Publicystyka - ngo.pl

Lekcję otworzyła historia Seana, specjalisty z ponad 30-letnim doświadczeniem w bezpieczeństwie, pracującego w Google Workspace. Opowiedział o największym wycieku, z jakim się zetknął. Inżynier innej firmy z branży finansowej kupił na eBayu używany serwer. Okazało się, że nikt go wcześniej nie wyczyścił, a na dysku znajdowały się dane około 20 milionów kart kredytowych. Serwer pochodził z centrum danych prowadzonego przez firmę zewnętrzną. Incydent wymusił przegląd tego, jak podwykonawcy niszczą dane na sprzęcie wycofywanym z użytku.

Z tej historii płyną dwie lekcje.

Pierwsza: podczas incydentu najważniejsze jest zachowanie spokoju. Wokół wszyscy będą panikować, a osoba, która zarządza incydentem, musi być tą, która zatrzymuje się na chwilę i myśli.

Druga: kolejność działań. Najpierw powstrzymaj wyciek, nawet jeśli oznacza to wyłączenie serwera, odłączenie sieci albo zatrzymanie komunikacji. Dopiero potem badaj, co się stało. Właśnie temu służy plan reagowania na incydenty. Kiedy wszystko się dzieje, nie ma czasu na wymyślanie procedur od zera.

CISSP (Certified Information Systems Security Professional) to jeden z najbardziej uznanych na świecie certyfikatów w branży bezpieczeństwa, przyznawany przez organizację ISC2. Dzieli on pracę specjalistów na osiem domen, czyli obszarów. Są one ze sobą powiązane: luka w jednej może zaszkodzić całej organizacji.

1. Bezpieczeństwo i zarządzanie ryzykiem. Cele i zasady bezpieczeństwa, ograniczanie ryzyka, zgodność z przepisami, ciągłość działania. Przykład: aktualizacja polityk po zmianie prawa o ochronie danych osobowych.
2. Bezpieczeństwo zasobów. Ochrona zasobów cyfrowych i fizycznych, przechowywanie i niszczenie danych. Przykład: dopilnowanie, żeby stary komputer czy dysk został wyczyszczony, zanim trafi do utylizacji. To dokładnie ten obszar, który zawiódł w historii Seana.
3. Architektura i inżynieria bezpieczeństwa. Dobór i konfiguracja narzędzi, systemów i procesów. Przykład: konfiguracja zapory sieciowej (firewalla), która filtruje ruch przychodzący i wychodzący.
4. Bezpieczeństwo komunikacji i sieci. Zabezpieczanie sieci przewodowych i bezprzewodowych. Przykład: polityka zakazująca korzystania z niezabezpieczonych publicznych sieci Wi-Fi.
5. Zarządzanie tożsamością i dostępem. Kto ma dostęp do czego, zarówno do pomieszczeń, jak i do systemów. Przykład: karty dostępu do biura czy konta w systemach przypisane do konkretnych osób.
6. Ocena bezpieczeństwa i testowanie. Audyty, testy i analiza danych. Przykład: regularne sprawdzanie, czy dostęp do listy płac mają tylko osoby, które naprawdę go potrzebują.
7. Bezpieczeństwo operacyjne. Prowadzenie dochodzeń i działania zapobiegawcze. Przykład: reakcja na alert, że do sieci podłączono nieznane urządzenie.
8. Bezpieczeństwo tworzenia oprogramowania. Bezpieczne praktyki programowania. Przykład: doradzanie zespołowi, który tworzy aplikację, jak przechowywać hasła i dane użytkowników.

Nie trzeba być ekspertem we wszystkich ośmiu domenach. Warto jednak znać je wszystkie, bo pomagają zrozumieć, gdzie w organizacji może pojawić się luka.

Jakie ataki należą do których domen?

• Atak na hasło, czyli próba uzyskania dostępu do urządzenia, systemu lub danych zabezpieczonych hasłem, np. metodą brute force (zgadywanie wszystkich kombinacji) albo przy użyciu tęczowych tablic. Domena: komunikacja i bezpieczeństwo sieci.
• Socjotechnika, czyli manipulacja wykorzystująca ludzki błąd: phishing, whaling, BEC, atak typu watering hole, porzucony pendrive (USB baiting), fizyczne podszywanie się. Więcej pisaliśmy o niej w #PC3. Domena: bezpieczeństwo i zarządzanie ryzykiem.*
• Atak fizyczny, czyli incydent, który obejmuje świat fizyczny, np. złośliwy kabel USB, zainfekowany pendrive, klonowanie kart, skimming w bankomacie. Domena: bezpieczeństwo zasobów.
• Adversarial AI, czyli wykorzystanie lub manipulowanie sztuczną inteligencją i uczeniem maszynowym, by atakować skuteczniej. Domeny: komunikacja i bezpieczeństwo sieci oraz zarządzanie tożsamością i dostępem. 
• Atak na łańcuch dostaw, czyli wykorzystanie luki u dostawcy oprogramowania, sprzętu lub usług. Jest szczególnie groźny, bo jeden atak może dotknąć wiele organizacji naraz. Domeny: zarządzanie ryzykiem, architektura bezpieczeństwa, bezpieczeństwo operacyjne.
• Atak kryptograficzny, czyli uderzenie w szyfrowaną komunikację między nadawcą a odbiorcą, np. atak urodzinowy albo wymuszenie słabszego szyfrowania (downgrade). Domena: komunikacja i bezpieczeństwo sieci.

