληθεί, οι επιτιθέμενοι έχουν
εγκαταστήσει και άλλα κακόβουλα λογισμικά (όπως για παράδειγμα
backdoors) συνεχίζουν να έχουν πρόσβαση σε αυτούς,
ακόμα και μετά την εγκατάσταση του νέου κώδικα.
Τα προγράμματα στα οποία πραγματοποιούνται συνήθως οι
zero day attacks είναι σε πρώτη φάση οι browsers, καθόσον
χρησιμοποιούνται καθολικά και συνεχώς. Συνεπώς ακόμα και για
λίγες ώρες να μπορέσουν οι επιτιθέμενοι να κρατήσουν μία ε-
πίθεση, μπορούν να προσβάλουν ιδιαίτερα μεγάλο αριθμό υ-
πολογιστών. Πέραν των browsers οι επιτιθέμενοι μπορούν να
διεξάγουν επιθέσεις συνδυάζοντας και τεχνικές κοινωνικής μηχανικής
(social engineering). Αποστέλλουν για παράδειγμα μαsecurity
| 37