Įsilaužėliams duris atveriame patys: ekspertė atskleidė svarbiausias kibernetinio saugumo spragas

Šias penkias dažniausias kibernetinio saugumo rizikas J.Jurevičiūtė aptarė portalo Lrytas organizuojamoje konferencijoje „Saugumo kodas“, skaitydama pranešimą „Neįsilaužė. Įleidome patys“. Remdamasi Lietuvos ir užsienio pavyzdžiais, ji paaiškino, kodėl darbuotojų mokymai yra reikšminga saugumo dalis, kaip dėl kelių nesutvarkytų procesų galima prarasti svarbius duomenis ir kaip to išvengti.

Pirmosiomis atviromis durimis J. Jurevičiūtė pavadino socialinę inžineriją – psichologinio manipuliavimo būdus, kuriais žmogus įtikinamas atskleisti duomenis, pervesti pinigus ar suteikti prieigą. Viena jos formų yra fišingas: apgaulingi laiškai arba žinutės, siunčiami siekiant išvilioti prisijungimo, mokėjimo ar kitą jautrią informaciją.

Daug organizacijų jau rengia fišingo pratybas, tačiau kur kas rečiau tikrina, kaip darbuotojai reaguotų sulaukę įtartino skambučio arba kokios galimybės pašaliniam asmeniui patekti į į saugomas įmonės patalpas.

Sukčių gebėjimą įtikinti J. Jurevičiūtė iliustravo vienos Lietuvos valstybės įmonės atveju: prieš Kalėdas paskambinę apgavikai pasiekė, kad atsakingas darbuotojas pervestų 200 tūkst. eurų. Pasitaiko ir atvejų, kai darbuotojai jiems perduoda net savo asmenines lėšas.

Dar vienas sukčių naudojamas būdas – QR kodai. Juos nuskenavęs žmogus gali būti nukreiptas į apgaulingą interneto svetainę, kuri iš pirmo žvilgsnio atrodo patikima.. Pasak J. Jurevičiūtės, vienas iš tokių sukčiavimo pavyzdžių – automobilių stovėjimo aikštelėse ant oficialių mokėjimo informacinių ženklų užklijuojami netikri QR kodai. Juos nuskenavę vairuotojai patenka ne į tikrąją mokėjimo svetainę, o į sukčių sukurtą puslapį.. Panašių atvejų jau pasitaikė ir Vilniuje.

J. Jurevičiūtė organizacijoms rekomenduoja į saugumo pratybas įtraukti ir QR kodų naudojimo scenarijus: pavyzdžiui, patikrinti, kaip darbuotojai reaguotų darbo aplinkoje pastebėję netikėtai atsiradusį QR kodą, ar jį nuskenuotų neįsitikinę, kur nukreipia pateikta nuoroda. Tokie testai padeda įvertinti, ar darbuotojai geba atpažinti ne tik apgaulingus laiškus, bet ir kitais būdais pateikiamus sukčių masalus.

Vieno universalaus atsakymo, kaip dažnai reikėtų testuoti darbuotojus, nėra. Rezultatą lemia ne tik mokymų dažnumas, bet ir sukčių pasirinktas scenarijus.

Tai parodė vieno „Atea“ kliento patirtis, kuris buvo užsisakęs mokymų ir fišingo imitavimo paslaugas. Per pirmą fišingo imitavimo bandymą suklastotas elektroninis laiškas buvo išsiųstas 200 darbuotojų, o į jį sureagavo ir jame esančią nurodą paspaudė apie 30 proc. darbuotojų. Vėliau J. Jurevičiūtė pati vedė mokymus, kuriuos darbuotojai įvertino gerai. Geri buvo ir jų atliktų žinių patikrinimo testų rezultatai.

Po mėnesio surengtas fišingo imitavimas, šįkart pasitelkus su atlyginimais ar priemokomis susijusį scenarijų. Neleistinus veiksmus atliko jau apie 60 proc. darbuotojų.

„Ar mokymai buvo neefektyvūs? Negaliu taip sakyti. Bet pagrindinė mintis tokia: geras scenarijus iš esmės visada atneš gerą rezultatą sukčiui“, – teigė „Atea“ ekspertė.

Ji pripažino, kad įtaigus sukčiavimo scenarijus gali suklaidinti ir patyrusį saugumo specialistą. Dirbtinis intelektas sukčiams padeda kurti taisyklingesnes, konkrečiam žmogui pritaikytas žinutes, todėl vien patirties ne visada pakanka.

