Technologie Big Data w służbie hakerów

Hurtownie danych zawierające skradzione z Internetu dane, które pozwalają identyfikować użytkowników, ustalać ich tożsamość oraz odtwarzać profile to względnie nowa technika wykorzystywana przez cyberprzestępców, jak wynika z z raportu „McAfee Labs 2016 Threat Predictions”.

Okazuje się, że hakerzy zaczynają okradać użytkowników Internetu sięgając po najnowsze i coraz bardziej wyrafinowane technologie IT. Jak wynika z raportu „McAfee Labs 2016 Threat Predictions” budują coraz częściej wielkie hurtownie danych i umieszczają w nich przechwycone lub skradzione z Internetu dane, które pozwalają identyfikować użytkowników, ustalać ich tożsamość oraz odtwarzać profile.

Chodzi tu głównie o dane PII (Personally Identifiable Information). Są to informacje, które pozwalają identyfikować osoby korzystające z usług Internetu. Metoda jest wymagająca, ponieważ trzeba wtedy stosować najnowsze narzędzia i techniki informatyczne. Techniki, które pozwalają gromadzić informacje PII w hurtowniach danych klasy Big Data. Używając specjalnych narzędzi analitycznych, z hurtowni takich można wyciągnąć informacje, które pozwalają kraść dane oraz przeprowadzać ataki na systemy IT.

Zobacz również:

Według McAfee wszystko wskazuje na to, że w 2016 roku podobne praktyki nasilą się i na czarnym rynku pojawi się jeszcze więcej ofert sprzedaży informacji PII lub całych hurtowni – zawierających nawet skojarzone ze sobą nazwy użytkowników, hasła i inne dane – które pozwalają z dużą precyzją zidentyfikować tożsamości użytkowników i odtwarzać ich profile.

Hakerzy umieszczają w hurtowniach danych wszelkie dostępne informacje o użytkownikach. Są to numery dowodów osobistych czy różnego rodzaju legitymacji (np. emeryckich), daty urodzin użytkowników czy ostatnie cztery cyfry identyfikujące kartę kredytową. Stosują też zaawansowane narzędzia pozwalające prowadzić analizy behawioralne, co pozwala im np. sprawdzać za jakiego rodzaju towary zakupione w Internecie mogą uiszczać opłaty posługując się skradzioną kartą kredytową, tak aby nie wzbudzić podejrzeń i nie wygenerować żadnego alarmu.

Standardy

Czy można się bronić przed tego rodzaju aktywnością hakerów? Oczywiście że tak. Firmy powinny np. śledzić na bieżąco standardy pozwalające skutecznie chronić dane PII. Szczególnie ważny jest tu standard ISO/IEC 27018:2014. Jego pełna nazwa brzmi “Information technology -- Security techniques -- Code of practice for protection of personally identifiable information in public clouds acting as PII processors”. Jak sama nazwa na to wskazuje, pozwala on chronić dane osobowe przechowywane w chmurach. Norma została oficjalnie opublikowana w lipcu 2014 roku. Rozszerza ona stosowany do tej pory w tym obszarze standard ISO 27001 i jako pierwsza opisuje zasady bezpieczeństwa danych PII umieszczanych i przechowywanych w publicznych chmurach.

Chmury spełniające wymogi standardu ISO/IEC 27018:2014 powinny zapewnić użytkownikom kontrolę nad przetwarzaniem ich danych. Użytkownicy powinni mieć możliwość dostępu, poprawiania i usunięcia danych. Dane użytkowników powinny być w takich chmurach przetwarzane zgodnie z ich instrukcjami i wskazanym celem.

Jak ważny jest to standard może świadczyć o tym fakt, że jednym z pierwszych podmiotów, który oficjalnie wdrożył normę ISO/IEC 27018:2014 w życie, była firma Microsoft. Stało się to pod koniec lutego 2015 roku. Wtedy to Microsoft ogłosił, że jest pierwszym dużym dostawcą usług chmurowych, które są w pełni zgodne z tą normą.

Dobrze jest też zapoznać się ze standardem NIST Special Publication 800-122, “Guide to Protecting the Confidentiality of Personally Identifiable Information (PII)”. To standard pozwalający ograniczyć do minimum ilość wystąpień danych PII oraz doradzający, jak i gdzie takie wystąpienia należy przechowywać.

Czy firmy mogą skutecznie chronić dane PII? Oczywiście, że tak. Powinny przede wszystkim na bieżąco śledzić standardy definiujące, jak takie dane powinny być chronione. Jest to konieczne, ponieważ ulegają one ciągłej ewolucji. Powinny też wdrażać na bieżąco najnowsze metody ochrony danych PII. Wymaga to oczywiście wysiłku, ale nie ma innej drogi jeśli chcemy, aby prowadzony przez nas biznes był bezpieczny i aby ważne dane naszych klientów nie były narażone na poczynania hakerów.


TOP 200