Nic się nie stało?
Jest zwykły dzień pracy, 9 rano. O tej porze e-mail od kontrahenta na poczcie nie dziwi. To pewnie faktura. Zgadza się – pracownik otwiera załącznik, zapisuje go i zostawia sprawę na później. Z jego punktu widzenia historia kończy się w tym momencie, po kilku sekundach. Bo co miałoby się dziać, skoro komputer działa normalnie?
W rzeczywistości cyberatak właśnie się rozpoczął. Potrwa kilka godzin i będzie miał poważne skutki. Firma jeszcze tego nie wie. I długo się nie dowie, bo zagrożenie nie zostanie zauważone przez kilka godzin.
Jak wyglądał cyberatak na firmową infrastrukturę?
To, co było widać „na powierzchni”: mail z podejrzanego adresu i kliknięcie w załącznik, to tylko wierzchołek góry lodowej. Najważniejsze etapy cyberataku na firmę działy się w tle – i właśnie dlatego były trudne do zauważenia i szczególnie niebezpieczne. Widać było tylko skutki: zaszyfrowanie plików przez ransomware. To była jednak końcowa faza ataku. Równie ważne jest to, co zaszło wcześniej.
Cyberatak nie zaczyna się od zaszyfrowania plików. Atakujący działają inaczej, w bardziej przemyślany sposób: zanim zablokują dostęp do danych, starają się jak najlepiej poznać środowisko IT, zdobyć odpowiednie uprawnienia i przygotować atak tak, aby wyrządzić jak największe szkody.
Typowy cyberatak przebiega w następujący sposób:
● Pracownik otrzymuje wiadomość e-mail lub SMS, który wygląda jak korespondencja od banku, firmy kurierskiej, dostawcy usług czy nawet współpracownika. W wiadomości znajduje się link prowadzący do fałszywej strony logowania lub załącznik zawierający złośliwe oprogramowanie. Ten etap to phishing. To od niego – a dokładnie od pojedynczego, nieuważnego kliknięcia, zaczyna się cyberatak.
● Atakujący uzyskują dostęp do firmowych systemów. Mogą zalogować się jako zwykły użytkownik, korzystając z loginu i hasła pracownika. W ten sposób przez długi czas działają niezauważeni. Z punktu widzenia systemu zabezpieczeń nie dzieje się nic podejrzanego – działania cyberprzestępców wyglądają tak, jak standardowe aktywności użytkownika. Szczególnie niebezpieczna jest sytuacja, gdy przejęte konto ma wysoki poziom uprawnień, np. administratora.
● Przejęcie pojedynczego konta rzadko jest celem samym w sobie, dlatego atakujący w dalszej kolejności próbują zdobyć dostęp do kolejnych systemów, serwerów i aplikacji. Szukają zapisanych haseł, tokenów dostępowych, plików konfiguracyjnych czy innych informacji, które umożliwią im dalszą penetrację środowiska IT. Na tym etapie mogą również uzyskać dostęp do danych klientów, dokumentacji, baz danych czy informacji finansowych.
● Cyberprzestępcy przeprowadzający atak ransomware zaczynają przemieszczać się pomiędzy kolejnymi urządzeniami w sieci. Sprawdzają infrastrukturę IT w firmie: dowiadują się, jakie serwery działają w organizacji, gdzie znajdują się najważniejsze dane, jakie systemy odpowiadają za kluczowe procesy biznesowe oraz jakie zabezpieczenia są stosowane. Czas trwania tego etapu jest bardzo zróżnicowany. W niektórych organizacjach penetracja środowiska IT trwa kilka godzin, w innych – nawet kilka tygodni. Wspólne jest to, że odbywa się po cichu – atakujący działają tak, by nie wzbudzić podejrzeń administratorów.
● Atakujący przejmują konta administratorów lub, wykorzystując luki w zabezpieczeniach, wykonują działania niedostępne dla zwykłych użytkowników. Ten etap cyberataku to eskalacja uprawnień. Pozwala on cyberprzestępcom swobodnie wyłączać zabezpieczenia, usuwać logi, modyfikować konfigurację systemów czy atakować serwery backupu.
