Lekcja 7 klasa 3

T: Bezpieczeństwo sieci.

Haker - osoba o bardzo dużych, praktycznych umiejętnościach informatycznych (lub elektronicznych), która identyfikuje się ze społecznością hakerską. Hakerzy odznaczają się bardzo dobrą orientacją w Internecie, znajomością wielu języków programowania, a także świetną znajomością systemów operacyjnych, w tym zwłaszcza z rodziny Unix (GNU/Linux, BSD itp.) Haker ewentualnie wykorzystuje dziury bezpieczeństwa w oprogramowaniu komputerowym. Może też dzięki nim uzyskiwać dostęp do zabezpieczonych zasobów. W 2011 roku hakerzy poznali 174 mln rekordów w 855 atakach.

Osoby łamiące zabezpieczenia nazywa się też crackerami. Hakerzy skupieni w społeczności hakerskiej używają terminu cracker dla odróżnienia od siebie przestępców, z kolei crackerzy terminu haker używają na określenie włamywaczy sieciowych.

Ze względu na stosowaną etykę wyróżnia się następujący podział hakerów zabezpieczeń:

• black hat (czarne kapelusze) – są to hakerzy działający na granicy lub poza granicami prawa. Znalezionych błędów albo nie publikują w ogóle, wykorzystując je w nielegalny sposób, albo publikują od razu w postaci gotowych programów (tzw. exploitów), które mogą zostać użyte przez osoby o niższych umiejętnościach (np. script kiddies). Niektóre osoby kwestionują w tym przypadku użycie słowa "haker", zastępując je wyrazem "cracker".
• white hat (białe kapelusze) – hakerzy działający zupełnie legalnie lub też starający się nie wyrządzać szkód. Odkryte przez siebie dziury w bezpieczeństwie zwykle podają w formie, w której mogą zostać łatwo załatane przez autorów oprogramowania, lecz trudne do wykorzystania w celu zaszkodzenia komuś (zobacz: full disclosure). Wśród nich często się spotyka audytorów bezpieczeństwa.
• grey hat (szare kapelusze) – hakerzy/crackerzy, którzy przyjmują po części metody działania obu wyżej wymienionych grup.

Kapelusze pochodzą ze starych czarno-białych westernów, gdzie na podstawie koloru kapelusza odróżniano tych dobrych od tych złych. Klasyfikacja powyższa nie przyjęła się szeroko i często wywołuje kontrowersje w środowisku informatycznym.

Złośliwe oprogramowanie, malware (z ang. malicious software) – wszelkie aplikacje, skrypty itp. mające szkodliwe, przestępcze lub złośliwe działanie w stosunku do użytkownika komputera.

Do złośliwego oprogramowania należą:

• Wirus – program lub fragment wrogiego wykonalnego kodu, który dołącza się, nadpisuje lub zamienia inny program w celu reprodukcji samego siebie bez zgody użytkownika. Ze względu na różne rodzaje infekcji wirusy dzielą się na:
• wirusy gnieżdżące się w sektorze rozruchowym twardego dysku (ang. boot sector viruses),
• wirusy pasożytnicze (ang. parasitic viruses),
• wirusy wieloczęściowe (ang. multi-partite viruses),
• wirusy towarzyszące (ang. companion viruses),
• makrowirusy (ang. macro viruses).

• Robaki (ang. worm) – złośliwe oprogramowanie podobne do wirusów, rozmnażające się tylko przez sieć. W przeciwieństwie do wirusów nie potrzebują programu „żywiciela”. Często powielają się pocztą elektroniczną.

• Wabbit – program rezydentny nie powielający się przez sieć. Wynikiem jego działania jest jedna określona operacja, np. powielanie tego samego pliku aż do wyczerpania zasobów pamięci komputera.
• Trojan – nie rozmnaża się jak wirus, ale jego działanie jest równie szkodliwe. Ukrywa się pod nazwą lub w części pliku, który użytkownikowi wydaje się pomocny. Oprócz właściwego działania pliku zgodnego z jego nazwą, trojan wykonuje operacje w tle szkodliwe dla użytkownika, np. otwiera port komputera, przez który może być dokonany atak włamywacza (hakera).

