Współczesne cyberzagrożenia ewoluują w zastraszającym tempie, a skala ataków rośnie z każdym rokiem. Według raportów branżowych średni koszt naruszenia danych dla przedsiębiorstwa przekracza obecnie kilka milionów dolarów, co pokazuje, jak dotkliwe mogą być skutki zaniedbań w obszarze bezpieczeństwa. Dlatego tak ważne jest, aby specjaliści IT nie tylko budowali solidne systemy obronne, ale także rozumieli sposób myślenia osób, które chcą je złamać.

W ramach tego wykładu przyjrzymy się konkretnym technikom ataku, narzędziom wykorzystywanym przez cyberprzestępców oraz mechanizmom obronnym, które można zastosować na każdej warstwie infrastruktury sieciowej. Celem jest wyposażenie studentów w praktyczną wiedzę, która pozwoli im skutecznie chronić swoje przyszłe miejsca pracy przed coraz bardziej zaawansowanymi zagrożeniami.

Model Cyber Kill Chain został opracowany przez firmę Lockheed Martin na podstawie analizy rzeczywistych ataków na systemy wojskowe i rządowe. Każda z siedmiu faz stanowi potencjalny punkt przechwycenia ataku przez zespół bezpieczeństwa, co oznacza, że im wcześniej uda się zablokować napastnika, tym mniejsze będą straty. Na przykład na etapie rekonesansu można wykryć skanowanie sieci i zablokować adres IP źródła.

W fazie uzbrojenia atakujący przygotowuje dedykowane narzędzia, takie jak spreparowany dokument PDF z makrem VBA lub plik wykonywalny z backdoorem. Dostarczenie może nastąpić przez e-mail phishingowy, zainfekowany pendrive lub podatną na ataki stronę internetową. Zrozumienie tych etapów pozwala zespołom SOC na wdrażanie odpowiednich detekcji i procedur reagowania.

Rekonesans pasywny, czyli zbieranie informacji bez bezpośredniego kontaktu z celem, wykorzystuje publicznie dostępne źródła, takie jak whois, DNS dumpster, Shodan czy Censys. Narzędzia te pozwalają ustalić zakres adresów IP, strukturę domenową, technologie webowe oraz dane kontaktowe pracowników. Atakujący może również analizować metadane dokumentów opublikowanych na stronie firmy.

Rekonesans aktywny z kolei polega na wysyłaniu pakietów do systemów ofiary i analizie odpowiedzi. Oprócz skanowania portów, atakujący może przeprowadzać enumerację użytkowników przez protokół SMB, identyfikację wersji usług czy testowanie domyślnych haseł. Aby utrudnić wykrycie, napastnicy często korzystają z rozproszonych źródeł skanowania, sieci Tor lub publicznych serwerów proxy.

Nmap oferuje wiele typów skanowania, z których najpopularniejsze to skan TCP SYN (half-open scan) wysyłający pakiety SYN i analizujący odpowiedzi bez nawiązywania pełnego połączenia. Mniej inwazyjny jest skan TCP Connect, który nawiązuje pełne połączenie, ale jest łatwiejszy do wykrycia. Nmap obsługuje także skanowanie UDP, które jest wolniejsze ze względu na brak potwierdzeń w protokole UDP.

Do zaawansowanych funkcji Nmapa należą skrypty NSE (Nmap Scripting Engine) pozwalające na automatyzację wielu zadań, od wykrywania podatności po brute force haseł. Narzędzie to jest nieocenione zarówno dla pentesterów, jak i administratorów chcących sprawdzić bezpieczeństwo własnych systemów. Warto pamiętać, że nieautoryzowane skanowanie sieci może być nielegalne i naruszać politykę bezpieczeństwa.

Sniffing w sieci Ethernet był pierwotnie utrudniony, ponieważ przełączniki (switche) dostarczają ramki tylko do docelowego portu. Aby go ominąć, atakujący może zastosować technikę ARP spoofingu, aby przekierować ruch na swoją maszynę, lub użyć funkcji port mirroring, jeśli ma dostęp administracyjny do przełącznika. W sieciach bezprzewodowych sniffing jest znacznie łatwiejszy, ponieważ medium jest współdzielone.

Obroną przed sniffingiem jest stosowanie szyfrowania na poziomie aplikacji (HTTPS, SSH, SFTP) oraz protokołów z wbudowanym szyfrowaniem, takich jak IPsec czy TLS. Dodatkowo rozwiązania takie jak Port Security na przełącznikach, dynamiczna inspekcja ARP (DAI) oraz segmentacja VLAN utrudniają przeprowadzenie skutecznego podsłuchu w sieci lokalnej.