„Galiu sakyti, kad turiu daugiau nei 15 metų patirties informacijos saugumo srityje, nuolat vedu mokymus kitiems ir žinau, kaip atpažinti apgaulę. Bet jeigu scenarijus geras, kitą dieną galiu ateiti pas Jus ir pasakyti: žiūrėkite, aš susimoviau, paspaudžiau“, – kalbėjo J. Jurevičiūtė.

Antrosios durys atsiveria tada, kai organizacija žino apie pažeidžiamumą – programinės įrangos ar sistemos spragą, kuria galima pasinaudoti, – tačiau neskuba jo pašalinti.

J. Jurevičiūtė pripažino, kad ne kiekvieną kritinę spragą įmanoma ištaisyti per trumpą laiką. Spragos pašalinimas gali sutrikdyti svarbios sistemos veiklą, todėl jį reikia išbandyti ir tinkamai suplanuoti. Kartais to padaryti per trumpą laiką – nėra galimybių. Tačiau tokiu atveju būtina bent laikinai sumažinti riziką kitomis priemonėmis, o ne palikti problemą neapibrėžtam laikui.

Pranešėja priminė 2017 metų gegužę pasaulyje kilusią masinę ataką, per kurią pasinaudota „Windows“ operacinės sistemos spraga. Jai skirtas atnaujinimas buvo išleistas dar kovą, tačiau daugybė organizacijų jo neįdiegė.

„Jeigu atsiranda organizacija, kuri teigia, kad neturi pažeidžiamumų, vadinasi, ji jų nevaldo ir net nežino, kad jų turi“, – sakė informacijos saugos specialistė. Organizacijos brandą parodo ne bandymas įrodyti, kad spragų nėra, o gebėjimas jas pastebėti, įvertinti pavojų ir nuspręsti, kada bei kaip jos bus pašalintos. J. Jurevičiūtė pažymėjo, kad kiekviena organizacija turi spragų ir tai yra normalu, nes pažeidžiamumų valdymo proceso pagrindinis tikslas ne neturėti spragų visai, o neleisti žinomam pažeidžiamumui tapti incidentu.

Trečiosios durys – nevaldomos prieigos teisės, nustatančios, kokias sistemas, duomenis ar funkcijas gali pasiekti konkretus darbuotojas.

„Neturiu nei vieno kliento, kuris vienokiu ar kitokiu būdu neturėtų problemų dėl prieigos teisių valdymo“, – sakė J. Jurevičiūtė.

Viena dažniausių klaidų – suteikti daugiau teisių, nei darbuotojui reikia jo darbui. Vidaus auditoriams kartais atveriami visi duomenys, nes jų galbūt prireiks ateityje, o administratoriams suteikiama prieiga prie daugybės sistemų. Darbuotojui pakeitus pareigas, naujos teisės pridedamos, tačiau senosios nebūtinai panaikinamos.

Per dešimt metų organizacijoje žmogus gali sukaupti daugybę skirtingų prieigų. Jeigu jos nėra fiksuojamos centralizuotai, darbuotojui išėjus dažniausiai blokuojamos ir šalinamos jo elektroninio pašto ar pagrindinių sistemų paskyros, bet kitose sistemose teisės gali likti galioti.

„Kompromitavus vieną paskyrą užpuolikas gauna ne tik prisijungimą – jis gauna visas teises, kurias mes per metus prie tos paskyros „prikabinome“. Jeigu paskyra privilegijuota – pasekmės dar didesnės .“, – kalbėjo ekspertė.

Prieigos turėtų būti suteikiamos pagal realų poreikį, periodiškai peržiūrimos ir panaikinamos, kai poreikis baigiasi. Kuo daugiau nereikalingų prieigų paliekame, tuo daugiau galimybių paliekame incidentui

Ketvirtosios durys susijusios su žurnaliniais įrašais, dar vadinamais logais. Juose informacinės sistemos fiksuoja prisijungimus, klaidas, administratorių veiksmus ir kitus įvykius, galinčius parodyti įtartiną veiklą.

J. Jurevičiūtės pateiktais 2025 metų duomenimis, vidutiniškai nuo incidento pradžios iki jo aptikimo praeina apie 14 parų. Vis dėlto ji ragino šio skaičiaus nesuabsoliutinti: „Skaičius tikras, bet statistika yra didžiausias melas, todėl tai nereiškia, kad visais atvejais toks ilgas aptikimo laikas“.

Kai kurie sutrikimai pastebimi per kelias valandas, tačiau kaip rodo ši statistika, tyliai sistemoje veikiantis įsilaužėlis gali likti nepastebėtas gerokai ilgiau. Vien įrašų kaupimas problemos neišsprendžia – svarbu, ar jie pakankamai išsamūs, kiek laiko saugomi ir ar kas nors juos analizuoja.

