Za dużo narzędzi, a za mało ludzi. Ekspert o błędach w cyberbezpieczeństwie

Materiał sponsorowany

O tym, dlaczego automatyzacja ataków i obrony może całkowicie zmienić cyberbezpieczeństwo, rozmawiamy z Sebastianem Gwiozdą, ekspertem w obszarze strategii sprzedaży i rozwoju biznesu w sektorze IT i cyberbezpieczeństwa w firmie Trecom.

Piotr Pilewski, redaktor naczelny CyberDefence24: Jak firmy patrzą na cyberbezpieczeństwo? Czy powinniśmy mówić o konkretnych rozwiązaniach, czy raczej o systemie naczyń połączonych, w którym poszczególne elementy są od siebie zależne?

Sebastian Gwiozda: Technologia jest oczywiście bardzo ważna, ale cyberbezpieczeństwo to przede wszystkim system naczyń połączonych. Składają się na niego technologie, procesy i ludzie. Istotna jest również świadomość tego, jakie ryzyko organizacja jest w stanie zaakceptować.

Dlatego we współpracy z klientami staramy się nie zaczynać od technologii. Często zdarza się, że firma przychodzi z konkretną potrzebą – chce kupić firewall, system XDR albo rozwiązanie do ochrony poczty. Nie chcemy jednak ograniczać się do dostarczenia produktu, o który klient zapytał.

Najpierw musimy zrozumieć, co organizacja chce chronić, przed jakimi zagrożeniami, ile może kosztować potencjalny incydent oraz jakie są jej obecne możliwości wykrywania zagrożeń i reagowania na nie.

Dopiero na tej podstawie powinno się dobierać odpowiednie technologie. Można przecież posiadać bardzo dobre produkty bezpieczeństwa, a jednocześnie pozostawać organizacją podatną na wiele rodzajów ataków.

W Trecom staramy się podchodzić do tych zagadnień całościowo. Mamy osobne zespoły architektów bezpieczeństwa i infrastruktury, audytorów, pentesterów oraz specjalistów odpowiedzialnych za wdrożenia. To pozwala spojrzeć zarówno na technologię, jak i na procesy oraz rzeczywiste potrzeby organizacji.

Firmy mają do tego kompetencje i wiedzę? Czy świadomość takiego systemowego podejścia rośnie?

Zdecydowanie widzę poprawę. Jeszcze kilka lat temu dominowało podejście produktowe. Klient chciał rozbudować określony fragment infrastruktury, wymienić firewall albo zapewnić bezpieczny dostęp zdalny. Były to przede wszystkim punktowe działania.

Dzisiaj coraz częściej rozmowa wygląda inaczej. Firmy niekoniecznie proszą o kompleksową analizę całej organizacji, ale przychodzą z pytaniem, w jaki sposób zabezpieczyć określoną usługę, proces czy segment sieci.

To istotna zmiana. Klient nie pyta już wyłącznie, jaki produkt powinien kupić, lecz jak rozwiązać konkretny problem związany z bezpieczeństwem.

Przedsiębiorstwa zaczynają rozumieć, że pojedynczy firewall na brzegu sieci nie wystarczy, jeżeli atakujący przejmie konto administratora albo pracownik otworzy odpowiednio przygotowaną wiadomość phishingową. W takich sytuacjach zagrożenie może ominąć zabezpieczenia, na których firma opierała wcześniej swoją strategię.

Podczas Cyber24 DAYS prezentowano badanie sektora MŚP przygotowane z IBRiS. Wynika z niego, że 79 proc. ankietowanych uważa, iż liczba cyberataków rośnie, 61 proc. zetknęło się z próbą wyłudzenia danych, a tylko 49 proc. firm ma formalnie wskazaną osobę lub zewnętrznego dostawcę odpowiedzialnego za bezpieczeństwo. Co dzisiaj tak naprawdę oznacza „bezpieczna organizacja"?

W idealnym świecie powiedzielibyśmy, że jest to organizacja, której nie da się zaatakować. Tyle że taki świat nie istnieje. Nie ma organizacji całkowicie odpornych na zagrożenia.

Bezpieczna organizacja to przede wszystkim taka, która wie, co chroni. Potrafi szybko zauważyć, że dzieje się coś niepokojącego, ograniczyć skutki incydentu i wrócić do normalnego funkcjonowania w przewidywalnym czasie.

