Názory k článku
NÚKIB vydal dokument Ransomware – doporučení pro mitigaci, prevenci a reakci

O mitigaci neni v dokumentu ani carka. Zacina prevenci a konci reakci. Snazi se byt tak nestranny az neobsahuje temer nic. Zadne doporucene nastaveni, nastroje, systemy, HW. Nic. Pardon, je tam jak nastavit lepsi logovani ve Windows. Ma to uroven ukolu do skoly napsanem na zachode za jeden den.

To je pěkný dokument, poplatný době vzniku, ale velice pěkný ...

nikdy se nepřipojit k internetu a instalovat vše jen z disket nebo CD. Nikdy nepouštět uživatele k PC a nikdy ho raději nezapínat.

Tím se také předejde problémům :-D

Když ono je na světě mraky zařízení která by vůbec nemusela být nikam připojená nebo by to mohly být ostrovní systémy a spousta problémů by tím pádem ani nevznikla. A to s těma disketama a CD není vůbec tak špatný nápad, ona jsou to totiž poslední média co byla široce dostupná a u kterých bylo z podstaty jasné že přenáší data a nic víc.

Jenže pak v tom „nepřipojeném“ (a tedy neaktualizovaném) systému bude sto let stará díra s „autorun“ nebo zobrazování náhledů z odpojitelného média a stane se Stuxnet.

Stuxnet o jednom uzlu?

Zálohovat, zálohovat, zálohovat není obrana. Navíc mnoho firem zálohuje blbě. Cílem není záloha, ale úspěšná a konzistentní OBNOVA a bezpečné uložení záloh, v čemž si vedení s ajťáky typicky nerozumí. "Zálohujeme?" "Ano." A není to málo, Antone Pavloviči?
"Nějak" dnes díky ransomware zálohuje každý trouba. Otázka má znít jak chráníme zálohy, za jak dlouho obnovíme a kolik dat ztratíme mezi okny. A tato otázka od vedení zatím skoro nikde nezní. Mrkněte na video (najdete na youtube), jak kolega (nebo konkurent? Asi tak i tak.) sebere celé prostředí dotazem z DB Veeama a pak napište, že jste proti tomuto, relativně primitivnímu, útoku chráněni.
Samozřejmě fajnová konzistentní full záloha je nejlepší zdroj dat, po kterém útočník půjde. Přesto se ve většině případů zálohuje, aby se zálohovalo. Důkazem je nanejvýš report o tom, že úloha doběhla bez chyby. Ale to samozřejmě nestačí.

No opytajme sa na rovinu. Kolko administratorov pozna rozdiel medzi backupom a archivom?

Spíš než "zálohovat!" by to chtělo zálohovat a pak mít ještě plán a prostředky pro rychlou obnovu do původního stavu. Ty velké společnosti, které zaplatily, samozřejmě zálohovaly. S obnovou měli problém, ta by jim trvala dlouho, byla by nákladná a nemohli by incident zamést pod koberec zmínkou o "dočasných technických komplikacích". Dnes data ransomware nejenom šifruje, ale i krade a přidává se hrozba zveřejnění.
Nedůvěryhodné programy dnes nejsou zase takový problém, dnes vede cesta velkých ransomware hráčů přes zneužití důvěryhodných programů, jako například Acrobat Reader nebo Office. Vlastně i prohlížeč, chyby typu RCE po pouhém načtení webu (často i reklamy, naštěstí se dnes jde cestou zakazování spouštění kódu třetích stran na webu, ale i to má své chyby...) nejsou žádnou výjimkou. Taky jsou tu exploity normálně důvěryhodných zaměstnaců (social engineering :-D )

