Wojna z cyberprzestępcami nigdy się nie kończy

Hakerzy to coraz bardziej zaawansowane i zorganizowane grupy. Potrafią destabilizować firmy i całe państwa. Dlatego czas zmienić sposób myślenia o ochronie informatycznej.

Publikacja: 10.06.2018 21:00

Nikodem Bończa-Tomaszewski, prezes Exatelu, otworzył III edycję ESD2018 i zaprezentował nową strateg

Nikodem Bończa-Tomaszewski, prezes Exatelu, otworzył III edycję ESD2018 i zaprezentował nową strategię oraz nowe logo spółki.

Foto: materiały prasowe

Podniesienie poziomu cyberbezpieczeństwa stanowi kluczowe wyzwanie, zarówno dla sektora publicznego, jak i prywatnych przedsiębiorców. W wielu przypadkach barierą są pieniądze. Jednak oszczędzanie na informatycznych zabezpieczeniach jest bardzo ryzykowne. – Za krótka kołdra w cyberbezpieczeństwie może się szybko zemścić – podkreśla Nikodem Bończa-Tomaszewski, prezes Exatelu.

Państwowy operator telekomunikacyjny działa, opierając się na czterech filarach – rozwoju sieci (realizuje intensywny program inwestycji w światłowody), bezpieczeństwie, oferowaniu zintegrowanych rozwiązań i innowacjach. – To sprawia, że jesteśmy najbezpieczniejszą polską siecią. Włączyliśmy się w budowę cybersuwerennej Polski oraz globalny wyścig bezpieczeństwa IT. Chcemy, by o cybersecurity przestało się tylko mówić. Trzeba działać – przekonywał prezes Bończa-Tomaszewski, podczas zorganizowanej w ubiegłym tygodniu trzeciej już edycji Exatel Security Days (ESD 2018).

100 dni do ujawnienia

ESD 2018, jedno z najważniejszych wydarzeń w temacie cyberbezpieczeństwa, zgromadziło liczących się ekspertów i praktyków branży. Dyskutowano o licznych zagrożeniach, jakie czyhają na przedsiębiorców, operatorów infrastruktury krytycznej i zwykłych użytkowników internetu. Konkluzje nie są optymistyczne. Stan zabezpieczeń komputerów i sieci w wielu przypadkach jest dziurawy niczym ser, a aktywność i pomysłowość hakerów rośnie w zastraszającym tempie.

– Aby zachować bezpieczeństwo, wystarczą dobre chęci. Cyberprzestępcy są coraz lepiej wyposażeni i zorganizowani. Często to wręcz ludzie w mundurach – ostrzega Jakub Syta, dyrektor departamentu cyberbezpieczeństwa w Exatelu.

Jak tłumaczy Michał Ceklarz, security sales manager w Cisco, każdego dnia na świecie pojawia się 1,5 mln próbek złośliwego oprogramowania (malware). Obrazu dopełnia fakt, że w Polsce, jak w wielu innych krajach na świecie, brakuje specjalistów od bezpieczeństwa informatycznego, a ilość podatności systemów na wirusy zamiast spadać, rośnie. I to lawinowo. Do pokonania cyberprzestępców więc długa droga. O ile ona w ogóle ma swój koniec.

Jak przekonuje Maciej Grela, inżynier usług bezpieczeństwa IT w Exatelu, tak szybko, jak załatane zostaną luki, pojawi jeszcze więcej kolejnych. – Bezpieczeństwo to gra, która się nigdy nie kończy – wyjaśnia.

Stąd inwestycje w cyberbezpieczeństwo to proces ciągły. A to, że niezbędny wykazali podczas ESD 2018 tzw. pentesterzy Exatelu – Marek Cybul i Kamil Suska. Przedstawili oni wybrane przykłady przeprowadzonych przez siebie testów penetracyjnych w kilku organizacjach w Polsce.