Mówimy więc o widoczności zdarzeń w infrastrukturze, skutecznym reagowaniu, sprawdzonej zdolności odtwarzania systemów, ale również o ludziach.

Ważne jest, aby osoby odpowiedzialne za bezpieczeństwo potrafiły podjąć odpowiednie decyzje także o trzeciej nad ranem. Muszą wiedzieć, co robić, kto za co odpowiada i jakie działania należy podjąć w pierwszej kolejności.

Dlatego podstawowe pytanie nie powinno brzmieć: „Czy ktoś może nas zaatakować?”. Powinno raczej brzmieć: „Co zrobimy, jeśli jutro rano okaże się, że ktoś dostał się do naszych systemów?”.

Wiele firm nadal skupia się przede wszystkim na niedopuszczeniu zagrożenia do swojej infrastruktury. Znacznie gorzej wygląda przygotowanie do sytuacji, w której atakujący już się do niej przedostał. Organizacje często nie mają sprawdzonych procedur postępowania w takim scenariuszu.

Od czego zaczynacie w takim razie pracę z daną organizacją? Czy jednym z pierwszych kroków są testy pozwalające sprawdzić rzeczywisty poziom zabezpieczeń?

Testy penetracyjne mogą być jednym z pierwszych etapów współpracy, ale często rozpoczytamy współpracę od audytu infrastruktury. Wszystko zależy od potrzeb organizacji i tego, jak szeroką ocenę bezpieczeństwa chcemy przeprowadzić.

Dysponujemy dedykowanym zespołem pentesterów, który jest niezależny od specjalistów odpowiedzialnych za projektowanie i wdrażanie zabezpieczeń. Dzięki temu możemy zapewnić obiektywną ocenę poziomu bezpieczeństwa.

Pentesty realizowane są w warunkach możliwie najbardziej zbliżonych do rzeczywistych działań cyberprzestępców. Pozwalają sprawdzić nie tylko skuteczność pojedynczych zabezpieczeń, ale przede wszystkim odporność całej organizacji i współdziałanie poszczególnych elementów infrastruktury – od sieci i systemów, po procesy oraz reakcję zespołów na wykryte zagrożenie. Dzięki temu możemy zweryfikować, jak organizacja poradziłaby sobie w rzeczywistym scenariuszu ataku.

Czy zdarza się, że wyniki audytów i testów stwierdzacie zupełnie inne problemy niż te, które klient początkowo uznawał za najważniejsze?

Tak, i to jedna z ciekawszych sytuacji w naszej pracy.

Firmy zazwyczaj dobrze identyfikują problemy, które są widoczne i które utrudniają im codzienne funkcjonowanie. Znacznie gorzej radzą sobie z dostrzeganiem tego, co nazwałbym cichymi zagrożeniami.

Mam na myśli chociażby nadmierne uprawnienia użytkowników, zależności pomiędzy systemami czy kopie zapasowe, których nikt nigdy nie przetestował.

Wyobraźmy sobie organizację, która przychodzi do nas z potrzebą wymiany firewalla. Podczas analizy może się jednak okazać, że znacznie poważniejszym problemem jest brak uwierzytelniania wieloskładnikowego dla części użytkowników.

Innym przykładem jest nieprawidłowa segmentacja sieci. Zdarza się, że z komputera wykorzystywanego przez księgowość można uzyskać dostęp do sterowników produkcyjnych.

Spotykamy również sytuacje, w których konta zewnętrznych dostawców czy serwisantów nie są odpowiednio nadzorowane, a przyznane im uprawnienia niewiele różnią się od uprawnień administratorów.

To pokazuje, że najbardziej widoczny czy najdroższy problem wcale nie musi oznaczać największego ryzyka.

Naszą rolą jest więc nie tylko powiedzenie klientowi, że rzeczywiście powinien wymienić firewall, ale także zwrócenie jego uwagi na mniej oczywiste zagrożenia, które mogą mieć poważniejsze konsekwencje dla działalności firmy.

Czy firmy mają dzisiaj za mało narzędzi do cyberbezpieczeństwa, czy może wręcz przeciwnie - posiadają zbyt dużo technologii, których nie potrafią efektywnie wykorzystać?

