Što je kibernetički napad i zašto je rizik danas veći
Kibernetički napad svaki je namjerni pokušaj neovlaštenog pristupa vašim informacijskim sustavima, krađe ili izmjene podataka ili onemogućavanja rada usluga. Srednja i velika poduzeća napadačima su zanimljiva jer imaju dovoljno sredstava za plaćanje otkupnine, a istodobno često nemaju sigurnosni tim koji radi neprekidno.
Napadi su danas uglavnom organizirani i automatizirani. Napadači kupuju ukradene lozinke ili pristup mreži, nekoliko se dana ili tjedana tiho kreću po sustavima, najprije brišu ili šifriraju sigurnosne kopije i tek tada pokreću ransomware. Zato spremnost više nego o pojedinačnom proizvodu ovisi o tome imate li uređene osnove. Svoju spremnost procijenite alatom na ovoj stranici.
Najčešće vrste napada
| Vrsta napada | Kako se odvija | Ključna zaštita |
|---|---|---|
| Ucjenjivački program (ransomware) | Šifriranje sustava i često krađa podataka uz prijetnju objavom | Nepromjenjive sigurnosne kopije, isproban oporavak, segmentacija mreže |
| Phishing (krađa identiteta) | Lažna e-poruka ili stranica koja od korisnika izmami lozinku ili instalaciju zlonamjernog koda | MFA, filtriranje e-pošte, osposobljavanje zaposlenika |
| Kompromitacija poslovne e-pošte (BEC) | Napadač se predstavlja kao direktor ili dobavljač i traži uplatu | Postupak provjere plaćanja drugim kanalom, MFA |
| Iskorištavanje ranjivosti | Napad na nezakrpane sustave izložene internetu (VPN, vatrozid, web-poslužitelj) | Upravljanje ranjivostima, brzo instaliranje zakrpa |
| Napad preko dobavljača | Upad preko udaljenog pristupa ili softvera vanjskog izvođača | Kontrola pristupa dobavljača, ugovorni sigurnosni zahtjevi |
| DDoS | Preopterećenje usluge kako bi postala nedostupna | Zaštita kod mrežnog pružatelja ili u oblaku |
Pet područja spremnosti
Alat na ovoj stranici procjenjuje spremnost u pet područja koja se u praksi pokazuju presudnima.
- Upravljanje i odgovornost. Netko mora biti odgovoran za sigurnost i redovito izvještavati upravu o rizicima. Bez popisa kritičnih sustava ne znate što prvo trebate zaštititi i oporaviti.
- Sigurnosne kopije i oporavak. Pravilo 3-2-1 (tri kopije, dva medija, jedna kopija na drugoj lokaciji) osnova je. Ključno je da je barem jedna kopija nepromjenjiva (immutable) ili fizički odvojena i da oporavak redovito isprobavate. Sigurnosna kopija iz koje oporavak još niste isprobali samo je pretpostavka.
- Identiteti i pristupi. Višefaktorska autentifikacija (MFA) za e-poštu, udaljeni pristup i oblak sprječava većinu napada s ukradenim lozinkama. Administratorski računi moraju biti odvojeni i nadzirani.
- Otkrivanje i odgovor. Centralno prikupljeni zapisi, nadzor 24/7 i uvježban plan odgovora skraćuju vrijeme od upada do otkrivanja. To vrijeme najviše utječe na opseg štete.
- Ljudi. Redovito, kratko osposobljavanje i simulacije phishinga smanjuju broj uspješnih prijevara, a jednostavan način prijave sumnjive e-pošte omogućuje brzo djelovanje.
Sigurnosne kopije: posljednja linija obrane
Kad sve druge mjere zakažu, o tome hoćete li moći obnoviti poslovanje odlučuju sigurnosne kopije. Napadači to znaju, pa je brisanje ili šifriranje kopija danas jedan od prvih koraka napada. Ako napadač ima administratorski pristup domeni i poslužitelju za sigurnosno kopiranje, ugrožene su i kopije.
- Nepromjenjivost. Barem jedna kopija neka bude pohranjena tako da je u određenom razdoblju nije moguće izmijeniti ili izbrisati, ni s administratorskim ovlastima. Druga je mogućnost fizički odvojena kopija (air gap).
- Odvojene vjerodajnice. Sustav za sigurnosno kopiranje neka ne bude u istoj domeni kao produkcija, a pristup neka bude zaštićen MFA-om.
- Druga lokacija. Kopija u drugom podatkovnom centru ili u oblaku štiti i od požara, poplave ili ispada lokacije.
