Varna gesla so ena glavnih tem, ki smo jih konec lanskega leta sre\u010devali v blog zapisih na temo trendov v kibernetski varnosti. \u010ce je v preteklosti veljalo, da morajo gesla vsebovati velike in male \u010drke, \u0161tevilke in posebne znake ter jih moramo redno menjati, nove smernice poudarjajo pomen gesel v obliki stavkov ter dodatno avtentikacijo, kot je FIDO2.<\/p>\n\n\n\n
Z mag. Borutom \u017dnidarjem, odgovornim za informacijsko varnost v Halcom d.d.<\/strong>, smo se pogovarjali o spremembah, ki so v zadnjih letih nastale na podro\u010dju kibernetske varnosti ter o tem, kako v Halcomu, ki so ukvarja z razvojem visokokakovostnih programskih re\u0161itev za finan\u010dni sektor, naslavljajo kibernetsko varnost na prvi obrambni \u010drti \u2013 kako skrbijo za varnostno ozave\u0161\u010danje uporabnikov in varna gesla.<\/p>\n\n\n\n CISO, Halcom d.d.<\/p> Mag. Borut \u017dnidar je izku\u0161en strokovnjak na podro\u010dju informacijske varnosti, preizku\u0161eni revizor informacijskih sistemov, po standardih ISACA certificiran revizor informacijskih sistemov (CISA) in upravljalec informacijske varnosti (CISM) ter strokovnjak za varnost informacijskih sistemov (ISC)2<\/sup> CISSP. Od leta 2018 je CISO v podjetju Halcom d.d., kjer skrbi tudi za zagotavljanje kibernetske varnosti.<\/p><\/div> Podjetje Halcom je tehnolo\u0161ko podjetje, ki \u017ee tri desetletja razvija inovativne in varne pla\u010dilne in finan\u010dne re\u0161itve. Pri tem je kibernetska varnost \u017ee vrsto let ena va\u0161ih glavnih prioritet. Kako se je v zadnjih \u0161tirih letih, ko ste v Halcomu zaposleni kot CISO, spremenil svet kibernetske varnosti?<\/em><\/strong><\/p>\n\n\n\n Kar zadeva moje delo, so se spremenile tri klju\u010dne stvari. Pove\u010dala se je kompleksnost napadov, in to ne nujno tehnolo\u0161ko, ampak bolj sociotehnolo\u0161ko, saj gre za povezavo ve\u010d dejavnikov, tudi \u010dlove\u0161kega. Menimo, da ne gre zgolj za napad na tehnologijo, pa\u010d pa za preplet ve\u010d enostavnej\u0161ih pristopov. Tako pridemo do druge pomembne spremembe: napadi na ljudi so postali bolj kompleksni. So bolj domiselni, pristop vedno bolj upo\u0161teva \u010dlovekovo naravo. In \u0161e tretja pomembna sprememba: Slovenija ni ve\u010d na obrobju dogajanja. V\u010dasih je sloven\u0161\u010dina skoraj veljala za del za\u0161\u010dite, zdaj se na to ne moremo ve\u010d zana\u0161ati. Pred kratkim sem z orodjem ChatGPT v hipu v sloven\u0161\u010dini sestavil zelo dobro besedilo za simulacijo napada z ribarjenjem. Ljudje so bili navajeni prepoznavati napade po nepravilni sloven\u0161\u010dini, zdaj to ni ve\u010d mo\u017eno. Sami sebe moramo stalno opominjati, da pravilna sloven\u0161\u010dina \u0161e ni zagotovilo za legitimnost sporo\u010dila.