Kiberbiztonság kialakítása és vizsgálata etikus hackelés módszereivel

Szalontai Máté (2021) Kiberbiztonság kialakítása és vizsgálata etikus hackelés módszereivel. Pénzügyi és Számviteli Kar.

	PDF Szakdolgozat_Szalontai_Mate_XCMIBU.pdf Hozzáférés joga: Csak nyilvántartásba vett egyetemi IP címekről nyitható meg Download (1MB)
	PDF BA_O_Szalontai_Máté.pdf Hozzáférés joga: Csak nyilvántartásba vett egyetemi IP címekről nyitható meg Download (297kB)

Absztrakt (kivonat)

Szakdolgozatom bemutatja napjaink kiberbiztonsági helyzetét és szabályozottságát, az etikus és nem etikus hackerek tevékenységeit, valamint a nem megfelelően frissített és karbantartott rendszerek használatával kapcsolatos kockázatokat egy sérülékenység-vizsgálaton keresztül.A bevezetést követő fejezet bemutatja a kiberbiztonsággal és kiberfenyegetéssel kapcsolatos alapfogalmakat, valamint a kibertér nemzetközi és hazai helyzetét. Az aktuális helyzettel foglalkozó pontban a dolgozat többek közt bemutatja az EU és Magyarország stratégiáját és törekvéseit a problémák orvosolására, valamint az ezekért felelős hazai szervezetrendszert. A dolgozat fontos részét képzik a hackerek. Tevékenységük alapján több típusú hackert is megkülönböztethetünk (fekete és fehér kalapos). Fekete kalaposnak nevezzük azokat a hackereket, akik eszközkészletüket törvénytelen módon használják. Hazánkban a 2012. évi C. törvény (BTK) 423. § értelmében tevékenységük illegális. Ez alapján a különböző rendszerekbe való engedély nélküli behatolás törvénybe ütközik. A fekete kalapos hackerek tulajdonosi hozzájárulás hiányában tevékenykednek, ők a médiában, filmekben, könyvekben gyakran felbukkanó, sztereotip figurák. Technikai készségeiket használva kárt okoznak, csalnak, adatokkal élnek vissza és átvernek másokat. Tudják hogyan lehet betörni a számítógépes hálózatokba, különféle kibertámadásokat hajtanak végre, rosszindulatú programokat írnak és megkerülik a biztonsági protokollokat. Gyakran kihasználják, hogy a felhasználók nincsenek tisztában a számítógépes fenyegetésekkel és manipulációval. A dolgozat harmadik pontja a fekete kalapos hackerek legfontosabb tevékenyégeit és eszközeit részletezi (például különböző malware és phishing támadások), valamint statisztika adatokkal szemlélteti az általuk okozott kár és fenyegetés növekedését. A következő fejezet a fekete kalapos hackerek vetélytársaival, a fehér kalapos (etikus) hackerekkel foglalkozik. Az etikus hacker olyan információbiztonsági szakértő, aki megkísérel behatolni egy számítógépes rendszerbe, hálózatba, alkalmazásba vagy más számítástechnikai erőforrásba a biztonsági rések feltárásának érdekében. Technikai tudásukkal védelmezik a világot a kibertámadásoktól. A fehér kalapos hackerek hasonló szakértelemmel rendelkeznek, mint a fekete kalapos hackerek és hasonló hackelési technikákat alkalmaznak, de ezt legálisan, a tulajdonos engedélyével teszik. Munkájuk része a védelmi programok fejlesztése, a vállalatok segítése, a felhasználók oktatása és sérülékenység-vizsgálatok (penetration test) elvégzése. A sérülékenységvizsgálat egy számítógépes rendszer, hálózat vagy webalkalmazás vizsgálata, amely során a fehér kalapos hacker előzetesen engedélyezett támadást szimulál, melynek célja, hogy megtalálja azokat a biztonsági réseket, amelyeket egy rosszindulatú támadó kihasználhat. Ezzel tesztelhető a szervezet biztonságpolitikája, a követelményeknek való megfelelés, az alkalmazottak tudatossága és a szervezet képessége a kibertámadásokra való reagálásra. Ahhoz, hogy valaki akkreditáltan etikus hackerként tevékenykedjen szükséges lehet a CEH (Certified Ethical Hacker) oklevél megszerzése. A CEH vizsga teljesítése költséges és nehéz, megfelelő szakértelmet igényel. A 4. fejezet 2. pontja a CEH oklevéllel kapcsolatos