Niestety, prognozy obu panów się ziściły i cyberwojna zapukała do naszych drzwi, co zasadniczo zmieniło punkt widzenia na kwestie cyberbezpieczeństwa. Od 24 lutego chyba nikt, kto mieszka w naszej części Europy, nie patrzy na świat oczami Alicji. Staliśmy się państwem przyfrontowym i choć na całe szczęście na przygraniczne polskie miasta nie spadają rakiety, to cyberataki wyprowadzane z terenu Rosji oraz Białorusi stały się polskim chlebem powszednim.

Z tym, że potyczki w wirtualnej przestrzeni nie przebijają się do mediów tak, jak informacje o kolejnych zamówieniach rządu na Abramsy, HIMARS-y, samoloty F-35 czy śmigłowce Apache. Rząd, który po wybudowaniu płotu na granicy z Białorusią stawia kolejną zaporę, tym razem przy granicy z obwodem kaliningradzkim, zdecydowanie mniej mówi o ochronie cybernetycznej. Co wcale nie oznacza, że w tej materii nic się nie dzieje. W kuluarach słyszy się, że wprawdzie ograniczone mają zostać rządowe wydatki na IT, ale cięcia nie dotkną systemów bezpieczeństwa.

Generał Karol Molenda, dowódca Wojsk Obrony Cyberprzestrzeni, działa według zasady „tisze jediesz dalsze budiesz”. W kwietniu przyznał na łamach „Dziennika”, że Polska codziennie pada ofiarą cyberataków. „Gdy nas nie widać i o nas nie słychać, to znaczy, że dobrze realizujemy swoją pracę. Myślę, że brak żółtych pasków o cyberatakach to jest nasz sukces” – podkreślał dowódca naszych „cyberwojsk”.

Trzeba przyznać, że wspomnianych żółtych pasków od początku konfliktu na Ukrainie nie pojawiło się zbyt wiele – można je policzyć na palcach jednej ręki. W ostatnim czasie najpoważniejszym incydentem był atak DDoS na polski Senat. Wszystko wskazuje na to, że stali za nim rosyjscy hakerzy z grupy XakNet. Przypisuje im się też cyberataki na ukraińską grupę energetyczną, dowództwo zasobów ludzkich amerykańskiej armii, a także parlamenty Słowacji i Izraela.

Ciekawe informacje na temat cyberataków wymierzonych przeciwko Polsce przynoszą dane firmy Check Point Research. W styczniu bieżącego roku przeciętna firma była atakowana niemal 700 razy w tygodniu, podczas gdy w pierwszym tygodniu września już 1033 razy, a pod koniec października aż 1629 razy. Nikt nie powinien mieć wątpliwości, że intensywność kampanii cybernetycznych przybrała na sile po wybuchu wojny na Ukrainie. Nikt nie ma też wątpliwości, skąd nadciągają.

Glenn S. Gerstell, który w latach 2015–2020 pełnił funkcję radcy prawnego Agencji Bezpieczeństwa Narodowego Stanów Zjednoczonych, niedawno powiedział, że Rosja ma „zasłużoną reputację” cybernetycznego napastnika, szczególnie skoncentrowanego na agresji wobec USA i Europy. A co najważniejsze, jej worki treningowe to cztery byłe sowieckie republiki: Estonia, Łotwa, Litwa i Ukraina.

Najwyraźniej lata praktyki procentują, bo „worki treningowe” nauczyły się parować ciosy. Nieźle radzi sobie w tej materii także Polska i pozostaje mieć nadzieje, że żółte paski z informacjami o incydentach cybernetycznych będą rzadkim obrazkiem w telewizjach informacyjnych. A najlepiej, żeby nie było ich w ogóle.

Artykuł Bez żółtych pasków pochodzi z serwisu CRN.

Z tego zagrożenia zdają sobie też sprawę przedsiębiorcy oraz przedstawiciele organizacji rządowych, szczególnie z krajów przyfrontowych, a więc Polski, Litwy, Rumunii czy Łotwy. Jak wynika z badania przeprowadzonego przez Sophos, aż 56 proc. menedżerów i dyrektorów w Polsce potwierdza, że zainteresowanie cyberbezpieczeństwem w ich firmach znacząco wzrosło po rozpoczęciu ataku na Ukrainę.

