Kaj je kibernetski napad in zakaj je tveganje danes večje
Kibernetski napad je vsak namerni poskus, da bi kdo nepooblaščeno dostopal do vaših informacijskih sistemov, ukradel ali spremenil podatke ali onemogočil delovanje storitev. Za napadalce so srednja in velika podjetja zanimiva, ker imajo dovolj sredstev za plačilo odkupnine in hkrati pogosto nimajo varnostne ekipe, ki bi delovala ves čas.
Napadi so danes večinoma organizirani in avtomatizirani. Napadalci kupijo ukradena gesla ali dostop do omrežja, se nekaj dni ali tednov tiho premikajo po sistemih, najprej izbrišejo ali šifrirajo varnostne kopije in šele nato sprožijo izsiljevalski virus. Zato je pripravljenost bolj kot od posameznega izdelka odvisna od tega, ali imate urejene osnove. Svojo pripravljenost ocenite z orodjem na tej strani.
Najpogostejše vrste napadov
| Vrsta napada | Kako poteka | Ključna zaščita |
|---|---|---|
| Izsiljevalski virus (ransomware) | Šifriranje sistemov in pogosto kraja podatkov z grožnjo objave | Nespremenljive varnostne kopije, preizkušena obnova, segmentacija omrežja |
| Ribarjenje (phishing) | Lažna e-pošta ali stran, ki od uporabnika izvabi geslo ali namestitev zlonamerne kode | MFA, filtriranje e-pošte, usposabljanje zaposlenih |
| Zloraba poslovne e-pošte (BEC) | Napadalec se pretvarja, da je direktor ali dobavitelj, in zahteva nakazilo | Postopek preverjanja plačil po drugem kanalu, MFA |
| Izkoriščanje ranljivosti | Napad na nepopravljene sisteme, izpostavljene internetu (VPN, požarni zid, spletni strežnik) | Upravljanje ranljivosti, hitro nameščanje popravkov |
| Napad prek dobavitelja | Vdor prek oddaljenega dostopa ali programske opreme zunanjega izvajalca | Nadzor dostopov dobaviteljev, pogodbene varnostne zahteve |
| DDoS | Preobremenitev storitve, da postane nedosegljiva | Zaščita pri ponudniku omrežja ali v oblaku |
Pet področij pripravljenosti
Orodje na tej strani pripravljenost ocenjuje na petih področjih, ki se v praksi izkažejo kot odločilna.
- Upravljanje in odgovornost. Nekdo mora biti odgovoren za varnost in o tveganjih redno poročati vodstvu. Brez popisa kritičnih sistemov ne veste, kaj morate najprej zaščititi in obnoviti.
- Varnostne kopije in obnova. Pravilo 3-2-1 (tri kopije, dva medija, ena kopija drugje) je osnova. Ključno je, da je vsaj ena kopija nespremenljiva (immutable) ali fizično ločena in da obnovo redno preizkušate. Varnostna kopija, iz katere obnove še niste preizkusili, je le predpostavka.
- Identitete in dostopi. Večfaktorska avtentikacija (MFA) za e-pošto, oddaljeni dostop in oblak prepreči večino napadov z ukradenimi gesli. Skrbniški računi morajo biti ločeni in nadzorovani.
- Zaznavanje in odziv. Centralno zbrani dnevniki, nadzor 24/7 in vadjen načrt odziva skrajšajo čas od vdora do zaznave. Ta čas najbolj vpliva na obseg škode.
- Ljudje. Redno, kratko usposabljanje in simulacije ribarjenja zmanjšajo število uspešnih prevar, preprost način prijave sumljive e-pošte pa omogoči hitro ukrepanje.
Varnostne kopije: zadnja obrambna linija
Ko vsi drugi ukrepi odpovedo, o tem, ali boste poslovanje lahko obnovili, odločajo varnostne kopije. Napadalci to vedo, zato je brisanje ali šifriranje kopij danes eden prvih korakov napada. Če ima napadalec skrbniški dostop do domene in strežnika za varnostno kopiranje, so ogrožene tudi kopije.
- Nespremenljivost. Vsaj ena kopija naj bo shranjena tako, da je v določenem obdobju ni mogoče spremeniti ali izbrisati, tudi s skrbniškimi pravicami. Druga možnost je fizično ločena kopija (air gap).
- Ločene poverilnice. Sistem za varnostno kopiranje naj ne bo v isti domeni kot produkcija, dostop pa zaščiten z MFA.
