Najnovejši vdorni testi razkrivajo, da tudi najbolj zrele in tehnološko napredne organizacije skrivajo ranljivosti, ki jih napadalci lahko izkoristijo v le nekaj urah in pridobijo dostop v notranje omrežje. Šibka gesla, zastareli protokoli in socialni inženiring ostajajo med najpogostejšimi vstopnimi točkami. V času, ko oblačne tehnologije in digitalne dobavne verige hitro širijo površino napada in odpirajo nove možnosti za vstop v omrežje, je redno varnostno testiranje utrjena pot do kibernetske odpornosti.
Zakaj je varnost notranjega omrežja ključna?
Varnost notranjega omrežja se nam zdi samoumevna, dokler ne pride do varnostnega incidenta. Podjetja sicer vlagajo v zaščitne tehnologije in izvajajo priporočene varnostne kontrole, vendar pravo raven kibernetske varnosti in odpornosti spoznajo šele po izvedenem varnostnem testu ali kibernetski vaji. Rezultati vdornih testov in kibernetskih vaj kažejo, da tudi tehnološko napredne organizacije niso imune na pridobitev in zlorabo administratorskega dostopa in odtujitev občutljivih podatkov.
Vloga vodstva pri kibernetski varnosti
Sodobni standardi, kot sta NIST in ISO/IEC 27001, poudarjajo, da je skrb za upravljanje varnosti odgovornost vodstva, in ne le oddelka, ki skrbi za kibernetsko varnost. Novi Zakon o informacijski varnosti (ZInfV-1), ki v slovenski pravni red vpeljuje določila direktive NIS2, širi krog organizacij, ki morajo zagotoviti visoko raven varnostnih ukrepov. Poleg tega zahteva, da organizacije same prepoznajo, da so zavezanci po zakonu. S tem poudarja pomen ozaveščenosti o lastni varnostni drži in njenem vplivu na druge organizacije. Vodstvo mora zagotoviti, da politike varovanja niso zgolj dokumenti, ampak uresničene prakse v vsakodnevnem poslovanju, ki se bodo odrazile tudi ob morebitnem inšpekcijskem pregledu. Kako organizacija pristopa k upravljanju kibernetske varnosti, je v veliki meri odvisno od njene zgodovine upravljanja IT sistemov in varnostne zrelosti.
Kako prepoznamo zrelo organizacijo?
Zrelost na področju kibernetske varnosti pomeni, da podjetje:
- upošteva in uvaja varnostne kontrole iz okvirjev, kot so NIST, CIS in ISO/IEC 27001,
- ima podporo vodstva, ki daje zgled in spodbuja varnostno kulturo,
- vključuje varnost v vse poslovne procese,
- redno preverja učinkovitost varnostnih kontrol z varnostnimi testi in vpeljuje izboljšave na podlagi priporočil.
Zrela podjetja hitreje zaznajo napade, učinkoviteje omejijo škodo in se po incidentu hitreje obnovijo. Popolna zaščita sicer ne obstaja, vendar odpornost in hitrost odziva močno zmanjšata posledice incidentov.
IT infrastruktura in varnostna tveganja
Zgodovina upravljanja IT sistemov v organizaciji vpliva na vrsto tveganj:
- V starejših sistemih se pogosto uporabljajo zastareli protokoli in aplikacije, ki zahtevajo posebne zaščitne ukrepe. Več infrastrukture je na lokaciji (ang. on prem), kar zahteva več aktivnosti s strani interne IT ekipe in posledično več vlaganja v kadre za to področje.
- Mlajša podjetja uporabljajo več storitev v oblaku. Pri oblačnih storitvah je manj možnosti za protokolarne ranljivosti, storitve se samodejno posodabljajo, manj je internega upravljanja. Vendar oblačne tehnologije prinašajo nova tveganja, kot so napačne konfiguracije in potencialno šibkejši nadzor.
- Hibridna okolja,ki lahko organizacijam omogočajo večjo fleksibilnost, združujejo izzive lokalnih in oblačnih rešitev. Takšna okolja zahtevajo napredno integracijo in so pogosto zelo zahtevna za vzdrževanje.
Oblačne platforme, kot sta npr. Microsoft Entra ID in M365, omogočajo lažje nadgrajevanje, a terjajo nova znanja in prilagoditve varnostnih strategij.
