Мишень для атак SQL-взломщиков - небольшие организации

Мишень для атак SQL-взломщиков - небольшие организации

Согласно протоколам суда, Роджелио Хэкетт младший сохранял украденные данные кредитных карт на своих компьютерах и в учетных записях электронной почты. Он часто продавал эти данные, которыми позже пользовались для нелегального снятия денежных средств. Хэкетт, приговор которому будет вынесен в июле, может провести за решеткой 12 лет.

Как он делал это? Через SQL-инъекции. Он получал доступ к серверным базам данных с помощью веб-приложения, которое эффективно использует эти же базы данных. "В августе 2007 года, а затем через какое-то время снова, он проник в базы данных провайдера услуг по приобретению билетов и заполучил номера кредитных карт", - говорит Рэнди Сабетт, партнер и один из председателей отдела Internet and Data Protection юридической фирмы SNR Denton LLP. "Не исключено, что по крайней мере в ходе нескольких атак, которые он проводил, он был засечен".

"Он пользовался уязвимостями в SQL", - говорит Сабетт. "И не смотря на то, что SQL-инъекции хорошо описаны и изучены, мы замечаем, что время от времени компании страдают именно от этих атак".

Хакерская атака Хэкетта не кажется такой уж выдающейся при сравнении с атакой Альберта Гонсалеса, который стоял за взломом Heartland Payment Systems, что привело к краже данных 130 миллионов кредитных и дебетовых карт, и которая  также была осуществлена при помощи внедрения SQL-кода. Но как отмечает известный аналитик Gartner Research Авива Литан, дело Хэкетта подчеркивает то, каким распространенным и разнообразным стало хакерство. "На каждого арестованного Роджелио Хэкетта приходится по меньшей мере еще дюжина "Хэкеттов" или "хакеров", которые остаются на свободе", - говорит Литан.

Согласно докладу Data Breach Investigations Report 2011 года компании Verizon, в то время как количество полученных данных снизилось с 144 миллионов в 2009 годы до 4 миллионов в 2010 году, количество взломов возросло. Доклад Verizon этого года включает анализ 761 взлома с целью получения данных, что является самым большим числом за те 7 лет, когда ежегодно выходит доклад. В 2010 году количество взломов примерно соответствовало общему количеству проанализированных взломов за предыдущие 6 лет.

Основной фактор роста: хакеры нацеливаются на небольшие, менее надежные базы данных. "В настоящее время это по большей части неорганизованные преступления, потому что многие из самых изощренных хакеров, включая Гонсалеса, сейчас уже за решеткой", - говорит Брайан Сартин, директор по исследованиям компании Verizon и автор новейшего доклада о взломах с целью получения данных.

Литан говорит, что "мы должны относиться серьезнее к ограблениям небольшого масштаба, которые могут существовать вне поля видимости правоохранительных органов и компаний по выпуску платёжных карт более длительный период времени, потому что их размах не так уж велик", - говорит она. "Этот арест также подтверждает то, что хакер может быть откуда угодно, а не только из Восточной Европы.

Согласно протоколам суда, Хэкетт начал свою хакерскую "карьеру" в конце 90х годов, когда он находил уязвимости в обработке SQL и пользовался ими. Более чем 10 лет спустя, тот же метод атаки все еще действует. "Эти SQL-инъекции как бы позволяют пролезать через дырку в заборе, а не входить через парадную дверь", - говорит Сабетт. Джош Корман, директор по исследованиям Enterprise Security Practice компании The 451 Group, говорит, что SQL-инъекции зачастую идут прямо через брандмауэры. "Вот почему мы должны обращать внимание на уровень безопасности приложений", - говорит Корман. "Брандмауэры должны быть усовершенствованы – например, добавлением брандмауэра веб-приложений".

Дэн Гросу, консультант по безопасности информационных технологий, который в 2009 году писал в блоге об основе атаки Heartland – SQL-инъекции – говорит, что для обнаружения и пресечения таких атак нужно избавиться от того, что не обработано должным образом. "Это поможет избавиться от проблемы в корне, поэтому это лучшее, что можно сделать", - говорит он. "Честно говоря, индустрия не занимает активной позиции, а только реагирует на уже произошедшее. Учреждения выпускают веб-приложения для того, чтобы быть конкурентоспособными на динамично развивающемся рынке, делая тем самым упор на опыт пользователей и на дополнительные навороты, но тратя мало усилий на разработку, проверку и тестирование систем безопасности".

Сабетт говорит, что многие предприятия не вкладывают средства в улучшения систем безопасности потому что у них нет для этого стимула. "Что может дать компаниям стимул защитить себя лучше? Должно ли это быть в списках государственных требований или совершаться организованно? Мы еще не дошли до того момента, когда равновесие станет возможным".

Источник:
Xakep.ru