- Druga lokacija. Kopija v drugem podatkovnem centru ali v oblaku zaščiti tudi pred požarom, poplavo ali izpadom lokacije.
- Preizkušena obnova. Redno preverite, ali lahko obnovite celotne sisteme, ne le posameznih datotek, in koliko časa to traja. Rezultat primerjajte s tem, koliko izpada si poslovanje lahko privošči.
- Vrstni red obnove. Vnaprej določite, kateri sistemi se obnovijo prvi. Običajno so to identitete, omrežje, ključne poslovne aplikacije in komunikacija.
Vloga vodstva
Kibernetski napad ni le tehnični incident. Med njim je treba hitro sprejemati poslovne odločitve: katere storitve zaustaviti, kako obvestiti stranke in partnerje, ali vključiti zunanje strokovnjake, kako komunicirati z mediji in kdaj poročati organom. Te odločitve sprejema vodstvo, zato mora biti vključeno v pripravo in vaje.
Dobra praksa je, da vodstvo vsaj enkrat letno sodeluje pri namizni vaji (tabletop), na kateri ekipa preigra scenarij napada z izsiljevalskim virusom. Vaja hitro pokaže manjkajoče kontakte, nejasne pristojnosti in predpostavke, ki ne držijo. Za zavezance po ZInfV-1 je usposabljanje vodstva tudi zakonska obveznost.
Prvih 72 ur po kibernetskem napadu
Prve ure odločajo o tem, ali bo incident obvladljiv. Spodnji okvir je splošen in ga prilagodite svojemu načrtu odziva.
| Čas | Ključni koraki |
|---|---|
| Prva ura | Aktivirajte odzivno ekipo in obvestite vodstvo. Okužene sisteme izolirajte iz omrežja, vendar jih ne ugašajte in ne brišite. Onemogočite ogrožene račune in oddaljene dostope. |
| Do 24 ur | Ocenite obseg: kateri sistemi in podatki so prizadeti, ali so varnostne kopije nedotaknjene. Zavarujte dnevnike in dokaze. Zavezanci po ZInfV-1 pošljejo zgodnje opozorilo. Odločite se o komunikaciji z zaposlenimi in strankami. |
| Do 72 ur | Zavezanci pošljejo obvestilo o incidentu z začetno oceno. Pri kršitvi varstva osebnih podatkov obvestite Informacijskega pooblaščenca. Začnite obnovo ključnih sistemov iz preverjeno čistih kopij, v vrstnem redu, določenem v načrtu. |
| Po 72 urah | Odpravite vzrok vdora (ranljivost, ukradena gesla), okrepite nadzor in pripravite končno poročilo ter seznam izboljšav. |
Incident lahko prijavite nacionalnemu odzivnemu centru SI-CERT, ki nudi tudi strokovno pomoč. Kazniva dejanja, na primer izsiljevanje, prijavite policiji. Plačilo odkupnine organi odsvetujejo, saj ne zagotavlja vrnitve podatkov in financira nove napade.
Zakonodaja: ZInfV-1, NIS2 in varstvo podatkov
Za številna srednja in velika podjetja priprava na napad ni več le dobra praksa, temveč zakonska obveznost. Zakon o informacijski varnosti (ZInfV-1), ki prenaša direktivo NIS2, zavezancem nalaga ukrepe za obvladovanje tveganj in poročanje o pomembnih incidentih v 24 urah, 72 urah in enem mesecu. Ali ste zavezanec, preverite v vodniku ZInfV-1 in NIS2.
Če so v napadu prizadeti osebni podatki, splošna uredba o varstvu podatkov (GDPR) zahteva obvestilo nadzornemu organu v 72 urah, v nekaterih primerih pa tudi obvestilo posameznikom.
Kje začeti
- Izpolnite oceno pripravljenosti in začnite pri treh predlaganih ukrepih.
- Preverite, ali je vsaj ena varnostna kopija nespremenljiva in ali ste obnovo preizkusili v zadnjih šestih mesecih.
- Uvedite MFA povsod, kjer je dostop mogoč iz interneta.
- Pripravite kratek načrt odziva s kontakti in ga preizkusite z vajo za vodstvo.
Humanfrog kot partner Veeam Silver zagotavlja varnostno kopiranje z nespremenljivimi kopijami v podatkovnih centrih TIER III, pomaga pri uvedbi MFA in upravljanih varnostnih storitev ter pri pripravi načrtov odziva. Če želite oceno preveriti s strokovnjakom, nam pišite.
