28.2.2011

1

SIGURNOST INFORMACIJSKIH

SUSTAVA

Kompjutorski kriminalitet

Kriminalitet – kompjutorski kriminalitet

Kriminalitet – društveno opasno ponašanje koje je

propisima krivičnog zakonodavstva predviđeno kao

krivično djelo.

Kompjutorski kriminalitet – svi slučajevi zlouporabe

kompjutorskih sustava koji su pravno okarakterizirani kao

krivično djelo.

Kompjutorski delikventi

Mlade obrazovane osobe željne znanja i dokazivanja.

Kriminalitet “bijelih ovratnika”

Frikeri (Phreaking = Phone + breaking)

Hackeri (to hack = zasjeći, ostaviti trag, udariti, rovariti)

Crackeri (to crack = praskati, drobiti, uništiti, razbiti)

Praćenje kompjutorskog kriminaliteta (1)

Početak '60 – prvi radovi u tisku o kompjutorskom

kriminalu,

Sredina '70 - prve studije, naučna kriminološka

istraživanja

'80 godine – napisi o hakeriranju, kompjutorskim virusima

i crvima, širenje softverskog piratstva, zlouporaba

telekomunikacijskih sustava ….

Praćenje kompjutorskog kriminaliteta (2)

Kompjutorski kriminal se ne ograničava na ekonomski

kriminal (stjecanje materijalne koristi) već i ugrožavanje

privatnosti (zdravstvene ustanove, banke…)

'90 godine – procvat Interneta – različiti ranije poznati

oblici kompjutorskog kriminaliteta koriste sve

pogodnosti Interneta

crna predviđanja – totalna anarhija u informacijskom

društvu

Kompjutorski kriminalitet i zakoni

Prvi val reformi – donošenje Zakona vezanih uz zaštitu

podataka (1973. Švedska, 1974. SAD, 1977. Njemačka …..

Španjolska 1995. Grčka 1997. ….. Hrvatska 2002.)

Drugi val – zakonima suzbiti nove oblike kompjutorskog

ekonomskog kriminala (SAD i Italija 1978.)

28.2.2011

2

Kompjutorski kriminalitet i zakoni

Treći val – (početak '80) – potreba za zaštitom intelektualne imovine u elektroničkom obliku (ne više u okviru «druga djela»).

Četvrti val – (kraj '80. početak '90) – problem odgovornosti osoba koje šire pornografske, rasističke i sl. materijale putem Interneta. Postojeći zakoni proširuju se amandmanima koji uključuju i «materijale uskladištene u elektroničkom obliku».

Mogući načini napada

Neovlašten pristup tuđem kompjutorskom sustavu

Neovlašteno mijenjanje podataka i/ili programa

Neovlašteno brisanje podataka i/ili programa

Presnimavanje nekog malicioznog programa

Korištenje tuđeg kompjutora na mreži za pristup drugom sustavu

Nastajanje štete (ili uvjeta koji je mogu prouzročiti) na infrastrukturi

Krađa, oštećenje ili uništenja tehničke osnovice ili medija za pohranu podataka

Mogući ciljevi napada

Korisničke lozinke

Podaci i informacije

Datoteke

Kompjutorski programi

Web stranice

Onemogućavanje korištenja kompjutorskih sustava

Materijalni resursi informacijskih sustava

Vrste napada (1)

S obzirom na volju napadača:

Namjerne napade

Slučajne napade

S obzirom na učinak izvršenih radnji:

Aktivni napadi

Pasivni napadi

Vrste napada (2)

S obzirom na mjesto s kojeg dolaze:

Unutarnji napadi

Vanjski napadi

S obzirom na resurse napada:

Napadi na podatkovne resurse

Napadi na programsku osnovicu

Napadi na tehničku osnovicu

Vrste napada (3)

S obzirom na cilj napada:

Lažno predstavljanje

Neovlašteno korištenje resursa

Uskraćivanje usluga

Neovlašteno pribavljanje informacija

Neovlaštena izmjena informacija

28.2.2011

3

Radnje pri ostvarivanju cilja napada

Osigurati pristup kompjutorskom sustavu

Proširiti taj pristup kako bi mogli dalje djelovati

Poduzeti druge radnje ovisno o svojim motivima i

namjerama

Ukloniti dokaze o svojem prisustvu i poduzetim radnjama

Osigurati pristup kompjutorskom

sustavu

Metode

Društveni (socijalni) inženjering

Lažno predstavljanje

Ispitivanje

Pretraživanje

Prisluškivanje

Optičko špijuniranje

Druženje

Kompromitiranje

Razna programska rješenja

Proširenje pristupa

Pregledavanje

Korištenje «stražnjih vrata» i zamki

Legalni programi za analizu i nadzor rada i korištenja

sustava

Pomoćni programi (Superzap)

Slabosti i greške u kompjutorskim programima.