Socialni inženiring – najpogostejša vstopna točka
Organizacije običajno dobro poskrbijo za zaščito perimetra omrežja, saj se zavedajo, da je ta vstopna točka za napadalce. Žal pa so tehnične zaščite nemočne, kadar napadalcu vrata odpre zaposleni. Socialni inženiring je še vedno med najbolj učinkovitimi metodami za pridobivanje nepooblaščenega vstopa v omrežje. Tudi na tem področju odprtost interneta, privlačnost povezovanja in nepazljivost posameznikov omogočajo vse bolj napredne tehnike napadov. Z zbiranjem javno dostopnih informacij o zaposlenih in organizaciji, kot so hierarhija, socialne povezave in interesi, lahko pripravijo prepričljive prevare in si omogočijo dostop do notranjih ali oblačnih sistemov.
Najpogostejše ranljivosti v notranjem omrežju
Ko napadalec uspešno pridobi vstop v notranje omrežje, je zelo pomembno, da je tudi znotraj dobro poskrbljeno za varnost. Rezultati vdornih testov žal kažejo, da so najpogostejše ranljivosti na področjih, kjer etični hekerji pogosto mislimo, da jih zagotovo ne bi smelo biti:
- uporaba zastarelih protokolov,
- šibka ali ponavljajoča se gesla,
- nenameščeni varnostni popravki,
- neposodobljeni operacijski sistemi ipd.
Večina podjetij še vedno pade na t. i. black-box testu, kjer napadalec brez predhodnih informacij pridobi privilegiran dostop.
Redno varnostno testiranje kot strategija
Vdorni testi in kibernetske vaje omogočajo odkrivanje ranljivosti ter določanje prioritet za njihovo odpravo. Pomembno je, da poročilo vdornega testa ali kibernetske vaje ne obleži v »fasciklu«, temveč ga ekipa uporabi za vpeljevanje izboljšav. Najboljša praksa po testiranju vključuje skupni sestanek notranjih in zunanjih strokovnjakov (npr. ponudnikov SOC), kjer se oblikuje akcijski načrt za izboljšave. Za nasvet lahko organizacije vprašajo tudi izkušene etične hekerje, ki pri vpeljavi novosti podajo pogled z druge strani.
Testiranje pa ne sme biti zadnji. Upravljanje kibernetske varnosti je krožni poces po načelu »plan-do-check-act«. Krog izboljševanja varnosti se nikoli ne konča, saj se informacijski sistemi in njihovi gradniki ves čas spreminjajo.
Od ranljivosti k odpornosti
Ranljivosti, odkrite v varnostnih testih, nam pokažejo priložnost za izboljšavo. Zato je pomembno, da vodje informacijske varnosti rezultate varnostnih testov IT ekipi predstavijo kot odskočno desko za izboljšanje varnosti sistemov in s tem za dvig kibernetske odpornosti. Cilj mora biti izboljšanje varnostne drže organizacije, ne iskanje krivcev.
Izkušnje iz več kot 100 opravljenih varnostnih testov v zadnjih dveh letih potrjujejo, da je za močno kibernetsko varnost potrebno:
- Izobraževanje zaposlenih o prepoznavanju groženj; kot najbolj učinkovita se kaže kombinacija rednih testiranj zaposlenih s simulacijami napadov s socialnim inženiringom in delavnic, na katerih poleg teoretičnih usmeritev obravnavamo tudi rezultate testov.
- Napredne tehnološke rešitve, ki so smiselno integrirane v IT okolje in katerih delovanje in rezultate spremlja usposobljen kader. Pomembno je, da je rešitev optimalno nastavljena glede na dano okolje, saj le tako organizaciji nudi takšno storitev, kot jo ta pričakuje.
- Sodelovanje z zunanjimi strokovnjaki, ki notranjim ekipam nudijo ustrezno podporo. Kot doma nimamo lastnega avtomehanika ali dimnikarja, tako tudi organizacije z lastnimi kadri običajno ne morejo pokriti potreb po vseh storitvah in znanjih, ki so potrebna za ustrezno vzdrževanje kibernetske varnosti. Specializirani strokovnjaki vam bodo prinesli najnovejša znanja in poskrbeli, da bo upravljanje kibernetske varnosti najbolj optimalno.
Takšen pristop organizacijam omogoča, da dolgoročno dvignejo svojo kibernetsko odpornost in se uspešno spopadajo s kibernetskimi napadi.
Najpogostejše ranljivostih v notranjih omrežjih bosta na konferenci NT 2025 na podlagi primerov iz prakse predstavila Grega Prešeren in Andrej Gornik. Spremljajte nas na omrežju LinkedIn in ne zamudite predavanja.
