Rozsiahle kybernetické útoky čoraz častejšie odhaľujú slabiny, ktoré mnohé organizácie dlhodobo podceňujú. Ich dopady sú vážne a pri incidentoch spojených s ransomvérom, či kybernetickou špionážou už nejde o improvizáciu, ale o systematický boj, kde rozhoduje chladná hlava a dôkladná príprava. Skúsenosti tímu IstroSec ukazujú, že úspech obnovy sa nerodí počas útoku, rodí sa dávno pred ním.
Prvých 48 hodín rozhoduje
Keď vypukne incident, v organizácii často nastáva chaos. Interné tímy a manažment sú pod obrovským tlakom, riešia finančné straty aj reputačné riziká, čo vedie k chybám. Špecialisti z IstroSec preto postupujú podľa internej metodiky, inšpirovanej osvedčenou metodikou NIST 800-61, ktorej jednotlivé procedurálne kroky sú vnímané ako vzájomne previazaný celok. Po privolaní na zásah sa musí okamžite identifikovať problém a zamedziť ďalším negatívnym dopadom:
-
Containment (zamedzenie šírenia): prvým krokom je izolácia zasiahnutých systémov a zastavenie pohybu útočníka. IstroSec nasadzuje okamžité technické opatrenia, zapája organizáciu do taktického bezpečnostného dohľadu a vykonáva reaktívne vyhľadávanie hrozieb (threat hunting), aby okamžite zmapoval rozsah kompromitácie a odrezal útočníkovi prístupové cesty bez toho, aby zničil dôkazy.
-
Eradication (odstránenie): po stabilizácii nasleduje dôsledné odstránenie útočníka z infraštruktúry - od škodlivého kódu cez zadné vrátka, rootkity, až po zneužité účty. Dohľadové technológie a opatrenia sa priebežne ladia, aby sa útočník nemohol vrátiť tou istou cestou.
-
Recovery (obnova): systémy a služby sa vracajú do prevádzky postupne a pod profesionálnym bezpečnostným dohľadom špecialistov, ktorý overuje, že obnovené prostredie je naozaj čisté a odolné.
-
Lessons Learned (poučenie): záverečná fáza premieňa incident na hodnotu. IstroSec formuluje konkrétne odporúčania na nápravu organizačných, procesných a technických nedostatkov.
Forenzná analýza ako kontinuálny proces
Forenzná analýza nie je jednorazový úkon na konci, ale kontinuálny proces prebiehajúci naprieč všetkými procedurálnymi krokmi. Začína triážou, čo je principiálne rýchlym vytriedením zasiahnutých systémov, identifikácia kľúčových faktov ako sú napríklad spôsob perzistencie, šírenia škodlivého kódu alebo laterálneho pohybu útočníka. Triáž súčasne obsahuje stanovenie priorít, ktoré systémy sú nevyhnutné pre identifikáciu aktivít útočníka a pomáha určiť postupnosť ďalších krokov v rámci riešenia incidentov. Forenzná analýza ďalej pokračuje štandardnou aj špeciálnou forenznou analýzou a v prípade potreby zahŕňa napríklad analýzu škodlivého kódu, alebo tradičných “legacy” OT technológií. Kľúčové je počas každého procedurálneho kroku zaisťovať forenzné artefakty a stopy a dôsledne udržiavať tzv. chain of custody, aby dôkazy obstáli aj pri prípadnom vyšetrovaní či súdnom spore.
Vyjednávanie s útočníkmi
Pri ransomwarových útokoch je vyjednávanie s útočníkom oveľa dôležitejšie, než si väčšina organizácií pripúšťa. Od kvality a profesionality vyjednávania závisí viac, než sa zdá. V mnohých prípadoch dokáže získať čas na obnovu zo záloh, overiť možnosti dešifrovania a znížiť tlak útočníka. Mnohokrát - približne 60% prípadov - je práve vyjednávanie principiálnou súčasťou úspechu, vďaka ktorej organizácia obnoví služby bez toho, aby musela zaplatiť výkupné.
