Názory k článku Ransomware nezačíná zašifrováním dat: co může SOC vidět před útokem

SOC, SIEM... pridam este jednu skratku: PR?

SIEM ani SOC nejsou značky konkrétních produktů. Takže jaké budování značky (PR)?

"
Autor článku
Jiří Haška
Project Manager ve společnosti VIAVIS a.s.; věnuje se projektům v oblasti kybernetické bezpečnosti a rozvoji služeb SOC.
"

...takze tomu rozumi...
Myslim, ze je ten clanek napsan dostatecne "vhodne", polopaticky a obecne i pro ty, kteri nechteji nakupovat...

Mno ja se z clanku dozvedel ... co vlastne? Jo aha, ze si mam zaplatit(nejlepe jejich) cloveka (spis tak 10 lidi) aby 24/7 zkoumali "divne" logy.

Autor zcela odignoroval (jak ostane zazniva i v komentech nize) ze jaksi 99,999% firem nema zadnej 24/7 support, ani jim to nijak technicky ani ekonomicky nedava smysl.

Mimochodem, divnych logu (respektive setrvale scanovani a pokusy o ruzne typy utoku) mam asi tak miliony denne v pidiinfrastruk­turach. Kdybych mel vyhodnocovat kazdej jeden zaznam v logu a resit, estli se nahodou neco nedeje, tak bych ten jeden den vyhodnocoval jeste 1000 let po smrti.

Představa, že někdo vyhodnotí alert ve tři hodiny ráno je ale nesmyslná.
V tu dobu všichni spí.

Jediné řešení je např. blokaci podezřele se chovajícího účtu provést automaticky a prověřit to až ráno.

Bezpečnost je prima věc. Ale dostupnost je mnohem lepší.
Neznám bezpečáka, co by tohle uměl skloubit.

Klíčové slovo: "pohotovost" (ve smyslu služba)

Když jsem před lety začínal v IT, tak volat kvůli alertu z kritické infrastruktury ve 3 ráno technika, že někde něco "hoří" (poté co někdo ověřil, že to opravdu je problém), bylo docela běžné.
Na druhou stranu chápu, že nějaká malá firma, co nemá IT jako business, ale jen podpůrný nástroj asi nebude mít 24/7 dohledové centrum. Na druhou stranu je otázka, jestli taková firma potřebuje mít infrastrukturu zapnutou ve 3 ráno v neděli, a nestačilo by jen všechno probudit ze spánku s příchodem prvního zaměstnance a automaticky uspat po konci pracovní doby.

Třeba taková nemocnice to ve 3 ráno v neděli určitě potřebuje mít zapnuté - a zároveň je to typický příklad, kdy IT je jen nutné zlo a personálně ani nebude schopná ty pohotovosti (dle zákona) zajistit - a rozhodně tam nebude nikdo dělat v noci dohled.
V lepším případě to bude částečně outsorceované, ale obávám se, že tam vyhodnotí, že když se pan primář přihlašuje ve tři ráno a hrabe se ve složkách pacientů, tak je to asi normální - a že to zkusí i na jiných serverech (kam nemá práva) taky z běžných zvyklostí nevybočuje...

Ak má nemocnica nastavené procesy tak, že funkčnosť informačného systému je nevyhnutná na to, aby veci bežali tak ako majú, tak by tam nejaký 24/7 support byť mal.

Pokiaľ sa počítače berú len ako lepšie písacie stroje a všetko (vrátane snímok z CT a pod.) sa prenáša na papieroch, prípadne CD-R (typický stav v štátnych nemocniciach na Slovensku), tak tam to treba nie je, ale zas by tam nemala byť možnosť, aby sa nejaký primár v niečom inom ako v papierovej kartotéke hrabal.

Ono je to často tak, že nemocnice mí svůj IS, ale celé IT je brané jen jako podpůrné oddělení, něco mezi údržbáři a pomocnou sílou v kuchyni, jen s tím rozdílem, že chtějí strašný peníze na výplaty a na novou techniku, a kteří si pořád vymýšlejí nová pravidla a nastavení, aby náhodou doktoři ty počítače nemohli moc používat.
Pan primář bere 120 tisíc měsíčně a za měsíc zachrání životy desítkám pacientů. Proč by měl brát ajťák devadesát? Kolik za měsíc zachrání životů on?

Kdyby byla jistota, že je to pravý útočník, tak je to OK správce vzbudit. Ale je třeba počítat s tím, že většina alertů budou planý poplach. Pravý útočník se ani nikdy nemusí objevit, zvláště pokud se nic nezanedbalo. To je ten problém, že když se pravý útočník možná objeví, nikdo jej nebude po deseti falešných alertech brát moc vážně. Tedy celé to rozumně vyladit není nic snadného.

Celé se to musí udělat chytře. Např. samotný fakt, že se někdo připojuje v noci a nejspíše z adresy, z které se nikdy nepřipojoval, je dost podezřelé. Zvláště když se nejedná o firmu/službu s provozem 24/7 a to že někdo začne pracovat v jednu v noci je hodně zvláštní.
Není lepší použít VPN, jako další ochranu?

Osobně bych úplně vyloučil Microsoft technologie. Nebo alespoň pro práci mimo kancelář, kde by zaměstnanci fasovali Linuxový notebook s VPN a bez možnosti si tam doinstalovat nějaké trojské koně jako hry a podobně.

