»Alarmov je veliko, nove grožnje so agresivne, kompleksne, hitre« (video)

Oglejte si video, posnet v učilnici ekipe varnostnih inženirjev, kjer na rednih sestankih analizirajo aktualno kibernetsko dogajanje. Spoznajte, kako v A1 prepoznavajo grožnje in skrbijo za pravočasen odziv:

Podjetja danes uporabljajo požarne zidove, protivirusne programe, sisteme za zaznavanje vdorov in druge varnostne tehnologije. Njihova prisotnost še ne pomeni, da je organizacija dobro pripravljena na kibernetski incident. Sistemi vsak dan ustvarijo množico opozoril, posamezen signal pa pokaže samo del dogajanja.

Prijava v poslovni sistem iz neobičajne lokacije lahko kaže na zlorabo uporabniškega računa ali na upravičen dostop zaposlenega. Za pravilno oceno je treba dogodek povezati z drugimi podatki in razumeti, kateri uporabniki, naprave in poslovni procesi so vključeni.

Podjetje ne more z gotovostjo vedeti, ali je varno. Z rednim preverjanjem zaščite pa lahko pravočasno odkrije vrzeli in se hitro odzove na napad. FOTO: Depositphotos

Kako podjetje danes ve, da je res varno? »Zares ne ve. Lahko ve, kdaj ni varno, ne more pa zares vedeti, kdaj je varno,« odgovarja Vladimir Ban, vodja A1 Varnostno operativnega centra. Če podjetje ne uporablja ustreznih rešitev, ne upošteva varnostnih načel ali ne izvaja potrebnih ukrepov, so pomanjkljivosti razmeroma jasne. Tudi ob vzpostavljeni zaščiti je dejanska stopnja varnosti odvisna od tega, kako natančno so rešitve nameščene, nastavljene in upravljane.

Podjetje samo težko objektivno presodi, kako učinkovita je njegova zaščita. Temu je namenjen varnostni pregled, pri katerem zunanji strokovnjaki preverijo dejansko stanje, odkrijejo morebitne vrzeli in predlagajo izboljšave. Zagotavljanje kibernetske varnosti namreč zahteva neprekinjeno preverjanje in izboljševanje. Odpornost podjetja se pokaže predvsem v tem, kako hitro zazna napad, omeji njegov obseg in zmanjša poslovne posledice.

Kibernetska varnost je postala poslovno vprašanje

Dejan Turk, predsednik uprave A1 Slovenija in A1 Hrvaška: »Kibernetske grožnje lahko učinkovito obvladujemo le s kombinacijo strokovnega znanja, sodobnih tehnologij in preverjenih odzivnih procesov.« FOTO: Voranc Vogel

Digitalni sistemi podpirajo skoraj vsak ključni proces v podjetju. Prek njih potekajo naročila, proizvodnja, plačila, komunikacija s strankami in izmenjava podatkov z dobavitelji. Njihova daljša nedostopnost zato hitro preraste v poslovno motnjo. »Kibernetska varnost neposredno vpliva na neprekinjeno poslovanje, zaupanje strank in dolgoročno odpornost podjetja,« poudarja Dejan Turk, predsednik uprave A1 Slovenija in A1 Hrvaška.

Kibernetska odpornost je zato tudi odgovornost vodstva. To mora opredeliti ključne procese in podatke, določiti sprejemljiv čas njihove nedostopnosti ter prepoznati tveganja, ki zahtevajo prednostno ukrepanje. Obenem mora zagotoviti ustrezne vire, jasno razdeliti naloge in ukrepe kibernetske zaščite uskladiti s poslovnimi potrebami. Za digitalno poslovanje tako varnostno operativni center postaja enako pomemben kot računovodstvo, pravna služba ali fizično varovanje poslovnih prostorov.

Ko se zgodi incident, ni časa za ugibanje, kdo mora ukrepati, sprejeti odločitev ali obvestiti stranke. Dober načrt odzivanja zato vnaprej določa, kdo vodi tehnično obravnavo, usklajuje delo ekip in komunicira s strankami, partnerji in pristojnimi institucijami. Redne vaje pokažejo, ali dogovorjeni postopki delujejo tudi pod pritiskom, hkrati pa omogočajo, da jih podjetje sproti prilagaja spremembam v poslovanju.

Največje tveganje je tisto, ki ga podjetje ne vidi

FOTO: Voranc Vogel

Z rastjo podjetja se širi tudi njegovo IT-okolje. Dodajajo se uporabniški računi in naprave, procesi se selijo v oblak, aplikacije pa se povezujejo s sistemi zunanjih ponudnikov. Hkrati se povečujeta število dostopov in količina podatkov, zato je pregled nad celotnim okoljem vse zahtevnejši.