<\/p>\n\n\n\n Zato je pomembno, da v podjetjih opozarjamo zaposlene, kak\u0161na je na\u0161a varnostna politika, kako moramo ravnati. Pri tem ni primarni cilj prepre\u010devanje napadov, ampak osve\u0161\u010danje zaposlenih. Izbolj\u0161ati \u017eelimo zavedanje, da jih ne bo re\u0161ila tehnologija, ampak morajo biti tudi oni aktivno vklju\u010deni, z glavo pri stvari. Ustrezno moramo uporabljati kombinacijo tehnolo\u0161kih re\u0161itev in ozave\u0161\u010denosti zaposlenih.<\/p>\n\n\n\n Celosten pristop k upravljanju kibernetske varnosti vklju\u010duje smotrno uporabo varnostnih naprav in sistemov, redno testiranje in preverjanje ter neprestano izobra\u017eevanje uporabnikov. Kateremu delu v zadnjem obdobju \u2013 v pokoronskem \u010dasu \u2013 namenjate najve\u010d pozornosti?<\/em><\/strong><\/p>\n\n\n\n Tehni\u010dno gledano se ve\u010d ukvarjamo z zagotavljanjem varnega dela od doma. Posku\u0161amo bolje delati na \u0161\u010ditenju dostopa od doma in izobra\u017eevanju uporabnikov na to temo. Zaposleni se od doma hkrati povezujejo na servise v poslovnem omre\u017eju, na poslovne obla\u010dne storitve ter \u2013 \u010de si to priznamo ali ne \u2013 tudi na zasebne storitve v oblaku. Seveda slednji niso nujno \u0161kodljivi, so pa zasebni. Ta kombinacija mora dobro delovati.<\/p>\n\n\n\n Ni cilj varnosti, da bi uporabnike pri njihovem delu onemogo\u010dali, temve\u010d jim moramo omogo\u010diti varno delo. Prijetno sem bil presene\u010den, ko so se posamezniki obrnili name, ker so zaznali, da kak\u0161na stvar ni urejena tako, kot so si oni predstavljali, da bi morala biti in jih je zanimalo, kako lahko delajo na dovolj varen na\u010din. To se mi zdi zelo pozitiven impulz, saj dobi\u0161 ob\u010dutek, da je uporabnikom varnost pomembna in na podlagi tak\u0161nih vpra\u0161anj in izku\u0161enj omogo\u010di\u0161 varno delo tudi drugim. Razmi\u0161ljamo tudi o vpeljavi nekaterih dodatnih tehni\u010dnih re\u0161itev, ki bi izbolj\u0161ale nadzor pri uporabi oddaljenega dostopa.<\/p>\n\n\n\n Drugi del, ki je prav tako zelo pomemben, pa je izobra\u017eevanje in testiranje uporabnikov z napadi z ribarjenjem. Za ta namen uporabljamo platformo KnowBe4, s katero imamo zelo dobre izku\u0161nje. Kampanje izvajamo mese\u010dno, odziv uporabnikov je zelo dober, prav tako odziv vodstva. Z izku\u0161njami pri izvajanju programa in rezultati smo se uspe\u0161no predstavili v poslovni skupini.<\/p>\n\n\n\n Kaj pa je po va\u0161em mnenju najbolj \u0161ibka to\u010dka informacijskega sistema? Kateri vektor napada je po va\u0161em mnenju najte\u017eje zaznati in odbiti?<\/em><\/strong><\/p>\n\n\n\n Trenutno ocenjujem, da je ta to\u010dka \u010dlovek. V na\u0161em podjetju intenzivno delamo na tem, da ne bi bil in ocenjujem, da delamo v pravi smeri.<\/p>\n\n\n\n Zadnje mesece imamo pri simulacijah napadov z ribarjenjem relativno malo \u00bbklikerjev\u00ab, pre\u0161tejemo jih lahko na prste ene roke in smo pod industrijskim povpre\u010djem. Po drugi strani pa vidimo, da je ve\u010d kot polovica zaposlenih pravilno prepoznala in ozna\u010dila testno sporo\u010dilo z ribarjenjem, kar se mi zdi zelo dober dele\u017e. Preko ozna\u010devanja la\u017enih e-po\u0161tnih sporo\u010dil (testnih in pravih) s strani zaposlenih tudi sam bolje zaznam potencialne napade na tem podro\u010dju in la\u017eje ukrepam.