Wnioski są porażające. Jakość stosowanych zabezpieczeń nie ochroni wielu systemów. I wcale nie będą potrzebne wyrafinowane sposoby, by pokonać np. firewalla. Eksperci byli w stanie włamać się do poważnych firm i instytucji za pomocą trywialnych wręcz ataków rodem z lat 90.

Cybul i Suska testowali np. aplikację, w której status administratora uzyskali poprzez zmianę jednego znaku w skrypcie. – Potrzebowaliśmy ledwie 5 minut na przejęcie serwera – podkreślają.

Z kolei, prowadząc pentesty w jednym z portali aukcyjnych, byli w stanie w ciągu kilku sekund zapchać znajdującą się tam bramkę SMS i zablokować działanie aplikacji. Co więcej, mogli wylogowywać użytkowników z aukcji i uniemożliwiać im ponowne zalogowanie. Ale szczególne wrażenie zrobił symulowany atak pentesterów na jedną z firm za pomocą ogólnodostępnego infokiosku. Tzw. kompromitacji organizacji dokonali zaledwie w ciągu 7 minut. Oczywiście w kontrolowany i niegroźny dla niej sposób.

Prawdziwi cyberprzestępcy, dokonując takich włamań, mogą wyrządzić przedsiębiorstwom i różnego rodzaju instytucjom gigantyczne szkody. Tym bardziej, że po „przejęciu" organizacji często przez wiele tygodni, a nawet miesięcy, mogą pozostać niewykryci.

– Statystyki pokazują, że od infekcji i kompromitacji do ujawnienia incydentu średnio mija 100 dni – ostrzega Michał Ceklarz z Cisco.

Ograniczone zaufanie

Ale lepiej zabezpieczone i bardziej świadome zagrożeń organizacje też nie mogą być spokojne. Hakerzy celujący w takie ofiary stosują bardziej wyrafinowane metody. – Atakujący mogą poświęcić dużo czasu, by dostać się komputera określonej ofiary, stosując np. zabiegi socjotechniczne. W sytuacji celowanych ataków nic nie obroni nas oprócz podejrzliwości – zauważa Maciej Grela.

Cyberprzestępcy udoskonalają sztukę podstępu, dlatego – jak twierdzi Joanna Rutkowska, niekwestionowany ekspert w branży, założycielka firmy Invisible Things Lab – kluczem jest brak zaufania. Jej zdaniem w IT jeden zaufany komponent może obnażyć bowiem cały system.

Nieustannie przekonują się o tym nawet największe koncerny. A skutki w niektórych wypadkach są wręcz katastrofalne. Wystarczy podać przykład wirusa z uprawnieniami administratora domeny, który w 2017 r. zaszyfrował komputery 70 tys. pracowników firmy Merck, paraliżując ich pracę.

– Firma farmaceutyczna musiała zainstalować nowy serwer pocztowy, co skutkowało brakiem historii korespondencji, poza tym przedstawiciele Merck musieli rejestrować spotkania i zamówienia... w zeszytach. Atak boleśnie odbił się na wynikach giganta – oszacowano, że trwający kwadrans incydent kosztował w sumie ok. 900 mln dol. – tłumaczy Adam Haertle, ekspert w dziedzinie cyberbezpieczeństwa z serwisu Zaufana Trzecia Strona.

Skutki ataków mogą być nie tylko druzgocące dla firm, ale nawet dla całych państw. Eksperci wyjaśniają, że szczególnie dotkliwe mogą być ataki na infrastrukturę krytyczną. Energia, transport, bankowość, ochrona zdrowia, infrastruktura teleinformatyczna czy zaopatrzenie w wodę pitną to systemy, które działają w sieci. – A więc można je zdestabilizować – zauważa Jakub Syta.