● Dopiero na końcu następuje atak ransomware. Dzieje się tak nie bez przyczyny. Na tym etapie atakujący mają już zwykle bardzo dobrą wiedzę o środowisku IT. Znają najważniejsze systemy, Wiedzą, gdzie znajdują się dane i jak je zaszyfrować, by organizacji było trudno je odzyskać. Zanim uruchomią proces szyfrowania, często próbują usunąć lub zaszyfrować kopie zapasowe, wyłączyć systemy ochronne oraz wykraść dane, które później wykorzystują do szantażu. Dopiero wtedy blokują dostęp do systemów i żądają okupu.
Ten opis procesu pokazuje, dlaczego ochrona danych w firmie czy urzędzie nie może ograniczać się do ostatniego etapu. Ważne jest wykrycie zagrożenia jak najwcześniej, zanim dojdzie do eskalacji uprawnień i zdobycia przez atakujących wiedzy o systemach IT.
Dlaczego nikt w firmie nie zauważył cyberataku?
Specjaliści IT odpowiedzialni za cyberbezpieczeństwo mieli ograniczone szanse zauważenia ataku ransomware na wczesnym etapie, gdy działania napastników są jeszcze niewidoczne. Zabrakło im do tego odpowiedniej telemetrii, korelacji logów, procedur i całodobowej analizy zdarzeń.
Cyberatak znacznie trudniej zauważyć od razu, gdy w firmie czy urzędzie:
● Nie prowadzi się monitoringu bezpieczeństwa 24/7. Gdy nie obserwuje się na bieżąco tego, co dzieje się w firmowych systemach, reakcja na incydenty bezpieczeństwa jest opóźniona. Następuje zwykle dopiero wtedy, gdy użytkownik zgłosi problem lub gdy system przestanie działać. Problem jest szczególnie dotkliwy, gdy do ataku dochodzi poza godzinami pracy, np. w nocy. Wtedy od początku incydentu do wykrycia i pierwszej reakcji może minąć nawet kilka godzin. Cyberprzestępcy mogą swobodnie penetrować zasoby firmy i zdobywać kolejne uprawnienia.
● Nie analizuje się logów i pojedynczych zdarzeń. Brak takiej regularnej analizy powoduje, że nie zauważa się niepokojących odstępstw od normy: logowania o nietypowej godzinie czy kilkukrotnej próby wpisania hasła. Takie pojedyncze aktywności mogą się zdarzać także zwykłym użytkownikom. Dopiero gdy połączy się je w całość, widać w nich wzorzec niestandardowych zachowań, które bardzo często są sygnałem incydentu bezpieczeństwa.
● Ignoruje się alerty. Monitoring SOC 24/7 nie wystarczy, jeśli nie ma reakcji na wykryte incydenty. Brak reakcji często wynika z tego, że alerty są nieprawidłowo skonfigurowane – jest ich za dużo i dotyczą mało ważnych zdarzeń. W takiej sytuacji zespół odpowiedzialny za cyberbezpieczeństwo firmy może zacząć odczuwać tzw. alert fatigue. Przestaje przywiązywać wagę do alertów, by nie paraliżowały one jego pracy. Wówczas łatwo jest przeoczyć sygnały o prawdziwym zagrożeniu.
● Nie ma wdrożonych i stosowanych w praktyce procedur reagowania na incydenty, tzw. Incident Response. Bez nich reakcja na incydenty jest opóźniona, chaotyczna, uzależniona od wiedzy, kompetencji i dostępności pojedynczych osób. Brak procedur jest problematyczny także dla pracowników niezwiązanych z IT. Nawet gdy zauważą oni podejrzany załącznik czy link, nie wiedzą, czy i komu należy to zgłosić i jakie dalsze działania wykonać. W efekcie zespół ds. bezpieczeństwa dowiaduje się o potencjalnym zagrożeniu z opóźnieniem – lub wcale.
Nie warto obierać sobie za cel całkowitego zapobiegania samym atakom. Incydenty bezpieczeństwa będą się zdarzać, jest to czynnik zewnętrzny, nad którym organizacja nie może mieć pełnej kontroli. Zdecydowanie lepiej skupić się na tym, na co ma się wpływ: jak najszybszym wykrywaniu cyberataków i reakcji na incydenty bezpieczeństwa, tak by wyrządziły jak najmniejsze szkody w infrastrukturze IT.
Kluczowe 30 minut – dlaczego czas wykrycia decyduje o skali incydentu?