To oczywiście nie jedyny powód, dla którego biznes oraz agencje rządowe inwestują w oprogramowanie bezpieczeństwa. Kolejną przyczyną jest pandemia, która zmusiła miliony ludzi na całym świecie do pracy w domu. Choć o Covid-19 przestało się  właściwie mówić, to jednak wciąż wiele osób pracuje zdalnie. Wprawdzie ten model posiada wiele zalet, ale nie jest wolny od wad, a jedną z największych jest duże ryzyko wycieku danych. Osoby pracujące w domu na ogół beztrosko podchodzą do kwestii związanych z zabezpieczeniem komputerów bądź korzystania z internetu, tym samym otwierając nowe furtki przed hakerami. Nie bez przyczyny ochrona pracowników zdalnych to najważniejsze wyzwanie biznesowe według 25 proc. firm uczestniczących w tegorocznym badaniu WithSecure.

Nie można zapominać o atakach ransomware, które pojawiły się na długo przed pandemią, aczkolwiek cały czas sieją spustoszenie w sieciach firm oraz instytucji. Odsetek polskich firm dotkniętych przez ransomware wzrósł z 13 proc. w 2020 r. do 77 proc. w 2021 r. – informuje Sophos.

Czy to jeszcze antywirus?

Kilka lat temu przez media przewinęła się dyskusja na temat znaczenia oprogramowania antywirusowego. Niektórzy nawet wieszczyli śmierć tej grupy produktów. Jak się okazuje przedwcześnie – antywirusy wciąż żyją i trzymają się mocno. Niemniej można spotkać się z opiniami, że określenie „antywirus” dezawuuje oprogramowanie przeznaczone do ochrony urządzeń końcowych. Wprawdzie sygnatury wykrywające wirusy nadal stanowią jeden z podstawowych elementów tej klasy produktów, ale dostawcy cały czas wprowadzają nowe rozwiązania, które zwiększają możliwości antywirusów.

– Produkty te stały się prawdziwymi kombajnami, nadal jednak są to programy przeznaczone do zabezpieczania punktów końcowych, czyli antywirusy. To powszechnie przyjęta nomenklatura. Myślę, że każdy specjalista ds. bezpieczeństwa zdaje sobie sprawę, choćby częściowo, z różnic między prostym antywirusem sprzed wielu lat, a technologiami stosowanymi obecnie – tłumaczy Grzegorz Świrkowski, CEO w Net Complex Bezpieczeństwo IT.

W przypadku antywirusów można doszukać się pewnych analogii ze smartfonami. Choć pierwotnie były one utożsamiane z realizacją połączeń telefonicznych, w międzyczasie zyskały całą masę dodatkowych funkcji, niejednokrotnie częściej używanych aniżeli komunikacja głosowa, co nie przeszkadza, żeby wciąż nazywać je „komórkami” czy telefonami komórkowymi.

Zmiany zachodzące w antywirusach dostrzegają nie tylko eksperci, ale też klienci zamawiający oprogramowanie bezpieczeństwa, co przekłada się na rosnącą liczbę zamówień na bardziej zaawansowane pakiety, oferujące takie funkcjonalności jak sandboxing w chmurze, EDR (Endpoint Detection and Response) czy nawet XDR (Extended Detection and Response). Notabene te dwa ostatnie skróty oraz ZTNA (Zero Trust Network Acces) biły po oczach osoby odwiedzające tegoroczne targi it-sa w Norymberdze. W obecnej tam jako wystawca Dagmie udział sprzedaży pakietów z wyższej półki stanowi już połowę przychodów generowanych przez oprogramowanie antywirusowe ESET.  Podobny trend dostrzegają też w Markenie.