„Ateiname pas klientą, o jis sako: mes tikrai turime žurnalinius įrašus. Pasižiūrim – taip, turi. Bet ar jie išsamūs? Ne visada. O saugojimo terminas dažniausiai toks: kiek užtenka vietos, tiek ir saugome“, – pasakojo „Atea“ specialistė.

Ji pateikė vienos Lietuvos įmonės, patyrusios įsilaužimą ir duomenų nutekėjimą, pavyzdį. Įmonei buvo skirta 20 tūkst. eurų bauda, o vienas iš nustatytų trūkumų buvo netinkamas įvykių fiksavimas. Žurnaliniai įrašai saugoti tik 7 dienas, todėl prasidėjus tyrimui dalies reikalingos informacijos jau nebebuvo.

Didesnėms organizacijoms padeda centralizuota žurnalinių įrašų valdymo sistema: ji surenka duomenis iš skirtingų sistemų, juos analizuoja bei siunčia perspėjimus ir informaciją atsakingiems asmenims. Pasak J. Jurevičiūtės, daugelis, turėdami šią sistemą, incidento požymius galėtų pastebėti daug anksčiau.

Tačiau vien šios sistemos įsigijimas neužtikrina geresnio incidentų valdymo. Kai kurios organizacijos neturi žmonių, kurie dirbtų su šia sistema ir vertintų jos siunčiamos informacijos, kitos prie sistemos prijungia tik dalį savo infrastruktūros, vadinasi apribojamos galimybės pastebėti incidentus. Tokiu atveju brangus įrankis vis tiek nepadeda pasiekti norimų tikslų.

Penktosios durys – tiekėjų nevaldymas. Organizacijos samdo išorinius informacinių technologijų ir kitų paslaugų teikėjus, kurių darbuotojams suteikia galimybę jungtis prie svarbių sistemų. Tačiau ne visada žino, kas konkrečiai tomis prieigomis naudojasi.

„Reikia sudaryti administratorių sąrašą, o tiekėjas kartais net negali pateikti darbuotojų, kurie dirba mūsų infrastruktūroje, sąrašo. Tai praktiniai pavyzdžiai, su kuriais tenka susidurti“, – sakė J. Jurevičiūtė.

Naujuose kibernetinio saugumo reikalavimuose tiekėjų kontrolei skiriama daug dėmesio, tačiau vien sutarčių, anketų ir kitų dokumentų neužtenka. Kaip tokios rizikos pavyzdį pranešėja pateikė Lenkijos prekybos tinklo incidentą. Įsilaužėliai pavogė duomenis ir juos viešai pardavinėjo, o pats tinklas pripažino, kad ataka įvyko per tiekimo grandinę – vienas iš paslaugų teikėjų prarado savo paskyrą.

Kai išoriniams partneriams reikia administratoriaus teisių, gali būti naudojama privilegijuotųjų prieigų valdymo sistema, trumpinama PAM. Ji leidžia jautrias teises suteikti konkrečiam žmogui, nustatytai užduočiai ir ribotam laikui, taip pat fiksuoti, ką prisijungęs asmuo atliko.

Pasak „Atea“ ekspertės, organizacija turi žinoti tiekėjo darbuotojo vardą, pavardę, suteiktas teises ir jų galiojimo terminą. Pasibaigus sutarčiai prieiga turėtų būti panaikinta, o prireikus – suteikta iš naujo.

Atsakomybė už saugumą nedingsta vien todėl, kad darbai perduoti kitai įmonei. Jeigu organizacija nežino, kas ir ką veikia jos infrastruktūroje, tiekėjas tampa dar vienomis atvertomis durimis.

Didžiausia problema kyla tuomet, kai organizacijoje vienu metu egzistuoja kelios saugumo spragos. Pavyzdžiui, darbuotojui atskleidus prisijungimo duomenis, užpuolikas gali pasinaudoti perteklinėmis paskyros teisėmis ir pasiekti sistemas ar informaciją, prie kurios darbuotojui prieiga apskritai neturėtų būti suteikta. Jei organizacijoje trūksta tinkamos veiksmų stebėsenos, įtartina veikla gali likti nepastebėta. .

Kiekvienas toks trūkumas atskirai gali atrodyti kaip laikinas ir pateisinamas kompromisas. Tačiau visi kartu jie sukuria įsilaužėliui nuoseklų kelią iki svarbiausių sistemų ir duomenų.

„Mums labai lengva pasakyti: nepasisekė, įsilaužė. Bet labai dažnai paliekame daug silpnų vietų, patys padedame ir suteikiame galimybę nusikaltėliui pas mus ateiti“, – apibendrino J. Jurevičiūtė.