Wspomniane 30 minut nie jest sztywną granicą – dużo zależy od rodzaju i skali incydentu, środowiska, sposobu działania napastnika. Faktem jest jednak, że reagowanie na incydenty bezpieczeństwa to niemal zawsze wyścig z czasem. Moment wykrycia i pierwszej reakcji decyduje o tym, jak cyberatak wpłynie na funkcjonowanie organizacji. Może równie dobrze być jedynie drobną przeszkodą, którą szybko da się usunąć, jak i poważnym kryzysem, który na długo sparaliżuje działanie infrastruktury IT. Wszystko zależy od tego, co zrobią administratorzy, jakie narzędzia i procedury będą mieli do dyspozycji.
Co realnie można zrobić w ciągu 30 minut od wykrycia zagrożenia? To przede wszystkim czas na ograniczenie rozprzestrzeniania się ataku. Po odpowiednio wczesnym rozpoznaniu pierwszych sygnałów cyberataku można odciąć zainfekowane urządzenia. Nie powstrzyma to całkowicie szkód, ale wyraźnie je ograniczy. Atak będzie możliwy tylko na pojedynczych komputerach czy serwerach, a reszta infrastruktury pozostanie bezpieczna.
W ciągu pierwszych 30 minut od wykrycia zagrożenia można także zabezpieczyć dane i dowody. Administratorzy mają jeszcze możliwość zablokowania części działań, zabezpieczenia logów, ustalenia, z jakich kont korzystali atakujący i jakie systemy były ich celem. To wszystko jest ważne z punktu widzenia późniejszego przywracania infrastruktury do normalnego działania.
Szybką reakcja na zagrożenia ma także znaczenie biznesowe. Ogranicza:
● Przestoje: czas, w którym pracownicy nie mogą korzystać z oprogramowania czy poczty, obsługiwać użytkowników czy prowadzić sprzedaży.
● Straty finansowe – wynikające z utraconych przychodów (np. gdy nie działa strona sklepu internetowego), konieczności zlecania odzyskania danych i przywrócenia działania systemów zewnętrznej firmie czy płacenia własnym specjalistom IT za pracę w nadgodzinach.
● Straty wizerunkowe – klienci i inni użytkownicy systemów tracą zaufanie do organizacji, której powierzyli swoje dane osobowe. Są sfrustrowani, bo z powodu awarii nie mogą korzystać ze stron i systemów, by załatwiać swoje sprawy. Jeśli dodatkowo po stronie firmy czy urzędu zawiedzie komunikacja kryzysowa, można się często spodziewać niekorzystnych opinii od użytkowników, np. w social mediach. Takie informacje łatwo się rozprzestrzeniają i pozostają w sieci na długo, dlatego utraconą reputację trudno odbudować.
Czas wykrycia i reakcji na incydenty bezpieczeństwa to wskaźniki, które warto regularnie mierzyć i analizować. Mają znaczenie również z biznesowego punktu widzenia. Dowiedz się więcej na ten temat w artykule: MTTD i MTTR – dlaczego czas wykrycia decyduje o skali incydentu.
Jak może wyglądać nowoczesna ochrona firmy przed cyberatakami?
Skuteczna ochrona nie może skupiać się wyłącznie na zapobieganiu cyberatakom. Znacznie lepiej sprawdza się podejście, w którym zakłada się, że prędzej czy później dojdzie do incydentu bezpieczeństwa. Nawet dobrze zabezpieczona infrastruktura IT może stać się celem ataku.
W organizacjach, które podchodzą systemowo do ochrony przed cyberatakami:
● Zamiast czekać na awarię – zauważa się ją od razu dzięki monitoringowi bezpieczeństwa. Takie rozwiązanie nie skupia się na zapobieganiu zagrożeniom, ale na wykrywaniu ich na jak najwcześniejszym etapie. Gdy system wykryje podejrzane zachowania (np. logowanie użytkownika o nietypowej porze, nadanie uprawnień administratora), nie ignoruje tych sygnałów, ale traktuje je jako punkt wyjścia do kolejnych działań: analizy i łączenia zdarzeń w całość.
