Wiadomości
Jak zatrzymać cyberprzestępczość? Podążać za pieniędzmi
Klucz do powstrzymania aktywności hakerów leży w znajomości reguł ekonomicznych rządzących światkiem przestępczości komputerowej.
Cennik usług
Za kontrolę nad tysiącem niedostatecznie zabezpieczonych kont e-mail zapłacimy 5 USD. 8 USD kosztować będzie przeprowadzenie ataku typu denial-of-service, który zablokuje stronę inernetową na godzinę. I tylko dolar płacony za 1 tys. wpisów związanych z zabezpieczeniami typu captcha.
Wymienione kwoty to obowiązujące stawki cyberprzestępcze, płacone przez kryminalistów innym przestępcom za techniczne usługi konieczne do przeprowadzenia ataków. Można to określić mianem swoistej odmiany outsourcingu IT, którego nie podjęłaby się żadna legalnie działająca firma, choć jest to dochodowy biznes, gdy prowadzony efektywnie.
Polecamy: Za kulisami botnetowego biznesu
Cyberprzestępcze podziemie szczegółowo zaprezentował w swoim wykładzie (w konwencji rozrywkowej) Stefan Savage podczas dorocznej konferencji technicznej Usenix w Portland (USA) w połowie czerwca br. I choć przytaczane przez badacza skandaliczne przykłady outsourcingu cyberprzestępczego wywoływały śmiech na sali, to Savage przedstawił również empiryczne podejście do badania przestępstw komputerowych oraz jak opracowywać najbardziej efektywne - z finansowego punktu widzenia - metody ich powstrzymania.
Savage jest profesorem kalifornijskiego uniwersytetu w San Diego oraz dyrektorem centrum badawczego CCIED (Collaborative Center for Internet Epidemiology and Defenses), które zaczęło działać w 2004 r. dzięki funduszom federalnym. Zajmuje się ono badaniem komponentów technicznych związanych z cyberprzestępczością. Aby spełnić wymogi rządowe, CCIED do prowadzonych przez siebie badań włącza modele ekonomiczne.
Prof. Savage przyznał, że jego spojrzenie na ekonomię na początku było przepełnione frazesami, ale później on i jego zespół zdali sobie sprawę, że finanse mogą leżeć u podstaw podejmowania przestępczego procederu włamań i stanowić klucz do rozwiązania całego problemu. Dlatego rozszerzyli swoje badania o aspekt pieniędzy, wchodząc nawet z premedytacją w interakcję z organizacjami przestępczymi, np. poprzez dodawanie własnego kodu do kodu hakerów, żeby monitorować ich działania, czy zamawiając mnóstwo fałszywych tożsamości (phishing scams), by prześledzić drogę przepływu pieniędzy.
"Możemy zatrzymać niektóre ataki reagując na każde nowe zagrożenie używając nowej technologii oraz instalując oprogramowanie antywirusowe na miliardach komputerów na całym świecie przy wysokim koszcie jednostkowym, ale jest to niezrównoważony model" - mówił m.in. Savage.
Niemal niemożliwy jest pomiar skuteczności obrony, a tworzenie nowych linii obrony jest drogie, podczas gdy koszt popełnienia cyberprzestępstwa - tani, ze względu na funkcjonujący ogromny czarny rynek.
"Jeżeli nie mamy dostatecznych umiejętności, by wykradać e-maile czy dane dot. kart kredytowych, to po prostu możemy je kupić przez internet - zazwyczaj w ulubionych przez cyberprzestępców paczkach po 1000 sztuk. Możemy również kupować lub sprzedawać zagrożone hosty w partiach po 1000 sztuk; ich ceny zmieniają się w zależności od podaży i popytu" - mówił Savage.
Zobacz też: Bezpieczna poczta
Aby poznać koszty tego rodzaju usług, wystarczy wejść na strony internetowe "przedsiębiorstw", które sprzedają dostęp do zainfekowanych komputerów. Savage jako przykład pokazał rosyjską stronę, gdzie zamieszczono cennik tego typu usług, w tym m.in. instalowania złośliwego oprogramowania na wskazanych komputerach. "10 centów - tyle warta jest twoja maszyna, a jeśli jesteś obecnie w Chinach to za twój komputer płacimy tylko jednego centa", wyceniał.
Za kontrolę nad tysiącem niedostatecznie zabezpieczonych kont e-mail zapłacimy 5 USD. 8 USD kosztować będzie przeprowadzenie ataku typu denial-of-service, który zablokuje stronę inernetową na godzinę. I tylko dolar płacony za 1 tys. wpisów związanych z zabezpieczeniami typu captcha.