• Backdoor – przejmuje kontrolę nad zainfekowanym komputerem, umożliwiając wykonanie na nim czynności administracyjnych, łącznie z usuwaniem i zapisem danych. Podobnie jak trojan, backdoor podszywa się pod pliki i programy, z których często korzysta użytkownik. Umożliwia intruzom administrowanie systemem operacyjnym poprzez Internet. Wykonuje wtedy zadania wbrew wiedzy i woli ofiary.
• Programy szpiegujące (ang. spyware) – oprogramowanie zbierające informacje o osobie fizycznej lub prawnej bez jej zgody, jak informacje o odwiedzanych witrynach, hasła dostępowe itp. Występuje często jako dodatkowy i ukryty komponent większego programu, odporny na usuwanie i ingerencję użytkownika. Programy szpiegujące mogą wykonywać działania bez wiedzy użytkownika – zmieniać wpisy do rejestru systemu operacyjnego i ustawienia użytkownika. Program szpiegujący może pobierać i uruchamiać pliki pobrane z sieci.
  • scumware (ang. scum – piana; szumowiny, męty) – żargonowe, zbiorcze określenie oprogramowania, które wykonuje w komputerze niepożądane przez użytkownika czynności.
  • stealware/parasiteware – służące do okradania kont internetowych,
  • adware – oprogramowanie wyświetlające reklamy,
  • Hijacker Browser Helper Object – dodatki do przeglądarek, wykonujące operacje bez wiedzy użytkownika.
• Exploit – kod umożliwiający bezpośrednie włamanie do komputera ofiary, do dokonania zmian lub przejęcia kontroli wykorzystuje się lukę w oprogramowaniu zainstalowanym na atakowanym komputerze. Exploity mogą być użyte w atakowaniu stron internetowych, których silniki oparte są na językach skryptowych (zmiana treści lub przejęcie kontroli administracyjnej), systemy operacyjne (serwery i końcówki klienckie) lub aplikacje (pakiety biurowe, przeglądarki internetowe lub inne oprogramowanie).
• Rootkit – jedno z najniebezpieczniejszych narzędzi hackerskich. Ogólna zasada działania opiera się na maskowaniu obecności pewnych uruchomionych programów lub procesów systemowych (z reguły służących hackerowi do administrowania zaatakowanym systemem). Rootkit zostaje wkompilowany (w wypadku zainfekowanej instalacji) lub wstrzyknięty w istotne procedury systemowe, z reguły jest trudny do wykrycia z racji tego, że nie występuje jako osobna aplikacja. Zainstalowanie rootkita jest najczęściej ostatnim krokiem po włamaniu do systemu, w którym prowadzona będzie ukryta kradzież danych lub infiltracja.
• Keylogger – Odczytuje i zapisuje wszystkie naciśnięcia klawiszy użytkownika. Dzięki temu adresy, kody, cenne informacje mogą dostać się w niepowołane ręce. Pierwsze programowe keyloggery były widoczne w środowisku operacyjnym użytkownika. Teraz coraz częściej są procesami niewidocznymi dla administratora. Istnieją też keyloggery występujące w postaci sprzętowej zamiast programowej.
• Dialery – programy łączące się z siecią przez inny numer dostępowy niż wybrany przez użytkownika, najczęściej są to numery o początku 0-700 lub numery zagraniczne. Dialery szkodzą tylko posiadaczom modemów telefonicznych analogowych i cyfrowych ISDN, występują głównie na stronach o tematyce erotycznej.

Mniej szkodliwe złośliwe oprogramowanie to:

• fałszywe alarmy dotyczące rzekomo nowych i groźnych wirusów (ang. false positives); fałszywy alarm to także rzekome wykrycie zainfekowanego pliku, które powodują programy antywirusowe z najwyższym poziomem analizy heurystycznej.
• żarty komputerowe, robione najczęściej nieświadomym początkującym użytkownikom komputerów.

Obrona przed szkodliwym oprogramowaniem:

• instalacja oprogramowania antywirusowego,
• włączona zapora sieciowa (firewall) z modułem HIPS, która zapobiega włączeniu zagrożeń typu zero day,
• aktualizacja wszelkiego oprogramowania,
• nieotwieranie załączników poczty elektronicznej niewiadomego pochodzenia,
• czytanie okien instalacyjnych aplikacji, a także ich licencji,
• wyłączenie makr w plikach MS Office nieznanego pochodzenia,
• regularne całościowe skany systemu programem antywirusowym i antymalware,
• przy płatnościach drogą elektroniczną upewnienie się, że transmisja danych będzie szyfrowana (banking mode),
• instalacja programów prewencyjnych (wykrywania i zapobiegania włamaniom), opartych na polityce piaskownicy z HIPS (np. GesWall),
• używanie oryginalnego systemu i aplikacji, pochodzących z legalnego źródła

Istnieje wiele programów służących do zwalczania poszczególnych tego typu problemów. Występują również pakiety zapewniające całościową ochronę. Po angielsku określane są one jako programy typu internet security. Łączą one funkcje programu antywirusowego, firewalla, programu blokującego spam, blokad stron o niepożądanej treści oraz systemu prewencyjnego HIPS.