W mojej ocenie większość organizacji, z którymi współpracuję, nie ma problemu z niedoborem technologii. Ma problem z jej nadmiarem.

Zdecydowanie jest za dużo narzędzi, a za mało ludzi i czasu, żeby odpowiednio je obsłużyć. Szczególnie widoczne jest to w średnich i dużych organizacjach.

Firmy posiadają firewalle, rozwiązania EDR, systemy do zarządzania tożsamością, monitorowania zdarzeń i wiele innych produktów. Najważniejsze pytanie brzmi jednak –  czy potrafią wykorzystać informacje, które te systemy generują?

Możemy mieć kilkadziesiąt narzędzi wysyłających alerty, ale jeżeli nikt nie potrafi ocenić, który z nich jest naprawdę istotny, albo nie wiadomo, kto powinien na niego zareagować, to poziom bezpieczeństwa wcale nie rośnie proporcjonalnie do liczby wdrożonych rozwiązań.

Co więcej, zdarza się, że firmy posiadają systemy EDR działające wyłącznie w trybie monitorowania. Mają narzędzia zbierające logi i informacje o zdarzeniach, ale nikt regularnie ich nie analizuje. Spotykamy również polityki bezpieczeństwa, które zostały wdrożone kilka lat wcześniej i nadal pozostają w trybie monitorowania.

Dlatego często największą wartość przynosi nie zakup kolejnego produktu, lecz analiza tego, co już zostało kupione i wdrożone.

Część rozwiązań działa tylko w podstawowej konfiguracji, mimo że ma znacznie większe możliwości. Niekiedy wystarczy odpowiednio je skonfigurować, aby uzyskać realną poprawę bezpieczeństwa.

Ważna jest również integracja. Zamiast zarządzać dwudziestoma osobnymi konsolami, lepiej mieć platformę, która pozwala integrować informacje i analizować je w jednym miejscu.

To kierunek, w którym zmierza również wielu producentów rozwiązań bezpieczeństwa.

Przejdźmy do regulacji. Jak wygląda dzisiaj podejście klientów do wdrażania wymagań NIS2? Czy organizacje traktują je przede wszystkim jako kolejny obowiązek prawny i koszt, czy zaczynają wykorzystywać do rzeczywistej poprawy bezpieczeństwa?

Patrzę na NIS2 trochę inaczej niż tylko przez pryzmat kolejnych obowiązków.

Początkowo dla wielu organizacji był to przede wszystkim projekt związany z zapewnieniem formalnej zgodności. Trzeba było przygotować dokumentację, wykonać audyt, odhaczyć kolejne wymagania i móc powiedzieć, że firma jest zgodna z przepisami.

Widzę jednak zmianę w tym podejściu.

Coraz więcej organizacji zaczyna rozumieć, że wymagania NIS2 mogą być okazją do uporządkowania cyberbezpieczeństwa. Dotyczy to również tych obszarów infrastruktury, które wcześniej były rozwijane punktowo, bez spojrzenia na całość.

Moim zdaniem to jedna z największych wartości tej regulacji. Nie chodzi wyłącznie o spełnienie wymagań, lecz o wykorzystanie ich do rzeczywistego zwiększenia odporności organizacji.

Taką zmianę obserwuję również w rozmowach z naszymi klientami.

Jakie błędy najczęściej popełniają firmy podczas wdrażania wymagań NIS2?

Takich problemów jest kilka.

Pierwszym jest zbyt wąskie określenie zakresu projektu. Firma chce objąć działaniami bezpieczeństwa konkretny system, który odpowiada za świadczenie kluczowej usługi, ale pomija inne elementy infrastruktury, takie jak Active Directory, poczta elektroniczna czy VPN.

Tymczasem przejęcie jednego z tych elementów może umożliwić atakującemu uzyskanie dostępu do systemu, który organizacja uznaje za krytyczny.

Drugi problem to brak rzetelnej inwentaryzacji zasobów.

Trudno zarządzać ryzykiem związanym z systemami, o których istnieniu organizacja nawet nie wie. Zdarza się, że dopiero podczas audytu odkrywamy usługi udostępnione w internecie, o których odpowiedzialne osoby już dawno zapomniały.

