Velik del napadov z izsiljevalsko programsko opremo se ne začne z zapleteno tehniko, ampak skozi vrata, ki so odprta že leta: vrata za oddaljeno namizje, izpostavljena internetu, nameščena naprava VPN brez posodobitev, snemalnik videonadzora s tovarniškim geslom. Napadalca, ki pride noter, nato najpogosteje pričaka ravno omrežje, kjer računovodski računalnik, krmilniki v proizvodnji, Wi-Fi za goste in strežniki vidijo drug drugega. Vzemimo logistično skladišče v zaledju Kopra: ročni terminali, sistem za upravljanje skladišča, pisarniški računalniki in kamere so v enem omrežju, dobavitelj programske opreme pa se na strežnik WMS povezuje od zunaj prek preusmeritve vrat. Ena šibka točka zadostuje, da obstane celotno skladišče. Varnost infrastrukture pomeni pretrgati take verige. Najprej pogledamo vašo zunanjo površino tako, kot jo vidi napadalec. Nato omrežje razdelimo po namenu, promet med deli vežemo na pravila, zunanji dostop pa prestavimo na overjene povezave, ki puščajo sled. Vse delo opravimo na daljavo prek obstoječih naprav.
Delamo s požarnimi zidovi in stikali, ki še prejemajo varnostne posodobitve. Novo napravo predlagamo le, če je podpora za obstoječi model potekla. Priklopi jo vaš sodelavec ali lokalni dobavitelj, konfiguracijo prevzamemo mi na daljavo.
Pregledamo, katere storitve so odprte na vaših javnih naslovih IP, domenah in poddomenah: pozabljeni testni strežniki, skrbniški vmesniki, stari strežniki FTP. Za vsako ugotovitev se odločimo: zapreti, omejiti ali utemeljiti.
Pregledamo »začasna« pravila, nabrana skozi leta, preusmeritve vrat, za katere nihče ne ve, kdo jih je odprl, in vrstice, ki dovolijo vse v vse smeri. Vsako preostalo pravilo dobi lastnika in opis.
Pisarna, proizvodnja ali skladišče, strežniki, kamere IP, tiskalniki in Wi-Fi za goste dobijo ločene VLAN. Promet med njimi ostane odprt le v smereh in na vratih, ki so res potrebna.
Internetu izpostavljen RDP in preusmeritve vrat se zaprejo, namesto njih pride VPN z večfaktorsko prijavo ali dostop na podlagi identitete. Povezave dobaviteljev postanejo osebne, časovno omejene in zabeležene.
Za zaposlene WPA2 ali WPA3 Enterprise ali vsaj močni in redno menjani ključi, za goste izolacija odjemalcev in omejitev pasovne širine. Za hotel ali čakalnico ambulante z veliko gosti ločena zasnova.
Do upravljanja požarnega zidu, stikal, dostopnih točk in snemalnikov se pride le iz ločenega skrbniškega omrežja. Privzeta gesla se zamenjajo, nepotrebne storitve izklopijo.
Spremembe v omrežju lahko zmotijo delo, zato jih načrtujemo po fazah in z možnostjo vrnitve pri vsakem koraku.
Obstoječa shema omrežja, seznam naprav in zunanji pregled. Če sheme ni, jo izrišemo na daljavo, če je treba slediti kablu, vašemu sodelavcu korak za korakom povemo, kaj naj preveri.
Preprosta tabela, ki pokaže, kateri del sme govoriti s katerim in na katerih vratih. Po vaši potrditvi določimo vrstni red in vzdrževalna okna.
Najprej zapremo najbolj tvegana vrata, nato premikamo segment za segmentom. Pred vsako spremembo shranimo konfiguracijo, spremembe izvajamo zunaj delovnega časa.
Ponovimo zunanji pregled, preizkusimo dostop med segmenti in predamo posodobljeno shemo, seznam pravil in seznam skrbniških dostopov.
V ravnem omrežju en okužen računalnik pomeni okuženo celo podjetje. Segmentacija napada ne ustavi, ga pa upočasni, olajša odkrivanje in omeji škodo. Ali izsiljevalski program iz pisarniškega omrežja doseže proizvodnjo ali skladišče, je pogosto razlika med nekaj urami motenj in večdnevnim zastojem.
Da. Nastavitev krmilnikov in računalnikov ob strojih ne spreminjamo, le ločimo omrežje, v katerem so, in promet do njih vežemo na pravila. Če ima proizvajalec stroja oddaljen servisni dostop, ga prestavimo na ločeno in zabeleženo pot. Preklop načrtujemo med izmenama ali ob zastoju proizvodnje.
Dobavitelju dodelimo osebni račun VPN z večfaktorsko prijavo ali časovno omejeno sejo oddaljenega dostopa, ki vidi le potrebni strežnik in vrata. Preusmeritev vrat zapremo, prehod pa uskladimo skupaj z dobaviteljem.
Če proizvajalec zanj še izdaja varnostne posodobitve in strojna oprema zmore vaš promet, je praviloma dovolj. Naprava brez podpore pa je tveganje sama po sebi, ker je ni mogoče posodobiti. To navedemo v poročilu po popisu.
Celotno konfiguracijo da. Če je potreben fizični poseg, na primer premik kabla na druga vrata, ga opravi vaš sodelavec ali lokalni serviser, mi pa ga vodimo prek videoklica. Spremembe načrtujemo tako, da ob napaki ne izgubimo dostopa do naprave.
Napišite število lokacij, kateri požarni zid uporabljate in kdo se povezuje od zunaj. Predlagali vam bomo predhodno oceno vaše zunanje površine.
Vaše povpraševanje je prispelo
Oglasimo se najpozneje naslednji delovni dan. Če ste prijavili okvaro, zaradi katere ekipa ne more delati, jo pogledamo najprej.
Tega kraja ni na seznamu. Preverite zapis ali izberite najbližje večje mesto. Ker vse delo opravimo na daljavo, je storitev povsod po Sloveniji enaka.