információkat és statisztikákat tartalmazza. Az irodalmi részt követően a dolgozat a nem megfelelően frissített és karbantartott szoftverekkel kapcsolatos problémákat és kockázatokat szemlélteti. A kiadott szoftverekhez a gyártók általában utólagos frissítéseket adnak ki. Ezek a frissítések egy része új, egyszerűbb, felhasználóbarát funkciókat tartalmaz ami miatt már érdemes lehet telepíteni őket. Sok esetben viszont különböző hibák javítására adják ki őket. Időről időre újabb biztonsági réseket fedeznek fel a szoftverekben, melyeket a gyártók igyekeznek minél hamarabb „befoltozni” biztonsági frissítések segítségével. Ezen frissítések telepítése kulcsfontosságú. A kockázatok szemléltetéséhez a Microsoft Windows 7 operációs rendszert vettem alapul, hiszen ennek használata napjainkban is rengeteg magánszemélyre és szervezetre jellemző. Sajnos a szoftver támogatása megszűnt, nem kap új biztonsági frissítéseket. A frissítetlen szoftverek ismert gyengepontjait és ezek kihasználását nagyon könnyű megtalálni az interneten. Szemléltetésképpen egy nem megfelelően frissített Microsoft Windows 7 operációs rendszert vizsgáltam meg. Támadó felületként a hackerek által széles körben használt Kali Linux OS-t használtam. A tesztelés során rátaláltam egy Windows 7 sérülékenységre, melynek kihasználásához az interneten találtam útmutatót. A 2017-ben megjelent EternalBlue támadást használtam, amely akkoriban hatalmas kárt okozott világszerte. A támadást lépésről lépésre dokumentáltam. A cél az volt, hogy hozzáférést szerezzek a frissítetlen rendszerhez, ez sikeresen megtörtént. System felhasználóként tevékenykedtem a Windows 7 OS-ben, ez a legmagasabb szintű jogosultságokkal rendelkező felhasználó a Microsoft rendszerekben. Ezt követően a dolgozat olyan kártékony támadásokat mutat be, mint például az áldozat képernyőjének folyamatos megosztása, képernyőképek készítése, fájlok olvasása. Az eredmény értékelése az etikus hackerek által használt CVSS rendszer alapján történt. A talált sérülékenység a magas kockázatú kategóriába sorolható. A dolgozat hatodik fejezete konklúzióként következtetéseket von le a tesztelés során bemutatott kockázatokról és a dolgozatban bemutatott statisztikákból. A konklúzió az egyéni és szervezeti szinten kibervédelmi szempontból nélkülözhetetlen tevékenységek bemutatására irányul. Egyéni szinten az erős jelszavak és a kétfaktoros azonosítás használata, a szoftverek megfelelő frissítése, karbantartása és a tudatosság megfelelő védelmet nyújthat a legtöbb felhasználó számára. Szervezeti szinten magasabbak a fenyegetésekkel kapcsolatos kockázatok, így itt az egyéni tudatos tevékenység nem elegendő. Ekkor kulcsszereppel bír a különböző hálózatvédelmi szakemberek és etikus hackerek alkalmazása. A védelmet a lehető legkorszerűbb eszközökből érdemes felállítani és folyamatosan karban kell tartani. Ellenőrzésképp időnként érdemes IT auditot és sérülékenység-vizsgálatot végezni a szervezetek informatikai rendszerén. A különböző szabályzatok, irányelvek a biztonságosabb munkavégzés megteremtésére íródnak, fontos az ezeknek való megfelelés. A felhasználói tudatosság és a megfelelően kialakított infrastruktúra együttes alkalmazásával lehet a leghatékonyabb védelmet felállítani.

Intézmény

Budapesti Gazdasági Egyetem

Kar

Pénzügyi és Számviteli Kar

Tanszék

Gazdaságinformatika Tanszék

Tudományterület/tudományág

NEM RÉSZLETEZETT

Szak

Gazdaságinformatikus

Konzulens(ek)

Mű típusa:	diplomadolgozat (NEM RÉSZLETEZETT)
Kulcsszavak:	etikus hackelés, hacker, kiberbiztonság, kibertér, kibervédelem, szoftverfrissítések
SWORD Depositor:	Archive User
Felhasználói azonosító szám (ID):	Archive User
Rekord készítés dátuma:	2021. Nov. 05. 13:01
Utolsó módosítás:	2021. Nov. 05. 13:01

Actions (login required)

Tétel nézet