Datortīklu apdraudējumi a
1. Ievads: kas ir datortīklu apdraudējumi
Datortīklu apdraudējums ir jebkura darbība vai situācija, kas var pārtraukt pakalpojumu pieejamību, apdraudēt datu konfidencialitāti vai izmainīt datu integritāti tīkla vidē. Šajā tēmā galvenā ideja: uzbrukumi bieži sākas ar “nelielu” iespēju (piem., pārtverta parole vai nepareizi iestatīts Wi‑Fi), kas pēc tam pāraug piekļuves iegūšanā un datu noplūdē.
2. Tīkla pakešu analizatori (sniffing)
Kas tas ir
Pakešu analizators (piem., Wireshark) ir rīks, kas uztver un analizē tīkla trafiku (paketes). Pats rīks nav “ļauns” — tas ir diagnostikas instruments, bet to var izmantot ļaunprātīgi, lai pārtvertu sensitīvus datus.
Kā notiek pārtveršana (praktiska izpratne)
Nešifrēts trafiks (HTTP, telnet u.c.) ļauj redzēt saturu gandrīz “kā tekstu”.
Šifrēts trafiks (HTTPS, SSH, VPN) padara pārtverto saturu praktiski nelasāmu, bet metadati (IP, domēni, laiki, apjomi) joprojām var būt redzami.
Publiskajos Wi‑Fi tīklos uzbrucējam ir vieglāk novērot trafiku, īpaši, ja tīkls ir atvērts vai slikti aizsargāts.
Ko var iegūt uzbrucējs
Lietotājvārdi/paroles (ja tiek sūtītas bez šifrēšanas).
Sesijas identifikatori (cookies) noteiktos apstākļos.
Informācija par iekšējo infrastruktūru: hosti, porti, protokoli, pakalpojumi.
Aizsardzība
Lietot šifrēšanu: HTTPS, SSH, VPN.
Izvairīties no neuzticamiem Wi‑Fi vai izmantot VPN.
Iekšējā tīklā segmentēt trafiku (VLAN), ierobežot “visi redz visu” principu.
Mini-uzdevums (klasei): nosauc 3 piemērus, kādi dati var tikt pārtverti, ja lietotājs pieslēdzas atvērtam Wi‑Fi un izmanto nešifrētu servisu.
3. IP adrešu atdarināšana (IP spoofing)
Kas tas ir
IP adrešu atdarināšana ir situācija, kad uzbrucējs nosūta tīkla paketes ar viltotu avota IP adresi, lai izliktos par citu ierīci vai paslēptu īsto izcelsmi.
Kāpēc to dara
Lai apietu vienkāršus filtrus (“atļaut tikai no šīs IP”).
Lai sarežģītu uzbrukuma izsekošanu.
Kā daļu no noteiktiem uzbrukumiem (piem., DoS/DDoS vai sesiju apmānīšanas scenāriji).
Svarīga robeža (ko skolēnam saprast)
TCP sakaros spoofing ir sarežģītāks, jo vajag korekti pabeigt “rokasspiedienu” (handshake).
UDP/ICMP scenārijos spoofing bieži ir vienkāršāks, jo nav sesijas apstiprināšanas.
Aizsardzība
Tīkla malā (maršrutētājos) lietot anti-spoofing filtrēšanu (neielaist iekšā paketes ar “iekšējām” avota adresēm no ārpuses).
Nekad nebalstīt uzticēšanos tikai uz IP adresi; lietot autentifikāciju, sertifikātus, VPN, MFA.
Mini-uzdevums: kāpēc “atļaut pieeju tikai no IP” nav pietiekams drošības mehānisms?
4. Uzbrukumi ar parolēm
Galvenie veidi
Brute force: mēģina daudz kombināciju līdz atrod pareizo.
Dictionary attack: mēģina biežākās paroles un to variācijas.
Credential stuffing: izmanto nozagtus lietotājvārda/paroles pārus no citiem servisiem (cilvēki atkārtoti lieto paroles).
Password spraying: mēģina vienu biežu paroli pret daudziem lietotājiem (mazāk pamanāms).
Pazīmes (ko var pamanīt admins vai lietotājs)
Daudzi neveiksmīgi ielogošanās mēģinājumi īsā laikā.
Konta bloķēšana vai paziņojumi par pieteikšanos no jaunām vietām.
Neizskaidrojamas paroles maiņas.
Aizsardzība
MFA/2FA (īpaši e‑pastam un administratīvajiem kontiem).
Kontu bloķēšana pēc neveiksmīgiem mēģinājumiem, “cooldown” politika.
Paroļu politikas: garas paroles/frāzes, unikālas katram servisam.
Monitorings un žurnālu analīze (SIEM) organizācijās.
Mini-uzdevums: uzraksti 2 labus piemērus paroļu frāzēm (passphrase) un paskaidro, kāpēc tās ir drošākas par “Parole123”.
5. Iekšējās informācijas pārraide objektiem ārpus tīkla (datu noplūde)
Kas tas ir
Situācija, kad iekšējie dati (dokumenti, klientu dati, paroles, konfigurācijas) nonāk ārpus organizācijas tīkla — apzināti vai nejauši.