Pozor na „upratujúcich“ administrátorov
Nebezpečným javom počas incidentu môže byť aj neočakávaný aspekt - ľudský faktor resp. lokálny administrátor. Stáva sa, že administrátori v panike alebo zo strachu z pochybenia začnú zametať stopy, čím sťažujú forenznú analýzu aj následnú obnovu. Skúsený incident responder preto musí byť nielen technicky zdatný, ale aj psychicky odolný, aby v krízovej situácii dokázal manažovať emócie zasiahnutého tímu v organizácii pod útokom.
Zálohy nestačí mať, musíte ich vedieť obnoviť
Mnohé firmy sa spoliehajú na to, že majú zálohy. Realita pri obnove však býva iná. Často sa zistí, že hoci dáta existujú, chýbajú systémy alebo závislosti potrebné na ich reálne spustenie alebo drift medzi zálohami jednotlivých systémov na kritickej ceste k obnove esenciálnych systémov.
Nápravné opatrenia sa nekončia obnovou
IstroSec dôsledne upozorňuje, že nápravné opatrenia nasadené počas procedurálnych krokov nie sú cieľom, ale začiatkom. Ak sa v ich zlepšovaní, prevádzke a správe nepokračuje, v deviatich z desiatich prípadov sa útok zopakuje. Organizácia potom nepríde len opäť o dostupnosť služieb, ale aj o investície vynaložené na vyriešenie predchádzajúceho incidentu a obnovu systémov.
Súlad s požiadavkami vs. reálna bezpečnosť
Súlad s legislatívnymi požiadavkami neznamená automaticky bezpečnosť. Organizácia môže spĺňať všetky normy, a predsa mať reálnu úroveň zabezpečenia veľmi nízku. Aplikovaná technická bezpečnosť sa nerovná papierovej bezpečnosti.
Spolupráca s regulátormi a zodpovednými orgánmi
Riešenie incidentu má okrem technickej aj svoju právnu a komunikačnú rovinu. V zmysle legislatívnych požiadaviek vyplývajúcich z transpozície smernice NIS2 je závažný kybernetický incident potrebné nahlásiť zodpovednému orgánu a úzko sa koordinovať s národnými, prípadne s príslušnými vládnymi CSIRT jednotkami. Ak je súčasťou incidentu aj únik osobných údajov, pridáva sa oznamovacia povinnosť voči úradu v zmysle GDPR. Správna, včasná a presná komunikácia s týmito orgánmi je zákonnou povinnosťou aj otázkou dôveryhodnosti. IstroSec pomáha organizáciám nastaviť ju tak, aby boli hlásenia podané v požadovaných lehotách a kvalite. Spravidla včasné varovanie do 24 hodín a podrobné oznámenie do 72 hodín by malo byť obsahovo správne a konzistentné. Nedôsledná alebo zmätočná komunikácia totiž vie spôsobiť sekundárne škody, stratu dôvery a sankcie.
Nová realita: od „všetko povolené“ k „všetko zakázané“
Kybernetický útok je novou realitou, na ktorú si organizácie musia zvyknúť. Riešením nie je len investícia do technológií, ale najmä zmena myslenia. Tou je najmä prechod z modelu, kde je všetko povolené, k striktnejšiemu prístupu, ktorý povoľuje len to, čo je nevyhnutné pre prácu.
„Pred“ a „Po“: Komplexné posúdenie stavu bezpečnosti
Prípravu netreba podceňovať. IstroSec ju chápe ako komplexné posúdenie aktuálneho stavu bezpečnosti organizácie: posudzuje sa bezpečnostná architektúra a konfigurácia bezpečnostných nástrojov, simulujú sa útoky a testuje sa odolnosť IT a OT infraštruktúry, kritických systémov aj cloudu, až po rôzne cvičenia reakcií na incident a vypracovanie plánu reakcie na incidenty (IRP). Je lepšie zlyhať nanečisto počas tréningu než prísť o všetko pri ostrom útoku, ktorý organizácia nemusí prežiť.