Wymienione kwoty to obowiązujące stawki cyberprzestępcze, płacone przez kryminalistów innym przestępcom za techniczne usługi konieczne do przeprowadzenia ataków. Można to określić mianem swoistej odmiany outsourcingu IT, którego nie podjęłaby się żadna legalnie działająca firma, choć jest to dochodowy biznes, gdy prowadzony efektywnie.
Polecamy: Za kulisami botnetowego biznesu
Cyberprzestępcze podziemie szczegółowo zaprezentował w swoim wykładzie (w konwencji rozrywkowej) Stefan Savage podczas dorocznej konferencji technicznej Usenix w Portland (USA) w połowie czerwca br. I choć przytaczane przez badacza skandaliczne przykłady outsourcingu cyberprzestępczego wywoływały śmiech na sali, to Savage przedstawił również empiryczne podejście do badania przestępstw komputerowych oraz jak opracowywać najbardziej efektywne - z finansowego punktu widzenia - metody ich powstrzymania.
Savage jest profesorem kalifornijskiego uniwersytetu w San Diego oraz dyrektorem centrum badawczego CCIED (Collaborative Center for Internet Epidemiology and Defenses), które zaczęło działać w 2004 r. dzięki funduszom federalnym. Zajmuje się ono badaniem komponentów technicznych związanych z cyberprzestępczością. Aby spełnić wymogi rządowe, CCIED do prowadzonych przez siebie badań włącza modele ekonomiczne.
Prof. Savage przyznał, że jego spojrzenie na ekonomię na początku było przepełnione frazesami, ale później on i jego zespół zdali sobie sprawę, że finanse mogą leżeć u podstaw podejmowania przestępczego procederu włamań i stanowić klucz do rozwiązania całego problemu. Dlatego rozszerzyli swoje badania o aspekt pieniędzy, wchodząc nawet z premedytacją w interakcję z organizacjami przestępczymi, np. poprzez dodawanie własnego kodu do kodu hakerów, żeby monitorować ich działania, czy zamawiając mnóstwo fałszywych tożsamości (phishing scams), by prześledzić drogę przepływu pieniędzy.
"Możemy zatrzymać niektóre ataki reagując na każde nowe zagrożenie używając nowej technologii oraz instalując oprogramowanie antywirusowe na miliardach komputerów na całym świecie przy wysokim koszcie jednostkowym, ale jest to niezrównoważony model" - mówił m.in. Savage.
Niemal niemożliwy jest pomiar skuteczności obrony, a tworzenie nowych linii obrony jest drogie, podczas gdy koszt popełnienia cyberprzestępstwa - tani, ze względu na funkcjonujący ogromny czarny rynek.
"Jeżeli nie mamy dostatecznych umiejętności, by wykradać e-maile czy dane dot. kart kredytowych, to po prostu możemy je kupić przez internet - zazwyczaj w ulubionych przez cyberprzestępców paczkach po 1000 sztuk. Możemy również kupować lub sprzedawać zagrożone hosty w partiach po 1000 sztuk; ich ceny zmieniają się w zależności od podaży i popytu" - mówił Savage.
Zobacz też: Bezpieczna poczta
Aby poznać koszty tego rodzaju usług, wystarczy wejść na strony internetowe "przedsiębiorstw", które sprzedają dostęp do zainfekowanych komputerów. Savage jako przykład pokazał rosyjską stronę, gdzie zamieszczono cennik tego typu usług, w tym m.in. instalowania złośliwego oprogramowania na wskazanych komputerach. "10 centów - tyle warta jest twoja maszyna, a jeśli jesteś obecnie w Chinach to za twój komputer płacimy tylko jednego centa", wyceniał.
Komentarze (0)
- Prawo Moore’a zagrożone?
- Bezpieczeństwo WiFi - bezprzewodowe testy penetracyjne
- Wirtualizacja: obsługa SMB na czterech U
- Prawdziwe powody powstania Microsoft Open Technologies
- Open source: zmierzch ery GPL? Nie do końca...
- ROVER - prosty sposób na słabość BGP?
- Zaawansowane stacje Wi-Fi Ruckus Wireless
- Rozstanie z Javą nie będzie proste
- Google Drive uwypukla słabe strony publicznych chmur obliczeniowych
- Serwery "zombie" w centrum danych
Reklama
Huawei celuje w rynek biznesowy
Huawei nieustannie rozwija się jako dostawca infrastruktury dla branży telekomunikacyjnej. W tym roku chiński koncern zamierza umocnić swoją pozycję również na rynku rozwiązań Enterprise.
Polecane
Koniec Windows XP początkiem problemów?
Microsoft oficjalnie potwierdził, że za dwa lata definitywnie zakończy się era Windows XP - systemu operacyjnego,...
Spokój i luz administratora
Wymagania wobec pracowników działów IT rosną proporcjonalnie do stopnia rozwoju teleinformatyki. Oczekuje się, że...