<\/p>\n\n\n\n Veliko pozornosti torej posve\u010date izobra\u017eevanju zaposlenih na podro\u010dju prepoznavanja napadov s socialnim in\u017eeniringom. Zakaj ste se odlo\u010dili za sistemati\u010dno izobra\u017eevanje na tem podro\u010dju?<\/em><\/strong><\/p>\n\n\n\n Pred nekaj leti je na splo\u0161no veljalo, da je phishing <\/em>velik problem. Najprej sem imel idejo, da bi sami pisali simulacije napadov, a smo se na koncu odlo\u010dili, da poskusimo s platformo. Cena je bila sprejemljiva in odlo\u010dili smo se, da vzamemo enoletno licenco in zadevo preizkusimo.<\/p>\n\n\n\n Glede na rezultate, ki smo jih v prvem letu dosegli, ni bilo dvoma, da bomo s testiranji nadaljevali. Odzivi so dobri, kljub temu da \u0161e vedno pri vsakem testu nekaj zaposlenih pade na testu. Kadar se \u0161tevilo \u00bbklikerjev\u00ab pove\u010da, izvedemo dodatne aktivnosti, bolj ozave\u0161\u010damo. Ko uporabnik enkrat pade na testu, je naslednje mesece zagotovo bolj previden. Verjetno bi platformo lahko \u0161e bolje izkoristili, saj ves \u010das dodajajo nove izobra\u017eevalne vsebine in omogo\u010dajo nove funkcionalnosti integracije z drugimi poslovnimi orodji. Teste zaenkrat izvajamo v angle\u0161\u010dini, imamo pa v planu tudi teste v sloven\u0161\u010dini. V zadnjem letu smo uvedli sporo\u010dila z bolj zahtevno vsebino, saj se uporabniki razvijajo in simulacije prilagajamo njihovi ravni znanja.<\/p>\n\n\n\n Posebej bi izpostavil visoko stopnjo avtomatizacije re\u0161itve, ki po za\u010detni nastavitvi dobro deluje brez vsakodnevnega spremljanja.<\/p>\n\n\n\n Ozave\u0161\u010denost uporabnikov za prepre\u010devanje napadov na tehni\u010dnem delu vklju\u010duje tudi zavest, kak\u0161na so varna gesla. V podjetju ste pred kratkim izvedli testiranje varnosti gesel va\u0161ih zaposlenih. Zakaj ste se odlo\u010dili za ta test?<\/em><\/strong><\/p>\n\n\n\n Pred pribli\u017eno tremi leti smo spremenili politiko gesel. Prej smo imeli politiko s kompleksnimi gesli, ki so vklju\u010devala male in velike \u010drke, \u0161tevilke in posebne znake. Gesla smo spreminjali na tri mesece. Ko je ameri\u0161ki NIST* pred nekaj leti objavil, da so tak\u0161na gesla po eni strani neprijazna do uporabnikov, po drugi pa ni\u010d te\u017eja za razbijanje ter podal priporo\u010dilo, da naj bo geslo raje dalj\u0161e, najbolje v obliki stavkov (ang. passphrase<\/em>) in brez neprijaznih kompliciranih znakov, smo se odlo\u010dili za spremembo politike gesel. Ko smo uvedli nova pravila, sem pri\u010dakoval nekaj nejevolje ali nasprotovanja s strani uporabnikov pa tudi s strani revizorjev. Pa se ne eni ne drugi ve\u010dinoma niso prito\u017eevali. Revizorjem smo pojasnili, da se nova politika ravna po priporo\u010dilih NIST, ki je ugledna in\u0161titucija in te\u017eav ni bilo.