Kolejnym, bardzo poważnym problemem jest brak wymagań dotyczących bezpieczeństwa w umowach z dostawcami.

Firmy zewnętrzne, serwisanci czy podmioty realizujące wdrożenia często otrzymują dostęp do infrastruktury klienta. Niekiedy dostęp ten pozostaje aktywny przez długi czas i nie podlega odpowiedniej kontroli.

Zdarza się, że jest przyznawany na potrzeby konkretnego projektu, a później nikt go nie ogranicza ani nie weryfikuje.

Problemem są również procedury reagowania na incydenty, które istnieją tylko na papierze. W dokumentacji wszystko może wyglądać prawidłowo, ale kiedy dochodzi do rzeczywistego zdarzenia, okazuje się, że nikt nie wie, kto powinien zdecydować o jego kwalifikacji albo kto odpowiada za zgłoszenie incydentu, gdy wydarzy się on w piątek wieczorem.

Jest jeszcze jedna kwestia, na którą chciałbym zwrócić uwagę – próby kupowania zgodności z NIS2 w pudełku.

Musimy jasno powiedzieć, że nie istnieje pojedyncze rozwiązanie technologiczne, które zapewnia zgodność z NIS2.

To organizacja musi spełniać określone wymagania. Produkty mogą jej w tym pomagać, ale samo kupienie konkretnego systemu nie oznacza, że firma automatycznie staje się zgodna z regulacjami.

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa zwiększa odpowiedzialność zarządów za bezpieczeństwo organizacji. Czy nadal spotykacie sytuacje, w których całość odpowiedzialności jest w praktyce pozostawiana działowi IT albo jednej osobie?

Tak, nadal spotykamy takie sytuacje. Nie byłoby uczciwe twierdzenie, że ten problem już nie istnieje.

Widzę jednak wyraźną zmianę w podejściu zarządów i innych osób odpowiedzialnych za funkcjonowanie organizacji.

Myślę, że regulacje stopniowo przynoszą efekty, ale bardzo dużo zależy również od tego, jak rozmawiamy z osobami podejmującymi decyzje biznesowe.

W zarządach zazwyczaj nie zasiadają specjaliści techniczni. Dlatego trzeba umieć przełożyć język cyberbezpieczeństwa na język biznesu.

Członka zarządu nie musi interesować, jak dokładnie działa firewall, jakich protokołów używamy i w jaki sposób skonfigurowane są poszczególne urządzenia.

Natomiast jeżeli zaczniemy rozmawiać o tym, jakie ryzyko ograniczamy dzięki określonemu rozwiązaniu, ile może kosztować incydent i jakie będą konsekwencje zaniechania inwestycji, podejście zarządu często się zmienia.

To właśnie sposób przedstawienia ryzyka może przesądzać o tym, czy cyberbezpieczeństwo będzie traktowane jako wydatek techniczny, czy jako istotny element zarządzania przedsiębiorstwem.

Kiedyś bardzo często spotykałem się ze stwierdzeniem: „A kto chciałby nas zaatakować?”.

Dzisiaj słyszę je zdecydowanie rzadziej. Świadomość, że praktycznie każda organizacja może stać się celem cyberataku, znacząco wzrosła.

Co jeszcze zmieniło się w podejściu przedsiębiorstw do cyberbezpieczeństwa w ciągu ostatnich lat?

Przede wszystkim wzrosło znaczenie projektów związanych z bezpieczeństwem.

Wcześniej bardzo często były one odkładane na później. Firma miała inne priorytety, a inwestycje w zabezpieczenia przesuwano na kolejny rok.

Teraz coraz częściej obserwuję odwrotną sytuację. Projekty związane z bezpiecznym dostępem do infrastruktury czy ochroną komunikacji pomiędzy lokalizacjami stają się jednymi z najważniejszych przedsięwzięć w organizacjach.

Nie oznacza to jednak, że zmieniły się podstawowe mechanizmy cyberataków.

Nadal wiele incydentów zaczyna się od przejęcia konta, phishingu, błędnej konfiguracji czy pozostawionej reguły bezpieczeństwa, która miała być tymczasowa, ale działa już od roku.

Zmieniły się natomiast skala i tempo wykorzystywania takich błędów.