Kot izpostavlja Vladimir Ban, so med trenutnimi najizrazitejšimi grožnjami vdori v notranja omrežja, ko napadalci skušajo prevzeti nadzor nad strežniki, onemogočiti dostop do njih in izvesti izsiljevalski napad. Drugo pomembno področje tveganja so oblačne storitve in elektronska pošta, ki ostajajo privlačna tarča napadalcev.

Med najpogosteje zaznanimi pomanjkljivostmi v podjetjih pa navaja nedosledno uporabo močnejših načinov avtentikacije, napačne nastavitve sistemov ter pomanjkljiv nadzor nad pomembnimi dogodki na ključnih računih in sistemih.

Redno preverjanje ranljivosti pomaga podjetju pravočasno odkriti izpostavljene sisteme, napačne nastavitve ter druge varnostne pomanjkljivosti, še preden jih izkoristijo napadalci. Takšno spremljanje postaja tudi pomemben del izpolnjevanja zahtev NIS2 in dobrih praks upravljanja kibernetskih tveganj. Rezultati pregledov omogočajo določanje prioritet in hitrejše odpravljanje ugotovljenih pomanjkljivosti.

Od opozorila do pravočasnega odziva

Vladimir Ban, vodja A1 VOC: »Trenutno so med najizrazitejšimi grožnjami vdori v notranja omrežja, veliko področje tveganja pa so oblačne storitve in elektronska pošta.« FOTO: Voranc Vogel

»Večina organizacij danes že uporablja različne varnostne rešitve in zaznava veliko dogodkov. Za učinkovito obrambo pred kibernetskimi napadi je ključno, da podjetje hitro razume, kaj se v njegovem okolju dogaja, in se zna pravočasno odzvati,« pojasnjuje Vladimir Ban. »V A1 VOC spremljamo dogodke 24 ur na dan. Alarmov je veliko, nove grožnje so agresivne, kompleksne, hitre, zato ni dovolj samo spremljanje. Podjetje potrebuje dobrega partnerja, nekoga, ki bo poskrbel za celovit pregled, prepoznal resnično grožnjo in ustrezno ukrepal,« še dodaja Ban.

Ko inženirji v A1 Varnostno operativnem centru prepoznajo resnično grožnjo, lahko glede na vrsto incidenta in dogovorjene postopke omejijo dostop, izolirajo prizadeto napravo, blokirajo sumljivo komunikacijo ali dodatno preverijo račune in sisteme. S pravočasnim ukrepanjem napadalcu otežijo širjenje po okolju in dostop do ključnih podatkov.

Vključevanje podjetja v A1 VOC se začne takoj po podpisu pogodbe. Takrat stečejo prvi postopki, med drugim varnostni pregled in preverjanje, ali so se morebitna gesla podjetja znašla na spletu. Obseg storitve se nato širi z vsakim novim priključenim virom podatkov. Pri povprečno velikem podjetju popolna vključitev traja od enega do dveh mesecev, začetni del varovanja pa se začne že prvi dan.

Ob vključitvi se praviloma pokaže razkorak med pričakovano in dejansko stopnjo varnosti. Podjetja ugotovijo, da je bila njihova zmožnost zaznavanja pomembnih dogodkov nižja, kot so domnevala, konfiguracije, nastavitve in gesla pa manj varni. Vodstvo tako dobi objektivnejši pregled nad tveganji in jasnejše prioritete za izboljšave.

Lokalna ekipa A1 VOC se pri obravnavi incidentov opira tudi na znanje in izkušnje več kot 400 varnostnih inženirjev iz celotne Skupine A1. Izmenjava informacij o novih grožnjah, načinih napadov in primerih z različnih trgov omogoča stalno nadgrajevanje postopkov odzivanja.

Ko tehnologija zazna, strokovnjak presodi

Luka Majstorović, etični heker in varnostni inženir: »Z umetno inteligenco lahko analiziramo ogromne količine podatkov, vendar postaja človeška presoja dogodkov vse pomembnejša.« FOTO: Voranc Vogel

Umetna inteligenca je varnostnim inženirjem v veliko pomoč, saj razvršča dogodke in njihovo pozornost usmerja k dejavnostim z večjim tveganjem. »Umetna inteligenca nam omogoča, da analiziramo ogromne količine podatkov ter zaznamo vzorce in anomalije, ki bi jih človek težko opazil. Hkrati umetno inteligenco vse pogosteje uporabljajo tudi napadalci, zato postaja človeška presoja še pomembnejša,« pojasnjuje Luka Majstorović, etični heker in varnostni inženir pri A1 Slovenija. Tehnični signal sam še ne pokaže, ali gre za napad. Izkušen inženir pozna okolje stranke, zato lahko dogodek umesti v ustrezen kontekst, oceni njegovo resnost in izbere primeren odziv.

Varnostna opozorila se obravnavajo po stopnjah. Na začetku jih je veliko, zahtevnejši primeri pa postopoma preidejo v obravnavo specializiranih analitikov. Po besedah Majstorovića bodo agenti umetne inteligence prevzemali vse več začetnih nalog, ki jih danes opravljajo analitiki z manj izkušnjami. Sem sodijo razvrščanje opozoril, začetna presoja, avtomatizirana izolacija naprav in prvi odzivni ukrepi.