Programiści Firefox, Chrome, Safari, Opera oraz Internet Explorera wprowadzili zabezpieczenie, które bezpośrednio na poziomie samej przeglądarki sprawdza, czy dana witryna nie została przypadkiem zgłoszona jako potencjalne zagrożenie. W przypadku zagrożenia dostęp do strony jest blokowany i wyświetlany jest stosowny komunikat.

W momencie zgłoszenia do listy stron stanowiących zagrożenie, dodatkowo wysyłany jest list e-mail informujący o tym fakcie do administratora, webmastera strony.

Do zapewnienia jak najlepszej ochrony komputera podczas korzystania z przeglądarek służą liczne wtyczki, np. WOT dla Firefoksa, Google Chrome, Opery, Internet Explorera i Safari.

Programy antywirusowe

Program antywirusowy (antywirus) – program komputerowy, którego celem jest wykrywanie, zwalczanie i usuwanie wirusów komputerowych. Współcześnie najczęściej jest to pakiet programów chroniących komputer przed różnego typu zagrożeniami.

Programy antywirusowe często są wyposażone w dwa niezależnie pracujące moduły (uwaga: różni producenci stosują różne nazewnictwo):

• skaner – bada pliki na żądanie lub co jakiś czas; służy do przeszukiwania zawartości dysku
• monitor – bada pliki ciągle w sposób automatyczny; służy do kontroli bieżących operacji komputera

Program antywirusowy powinien również mieć możliwość aktualizacji definicji nowo odkrytych wirusów, najlepiej na bieżąco, przez pobranie ich z Internetu, ponieważ dla niektórych systemów operacyjnych codziennie pojawia się około trzydziestu nowych wirusów.

Widoczna jest tendencja do integracji narzędzi do ochrony komputera. Kiedyś był to jedynie skaner, który wyszukiwał wirusy, początkowo na podstawie sygnatur znanych wirusów, a potem także typujący pliki jako zawierające podejrzany kod za pomocą metod heurystycznych.

Trzeba dodać, że współcześnie programy antywirusowe jako jedyna linia obrony nie wystarczają, Obecnie poza skanerem, monitorem i modułem do aktualizacji sygnatur z sieci, pakiet antywirusowy zawiera często także zaporę sieciową, moduły kontroli przesyłek poczty elektronicznej i plików pobieranych z sieci, moduł wykrywania i zapobiegania włamaniom, skaner pamięci i strażnika MBR. Wszystkie te moduły posiadają programy typu internet security - np. AVG InternetSecurity, G Data InternetSecurity, Kaspersky InternetSecurity - jednak można je zainstalować oddzielnie, co według licznych testów laboratoriów antywirusowych, oferują znacznie wyższy poziom ochrony przed malware niż pakiety bezpieczeństwa. Pierwszy komercyjny program antywirusowym pojawił się w 1989. Był nim AntiVirenKit niemieckiej firmy G Data Software AG.

Moduły programów antywirusowych:

• Skanery

Skanery to najstarszy i najprostszy sposób ochrony antywirusowej. Ich działanie polega na wyszukiwaniu określonej sekwencji bajtów w ciągu danych. W większości wirusów można wyróżnić unikalną sekwencję bajtów, tzw. sygnaturę, dzięki której możliwe jest odnalezienie wirusa w pamięci lub w zarażonej ofierze. Skuteczność skanera antywirusowego zależy od tego, jak bardzo charakterystyczna jest dana sekwencja. Najlepiej, jeżeli wirus zawiera w sobie jakiś bardzo specyficzny napis lub ciąg bajtów.

Wraz z pojawieniem się wirusów polimorficznych znaczenie skanerów trochę zmalało, jednak nadal jest to najważniejsza metoda walki z wirusami. Wirusy polimorficzne są trudne do wykrycia, gdyż ich różne próbki nie wyglądają tak samo. Często dwie próbki danego wirusa nie mają ze sobą nic wspólnego. Polimorfizm może być osiągnięty poprzez zakodowanie ciała wirusa. W przypadku tych wirusów również używa się skanera, choć dopiero w późniejszej fazie wykrywania.

