Mi a kibertámadás, és miért nagyobb ma a kockázat
A kibertámadás minden olyan szándékos kísérlet, amellyel valaki jogosulatlanul hozzáfér az információs rendszereihez, adatokat lop vagy módosít, vagy megbénítja a szolgáltatások működését. A támadóknak a közép- és nagyvállalatok azért érdekesek, mert elég forrásuk van váltságdíj fizetésére, ugyanakkor gyakran nincs folyamatosan működő biztonsági csapatuk.
A támadások ma többnyire szervezettek és automatizáltak. A támadók ellopott jelszavakat vagy hálózati hozzáférést vásárolnak, napokig-hetekig csendben mozognak a rendszerekben, először törlik vagy titkosítják a biztonsági mentéseket, és csak ezután indítják el a zsarolóvírust. A felkészültség ezért inkább attól függ, hogy rendben vannak-e az alapok, mint egyes termékektől. Felkészültségét az oldalon található eszközzel mérheti fel.
A leggyakoribb támadástípusok
| Támadás típusa | Hogyan zajlik | Kulcsfontosságú védelem |
|---|---|---|
| Zsarolóvírus (ransomware) | A rendszerek titkosítása és gyakran adatlopás, közzététellel fenyegetve | Megváltoztathatatlan biztonsági mentések, kipróbált helyreállítás, hálózatszegmentálás |
| Adathalászat (phishing) | Hamis e-mail vagy weboldal, amely jelszót csal ki a felhasználótól, vagy kártékony kód telepítésére veszi rá | MFA, e-mail-szűrés, munkavállalók képzése |
| Üzleti e-mail-csalás (BEC) | A támadó vezérigazgatónak vagy beszállítónak adja ki magát, és utalást kér | Fizetések ellenőrzési eljárása másik csatornán, MFA |
| Sérülékenységek kihasználása | Támadás az internetről elérhető, javítatlan rendszerek (VPN, tűzfal, webszerver) ellen | Sérülékenységkezelés, gyors javítástelepítés |
| Beszállítón keresztüli támadás | Behatolás külső szolgáltató távoli hozzáférésén vagy szoftverén keresztül | A beszállítói hozzáférések felügyelete, szerződéses biztonsági követelmények |
| DDoS | A szolgáltatás túlterhelése, hogy elérhetetlenné váljon | Védelem a hálózati szolgáltatónál vagy a felhőben |
A felkészültség öt területe
Az oldalon található eszköz a felkészültséget öt területen értékeli, amelyek a gyakorlatban döntőnek bizonyulnak.
- Irányítás és felelősség. Valakinek felelnie kell a biztonságért, és rendszeresen be kell számolnia a kockázatokról a vezetésnek. A kritikus rendszerek nyilvántartása nélkül nem tudja, mit kell először megvédenie és helyreállítania.
- Biztonsági mentések és helyreállítás. A 3-2-1 szabály (három másolat, két adathordozó, egy másolat máshol) az alap. Kulcsfontosságú, hogy legalább egy másolat megváltoztathatatlan (immutable) vagy fizikailag leválasztott legyen, és hogy a helyreállítást rendszeresen kipróbálja. Az a mentés, amelyből még nem próbált helyreállítani, csupán feltételezés.
- Azonosságok és hozzáférések. A többfaktoros hitelesítés (MFA) az e-mailhez, a távoli hozzáféréshez és a felhőhöz megakadályozza az ellopott jelszavakkal elkövetett támadások többségét. Az adminisztrátori fiókokat el kell különíteni és felügyelni kell.
- Észlelés és reagálás. A központilag gyűjtött naplók, a 24/7 felügyelet és a begyakorolt incidenskezelési terv lerövidíti a behatolástól az észlelésig tartó időt. Ez az idő befolyásolja leginkább a kár nagyságát.
- Emberek. A rendszeres, rövid képzés és az adathalász-szimulációk csökkentik a sikeres csalások számát, a gyanús e-mailek egyszerű bejelentési módja pedig gyors reagálást tesz lehetővé.
Biztonsági mentések: az utolsó védelmi vonal
Amikor minden más intézkedés cserbenhagy, a biztonsági mentések döntik el, vissza tudja-e állítani a működést. A támadók ezt tudják, ezért a mentések törlése vagy titkosítása ma a támadás egyik első lépése. Ha a támadó tartományi és mentőszerver-adminisztrátori hozzáférést szerez, a másolatok is veszélyben vannak.
- Megváltoztathatatlanság. Legalább egy másolatot úgy tároljon, hogy meghatározott ideig ne lehessen módosítani vagy törölni, adminisztrátori jogosultsággal sem. A másik lehetőség a fizikailag leválasztott másolat (air gap).
- Elkülönített hitelesítő adatok. A mentőrendszer ne ugyanabban a tartományban legyen, mint az éles környezet, a hozzáférést pedig MFA védje.
- Másik telephely. A másik adatközpontban vagy a felhőben tartott másolat tűz, árvíz vagy a telephely kiesése ellen is véd.
- Kipróbált helyreállítás. Rendszeresen ellenőrizze, hogy teljes rendszereket tud-e helyreállítani, nem csak egyes fájlokat, és ez mennyi ideig tart. Az eredményt vesse össze azzal, mekkora kiesést engedhet meg magának a működés.