– Coraz więcej firm decyduje się na zastosowanie systemów EDR i jego pochodnych, gdyż tego typu narzędzia pozwalają dokładniej zidentyfikować incydenty w naszej sieci i zyskać przewagę nad napastnikami. EDR spotyka się nawet  z zainteresowaniem mniejszych firm. Tu barierą jest cena, ale docelowo większość administratorów chce korzystać z takiego rozwiązania – mówi Mariusz Politowicz, specjalista ds. bezpieczeństwa w Markenie.

Rodzimi użytkownicy zaczynają też przekonywać się do chmury. Dzieje się tak chociażby z powodu braku specjalistów IT, a tym samym spóźnionych reakcji na cyberataki. Prawdopodobnie część firm działających na polskim rynku nie będzie miała innego wyjścia aniżeli skorzystać z modelu usługowego. 

– Zauważamy transformację do chmury i choć ten proces przebiega u nas dość opornie, to należy mieć na uwadze, że ma ona charakter etapowy. W związku z tym coraz częściej także producenci „uciekają” ze swoimi produktami do chmury. Zyskują one popularność za sprawą niewielkiego obciążania urządzeń oraz zapewniania niezwłocznej reakcji na pojawiające się zagrożenia – mówi Grzegorz Świrkowski. 

Zdaniem integratora

Artykuł Antywirusy idą w ślady smartfonów pochodzi z serwisu CRN.

Tego typu incydenty nie pozostają bez wpływu na procesy produkcyjne. Rozwiązanie problemów i powrót do normalnej działalności zajmował przedsiębiorstwom średnio 1,84 dnia. Prawie połowa firm dotkniętych cyberatakami przyznała, że skutki incydentu były umiarkowane – awaria dotyczyła wielu urządzeń oraz kilku lokalizacji. Natomiast 11 proc. respondentów, stwierdziło, że ataki miały znaczny wpływ, powodując całkowite wyłączenie wszystkich urządzeń we wszystkich lokalizacjach. Według 36 proc naruszenie miało minimalny wpływ i dotyczyło kilku urządzeń, 5 proc. nie odczuło w ogóle skutków cyberataku.

Choć organizacje przemysłowe wydają się być świadome znaczenia cyberbezpieczeństwa, wiele z nich ma problemy z przyjęciem pełnej strategii – 96 proc. twierdzi, że potrzebne są większe inwestycje w zabezpieczenie IIoT i OT. Co ciekawe, 72 proc. organizacji deklaruje, że już wdrożyło lub jest w trakcie wdrażania projektów bezpieczeństwa IIoT lub OT, ale stoi przed „poważnymi wyzwaniami”, które określają jako zachowanie podstawowych zasad cyberhigieny.

Na przykład uwierzytelnianie wieloskładnikowe (MFA) jest rzadkością w organizacjach przemysłowych. Według raportu, tylko 18 proc. firm wymaga MFA w celu uzyskania dostępu do działających systemów technologicznych. Nawet w krytycznych branżach, takich jak energetyka, większość sieci nie wymaga od użytkowników wyposażenia MFA, a 47 proc. sieci umożliwia użytkownikom dostęp do sieci bez dodatkowego uwierzytelniania.

Oprócz tego wiele organizacji zwleka z instalację poprawek bezpieczeństwa, narażając się tym samym na cyberataki próbujące wykorzystać znane luki.

Artykuł Przemysłowy internet rzeczy pod znakiem chaosu pochodzi z serwisu CRN.

W 2021 roku na świecie na cyberubezpieczenie zdecydowało się 92% dużych firm. W 2019 r. było to 84%. Wzrósł także odsetek przedsiębiorstw, których polisa zabezpiecza przed skutkami ransomware – z 64% do 83%.

Polska jest nie tylko w europejskiej, ale i w światowej czołówce, jeśli chodzi o odsetek dużych firm posiadających polisę od cyberataku. Na Starym Kontynencie był on wyższy tylko w Czechach (99%), Szwecji oraz Belgii (po 98%). Dla porównania, na Węgrzech jedynie 82% spółek stosuje podobne rozwiązania.