Tipiski kanāli
E‑pasts (pielikumi nepareizam adresātam).
Mākoņkrātuves un “personīgie” konti (Drive, Dropbox u.tml.).
Ziņapmaiņas lietotnes, foto, ekrānšāviņi.
USB ierīces (ja atļautas) vai privātie datori (BYOD).
Kāpēc tas notiek
Cilvēciska kļūda (nepareizs adresāts, “paste” kļūda).
Ļaunprātīgs iekšējais darbinieks.
Kompromitēti konti (Trojas/spyware rezultātā).
Aizsardzība (praktiski pasākumi)
Datu klasifikācija un piekļuves tiesības (least privilege).
DLP (Data Loss Prevention) noteikumi, e‑pasta filtri, pielikumu kontrole.
Šifrēšana (failu un disku šifrēšana).
Lietotāju apmācība un skaidra politika “ko drīkst sūtīt ārpus tīkla”.
Mini-uzdevums: nosauc 3 situācijas, kur datu noplūde notiek nejauši, un 3 — ļaunprātīgi.
6. Uzbrukumi no tīkla iekšpuses (iekšējais apdraudējums)
Kas tas ir
Uzbrukumi, kas notiek no iekšējā tīkla: tos veic darbinieks, viesis, kompromitēta darba stacija vai ļaunprogrammatūra, kas jau ir “iekšā”.
Kāpēc tas ir bīstami
Iekšējā tīklā bieži ir vairāk uzticēšanās, mazāk ierobežojumu.
Uzbrucējs var “pārvietoties” pa tīklu (lateral movement): no viena datora uz serveri, no servera uz citām sistēmām.
Tipiski scenāriji
Darbinieks mēģina piekļūt datiem ārpus savām tiesībām.
Inficēts dators sāk skenēt portus, izplatīt tārpu, uzbrukt failu serverim.
“Rogue device” (neautorizēts maršrutētājs vai Wi‑Fi AP) birojā.
Aizsardzība
Segmentācija (VLAN, atsevišķas zonas), ugunsmūri starp segmentiem.
Tiesību pārvaldība, “admin” kontu ierobežošana.
Žurnālu uzraudzība un iekšējā tīkla IDS/IPS (ja pieejams).
Ierīču kontrole (NAC), atļauto ierīču saraksti.
Mini-uzdevums: paskaidro, ko nozīmē “least privilege” un kā tas samazina iekšējā uzbrucēja iespējas.
Ātra pašpārbaude (5 jautājumi)
Kurš apdraudējums visvairāk saistīts ar trafika pārtveršanu?
Ko nozīmē IP spoofing un kāpēc to izmanto?
Nosauc 2 paroļu uzbrukumu veidus un atšķirību starp tiem.
Nosauc 2 datu noplūdes kanālus ārpus tīkla.
Kāpēc uzbrukumi no iekšpuses ir īpaši bīstami?
Papildus jau minētajiem (snifferi/pakešu analizatori, IP adrešu atdarināšana, paroļu uzbrukumi, datu eksfiltrācija, iekšējie uzbrukumi), tīklos bieži sastopami arī šādi apdraudējumu veidi:
Pieejamības uzbrukumi
• DoS/DDoS (t.sk. “carpet bombing” tipa uzbrukumi): mērķis ir noslogot tīklu vai pakalpojumu, lai tas kļūtu nepieejams.
• Botneti/kompromitētas ierīces (īpaši IoT): vāji aizsargātas ierīces tiek izmantotas kā “zombiji” masveida uzbrukumiem un trafika ģenerēšanai.
Ievainojamību izmantošana
• Automatizēta skenēšana un ielaušanās mēģinājumi: uzbrucēji masveidā skenē internetā pieejamus servisus un mēģina izmantot vājās vietas vai nepareizu konfigurāciju.
• Neatjauninātas iekārtas un programmatūra (piem., kritiskas ievainojamības populāros risinājumos): ļauj attālinātu kompromitēšanu, reizēm pat bez autentifikācijas.
Konfigurācijas un piekļuves kļūdas
• Nedroši eksponēti servisi (piem., attālinātā piekļuve bez ierobežojumiem): atver ceļu neatļautai piekļuvei un tālākiem uzbrukumiem organizācijas tīklā.
• Konfigurācijas nepilnības (nepareizi iestatīti ugunsmūri, atļautas nevajadzīgas portas/protokoli, pārlieku plašas tiesības): būtiski palielina uzbrukuma virsmu.
Sociālā inženierija kā “ieeja” tīklā
• Pikšķerēšana/krāpšana (e-pasti, SMS, zvani) kā sākumpunkts kontu pārņemšanai vai ļaunatūras ievazāšanai, kas pēc tam izplatās tīklā.
• Ļaunprātīgi pārlūka paplašinājumi (piem., maskēti kā produktivitātes rīki): var zagt sesijas datus vai piekļuves informāciju, kas pēc tam tiek izmantota sistēmās tīklā.
Informācijas vākšana un izlūkošana
• Reconnaissance (informācijas vākšana par tīklu, hostiem, servisiem, konfigurācijām): bieži ir pirmais solis pirms mērķēta uzbrukuma.