- Isproban oporavak. Redovito provjeravajte možete li oporaviti cijele sustave, a ne samo pojedinačne datoteke, i koliko to traje. Rezultat usporedite s tim koliki zastoj poslovanje može podnijeti.
- Redoslijed oporavka. Unaprijed odredite koji se sustavi oporavljaju prvi. Obično su to identiteti, mreža, ključne poslovne aplikacije i komunikacija.
Uloga uprave
Kibernetički napad nije samo tehnički incident. Tijekom njega treba brzo donositi poslovne odluke: koje usluge zaustaviti, kako obavijestiti kupce i partnere, treba li uključiti vanjske stručnjake, kako komunicirati s medijima i kada prijaviti incident tijelima. Te odluke donosi uprava, pa mora biti uključena u pripremu i vježbe.
Dobra je praksa da uprava barem jednom godišnje sudjeluje u simulacijskoj vježbi za stolom (tabletop), na kojoj tim prolazi scenarij napada ransomwareom. Vježba brzo otkriva nedostajuće kontakte, nejasne nadležnosti i pretpostavke koje ne vrijede. Za obveznike Zakona o kibernetičkoj sigurnosti osposobljavanje uprave i zakonska je obveza.
Prva 72 sata nakon kibernetičkog napada
Prvi sati odlučuju hoće li incident biti savladiv. Okvir u nastavku općenit je, pa ga prilagodite svom planu odgovora.
| Vrijeme | Ključni koraci |
|---|---|
| Prvi sat | Aktivirajte tim za odgovor i obavijestite upravu. Zaražene sustave izolirajte iz mreže, ali ih ne gasite i ne brišite. Onemogućite ugrožene račune i udaljene pristupe. |
| Do 24 sata | Procijenite opseg: koji su sustavi i podaci pogođeni i jesu li sigurnosne kopije netaknute. Osigurajte zapise i dokaze. Obveznici Zakona o kibernetičkoj sigurnosti nadležnom CSIRT-u šalju rano upozorenje. Odlučite o komunikaciji sa zaposlenicima i kupcima. |
| Do 72 sata | Obveznici šalju obavijest o incidentu s početnom procjenom. Kod povrede osobnih podataka obavijestite Agenciju za zaštitu osobnih podataka (AZOP). Započnite oporavak ključnih sustava iz provjereno čistih kopija, redoslijedom određenim u planu. |
| Nakon 72 sata | Uklonite uzrok upada (ranjivost, ukradene lozinke), pojačajte nadzor i pripremite završno izvješće te popis poboljšanja. |
Incident možete prijaviti Nacionalnom CERT-u, koji pruža i stručnu pomoć pri rješavanju incidenata. Kaznena djela, primjerice iznudu, prijavite policiji. Tijela ne preporučuju plaćanje otkupnine jer ono ne jamči povrat podataka i financira nove napade.
Propisi: Zakon o kibernetičkoj sigurnosti, NIS2 i zaštita podataka
Za mnoga srednja i velika poduzeća priprema na napad više nije samo dobra praksa, nego zakonska obveza. Zakon o kibernetičkoj sigurnosti (NN 14/2024), kojim je u Hrvatskoj prenesena direktiva NIS2, obveznicima nalaže mjere upravljanja rizicima i prijavu značajnih incidenata nadležnom CSIRT-u u roku od 24 sata, 72 sata i mjesec dana. Jeste li obveznik, provjerite u vodiču Zakon o kibernetičkoj sigurnosti i NIS2.
Ako su u napadu pogođeni osobni podaci, Opća uredba o zaštiti podataka (GDPR) zahtijeva da o povredi u roku od 72 sata obavijestite nadzorno tijelo, u Hrvatskoj Agenciju za zaštitu osobnih podataka (AZOP), a u nekim slučajevima i same ispitanike.
Gdje početi
- Ispunite procjenu spremnosti i krenite od tri predložene mjere.
- Provjerite je li barem jedna sigurnosna kopija nepromjenjiva i jeste li oporavak isprobali u posljednjih šest mjeseci.
- Uvedite MFA svugdje gdje je pristup moguć s interneta.
- Pripremite kratak plan odgovora s kontaktima i isprobajte ga vježbom za upravu.
Humanfrog kao Veeam Silver partner osigurava sigurnosno kopiranje s nepromjenjivim kopijama u podatkovnim centrima razine TIER III, pomaže pri uvođenju MFA-a i upravljanih sigurnosnih usluga te pri izradi planova odgovora. Ako želite procjenu provjeriti sa stručnjakom, pišite nam.