Ransomware – firmy wolą dmuchać na zimne

Według raportu Sophos liczba cyberataków na firmy wzrosła o 57% w porównaniu z rokiem 2020. Największym problemem jest ransomware, z którym styczność miało aż 66% badanych. Najczęściej polisę od złośliwego oprogramowania wykupują ci, którzy już zostali nim zaatakowani. Ubezpieczenie od ransomware wybiera 89% zainfekowanych w przeszłości firm i 70% tych, które do tej pory nie doświadczyły próby wyłudzenia okupu za zaszyfrowane dane. 41% korzystających z polisy pokrywającej skutki ransomware (34% wszystkich respondentów) wskazuje, że są w niej wyjątki i wyłączenia.

– Może się wydawać, że firmy nie potrzebują polisy od cyberataków, bo ewentualne straty pokryje zwykłe ubezpieczenie biznesowe. Zazwyczaj jednak warunki takich ubezpieczeń nie są projektowane z myślą o cyberatakach i nie wystarczają do pokrycia wysokich kosztów związanych z naruszeniem danych czy ich zaszyfrowaniem przez ransomware. Polisa od cyberataków to dodatkowy środek ochrony, który może pomóc zminimalizować straty. Trzeba jednak pamiętać też, że nawet najlepsze ubezpieczenie nie może zastąpić rozwiązań chroniących dane i systemy – komentuje Grzegorz Nocoń, inżynier systemowy w firmie Sophos.

Wyższe okupy, droższe ubezpieczenia

Z opublikowanego przez Sophos raportu z badania wynika, że rośnie nie tylko odsetek ubezpieczonych przedsiębiorstw, ale także kwoty płacone cyberprzestępcom. W 2021 r. średnia wysokość okupu wynosiła 812 tys. dolarów (ok. 3,8 mln złotych). To blisko pięć razy więcej niż w rok wcześniej (170 tys. dolarów). Aż 11% firm, które poszły na rękę atakującym, uiściło opłatę w kwocie powyżej miliona dolarów. Tylko co piąta zapłaciła za odzyskanie dostępu do danych mniej niż 10 tys. dol.

Ubezpieczyciele częściej wypłacają środki pozwalające usunięcie skutków ataku i przywrócenie działania firmy (77% przypadków, wzrost o 10 pp. względem 2020 r.) niż zapłacenie okupu (40% przypadków, spadek o 4 pp. względem ubiegłego roku). Co trzecia duża firma zauważa, że polisy chroniące przed skutkami cyberataków są droższe niż przed rokiem. Ponad połowa zwraca też uwagę na rosnące wymagania wobec firm, które chcą wykupić takie ubezpieczenie. 40% respondentów jest zdania, że coraz mniej ubezpieczycieli ma w swojej ofercie polisy na wypadek cyberataków.

– Najniższe składki proponuje się tym firmom, które są dobrze zabezpieczone przed atakiem, posiadają sprawdzone systemy zabezpieczeń oraz wyedukowanych i przeszkolonych pracowników. Zadbanie o te elementy pomoże dodatkowo w szybszym uzyskaniu pozytywnej opinii ubezpieczyciela. Ponieważ firmy dostrzegają problem z dostępnością ofert cyberpolis, takie podejście może być na wagę złota – tłumaczy Grzegorz Nocoń.

Z całym raportem można zapoznać się na stronie https://www.sophos.com/en-us/whitepaper/cyber-insurance-2022

Artykuł Polisa na wypadek cyberataku pochodzi z serwisu CRN.

Firm SHI International (z siedzibą w Somerset w stanie New Jersey), wcześniej znana jako Software House International, jest prywatnym dostawcą produktów i usług technologicznych. Przedsiębiorstwo zostało zaliczone do pierwszych piętnastu największych dostawców rozwiązań IT w Ameryce Północnej. Zatrudnia 5000 pracowników.

Jak zwraca uwagę amerykański CRN, ataki cybernetyczne i ransomware na dużych dostawców MSP, takich jak SHI, a także dostawców zabezpieczeń MSP, nabrały tempa w ciągu ostatnich kilku lat. Atak złośliwego oprogramowania uderzający w sieć SHI to kolejny znak, że dostawcy usług internetowych stają się ulubionym celem hakerów, ponieważ przechowują i zarządzają ogromnymi ilościami danych klientów i krytycznych informacji.