• Monitory

Monitor to program antywirusowy zainstalowany jako TSR (ang. Terminate and Stay Resident) lub sterownik SYS, który – poprzez monitorowanie odpowiednich funkcji DOS iBIOS – pozwala na wykrywanie wszystkich wykonywanych za pomocą tych funkcji odwołań do dysków. To, czy monitor będzie działał prawidłowo zależy często od momentu, w którym przejął on kontrolę nad systemem (przed działaniem wirusa, czy już po) oraz od tego, jak głęboko wnika on w system operacyjny. Jak widać autorzy programów antywirusowych muszą korzystać z metod podobnych do tych, które stosują twórcy wirusów. Dużą wadą programów monitorujących jest to, że powodują one często fałszywe alarmy. Niekiedy zdarza się tak, że użytkownik po kolejnym potwierdzeniu jakiejś zwykłej operacji dyskowej staje się mniej uważny i nawet usuwa program antywirusowy z pamięci.

• Szczepionki

Są to programy skierowane przeciwko konkretnym wirusom. Na podstawie posiadanego czy wykrytego egzemplarza wirusa można, po odpowiedniej analizie jego kodu, zdefiniować tzw. sygnatury, na podstawie których wykrywa się kolejne kopie wirusa w systemie. Dokładna analiza kodu wirusa pozwala niekiedy odnaleźć w nim oryginalne wartości pewnych parametrów, które mogą posłużyć do wyleczenia plików. Większość z istniejących szczepionek to rozbudowane programy, które potrafią wykryć i usunąć kilka tysięcy określonych wirusów. Tylko w przypadkach nowych wirusów szczepionki nie są efektywne.

• Programy autoweryfikujące

Programy te służą do sprawdzania czy dany program nie został w jakiś sposób zmieniony przez wirusa. Sprawdzanie to jest możliwe poprzez dodanie do wskazanego pliku określonego, krótkiego programu. Dodawany kod dopisuje się do pliku wykorzystując te same mechanizmy co wirusy i pozwala on na autoweryfikację, czyli automatyczne sprawdzanie czy dany program nie został zmodyfikowany.

Niestety, programy tego typu najczęściej nie są odporne na technikę ukrywania kodu wirusa stealth i w systemie zainfekowanym przez wirusa używającego tej techniki okażą się

Działanie tego typu programów polega na obliczaniu odpowiednich sum kontrolnych dla żądanego pliku lub plików. Zliczane sumy kontrolne są przechowywane w osobnych plikach, tworzonych po pierwszym uruchomieniu programu. Jeżeli pliki te istniały już wcześniej, program antywirusowy wykorzystuje dane w nich zawarte aby porównać bieżąco wyliczoną sumę, z sumą poprzednio zachowaną w pliku.

Istnieje szereg algorytmów do tworzenia sum kontrolnych dla plików. Ogromną wadą programów tego typu jest to, że pliki przechowujące obliczone sumy kontrolne nie są wcale chronione. Dzięki znajomości wielu algorytmów stosowanych przez programy antywirusowe, niektóre wirusy potrafią zarazić określony plik i obliczyć dla niego nową sumę kontrolną.

• AVG 

• Avast

Ogólne wskazówki dotyczące bezpieczeństwa hasła

• hasło powinno zawierać minimum 8 znaków (im dłuższe tym lepsze),
• hasło powinno zawierać znaki wybrane z jak największego zbioru (cyfry, małe litery, duże litery, znaki specjalne itd.),
• hasło nie powinno opierać się bezpośrednio na realnym słowie lub popularnej kombinacji znaków (np. qwerty),
• hasło nie powinno opierać się bezpośrednio na danych znanych innym osobom (daty urodzenia, imiona, nr rejestracyjny samochodu itd)
• nie należy zapisywać hasła w formie jawnej (niezaszyfrowanej),
• nie należy przesyłać hasła przez internet (np. za pomocą poczty email) w formie jawnej (niezaszyfrowanej),
• hasło powinno być zmieniane co jakiś czas,
• nie należy używać tego samego hasła do wielu różnych usług / operacji.
• nie należy podawać hasła podczas korzystania z niezaufanego komputera.
• przed wprowadzeniem hasła należy sprawdzić adres oraz zabezpieczenia strony (dotyczy zwłaszcza bankowości internetowej).