To już nie są żarty

Właśnie sześć powyższych obszarów wskazano jako kluczowe w nowej ustawie o krajowym systemie cyberbezpieczeństwa, stworzonej przez Ministerstwo Cyfryzacji. Przepisy, które, które przygotowują Polskę do wdrożenia unijnej dyrektywy NIS (nakazuje krajom członkowskim zapewnienie przejrzystej organizacji ochrony cyberprzestrzeni), procedowane są w Sejmie. Celem jest ograniczenie sytuacji, w których infrastruktura krytyczna mogłaby zostać sparaliżowana przez cyberprzestępców. – Pamiętamy potężny atak z 2007 r., który na dwa tygodnie sparaliżował społeczeństwo uzależnione od internetu. Ale konsekwencje ataków na infrastrukturę krytyczną mogą być znacznie poważniejsze – twierdzi Jakub Syta. I wskazuje przykład cyberataku z 2008 r. na ropociąg Baku–Tbilisi–Ceyhan, który doprowadził do fizycznych zniszczeń. Na jego skutek wybuchł bowiem 150-metrowy odcinek magistrali.

Dlatego infrastruktura krytyczna wymaga stałej ochrony. – Tutaj nie ma mowy o półśrodkach. Bezpieczeństwo powinno być na najwyższym możliwym poziomie – twierdzi dyrektor departamentu cyberbezpieczeństwa w Exatelu.

Chodzi nie tylko o możliwość destabilizacji działania jednej organizacji czy nawet gospodarki, ale o życie ludzi. – Gdy w zeszłym roku zaatakował wirus Wanna Cry, system opieki zdrowotnej w W. Brytanii przestał funkcjonować. Brak dostępu do wyników badań, kart zdrowia pacjentów i innych informacji medycznych mógł skutkować śmiercią wielu osób. Podobnie porażające mogły być efekty innego incydentu z 2017 r., gdy cyberprzestępcy uderzyli w zakłady chemiczne w Arabii Saudyjskiej. Chodziło im o spowodowanie skażenia i śmierć wielu osób. – To już nie są żarty. Cyberbezpieczeństwo jest osiągalne, ale wymaga świadomości istnienia problemu ze strony decydentów, odpowiedniej technologii i ekspertów, którzy nad technologią zapanują – mówi Jakub Syta.

Podniesienie poziomu cyberbezpieczeństwa stanowi kluczowe wyzwanie, zarówno dla sektora publicznego, jak i prywatnych przedsiębiorców. W wielu przypadkach barierą są pieniądze. Jednak oszczędzanie na informatycznych zabezpieczeniach jest bardzo ryzykowne. – Za krótka kołdra w cyberbezpieczeństwie może się szybko zemścić – podkreśla Nikodem Bończa-Tomaszewski, prezes Exatelu.

Państwowy operator telekomunikacyjny działa, opierając się na czterech filarach – rozwoju sieci (realizuje intensywny program inwestycji w światłowody), bezpieczeństwie, oferowaniu zintegrowanych rozwiązań i innowacjach. – To sprawia, że jesteśmy najbezpieczniejszą polską siecią. Włączyliśmy się w budowę cybersuwerennej Polski oraz globalny wyścig bezpieczeństwa IT. Chcemy, by o cybersecurity przestało się tylko mówić. Trzeba działać – przekonywał prezes Bończa-Tomaszewski, podczas zorganizowanej w ubiegłym tygodniu trzeciej już edycji Exatel Security Days (ESD 2018).

Pozostało 89% artykułu
2 / 3
artykułów
Czytaj dalej. Subskrybuj
Biznes
Legendarny szwajcarski nóż ma się zmienić. „Słuchamy naszych konsumentów”
Biznes
Węgrzy chcą przejąć litewskie nawozy. W tle oligarchowie, Gazprom i Orban
Materiał partnera
Dlaczego warto mieć AI w telewizorze
Biznes
Kiedy rząd przedstawi strategię wobec AI i metawersum? Rosną naciski firm
Biznes
PFR żąda zwrotu pieniędzy od części firm. Esotiq i Prymus chcą wyjaśnień