Poduzeti metode ovisno o vrsti napada

Manipulacije sa podacima:

Tehnika salame

Neposredna izmjena podataka

Premetanje po podacima

Tehnike uskraćivanja usluga ovlaštenim korisnicima

Primjena malicioznih programa

Uklanjanje dokaza

Brisanje sadržaja u log datotekama

Galerija “slavnih”

Kevin David Mitnick (Condor)

John Drapper

Kevin Poulsen («Dark Dante»)

Richard Pryce («Datastream Cowboy») i Mathew Bevan

(«Kuji»)

28.2.2011

4

Manipulacije i računalo

Računalo kao cilj (objekt, meta) manipulacije

Računalo kao sredstvo (subjekt, predmet)

manipulacije

___________

Korištenje računala za komunikaciju i pohranu

podataka o kriminalnoj aktivnosti

Računalo kao cilj manipulacije

Kompjutorski sustav u krivično pravnom smislu

predstavlja objekt kriminalnih radnji:

Napadi na strojnu podršku

Napadi na programsku podršku

Komunikacijsku (mrežnu) podršku

Računalo kao sredstvo manipulacije

Kompjutorski sustav u krivično pravnom smislu služi za

obavljanje kriminalnih radnji:

Radnje pomoću strojne podrške

Radnje pomoću programske podrške

Razni oblici manipulacije

Računalo kao sredstvo manipulacije

Malware – (engl. malicious software)(maliciozni softver,

zločudni kod) programi oblikovani s ciljem da se

infiltriraju u računalne sustave i načine neku vrstu štete.

Računalni virusi

Mrežni crvi

Trojanski konji

Špijunski programi

Neovlašteni reklamni (oglasni) softver – adware (engl.

advertising software)

Softver za financijski kriminal

Maliciozni softver

Page Hijacker (otimač stranica) – početnu stranicu i/ili

stranicu za pretraživanje koju je korisnik odabrao u

postavkama Internet Explorera, zamijene s adresom neke

proizvoljne web stranice; dodavanje novih Internet kratica

u mapu favorita

Dialer (dial = birati broj) – u trenutku aktiviranja

automatski se prekida Internetska veza sa trenutnim

pružateljem internetskih usluga i uspostavlja se veza s

drugim telefonskim brojem (broj u inozemstvu, posebna

tarifa). Najviše izloženi korisnici ISDN-a.

Maliciozni softver

Spam – svaka (neželjena) elektronička poruka koju

korisnik dobije, od poznatog ili nepoznatog pošiljatelja a

nije ju zatražio.

Hoax – poruka elektroničke pošte neistinitog sadržaja

poslane s ciljem dezinformiranja i zastrašivanja. Primatelj

prosljeđuje hoax na što veći broj adresa uvjeren da

pomaže drugima.

28.2.2011

5

SPAM

Neki od oblika zaštite:

Ne objavljivati javno svoju mail adresu

Mail adresu stavljati samo na provjerene mailing liste

Brisati ranije korištene (u mailu navedene) mail adrese pri

prosljeđivanju maila

Obavijest o odjavi s mail liste često mamac (odjava potvrda da

je adresa prava)

…..

Hoax

Pojavni oblici:

Upozorenja o štetnim programima

Lanci sreće i zarade

Lažni pozivi za pomoć

Zastrašujuće poruke

Kompromitirajuće poruke

Bezazlene poruke

Maliciozni softver

Adware – (engl. advertising-supported software) prikuplja podatke praćenjem navika korisnika tijekom surfanja, ubacuje ciljane marketinške i druge poruka za vrijeme surfanja …

Spyware – aplikacija (softver) koji se nasilno instalira u računalo, prati aktivnosti korisnika računala i šalje podatke vlasniku spyware-a o navikama korisnika. Široka paleta programa koji iskorištavaju korisničko računalo za stjecanje koristi za neku treću osobu.

Spyware

Načini pribavljanja:

Prihvaćanje besplatnog softvera

Pristup “sumnjivim” stranicama

Kroz razne propuste Internet Explorera

Čitanjem spam-a

Prihvaćanjem podataka putem P2P mreže

Maliciozni softver

Phishing (engl. password harvesting ) - oblik prijevare koja

podrazumijeva skup aktivnosti kojima neovlašteni

korisnici korištenjem lažnih poruka elektroničke pošte i

lažnih web stranica većinom financijskih organizacija

pokušavaju korisnika navesti na otkrivanje povjerljivih

osobnih podataka.

Phishing

Pojavni oblici:

Poruka banke da se upiše npr. PIN, broj računa i sl.

Prijevare sa Web stranicama – navođenje da se nešto kupi i sl.

Lažne poruke administratoru da se pribave određeni podaci npr.

lozinke

Lažne nagradne igre koje od “sretnog dobitnika” traže osobne

podatke npr. broj računa kako bi uputili novčanu nagradu

…..