Protokół ARP z definicji nie posiada mechanizmów uwierzytelniania, co czyni go podatnym na fałszowanie odpowiedzi. Atak ARP Spoofing polega na wysłaniu nieautoryzowanej odpowiedzi ARP, która wiąże adres IP bramy domyślnej z adresem MAC atakującego. Możliwe jest również zatruwanie tablic ARP ofiary tak, aby ruch przeznaczony do konkretnego serwera trafiał do napastnika.

Do obrony przed ARP spoofingiem stosuje się techniki takie jak dynamiczna inspekcja ARP (DAI) na przełącznikach Cisco, statyczne wpisy ARP dla krytycznych urządzeń, czy też narzędzia typu ARPwatch monitorujące zmiany w tablicach ARP. Segmentacja sieci za pomocą VLAN-ów również ogranicza zasięg ataku, ponieważ ruch ARP nie przekracza granic pojedynczej domeny rozgłoszeniowej.

Do przeprowadzenia ataku MitM napastnik może wykorzystać narzędzia takie jak Bettercap, Ettercap czy MITMf, które automatyzują proces przechwytywania i modyfikacji ruchu. Po pomyślnym przekierowaniu ruchu atakujący może dokonać ataku SSL stripping, polegającego na obniżeniu połączenia HTTPS do HTTP, co umożliwia odczytanie zaszyfrowanych danych przed ich wysłaniem do właściwego serwera.

Obrona przed MitM wymaga stosowania szyfrowania end-to-end z weryfikacją certyfikatów, protokołów takich jak HSTS (HTTP Strict Transport Security) wymuszających połączenia TLS, oraz uwierzytelniania dwuskładnikowego. W sieciach korporacyjnych stosuje się również rozwiązania do wykrywania anomalii w tablicach ARP i ruchu sieciowym, które mogą wskazywać na trwający atak typu man-in-the-middle.

Ataki DoS można klasyfikować ze względu na warstwę modelu OSI, w którą uderzają. Ataki warstwy 3 i 4, takie jak SYN flood czy UDP flood, zasypują infrastrukturę sieciową ogromną liczbą pakietów. Ataki warstwy 7 (aplikacyjne), takie jak HTTP flood czy Slowloris, celują w zasoby serwera webowego, wysyłając pozornie poprawne żądania, które jednak wiążą zasoby na długi czas.

Podstawową obroną przed atakami DoS jest stosowanie firewalli z funkcją stateful inspection, systemów IPS/IDS oraz limitowanie liczby połączeń z pojedynczego adresu IP. W przypadku bardziej zaawansowanych ataków konieczne jest wykorzystanie zewnętrznych usług ochrony przed DDoS, takich jak Cloudflare, Akamai czy AWS Shield, które filtrują ruch na brzegu sieci.

Botnety są tworzone poprzez infekowanie urządzeń złośliwym oprogramowaniem, które łączy je z serwerem C2 (Command and Control). Do najbardziej znanych botnetów należą Mirai (atakujący urządzenia IoT), Zeus (kradzież danych bankowych) oraz Emotet (rozpowszechnianie malware). Wielkość botnetów może sięgać milionów zainfekowanych urządzeń, generujących łącznie ruch rzędu terabitów na sekundę.

Ataki DDoS często wykorzystują technikę amplifikacji, gdzie małe zapytanie wysłane do publicznego serwera (DNS, NTP, Memcached) generuje znacznie większą odpowiedź, która jest kierowana do ofiary. Współczynnik amplifikacji może wynosić nawet 1:50000, co pozwala atakującemu z niewielkim łączem wygenerować ogromny atak. Obrona wymaga stosowania blackholingu, rate limitu oraz usług scrubbing center.

Współczesne malware ewoluowało w kierunku zaawansowanych, modułowych platform ataku, które łączą cechy wirusów, robaków, trojanów i ransomware w jednym pakiecie. Przykładem jest Emotet, który rozpoczął jako trojan bankowy, a przekształcił się w platformę do dystrybucji innych typów malware. Ataki typu fileless malware wykorzystują pamięć RAM do wykonania kodu bez zapisywania plików na dysku, co utrudnia wykrycie przez tradycyjne antywirusy.

Do ochrony przed współczesnym malware niezbędne jest stosowanie wielowarstwowej strategii bezpieczeństwa: oprogramowania antywirusowego z detection heurystyczną, firewalli aplikacyjnych, systemów EDR (Endpoint Detection and Response) oraz regularnych aktualizacji systemów. Równie ważne jest szkolenie użytkowników w zakresie bezpiecznych praktyk, takich jak nieotwieranie podejrzanych załączników i nieklikanie w nieznane linki.

