Národné centrum kybernetickej bezpečnosti SK-CERT zverejnilo vyrovanie pred zvýšeným rizikom kybernetických bezpečnostných útokov a to najmä na infraštruktúru prevádzkovateľov základných služieb a prvkov kritickej infraštruktúry. Centrum hodnotí riziko ako veľmi vysoké.
Rôzne organizované skupiny v súčasnosti útočia na krajiny Európskej únie a Severoatlantickej aliancie. NBÚ odporúča implementovať opatrenia, ktoré nájdete v článku nižšie.
Pokračujúca vojna na Ukrajine je príznačná nielen devastujúcimi fyzickými útokmi Ruska na infraštruktúru a obyvateľstvo Ukrajiny, ale aj kontinuálnymi kybernetickými útokmi ako na infraštruktúru Ukrajiny, tak aj na infraštruktúru členských štátov EÚ a NATO. Národné centrum kybernetickej bezpečnosti preto vyhodnocuje riziko kybernetických bezpečnostných útokov na infraštruktúru prevádzkovateľov základných služieb a prvkov kritickej infraštruktúry ako veľmi vysoké.
V súvislosti so znižovaním tohto rizika je potrebné, aby prevádzkovatelia základných služieb a prvky kritickej infraštruktúry bezodkladne vykonali preventívne bezpečnostné opatrenia, minimálne v nasledujúcom rozsahu:
- bezpečnosť prevádzky služieb, systémov a sietí - zaveďte zvýšený monitoring sietí a systémov so zameraním sa na neštandardné a neočakávané aktivity, monitoring vzdialených prístupov do siete a zaťaženia sieťovej prevádzky. Odporúčame, aby takýto monitoring fungoval v režime 24/7, monitorujte a na pravidelnej báze kontrolujte prístup tretích strán (dodávateľov, management service providerov) a limitujte takýto prístup len na nevyhnutné minimum,
- obmedzte vzdialený prístup do vašej siete a systémov a ak sú takéto prístupy nevyhnutné, monitorujte vzdialené prístupy, obmedzte privilégiá vzdialených používateľov, vynucujte viacfaktorovú autentifikáciu a na vzdialený prístup používajte VPN, nesprístupňujte priamo na internete služby vzdialeného prístupu ako sú RDP, SSH, VNC, telnet a podobne,
- zakážte všetky porty a protokoly, ktoré nie sú potrebné na prevádzku sietí, systémov a služieb,
- zmapujte všetky verejné služby vašej organizácie, vystavených do internetu a následne:
- úplné vypnite nepotrebné a nepoužívané systémy
- aktualizujte zastarané systémy
- preverte účty a heslové politiky na systémoch, prístupných z internetu,
- odstráňte staré účty
Pripravte sa na hrozbu DDoS útokov na L3/L4 úrovni a takisto aj L7 úrovni (odporúčania nižšie sú zamerané práve na ochranu proti takýmto útokom na L7) a to nasledujúcimi spôsobmi:
- využite CDN (Content Delivery Network) na prevádzku webových služieb
- majte vytvorené záložné lokality vašich systémov a služieb, resp. ich redundanciu,
- do internetu publikujte statické webové stránky, ideálne v externej hostingovej spoločnosti (redakčný systém, inštalovaný vo vnútornej sieti neprístupnej z Internetu vygeneruje HTML súbory, obrázky a štýly, ktoré sú následne prenesené na hostingovú službu)
- striktne oddeľte citlivé údaje a prevádzkovo kritické aktíva od verejných webových stránok
- odporúčame zvážiť používanie služieb na DDoS ochranu – existujú dokonca aj služby, ktoré základnú ochranu proti DDoS útokom (špecificky proti L7 vrstve) poskytujú zdarma. Typická DDoS ochrana od ISP spravidla nie je ochranou proti DDoS na L7 vrstvu. Preverte si so svojim poskytovateľom internetu, či vám takúto ochranu zabezpečuje a v akom rozsahu.