Odpovědí je jiný pohled na zálohování a ochranu dat, ten starý pohled na problematiku, který zohledňuje hlavně technické závady a integritu, je třeba nechat v zapadlišti dějin. Záloha musí být pružná, bezpečná (nejlépe stát v síti trochu bokem, ideálně s co nejméně možnostmi oboustranné komunikace s kýmkoli v síti kromě tupého posílání dat k zálohování). Druhým krokem je rychlá obnova do funkčního stavu, technické řešení i režimová opatření, školení odpovědných zaměstnanců, atd. Třetím krokem je kvalitní vedení informační bezpečnosti. Identifikovat, co je nezbytné, co si mohu bez strachu dovolit outsourcovat na cloud a co se nesmí dostat ven. Informace, které se "nesmí dostat ven" by se měly ideálně nacházet v nešifrované podobě pouze při používání, a to jen s přístupem ke konkrétně používaným informacím. Ne k celé databázi, která je plně dostupná po přihlášení uživatele do systému.

Boze ty si mudry. Este nejaky algoritmus ktory rozozna co je zasifrovane a co nie aby sa dali obnovit tie subory ktore su este neposkodene. Alebo ked uz fungovat ten algoritmus tak rovno mozme zabranit zakryptovaniu toho suboru nie?
A vsetky firmy maju nekonecne zdroje, vsetci vo vedeni hrozne myslia na bezpecnost a vyhadzuju sialene peniaze na to vsetko co si ty povedal. HAHAHA. Vies ako to vyzera v takej skutocnej firme? Admin ledva stiha robit beznu udrzbu a je rad ked ten backup system aspon posle mail ze to vcera stihol a nie je treba sa v tom vrtat. TO je skutocne jadro problemu. Vedenie firiem byva problemom bezpecnosti nie admini alebo ze by nevedeli ako to robit. Lebo ked vycislis co by toto vsetko co si napisal stalo tak to radsej zaplatia ten ransom.

to jsme to dopracovali, když i ve vyhlášce je, jak si mám nastavit heslo... "Doporučená minimální délka hesla dle vyhlášky 82/2018, § 19 je alespoň 12 znaků pro uživatele, 17 znaků pro administrátory..." To je opravdu směšné

jinak ten canc papíru jsou pěkný plky...

Proč je to směšné? Je to moc nebo málo? Nebo je problém že to vůbec vyhláška definuje?

Ano, tak je taky vyhláška o kybernetické bezpečnosti koncipovaná. Přihlášení pomocí jména a hesla je možné jen u legacy systémů.

Je to dost na to, že už například nejde napsat rostoucí posloupnost tolika číslic a málokoho napadne tak dlouhé slovo ze slovníku. Ve výsledku většina lidí včetně lenochů vymyslí celkem přijatelné heslo.

Pro dyslektiky je to zároveň extrémně hodně.

Pár bezobsažných opsaných frází. NÚKIB si koleduje o totální diskreditaci.

Oni nikdy kredit neměli. Ke všemu se vždy stavějí slizce neutrálně, hlavně nic neříct - čím méně tvrzení, tím méně oponentů. Výstupy byly vždy tristní.

Uz neco udelali s rok nahlasenou eObcankou ? Nebo furt cekaj na dalsi "kauzu" typu Huawei, aby se zase zviditelnili ?

Kdykoliv pres mgmt probubla varovani od Nukib, je to spatne prelozene a stare nejaky ten mesic.

Dekuji za dokument. Presvedcil mne ze si mam zazadat o zvyseni platu mebo prejit na freelancera.
Rozhodne alespon 2x tolik co mam ted...

Z pohledu člověka, který o bezpečnosti něco už slyšel, se na všechny dokumenty vydané NÚKIB dívám také jako na překonané.
ALE! Je třeba si uvědomit, že tyto dokumenty by měly mít dopad na masové publikum. Necílí na odborníky, ani na lidi, kteří se bezpečností již zabývají, ale na jejich doplněk.
A jak tak chodíme po firmách, kdyby 100% společností a nemocnic mělo ALESPOŇ to, co NÚKIB vydává, mohli bychom se zabývat skutečnou bezpečností. Toto je spíše poukázání na typické hříchy správy. Které jsou ale všude, a to bohužel nejen v malých společnostech.