● Zamiast zbierać niepowiązane ze sobą informacje – analizują zdarzenia, najczęściej za pomocą narzędzi SIEM. Dzięki temu mogą szybko wykryć schematy działania typowe dla cyberprzestępców. Pojedyncze zdarzenie (np. kilkukrotne błędne wpisanie hasła) nie musi jeszcze świadczyć o incydencie bezpieczeństwa. Może wynikać ze zwykłej pomyłki użytkownika. Jeśli jednak będą mu towarzyszyć inne działania, np. logowanie z nietypowej lokalizacji, masowe kopiowanie plików oraz instalacja nowego programu, to sygnał, że atak się rozpoczął.
● Zamiast sprawdzać zdarzenia ręcznie – stosują automatyczne alerty bezpieczeństwa. Zespół odpowiedzialny za ochronę danych nie musi analizować wszystkich podejrzanych zdarzeń. Nie traci czasu i może od razu zareagować na alert generowany przez system.
● Zamiast ograniczać się do wykrywania zagrożeń, skupiają się na szybkiej reakcji na incydenty. Mają wypracowane procedury reagowania – dzięki temu unikają chaosu i błędów. Każda osoba odpowiedzialna za cyberbezpieczeństwo w firmie zna swoje obowiązki i zakres odpowiedzialności, a wiedza nie pozostaje w głowie jednej osoby, ale jest dostępna dla wszystkich zaangażowanych w proces. Procedury Incident Response (czyli reakcji na incydenty) obejmują nie tylko działania typowo „techniczne”, jak odcięcie zainfekowanych urządzeń czy zablokowanie przejętego konta, ale również związane z komunikacją. Dzięki nim pracownicy wiedzą, kogo poinformować o incydencie – to przyspiesza i ułatwia dalsze kroki.
● Zamiast ograniczać się do dbania o cyberbezpieczeństwo w godzinach pracy – monitorują infrastrukturę IT w trybie SOC 24/7. Dzięki temu są w stanie wykryć zagrożenie i zapewnić szybką reakcję na incydenty również wtedy, gdy do incydentu dochodzi wieczorem, w nocy lub podczas weekendu. Unikają sytuacji, gdy od ataku hakerskiego do pierwszych działań administratorów mija wiele godzin, w ciągu których następuje eskalacja uprawnień i zdobywanie przez atakujących kolejnych dostępów.
● Zamiast tworzyć odizolowane od siebie struktury – stawiają na współpracę. Znacznie łatwiej chroni się przed zagrożeniami infrastrukturę IT, która jest dobrze zarządzana. Sprawnie działająca administracja IT to uporządkowane uprawnienia użytkowników, właściwie skonfigurowane systemy, aktualne wersje oprogramowania. W takich warunkach rzadziej dochodzi do błędów i niespodziewanych zdarzeń – a gdy już się pojawiają, nie są sygnałem problemów z infrastrukturą, ale zagrożeń z zewnątrz.
Nie każda organizacja ma zasoby, by działać w trybie 24/7: monitorować bezpieczeństwo, analizować alerty, reagować na zagrożenia. W takiej sytuacji warto sięgnąć po wsparcie z zewnątrz. VigilHorizon zapewnia swoim klientom obsługę, która obejmuje cały proces od wykrycia podejrzanego zdarzenia, przez jego analizę i kwalifikację, aż po eskalację do odpowiednich osób oraz podjęcie działań ograniczających skutki ataku.
Działając w trybie SOC 24/7, reaguje na podejrzane zdarzenia również poza godzinami pracy firmy lub instytucji. Wdraża i testuje procedury postępowania w razie incydentów bezpieczeństwa – dzięki temu minimalizuje skutki ataków i ogranicza ich wpływ na organizację.
Szczegółowe rozwiązania dotyczące bezpieczeństwa IT mogą różnić się w zależności od charakteru organizacji (firma, urząd, inna instytucja), branży, wielkości. Najważniejsze założenia pozostają jednak takie same: skuteczna ochrona przed cyberatakami polega na jak najszybszym wykrywaniu zagrożeń, sprawnej reakcji na incydenty oraz ograniczaniu ich skutków, zanim doprowadzą do utraty danych lub przestoju działalności. Zakłada także ścisłą współpracę wszystkich osób i działów odpowiedzialnych za zarządzanie infrastrukturą IT.