Konie trojańskie często są dystrybuowane przez fałszywe wersje popularnego oprogramowania, torrenty czy załączniki e-mail. Po uruchomieniu trojan instaluje backdoora, który łączy się z serwerem C2, umożliwiając atakującemu zdalne sterowanie. Nowoczesne backdoory, takie jak njRAT, DarkComet czy Gh0st RAT, oferują bogate funkcje: keylogging, nagrywanie ekranu, dostęp do kamery i mikrofonu oraz kradzież haseł z przeglądarek.

Backdoory często wykorzystują techniki maskowania, takie jak zmiana nazw procesów na systemowe, rejestracja jako usługa Windows czy ukrywanie komunikacji sieciowej w ruchu HTTPS. Do wykrywania backdoorów stosuje się analizę behawioralną, monitorowanie nietypowych połączeń sieciowych oraz skanowanie pamięci RAM w poszukiwaniu podejrzanych procesów.

Ransomware atakuje najczęściej przez e-maile phishingowe z załącznikami zawierającymi makra VBA, exploit kit-y na podatnych stronach internetowych oraz poprzez RDP (Remote Desktop Protocol) ze słabymi hasłami. Po uruchomieniu ransomware komunikuje się z serwerem C2 w celu odebrania klucza szyfrowania AES, a następnie szyfruje pliki według rozszerzeń (dokumenty, bazy danych, kopie zapasowe).

Nowoczesne ransomware, takie jak Ryuk, Conti czy LockBit, stosuje podwójny szantaż: oprócz szyfrowania plików, kradnie dane i grozi ich publikacją, co zwiększa presję na ofiarę. Najskuteczniejszą obroną jest regularne tworzenie kopii zapasowych zgodnie z regułą 3-2-1 (trzy kopie, dwa nośniki, jedna poza firmą), segmentacja sieci oraz stosowanie zasad najmniejszych uprawnień.

Phishing ewoluował w kierunku coraz bardziej wyrafinowanych form, takich jak spear phishing (atak wymierzony w konkretną osobę z wykorzystaniem spersonalizowanych informacji), whaling (atak na zarząd i kadrę kierowniczą) oraz smishing i vishing (ataki przez SMS i telefon). Grupy APT (Advanced Persistent Threat) często spędzają tygodnie na analizie profilu ofiary przed wysłaniem wiadomości phishingowej, co czyni ją bardzo trudną do odróżnienia od autentycznej korespondencji.

Obrona przed phishingiem wymaga połączenia technologii i edukacji. Filtry antyspamowe, DMARC (ochrona przed fałszowaniem domen), sandboxing załączników oraz uwierzytelnianie wieloskładnikowe stanowią barierę techniczną. Równie ważne są regularne szkolenia użytkowników i symulowane ataki phishingowe, które budują nawyk weryfikowania nadawcy i nieklikania w podejrzane linki.

Skuteczny plan reagowania na incydenty (IR) powinien być udokumentowany w formie playbooków, czyli procedur krok po kroku dla różnych typów zdarzeń: ataku ransomware, wycieku danych, infekcji malware, ataku DDoS czy naruszenia bezpieczeństwa fizycznego. Zespoły CSIRT (Computer Security Incident Response Team) dzielą role na analityków poziomu 1 (triage), 2 (dogłębna analiza) i 3 (polowanie na zagrożenia).

W fazie izolacji kluczowe jest szybkie odcięcie zainfekowanych systemów bez utraty danych dowodowych. Stosuje się tu techniki takie jak blokada portu w przełączniku, odłączenie kabla sieciowego lub izolacja na poziomie firewall. Po zakończeniu incydentu niezbędna jest analiza post-mortem, która pozwala wyciągnąć wnioski i udoskonalić procedury na przyszłość.

Architektura Zero Trust opiera się na trzech fundamentalnych zasadach: weryfikacji każdego żądania (niezależnie od źródła), stosowaniu najmniejszych uprawnień oraz zakładaniu naruszenia (assume breach). W praktyce oznacza to, że nawet jeśli atakujący przejmie laptop pracownika, nie uzyska automatycznie dostępu do całej sieci firmowej, ponieważ każde połączenie wymaga oddzielnej autoryzacji.

Do wdrożenia Zero Trust niezbędne są technologie takie jak mikrosegmentacja sieci (podział na małe, izolowane strefy), systemy IAM (Identity and Access Management) z MFA, narzędzia do zarządzania urządzeniami (MDM/UEM) oraz ciągłe monitorowanie i analiza behawioralna (UEBA). Wdrożenie Zero Trust to proces iteracyjny, który wymaga zmiany mentalności od "ufaj, ale sprawdzaj" do "nigdy nie ufaj, zawsze weryfikuj".

Honeypoty dzieli się na niskiej i wysokiej interakcji. Honeypoty niskiej interakcji, takie jak Dionaea czy Honeyd, emulują usługi sieciowe i są łatwe w utrzymaniu, ale mniej przekonujące dla atakującego. Honeypoty wysokiej interakcji, np. oparte na pełnych systemach operacyjnych, oferują realistyczne środowisko, które może związać atakującego na dłużej, umożliwiając zbieranie szczegółowych informacji o jego narzędziach i technikach.