Přesně takhle jsem ten dokument pochopil - po přečtení každému soudnému musí být jasné, že jsou to jakási základní opatření, která dokážou výrazně zvýšit bezpečnost sítě takovým, co tomu nerozumějí a mají zavedeno úplné h***o. A takových je mraky v různých firmách či nemocnicích (že?), to je skutečnost, nad kterou nemá smysl dlouze dumat. A tady se z toho dělá aféra.

Ta s prominutím šaškárna s Huawei (dejte si na ně pozor ale neřekneme vám proč, ale máme razítko tak nám věřte) byla přesně příklad, jak se to dělat nemá.

Vidíte, ale zrovna toto považuji za příklad, jak se to dělat má. Jsou oblasti, kde důkaz existovat nemůže - nemůžete prokázat, že riziko neexistuje, pouze to, že jste žádné (doposud) neobjevili. V takovou chvíli nastupuje politika (státu): pokud víme, že systémové nebezpečí existovat může, pak je na místě neřešit riziko samotné (nevyřešíte), ale to, kdo by z něj mohl mít jaký prospěch. Tu je naprosto na místě preferovat technologie spojenců před zeměmi, které považujeme za potenciální riziko.

Pochopitelně, NÚKIB by mohl jít hlouběji, např. se zabývat otázkou, jak rizika mitigovat, např. kombinací různých technologií. V tomto případě vnímám, že takový návrh, jak vyloučit rizika, by měl být spíš na dodavateli. Ten by měl přijít a říct: rizika pro vás nejsou, protože naši technologii můžete kompletně odizolovat od internetu (a popsat, jak by vypadalo technické řešení).

Je samozřejmě taky možné, že úřad dojde k tomu, že rizika mitigovat nelze; cenné důvěrné informace a případně i pokyny pro vzdálené ovládání (např. v případě války) lze u mnoha technologií předávat mezi metadaty běžného provozu (telefonního hovoru, v hlavičkách packetů, ...); to je hodně podobné průšvihu Intelu s AMT.

Tady vidím dva velké nedostatky. Činnost, kterou popisujete, by měla být jen doplňková a dokumenty tak označené. NÚKIB v lidech - a nezapomeňte, že i významní manažeři jsou IT-laikové - svojí činností spíš vzbuzuje pocit, že stačí splnit pár doporučení a vše je v pořádku. Druhý nedostatek je, že se stejným úsilím neposkytují svá stanoviska ani těm, kteří by chtěli / by měli na bezpečnost dbát mnohem víc.

Podle mě by hlavně mělo být základem stanovit, jakých cílů chce bezpečnost docílit. Nevyjmenovávat přesné postupy, ale říct: očekává se, že všechna zařízení a všechny externí služby jsou chráněny před: <vyjmenovat>. Měla by být vedena dokumentace o: <vyjmenovat>. Minimálně jednou za <dobu> by měla být provedena tato ověření: <vyjmenovat>.

Dále by měli vést osvětu směrem k vedením společností a upozornit, za co odpovídá vedení - např. GDPR a vysvětlit, že řádné provádění bezpečnostních postupů může firmu efektivně vyvinit z průšvihu (který se nevyhýbá nikomu).

Na to, aby nám někdo řekl, že máme mít silná hesla a zálohovat, na to opravdu nepotřebujeme celý úřad.

Zajímalo by mě, jak je proti něčemu podobnému chránit i v domácnosti mimo obligátní zálohu které ja odpojená od systému.
Jak zálohovat tak, aby se k záloze nešlo při případném útoku dostat. Případně aby jí nešlo zničit.

No prave tak ze je odpojena od systemu alebo na write only mediu (DVD, ...). Za dalsie treba si uvedomit ze ransomware vam nezablokuje vsetko za pol hodinu. Ten ransomware attack moze trvat tyzdne pokial vsetko zakryptuje takze vo vasich archivoch sa postupom casu objavu uz aj zakryptovane subory takze je traba hladat a selektivne obnovovat.
Ono to nie je tak ze riaditel zavola vsetko zastavte a obnovte zalohu zo vcera. To by bolo jednoduche.