- implementujte bezpečnostnú infraštruktúru, schopnú filtrovať IP adresy útočníka vo veľkom objeme
- implementujte WAF
- svoje e-mailové systémy zabezpečte využitím rôznych bezpečnostných metód (napríklad SPF a DKIM, antispamové filtre). Nakonfigurujte mailový server tak, aby sa škodlivé a podozrivé maily nedostali do schránok používateľov
Riadenie bezpečnosti
- preverte účinnosť vášho zálohovacieho manažmentu, aktualizujte vaše zálohovacie procedúry s využitím pravidla 3-2-1,
- preverte a aktualizujte váš manažment prístupov, odstránťe všetky staré a nepoužívané kontá, obmedzte prístupy jednotlivých používateľov v zmysle pravidla „need to know“,
- politiku hesiel aktualizujte tak, aby zakazovala používať rovnaké heslá na rôzne služby a aby vynucovala používanie silných hesiel alebo heslových fráz. Toto opatrenie je potrebné zaviesť nie len z procesného, ale aj technického hľadiska,
- implementujte a vynucujte viacfaktorovú autentifikáciu, vrátane e-mailových služieb a VPN služieb. Odporúčame vyhnúť sa SMS overovaniu. Používajte také autentifikačné spôsoby, ktoré sú odolné voči sociálnemu inžinierstvu (napr. fyzické tokeny),
- preverte politiku aktualizácií softvéru a firmvéru a bezodkladne vykonajte aktualizáciu všetkých systémov a služieb, predovšetkým bezpečnostnými záplatami. Pre zistenie rozsahu zraniteľných systémov vykonajte skenovanie zraniteľností dostupnými nástrojmi,
- pri používaní cloudových služieb sa uistite, že spĺňajú bezpečnostné štandardy minimálne v rozsahu bezpečnosti vašich vlastných systémov – viacfaktorová autentifikácia, politika prístupov, prístup cez VPN a podobne. Cloudové služby nie je možné využívať ako úložisko kritických informačných aktív (napr. obchodné tajomstvá, osobné údaje, plány infraštruktúry, klasifikované informácie a podobne),
Riadenie incidentov
- preverte a aktualizujte procesy riadenia kybernetických bezpečnostných incidentov a uistite sa, že zamestnanci vedia, koho kontaktovať v prípade podozrenia na incident,
pri zistení kybernetického bezpečnostného incidentu:
- bezodkladne riešte incident,
- pri riešení incidentu zaistite všetky potrebné dôkazy pre ďalšie účely (napríklad trestné konanie),
- nahláste incident Národnému centru kybernetickej bezpečnosti SK-CERT a komunikujte s SK-CERT pri riešení incidentu,
- zabezpečte dostupnosť kľúčového personálu v oblasti prevádzky a riadenia kybernetickej bezpečnosti,
- uistite sa, že vaše BCM plány a plány obnovy po havárii sú funkčné. V prípade akéhokoľvek negatívneho nálezu alebo neúspešného testu aktualizujte tieto plány tak, aby v praxi bolo možné obnoviť prevádzku v čo najkratšej dobe,
Bezpečnosť používateľov
Poučte svojich zamestnancov o rizikách kybernetických bezpečnostných incidentov a informujte ich o zvýšenom riziku útokov. Vzdelávacie aktivity robte adresne, podľa rolí a zodpovedností jednotlivých zamestnancov:
- bežní používatelia – princípy sociálneho inžinierstva a ako sa proti nemu brániť,
- administrátori – pravidlá bezpečnej infraštruktúry
- kyberbezpečnostní špecialisti – špecializované bezpečnostné vzdelávanie
- skolenia (podľa role jednotlivých používateľov) opakujte na pravidelnej báze,
Pravidelne vykonávajte phishingové testy a cvičenia v oblasti kybernetickej bezpečnosti (blue vs. red team, tabletop)
Tipy na záver
Mnohé z odporúčaní je možné implementovať aj vlastnými silami, či už s použitím existujúcich komerčných produktov alebo open-source softvéru dostupného zadarmo. NCKB SK-CERT nedáva odporúčanie na konkrétnych dodávateľov alebo technológie. Na inšpiráciu však uvádzame tieto možnosti, o ktorých je dobré vedieť:
- najpopulárnejšie redakčné systémy majú ľahko dostupné pluginy na export statickej stránky,
- medzi zadarmo dostupné nástroje na monitoring sieťovej prevádzky patrí IDS/IPS Suricata alebo Snort s komunitnými pravidlami,
- medzi najpopulárnejšie open-source WAF patrí projekt ModSecurity,
- existujú online služby na ochranu pred DDoS útokmi, ktoré poskytujú základnú úroveň ochrany zadarmo