Atak na SHI w weekend 4 lipca jest nieco podobny do zeszłorocznego ataku na Kaseya (który również miał miejsce 4 lipca), kiedy to gang REvil wykorzystał lukę w lokalnym narzędziu do zdalnego monitorowania i zarządzania (RMM) tej firmy. REvil zażądał wtedy 70 milionów dolarów od Kaseya na odszyfrowanie plików 1500 klientów końcowych.

Jeden z największych MSP i dostawców usług na świecie, Accenture, został trafiony w zeszłym roku przez atak ransomware. Grupa cyberprzestępcza, znana jako LockBit, zażądała zapłaty okupu w wysokości 50 milionów dolarów, aby powstrzymać wyciek 6 terabajtów danych, które rzekomo ukradli z Accenture – przypomina amerykański CRN.

Artykuł Atak malware na SHI pochodzi z serwisu CRN.

Oferowane przez Matrix42 rozwiązanie FireScope SDDM zapewnia wykrywanie w czasie rzeczywistym urządzeń podłączanych do firmowej infrastruktury, w tym tych nieautoryzowanych przez dział IT, które mogą stanowić potencjalne zagrożenie lub być wykorzystane do przeprowadzenia ataku. Wielowarstwowe mapy zależności między krytycznymi zasobami na poziomie sprzętu, sieci, aplikacji i baz danych pozwalają na śledzenie w czasie rzeczywistym zachodzących zmian w infrastrukturze i wyeliminowanie w ten sposób ryzyka niedostępności usług, a także wysłanie alertów do odpowiednich działów w celu oceny sytuacji.

Bogdan Lontkowski, dyrektor regionalny, Matrix42  

Brak możliwości wykrywania w czasie rzeczywistym wszystkich zasobów krytycznych dla usług, jakie są świadczone w firmowym środowisku IT, stwarza ryzyko przegapienia ataku. Wpływa także na brak możliwości skutecznego zarządzania infrastrukturą i usługami w sytuacji, gdy nawet chwilowe ich wyłączenie może powodować poważne straty. Jeśli użytkownik nie wie dokładnie, na bazie jakich zasobów zbudowane zostały jego usługi lub usługi przejętej ostatnio firmy oraz jakie zależności między nimi zachodzą, to realizacja projektu konsolidacji lub migracji może być długotrwała, wyjątkowo kosztowna i negatywnie wpłynąć na ogólne bezpieczeństwo firmy.

  

Przykładowo, zastosowanie zbyt wolnych przełączników sieciowych sprawia, że infrastruktura przestaje działać prawidłowo lub w ogóle. Za pomocą map administrator może zobaczyć, jakie zasoby i aplikacje wpływają na pracę jego usług, a następnie bez większych problemów dokonać ich migracji do chmury lub innego centrum danych. Wszystkie zebrane dane rejestrowane są w bazie CMDB (Configuration Management Database), dzięki czemu możliwe jest przechowywanie informacji o wersjach i konfiguracjach poszczególnych usług, a także ich zależności od aplikacji i infrastruktury. Natomiast mechanizm analizy zachowania użytkowników i obiektów (User and Entity Behavior Analysis, UEBA) zapewnia wykrywanie podejrzanych czynności, wskazuje ich źródło, a jeśli jest złośliwe – natychmiast automatycznie je odłącza.

Stała obserwacja środowiska IT to podejście do zarządzania nim, które zapewnia klientom wiele korzyści. Przede wszystkim ułatwione zostaje mapowanie złożonej infrastruktury. Zyskują oni też szeroki dostęp do wiedzy na temat potencjalnych oszczędności. Otrzymują też generowane w proaktywny sposób informacje o możliwych problemach z bezpieczeństwem, ryzyku kosztownych przerw w świadczeniu usług i wszelkich zmianach w infrastrukturze.