Varování, které nikdo nečetl

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) zveřejňuje varování před aktuálními útoky a zranitelnostmi. Kdo je chce dostávat, odebírá RSS kanál. A ten většinou končí ve složce, do které se nikdo nedívá.

Co se stalo

Varování NÚKIB jsme měli napojená na vlastní automatický přehled, který nám je posílal ráno a večer. Fungovalo to, dokud úřad nezačal psát jinak. Začátkem listopadu vyšla dvě důležitá upozornění: na vlnu útoků na systémy pro vzdálenou správu chlazení a na postupy ruských státem podporovaných útočníků. Ani jedno nám nepřišlo.

Filtr hledal slova jako „zranitelnost“ nebo „upozornění“. Titulky tentokrát mluvily o „útocích“ a „aktérech“. Nic nespadlo, nic nehlásilo chybu. Filtr prostě mlčel.

Co jsme změnili

Filtr jsme rozšířili a ověřili na všech zprávách, které NÚKIB za poslední roky vydal. Přibyla přesně ta chybějící varování a žádný šum navíc. Nové varování nám teď chodí e-mailem do půl hodiny od chvíle, kdy se objeví v kanálu, ne až v souhrnu.

Varování je teprve začátek

Přečíst si varování nestačí. Důležitá otázka je: týká se to někoho z našich klientů? Prošli jsme proto veřejně dostupné údaje o tom, co mají klienti otevřené do internetu.

U jednoho z nich jsme našli přesně ten vzorec, před kterým NÚKIB varoval: řídicí systém budovy dostupný z internetu komukoli. Průmyslový protokol, který nezná přihlášení. Kdo zná adresu, může hodnoty v řídicí jednotce nejen číst, ale i měnit. Nebyl to útok ani chyba uživatele. Nejspíš šlo o „dočasné“ otevření pro vzdálený servis, které zůstalo.

Co si z toho vzít

• Varování musí dojít k člověku, ne do složky.
• Filtr, který se nikdy nekontroluje, časem začne mlčet.
• Řízení budovy, kamery, chlazení nebo tepelné čerpadlo patří za VPN, ne přímo do internetu.
• Vzdálený přístup pro servisní firmu omezte jen na její adresu a jen na dobu, kdy je potřeba.

Zpět na Aktuality