Ten útočník ve skutečnosti bude mít někde popsané postupy co a jak má vyzkoušet a provést. Pravděpodobně to nebude nikdo extrémně schopný, ale cvičená opice, chytrého má jen šéfa.
Jejich úspěšnost se hodně opírá o to, že to co dělají, dělají masově.
Vykolejit jej něčím netradičním, na co mu jeho návody nestačí, může k záchraně stačit. Může to být i taková drobnost jako neobvyklý port na kterém služba běží. Pravděpodobně se může k tomu vrátit další noc, ale to už může být zablokován.

Ona ani ta VPNka není samospásná. Stačí malá laxnost při distribuci kredencí nebo jejich uložení pro "pozdější re/instalaci", a pak třeba připojení RDPčkem se zapnutým zpřístupněním lokálního disku (protože tě nenapadlo to politikou zakázat, nebo dokonce žádnou doménovou politiku nemáš, protože LDAP pořádně neumíš a MS AD je fujky) k mašině nakažený infostealerem, a útočník je má na stříbrným podnose. Nebo si stáhne databázi správce klíčů/hesel, a v klidu si ji bruteforsne, protože na to bude mít hromadu času a může si zaplatit výkonu, kolik bude chtít. A jseš tam kdes byl, protože tou VPNkou se ti připojí zcela bez chybných pokusů, protože kredence má. A když nevyhodnotíš, že se připojuje v neobvyklou dobu z neobvyklý nebo dokonce provařený IP, tak o tom vůbec nebudeš vědět, protože budeš mít falešnej pocit bezpečí, "protože přece VPNka a služby na nestandardních portech, protože obscurity je nejlepší security".

2. 10. 2026, 07:52 editováno autorem komentáře

"jestli taková firma potřebuje mít infrastrukturu zapnutou ve 3 ráno v neděli"

To jiste, protoze ony treba maily chodi jen v pracovni dobu. A zakaznici na eshopech taky nakupujou jen ve vsedni dny od 9 do 17.

Ja beriem, ze nechat si clanok napisat LLMkou je rychlejsie nez sa trapit s datlovanim. Ale aspon dajte do promptu nieco ako "bud strucny a k veci, neopakuj sa, pouzi neutralny ton, nedramatizuj, nerob uderne odstavce s par slovami.", nech sa to da citat.
Takto to ma informacnu hustotu pismenkovej polievky.

Čtenář vidí zajímavé téma, začíná číst, ale text je nekonkrétní, prázdný, s přibývajícími řádky se pocit prohlubuje. A tady se příběh rozděluje zatím co nepoučený čtenář nic netuší, znalý vidí červený alert LLM a přeskakuje rovnou do diskuze ;)

JJ, taky jsem to vzdal po par odstavcich. Pismenek a slov je tam opravdu hodne, mozna se mezi nimi skryva i nejake to moudro, ale kdyz autor neni ochotny venovat psani dost pozornosti a usili, tak ani ja nejsem ochotny venovat cas a usili vysledek lustit.

mi se clanek nejevi nutne jako prace llm.
ma format scenare s popisem jednotlivych udalosti, ze to jsou kratke vety a jdou minutu po minute, je podle me vlastnost scenare.

Děkuji autorovi za zajímavý článek. Je napsaný poutavě, se zájmem jsem ho přečetl celý, zkusím ho použít na gymplu jako studijní podklad. Nechápu moc ty hejty tady v diskusi. Jako stručné vysvětlení pro začátečníka mi to přijde velmi dobré a budu rád, když budou navazovat další odbornější články.

Souhlas. Já ty pozadí hejtů chápu - jsou lidi, kteří nemají co dodat, jiným závidí dobře odvedenou práci a zmůžou se pouze na snahu o shození. Je to pořád stejné schéma přiožralých pitomců v hospodě (pochybých individuí s omezenou schopností uvažovat). Nic nového.

Poraďte, co dělat v malé firmě bez IT oddělení s 24/7 pŕístupem k serveru...

Zálohovat a doufat/modlit se, podle nátury? :)

Stěžovala si mi vedoucí asi desetičlenné organizace, jejíž celé IT je jedna NASka, že na ně dopadá NIS2 ve vyšším režimu. Někdy to je prostě těžké.

Nevyhnutelně budou muset zdražit, protože to bude něco stát.

Najmout si někoho, kdo tomu rozumí, aby jim to udělal, a předplatit si nějaký hodiny na adhoc zákroky. A eventuálně mu zaplatit i za to, že někomu dá aspoň základní nalejvárnu, aby ve firmě byl aspoň někdo, kdo aspoň přibližně bude tušit co dělá.
Takovejch firem jsou mraky, skutečnej problém je, jak posoudit jak jsou ti konkrétní dobří.

2. 10. 2026, 07:56 editováno autorem komentáře

Připadá mi, že útoky AI agentů budou mnohem rychlejší a dohledové centrum nebude mít tolik času na reakci. K obraně bude zřejmě třeba mít jiné AI agenty, možná dokonce provozované lokálně pro případ přerušení spojení s dohledovým centrem.

Žijeme v zajímavé době a na scénář popsaný v článku se možná bude brzy nostalgicky vzpomínat :-)