<\/p>\n\n\n\n Dejstvo je, da ob uvedbi tak\u0161ne spremembe ne ve\u0161, kako se bo obnesla, kak\u0161ne bodo posledice. Uporabniki so spremenili gesla, menjamo jih letno. Nismo pa vedeli, ali imajo dejansko varna gesla. Kaj bi se zgodilo, \u010de bi nekdo uspel vdreti v omre\u017eje?<\/p>\n\n\n\n Odlo\u010dili smo se, da u\u010dinkovitost politike preverimo s testiranjem gesel. Poleg tega je bilo ob prej\u0161njem penetracijskem testu nekaj hashev gesel ujetih in nekaj tudi razbitih, kar je bila dodatna motivacija za test. Zato smo izvedli testiranje vseh gesel, ki so bila shranjena v na\u0161em aktivnem imeniku (AD).<\/p>\n\n\n\n Verjetno ste pred za\u010detkom izvedbe projekta imeli predstavo o tem, kak\u0161en bo rezultat testa. V kolik\u0161ni meri se dejanski rezultati testa ujemajo z va\u0161imi pri\u010dakovanji? V katero smer rezultati odstopajo?<\/em><\/strong><\/p>\n\n\n\n Konkretnih pri\u010dakovanj nismo imeli. Glede na to, da smo test izvajali prvi\u010d, sem imel ob\u010dutek, da bo razbitih kar nekaj gesel. A jih med samimi aktivnimi uporabniki niti ni bilo veliko, s \u010dimer sem bil zadovoljen.<\/p>\n\n\n\n Smo pa v bazo hashev slu\u010dajno vklju\u010dili tudi stara, neaktivna gesla, ki so bila sestavljena \u0161e po stari politiki. Izkazalo se je, da je bilo veliko razbitih gesel iz tega naslova, tako da smo s testom potrdili, da je bila sprememba politike gesel tudi po tej plati korak v pravo smer.<\/p>\n\n\n\n Ali ste na podlagi pridobljenih rezultatov \u017ee vpeljali kak\u0161en ukrep za izbolj\u0161anje varnosti gesel?<\/em><\/strong><\/p>\n\n\n\n Najprej smo seveda poskrbeli, da so uporabniki, katerih gesla so bila razkrita, svoja gesla ustrezno zamenjali.<\/p>\n\n\n\n Imeli smo nekaj pomislekov, kaj narediti z razkritimi gesli. Odlo\u010dili smo se, da izvajalec testa razkritih gesel ne bo delil z nami. Uporabniki, katerih gesla so bila razbita, so imeli mo\u017enost kontaktirati izvajalca in pridobiti informacijo, zakaj je bilo geslo mo\u017eno razbiti.<\/p>\n\n\n\n Odziv uporabnikov po opravljenem testu je bil zelo pozitiven, primeri razbitih gesel pa so vzbudili tudi nekaj zanimanja. Kako je na primer mo\u017eno, da je bilo geslo dol\u017eine 24 znakov razbito? Nekateri uporabniki so svoje izku\u0161nje delili z mano, anonimizirane podatke smo lahko uporabili pri naslednjih internih predavanjih o informacijski varnosti in se iz tega testa vsi veliko nau\u010dili. Od pentesterja smo tudi pridobili namige, kako kreirati primerno varna gesla, ki jih je te\u017eko razbiti.<\/p>\n\n\n\n Naslednji korak je zagotovo ponovitev testa, da preverimo, ali smo zaznane napake uspe\u0161no odpravili.<\/p>\n\n\n\n Za konec \u0161e bolj organizacijsko vpra\u0161anje. <\/em><\/strong>Vedno bolj se poudarja pomen upravljanja kibernetske varnosti \u201cz vrha\u201d \u2013 na ravni uprav in kolegijev vodstva. Kak\u0161no je va\u0161e mnenje, je vloga CISO bolj poslovne ali bolj tehni\u010dne narave oz. katera znanja bi izpostavili za uspe\u0161no upravljanje kibernetske varnosti v velikem podjetju?