Aktor zagrożenia to każda osoba lub grupa, która stanowi zagrożenie dla bezpieczeństwa. Różnią się celami i motywacjami:

• APT (Advanced Persistent Threats), czyli zaawansowane, długotrwałe zagrożenia. Grupy o dużych możliwościach, często powiązane z państwami. Długo przygotowują atak, potrafią miesiącami pozostawać niewykryte, a celem jest najczęściej infrastruktura krytyczna albo tajemnice handlowe.
• Zagrożenia wewnętrzne, czyli osoby z uprawnionym dostępem, które go nadużywają: dla zemsty, pieniędzy, szpiegostwa albo przez zwykłą nieostrożność.
• Haktywiści, którzy kierują się celami politycznymi lub społecznymi i wykorzystują technologię do propagandy i protestu.

Haker to nie zawsze przestępca

Haker to po prostu osoba, która potrafi uzyskać dostęp do systemów, sieci i danych. Wyróżnia się trzy główne kategorie:

• Autoryzowani (etyczni) hakerzy działają zgodnie z prawem i na zlecenie organizacji, żeby znaleźć luki, zanim zrobią to przestępcy.
• Półautoryzowani hakerzy to badacze, którzy szukają luk, ale ich nie wykorzystują.
• Nieautoryzowani (nieetyczni) hakerzy to przestępcy, którzy kradną i sprzedają dane dla zysku.

Do tego dochodzą początkujący, którzy uczą się na gotowych narzędziach, hakerzy do wynajęcia, działający legalnie lub nie, oraz samozwańczy „mściciele”, którzy chcą walczyć z przestępcami na własną rękę.

Kluczowa różnica: aktora zagrożenia definiuje złośliwy zamiar, a hakera umiejętności.

Fundacje i stowarzyszenia nie mają zwykle zespołu bezpieczeństwa, ale te same osiem obszarów dotyczy także ich. Kilka prostych pytań na start:

• Czy przed oddaniem lub wyrzuceniem starego komputera ktoś wyczyścił dysk?
• Czy wiecie, kto ma dostęp do skrzynki mailowej, dysku z danymi podopiecznych i konta bankowego, i czy te osoby wciąż z Wami współpracują?
• Czy macie spisane choćby kilka zdań o tym, co robić, gdy dojdzie do wycieku: kogo powiadomić, co wyłączyć, gdzie zgłosić?

Jeśli na któreś pytanie odpowiedź brzmi „nie wiem”, to dobry moment, żeby to uporządkować. Chętnie pomożemy: [email protected].

• CISSP: uznany na świecie certyfikat specjalistów ds. bezpieczeństwa systemów informatycznych, przyznawany przez ISC2.
• Aktor zagrożenia: osoba lub grupa stanowiąca zagrożenie dla bezpieczeństwa.
• APT: zaawansowane, długotrwałe zagrożenie, zwykle dobrze zorganizowana grupa długo pozostająca niewykryta.
• Zagrożenie wewnętrzne: osoba z organizacji, która nadużywa swojego dostępu.
• Haktywista: aktor zagrożenia działający z pobudek politycznych lub społecznych.
• Adversarial AI: technika manipulowania AI i uczeniem maszynowym w celu skuteczniejszego przeprowadzania ataków.
• Atak na łańcuch dostaw: atak wykorzystujący lukę u dostawcy systemu, sprzętu lub oprogramowania.
• Atak kryptograficzny: atak na szyfrowaną komunikację między nadawcą a odbiorcą.
• Atak fizyczny: incydent obejmujący zarówno środowisko cyfrowe, jak i fizyczne.
• Zapora sieciowa (firewall): urządzenie lub program monitorujący i filtrujący ruch sieciowy.

Definicje wszystkich pojęć znajdziesz w słowniku amerykańskiego NIST: csrc.nist.gov/glossary.

Projekt „6 miesięcy” ma charakter edukacyjny. Treści stanowią autorskie opracowanie i syntezę wiedzy zdobywanej przez Fundację Fabian Digital podczas programu Google Cybersecurity Certificate. Fundacja Fabian Digital nie jest powiązana kapitałowo ani oficjalnie reprezentowana przez firmę Google.