V učilnici varnostnih inženirjev se ekipa A1 Varnostno operativnega centra izobražuje in izmenjuje informacije o dogodkih, ki jih spremljajo 24 ur na dan, jih povezuje in presoja glede na okolje posamezne stranke. FOTO: Voranc Vogel

Takšna avtomatizacija bo omogočila hitrejše ukrepanje že na začetku procesa, kar je pri agresivnih in kompleksnih napadih odločilno. Izkušeni strokovnjaki bodo določali pravila, nadzirali odločitve sistemov in prevzemali najzahtevnejše incidente. Njihovo delo bo bolj osredotočeno, njihova odgovornost pa večja. Napadalci namreč z umetno inteligenco hitreje pripravljajo prepričljive prevare, iščejo ranljivosti in povečujejo obseg napadov, zato morajo obrambne ekipe svoje znanje in načine zaznavanja nenehno nadgrajevati.

Zaščita deluje v več povezanih plasteh

Požarni zid ostaja pomemben del zaščite, vendar pokriva samo en del sodobnega IT-okolja. Napadalci lahko v podjetje vstopijo prek elektronske pošte, oblačnih storitev, ranljive aplikacije, okužene naprave ali ukradenih prijavnih podatkov. Zaščita mora zato povezovati več plasti, od preverjanja ranljivosti in nadzora naprav do izobraževanja zaposlenih, varnostnih kopij ter stalnega spremljanja dogajanja.

Vladimir Ban pri tem kot osrednji člen izpostavlja dobro urejen proces spremljanja dogodkov in odzivanja v A1 VOC. Tudi najboljša oprema in skrbno nastavljeni sistemi brez ustreznega nadzora lahko pustijo napadalcu dovolj časa za širjenje po okolju. »Če daš napadalcu dovolj časa in prostora, je vsak sistem zlomljiv,« opozarja Ban. Po njegovih besedah se prava vrednost tehnologije pokaže, ko ekipa pravočasno prepozna nevarno dogajanje in ustrezno ukrepa.

Pomemben del kibernetske odpornosti predstavlja tudi skladnost z regulatornimi zahtevami. Podjetja se pri uvajanju zahtev ZInfV in direktive NIS2 pogosto srečujejo z vrzelmi v procesih, dokumentaciji in organizaciji. A1 jim lahko pomaga pri analizah skladnosti, pripravi dokumentacije ter uvajanju ustreznih varnostnih praks.

Dodatno raven zaščite in strateškega usmerjanja zagotavlja storitev vCISO (Virtual CISO), ki vodstvu pomaga pri učinkovitem upravljanju informacijske varnosti, skladnosti z regulatornimi zahtevami ter obvladovanju kibernetskih tveganj.

Zaščito je treba nenehno prilagajati

Ekipa A1 Varnostno operativnega centra dogodke spremlja 24 ur na dan, jih povezuje in presoja glede na okolje posamezne stranke. FOTO: Voranc Vogel

IT-okolje se spreminja z vsako novo napravo, aplikacijo, uporabniškim računom ali povezavo z zunanjim ponudnikom. Zaščito je zato treba redno posodabljati, odpravljati odkrite ranljivosti, preverjati uporabniške pravice in spremljati spremembe v infrastrukturi. Posebno pozornost zahtevajo privilegirani računi, oddaljeni dostopi in sistemi, dosegljivi prek interneta.

Redna poročila vodstvu pokažejo, katera tveganja so bila zaznana, kateri ukrepi izvedeni in kje so potrebne izboljšave. Celovito upravljanje IT-okolja pri A1 vključuje vzdrževanje računalnikov in strežnikov, upravljanje oblačnih okolij, nadzor varnostnih storitev ter dostop do ekipe strokovnjakov.

Pri odzivu šteje vsaka minuta

Kibernetska varnost je odgovornost vodstva, saj lahko incident poseže v poslovanje, odnose s strankami in dolgoročno odpornost podjetja. FOTO: Voranc Vogel

Nobeno podjetje ne more povsem izključiti možnosti kibernetskega incidenta. Lahko pa se nanj pripravi, ga hitreje zazna ter omeji škodo za poslovanje, zaposlene in stranke. Za tak odziv so potrebni jasni postopki, poznavanje ključnih sistemov in ljudje, ki vedo, kako ukrepati.

»Kibernetske grožnje postajajo vse bolj kompleksne, zato jih lahko učinkovito obvladujemo le s kombinacijo strokovnega znanja, sodobnih tehnologij in preverjenih odzivnih procesov,« poudarja Dejan Turk. Hitrost odziva je zato eno ključnih meril kibernetske odpornosti podjetja.

Vsebino ustvarja Vsebinski studio Delo mediji d.o.o.