Monitoring bezpieczeństwa: ważny, ale nie wystarczy
Każdy z elementów procesu ochrony firmy przed cyberatakami ma swoją rolę. Monitoring bezpieczeństwa również – jego celem jest jak najszybsze wykrycie zagrożenia z zewnątrz. Jeśli SOC działa w trybie 24/7 i dysponuje odpowiednią telemetrią, pierwsze sygnały przejęcia konta, nietypowych logowań czy prób eskalacji uprawnień mogą zostać wykryte na wczesnym etapie, zanim incydent rozwinie się w poważny atak.
Na tym rola monitoringu się nie kończy, ale sukces (czyli szybka reakcja na incydent bezpieczeństwa i przywrócenie normalnego działania systemu) zależy również od tego, co dzieje się obok: przed i po. Zapewnianie cyberbezpieczeństwa w firmie zaczyna się od administracji IT. W dobrze zarządzanym środowisku IT cyberprzestępcom działa się znacznie trudniej: muszą poświęcić więcej czasu i wysiłku na znajdowanie luk w systemach. A nawet gdy dojdzie do ataku, jego zakres jest ograniczony – aktualne oprogramowanie, właściwie skonfigurowane serwery, uporządkowane uprawnienia utrudniają poruszanie się po systemach i eskalację uprawnień.
Administrowanie infrastrukturą IT to na tyle ważna kwestia, że nie warto traktować jej pobieżnie i pozostawiać przypadkowi. Nie musi to jednak oznaczać, że do zarządzania trzeba wykorzystywać wyłącznie wewnętrzne zasoby organizacji. W tym obszarze bardzo dobrze sprawdza się outsoursing IT – obsługa informatyczna, doradztwo i wsparcie w rozwoju infrastruktury realizowane przez zewnętrzną firmę.
Bezpieczeństwo IT zależy również od tego, co dzieje się po ataku hakerskim. Każda organizacja powinna być przygotowana na sytuacje, w których dochodzi do uszkodzenia systemów i utraty danych, nawet mimo najlepszego monitoringu bezpieczeństwa. Dobrze skonfigurowane, działające, umieszczone w bezpiecznych lokalizacjach, regularnie testowane kopie zapasowe pozwalają szybko odzyskać dane i ograniczyć skutki ataku do minimum. W jak najszybszym przywróceniu normalnego działania systemów pomaga także Disaster Recovery – procedury i plan odzyskania danych po ataku lub awarii.
Cyberbezpieczeństwo firmy wynika ze współpracy we wszystkich trzech obszarach. A także ze świadomości, na czym się skupić: nie na unikaniu zagrożeń za wszelką cenę, ale na wykrywaniu ich na jak najwcześniejszym etapie oraz właściwym reagowaniu. Tylko w ten sposób można ograniczyć poważne konsekwencje dla organizacji i powstrzymać atak, zanim jeszcze dojdzie do zaszyfrowania danych.
Taka współpraca nie musi być realizowana wyłącznie wewnątrz organizacji – ani w ramach jednej firmy zewnętrznej. Zadania związane z administracją IT, backupami i monitoringiem bezpieczeństwa można podzielić pomiędzy firmy specjalizujące się w poszczególnych obszarach:
● IT Leader porządkuje i utrzymuje środowisko IT.
● VigilHorizon wykrywa, analizuje i reaguje na zagrożenia.
● SecureVault umożliwia odzyskanie danych i zapewnia ciągłość działania systemów.
Lokalne Centra Cyberbezpieczeństwa i wspólne podejście do ochrony samorządów
Jednym z modeli rozwijanych w administracji publicznej są Lokalne Centra Cyberbezpieczeństwa (LCC), które pozwalają jednostkom samorządu terytorialnego współdzielić kompetencje, narzędzia i zasoby związane z cyberbezpieczeństwem. Takie podejście może obejmować m.in. monitoring środowiska, reagowanie na incydenty oraz wspólne wykorzystanie specjalistycznych usług i technologii.
Autor: Jakub Marciniak
Założyciel IT Leader • Współzałożyciel VigilHorizon, SecureVault i VectronDevices. Od kilkunastu lat projektuje i rozwija środowiska IT dla przedsiębiorstw oraz sektora publicznego. Specjalizuje się w zarządzaniu infrastrukturą IT, outsourcingu IT, ciągłości działania, cyberbezpieczeństwie oraz przygotowaniu organizacji do wymagań NIS2 i Krajowego Systemu Cyberbezpieczeństwa.
Komentarze (0)