- A helyreállítás sorrendje. Előre határozza meg, mely rendszerek állnak helyre először. Jellemzően az azonosságok, a hálózat, a kulcsfontosságú üzleti alkalmazások és a kommunikáció.
A vezetés szerepe
A kibertámadás nem csupán technikai incidens. Közben gyorsan kell üzleti döntéseket hozni: mely szolgáltatásokat kell leállítani, hogyan kell értesíteni az ügyfeleket és partnereket, be kell-e vonni külső szakértőket, hogyan kell kommunikálni a médiával, és mikor kell jelenteni a hatóságoknak. Ezeket a döntéseket a vezetés hozza, ezért be kell vonni az előkészítésbe és a gyakorlatokba.
Jó gyakorlat, hogy a vezetés legalább évente részt vesz egy asztali gyakorlaton (tabletop), amelyen a csapat lejátszik egy zsarolóvírus-támadási forgatókönyvet. A gyakorlat gyorsan megmutatja a hiányzó elérhetőségeket, a tisztázatlan hatásköröket és a nem helytálló feltételezéseket. A kiberbiztonsági törvény hatálya alá tartozó szervezeteknél a vezetés képzése jogszabályi kötelezettség is.
A kibertámadás utáni első 72 óra
Az első órák döntik el, hogy az incidens kezelhető marad-e. Az alábbi keret általános, igazítsa a saját incidenskezelési tervéhez.
| Idő | Kulcsfontosságú lépések |
|---|---|
| Az első óra | Aktiválja az incidenskezelő csapatot, és értesítse a vezetést. A fertőzött rendszereket válassza le a hálózatról, de ne kapcsolja ki és ne törölje őket. Tiltsa le a veszélyeztetett fiókokat és a távoli hozzáféréseket. |
| 24 óráig | Mérje fel a kiterjedést: mely rendszerek és adatok érintettek, épek-e a biztonsági mentések. Biztosítsa a naplókat és a bizonyítékokat. A kiberbiztonsági törvény hatálya alá tartozó szervezetek korai figyelmeztetést küldenek. Döntsön a munkavállalókkal és az ügyfelekkel való kommunikációról. |
| 72 óráig | Az érintett szervezetek hivatalos incidensbejelentést küldenek a kezdeti értékeléssel. Személyes adatok védelmének megsértése esetén értesítse a Nemzeti Adatvédelmi és Információszabadság Hatóságot (NAIH). Kezdje meg a kulcsfontosságú rendszerek helyreállítását ellenőrzötten tiszta másolatokból, a tervben meghatározott sorrendben. |
| 72 óra után | Hárítsa el a behatolás okát (sérülékenység, ellopott jelszavak), erősítse a felügyeletet, és készítse el a zárójelentést és a fejlesztések listáját. |
Az incidenst általánosságban jelezheti a nemzeti kibervédelmi szervnek, a Nemzeti Biztonsági Szakszolgálat Nemzeti Kibervédelmi Intézetének (NBSZ NKI), amely szakmai segítséget is nyújthat. A bűncselekményeket, például a zsarolást, jelentse a rendőrségnek. A váltságdíj fizetését a hatóságok nem javasolják, mert nem garantálja az adatok visszaadását, és újabb támadásokat finanszíroz.
Jogszabályok: a kiberbiztonsági törvény, a NIS2 és az adatvédelem
Számos közép- és nagyvállalat számára a támadásra való felkészülés ma már nem csupán jó gyakorlat, hanem jogszabályi kötelezettség. A NIS2-irányelvet átültető magyar kiberbiztonsági törvény (2024. évi LXIX. törvény) az érintett szervezeteket kockázatkezelési intézkedésekre és a jelentős incidensek 24 órán, 72 órán és egy hónapon belüli bejelentésére kötelezi. Hogy érintett-e, ellenőrizze a NIS2 és kiberbiztonsági törvény útmutatóban.
Ha a támadásban személyes adatok is érintettek, az általános adatvédelmi rendelet (GDPR) előírja, hogy 72 órán belül értesíteni kell a felügyeleti hatóságot (Magyarországon a NAIH-ot), egyes esetekben pedig az érintett személyeket is.
Hol kezdje
- Töltse ki a felkészültségi értékelést, és a három javasolt intézkedéssel kezdje.
- Ellenőrizze, hogy legalább egy biztonsági mentés megváltoztathatatlan-e, és hogy az elmúlt hat hónapban kipróbálta-e a helyreállítást.
- Vezessen be MFA-t mindenhol, ahol az internetről is elérhető a hozzáférés.
- Készítsen rövid incidenskezelési tervet elérhetőségekkel, és próbálja ki egy vezetői gyakorlattal.
A Humanfrog Veeam Silver partnerként megváltoztathatatlan másolatokkal biztosít biztonsági mentést TIER III adatközpontokban, segít az MFA bevezetésében, a felügyelt biztonsági szolgáltatásokban és az incidenskezelési tervek elkészítésében. Ha szeretné az értékelést szakértővel átnézetni, írjon nekünk.