Czyli cyberprzestępcy nadal wykorzystują podobne słabości, ale robią to szybciej i skuteczniej? Jaką rolę odgrywa w tych procesach automatyzacja i rozwój sztucznej inteligencji?

Atakujący mają coraz większe możliwości automatyzowania rozpoznania, wyszukiwania słabości, generowania treści czy przygotowywania kampanii dostosowanych do konkretnej firmy.

Dzisiaj czas od opublikowania informacji o podatności do rozpoczęcia masowego skanowania internetu w poszukiwaniu podatnych systemów może być liczony nawet w godzinach.

Coraz większe znaczenie mają również ataki realizowane za pośrednictwem dostawców.

Wśród klientów obserwujemy incydenty, w których pierwszym celem nie jest sama organizacja, lecz firma zewnętrzna posiadająca dostęp do jej infrastruktury.

Atakujący przejmują systemy lub konta dostawcy, a następnie wykorzystują istniejące uprawnienia do uzyskania dostępu do środowiska klienta.

To kolejny powód, dla którego tak ważna jest kontrola dostępów przyznawanych podmiotom zewnętrznym.

Zmienia się także jakość ataków socjotechnicznych.

Wiadomości phishingowe nie zawierają już charakterystycznych błędów językowych, które jeszcze kilka lat temu często pozwalały rozpoznać próbę oszustwa. Są napisane poprawną polszczyzną, odpowiednio przygotowane i dostosowane do kontekstu działalności konkretnej firmy.

Do tego dochodzą możliwości podszywania się pod inne osoby za pomocą syntetycznego głosu.

W rezultacie coraz łatwiej przekonać pracownika, że kontaktuje się z kimś, kogo zna i komu ufa. Ofiara może nie mieć świadomości, że w rzeczywistości uczestniczy w ataku.

Dlatego konieczne jest nie tylko rozwijanie technologicznych zabezpieczeń, lecz także odpowiednich procedur i świadomości wszystkich pracowników, nie tylko zespołów IT.

Czy zmierzamy zatem do sytuacji, w której coraz większa część cyberwalki będzie odbywała się pomiędzy zautomatyzowanymi systemami ataku i obrony?

W dużej mierze tak. Wyobraźmy sobie sytuację, w której po jednej stronie działa system automatycznie prowadzący rozpoznanie infrastruktury. Identyfikuje słabe punkty, poszukuje podatności i próbuje znaleźć drogę do wyznaczonego celu.

Po drugiej stronie znajduje się zautomatyzowany system obronny, który analizuje działania przeciwnika i podejmuje odpowiednie kroki: izoluje urządzenie, blokuje konto lub modyfikuje reguły bezpieczeństwa.

W takim modelu człowiek nie musi już reagować na każdy pojedynczy incydent. Zaczyna natomiast zarządzać systemami, które wykonują określone działania w jego imieniu.

To moim zdaniem będzie jedna z największych zmian w cyberbezpieczeństwie w najbliższych latach. Musimy jednak pamiętać, że automatyzacja obrony ma również drugą stronę.

Jeżeli pozwolimy systemom na samodzielne podejmowanie decyzji, musimy zadbać o to, aby ich działanie nie stało się zagrożeniem dla organizacji.

Wyobraźmy sobie, że system bezpieczeństwa błędnie oceni określone zdarzenie jako atak i automatycznie zablokuje konto administratora albo odizoluje urządzenie odpowiedzialne za działanie krytycznej usługi.

Może się wtedy okazać, że firma utraci możliwość korzystania z ważnych systemów nie wskutek działania cyberprzestępcy, lecz z powodu reakcji własnych zabezpieczeń.

W skrajnym przypadku automatyczna izolacja systemu uznanego za zagrożony może zatrzymać pracę całej fabryki, ponieważ ten system odpowiada za kluczowy element procesu produkcyjnego.

Skutki takiej błędnej decyzji mogą być równie kosztowne jak udany cyberatak.

Dlatego automatyzacja będzie odgrywała coraz większą rolę, ale równie ważne pozostanie właściwe zarządzanie tymi rozwiązaniami i kontrolowanie ich wpływu na funkcjonowanie organizacji.

Materiał powstał we współpracy z firmą Trecom.