<\/strong><\/em><\/p>\n\n\n\n Rekel bi, da je CISO oseba, ki je vpeta v podjetje na vseh nivojih. Vsaj do neke mere mora\u0161 poznati tehniko, da se lahko pogovarja\u0161 s sistemskimi administratorji in programerji. Po drugi strani pa potrebuje\u0161 podporo vodstva, da se s tehniko sploh lahko pogovarja\u0161.<\/p>\n\n\n\n Odvisno je tudi od velikosti podjetja. Pri nas sem lahko jaz vklju\u010den po celotni vertikali, v ve\u010djih podjetjih je funkcija CISA bolj lo\u010dena. To v dolo\u010deni pogledih ni najbolje, saj ima\u0161 potem te\u017eje dober vpogled v situacijo v celotnem podjetju, te\u017eje se dobro pove\u017ee\u0161 z ljudmi. Pri nas se je vzpostavil zaupen odnos in smo dobro povezani po vsej organizaciji. Na tak na\u010din la\u017eje spremljamo odstopanja od \u017eelenega in tudi la\u017eje ukrepamo.<\/p>\n\n\n Naj povzamemo nekaj klju\u010dnih to\u010dk iz pogovora z mag. Borutom \u017dnidarjem:<\/p>\n<\/div>\n Kibernetski napadi so v zadnjih letih postali veliko bolj sociotehni\u010dno dovr\u0161eni. Vklju\u010dujejo elemente, ki za dosego cilja uspe\u0161no manipulirajo s \u010dlove\u0161ko naravo.<\/p>\n Naj\u0161ibkej\u0161i \u010dlen v kibernetski varnosti je \u010dlovek, zato mu moramo po eni strani z naprednimi tehni\u010dnimi re\u0161itvami omogo\u010diti varno delo in ga po drugi strani neprestano izobra\u017eevati in uriti v prepoznavanju napadov s socialnim in\u017eeniringom<\/a>.<\/p>\n Zaposleni se morajo zavedati, da jih pred spletnimi napadalci ne bo re\u0161ila le tehnologija, temve\u010d morajo tudi sami z odgovornim ravnanjem aktivno skrbeti za svojo kibernetsko varnost.<\/p>\n Stroga politika gesel \u0161e ni zagotovili, da so v va\u0161em omre\u017eju res v uporabi varna gesla, zato jih je smiselno preveriti s testom varnosti gesel<\/a>.<\/p>\n Test varnosti gesel omogo\u010di vpogled v u\u010dinkovitost varnostne politike, rezultat pa so priporo\u010dila za izbolj\u0161ave.<\/p>\n<\/div>\n<\/div>\n\n\n *NIST<\/a>: https:\/\/www.nist.gov\/<\/p>\n\n\n\n <\/p>\n\n\n Test varnosti gesel je storitev, s katero preverite, ali je va\u0161a varnostna politika ustrezna in kako varna so gesla v va\u0161em omre\u017eju.<\/p>\n<\/div><\/div><\/article>\n![\"\"](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2023\/02\/Borut-Znidar_Halcom-2_crop-scaled.jpg\")
<\/figure><\/div><\/div>mag. Borut \u017dnidar<\/h2>
<\/ul><\/div><\/div>\n\n\n\n
\n\n\n\n\u017delite izvedeti, kako varna gesla se uporabljajo v va\u0161em omre\u017eju?
Po\u0161ljite nam sporo\u010dilo.<\/strong><\/a><\/div>\n<\/div>\n\n\n\n![\"\"](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2020\/01\/code-review.jpg\")
<\/a><\/div>Test varnosti gesel<\/a><\/h3><\/header>
![\"Security](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2020\/08\/security.jpg\")
<\/a><\/div>![\"\"](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2020\/01\/readTeaming.jpg\")
<\/a><\/div>