Honeypoty mogą być również klasyfikowane według celu: produkcyjne (wykrywanie ataków w sieci produkcyjnej) i badawcze (analiza nowych zagrożeń). Coraz popularniejsze są honeypoty rozproszone, działające w chmurze, które zbierają dane o globalnych trendach ataków. Nie należy jednak zapominać, że honeypot raz wykryty przez atakującego może zostać użyty do dezinformacji lub jako punkt wyjścia do dalszego ataku.

Rodzaje czynników uwierzytelniania dzielą się na trzy kategorie: wiedza (hasło, PIN), posiadanie (token sprzętowy, karta, telefon z aplikacją autoryzacyjną) oraz cechy biometryczne (odcisk palca, skan tęczówki, rozpoznawanie twarzy). Coraz popularniejsze staje się uwierzytelnianie adaptacyjne (risk-based authentication), które analizuje kontekst logowania, takie jak lokalizacja, urządzenie czy pora dnia, i dostosowuje wymagany poziom uwierzytelnienia.

Standard FIDO2/WebAuthn zyskuje na znaczeniu jako bezpieczna alternatywa dla haseł, wykorzystująca klucze sprzętowe (U2F, YubiKey) lub wbudowane moduły TPM w laptopach. Wdrożenie MFA znacząco redukuje ryzyko przejęcia konta, jednak nie jest rozwiązaniem idealnym. Ataki typu MFA fatigue, polegające na zasypywaniu użytkownika powiadomieniami push, mogą doprowadzić do przypadkowego zaakceptowania żądania logowania.

Informatyka śledcza dzieli się na kilka specjalizacji: forensyka systemowa (analiza dysków i systemów plików), sieciowa (analiza logów i ruchu sieciowego), pamięci RAM (live forensics) oraz mobilna. Kluczowym narzędziem jest EnCase, FTK Imager, Autopsy oraz narzędzia open source, takie jak The Sleuth Kit. W analizie pamięci RAM wykorzystuje się Volatility do odczytu procesów, połączeń sieciowych i otwartych plików z obrazu pamięci.

Podstawą każdego postępowania forensycznego jest zachowanie łańcucha dowodowego (chain of custody) - dokumentacja kto, kiedy i w jaki sposób miał dostęp do dowodów. Obrazowanie dysków wykonuje się za pomocą blokatorów zapisu (write blockers), aby nie modyfikować oryginalnych danych. Analiza logów z systemów SIEM, serwerów DNS, firewalli i kontrolerów domen pozwala na odtworzenie pełnego obrazu ataku.

Szacuje się, że liczba urządzeń IoT na świecie przekracza już 15 miliardów, a każdy rok przynosi kolejne miliony nowych sensorów i inteligentnych urządzeń. Niestety, wielu producentów traktuje bezpieczeństwo po macoszemu, dostarczając urządzenia z domyślnymi, niezmienialnymi hasłami, przestarzałymi wersjami Linuxa oraz brakiem mechanizmów automatycznej aktualizacji. Luki w IoT są szczególnie niebezpieczne w sektorze medycznym i przemysłowym.

Do ochrony urządzeń IoT zaleca się stosowanie certyfikatów PKI zamiast haseł, szyfrowanie komunikacji, regularne audyty bezpieczeństwa oraz korzystanie z dedykowanych bram IoT, które filtrują ruch do chmury. W sieciach domowych warto wydzielić osobną sieć Wi-Fi dla urządzeń IoT, aby w razie ich kompromitacji nie dać atakującemu dostępu do komputerów z danymi wrażliwymi.

Podczas całego cyklu wykładów poznaliście Państwo zarówno podstawy teoretyczne, jak i praktyczne aspekty bezpieczeństwa sieci komputerowych. Od działania fizycznych mediów transmisyjnych, przez kryptografię, firewalle nowej generacji, VPN, aż po zaawansowane zagrożenia i metody reagowania na incydenty. Wiedza ta stanowi solidny fundament do dalszego rozwoju w obszarze cyberbezpieczeństwa, które jest jedną z najszybciej rozwijających się dziedzin IT.

Zachęcam do kontynuowania nauki poprzez zdobywanie certyfikatów branżowych (CompTIA Security+, CISSP, CEH), udział w konkursach CTF (Capture The Flag) oraz śledzenie bieżących raportów o zagrożeniach. Pamiętajcie, że w cyberbezpieczeństwie nauka nigdy się nie kończy - każdego dnia pojawiają się nowe podatności, nowe narzędzia ataku i nowe metody obrony. Życzę powodzenia na dalszej ścieżce zawodowej!