Przejmij kontrolę nad przedsiębiorstwem

Programowalne Kontrolery Logiczne (ang. PLC) to oprogramowanie używane do kontroli wyspecjalizowanych funkcji w infrastrukturze – elektrowniach, fabrykach chemikaliów, gazociągach, a także liniach produkcyjnych pojazdów i przy przetwarzaniu produktów spożywczych.

Co może się stać, jeżeli ktoś przejmie nad nimi kontrolę? Przykład pojawił się w 2010 roku, kiedy robak Stuxnet zaatakował Irańskie laboratoria przetwarzające materiały radioaktywne. Wtedy programiści Siemensa pozostawili dla siebie furtkę w kodzie, która została wykorzystana do uśpienia czujności specjalistów od bezpieczeństwa podczas sabotażu.

W ostatni czwartek grupa badaczy poświęciła swój czas na zbadanie podatności na zagrożenia aplikacji PLC wiodących producentów: General Electric, Rockwell Automation, Schneider Modicon, Koyo Electronics and Schweitzer Engineering Laboratories.

 

W ramach projektu został użyty Rapid7 do wypuszczenia modułów wykorzystujących luki Metasploit. Jest to aplikacja używana do testowania sieci pod kątem luk bezpieczeństwa. Także przez hackerów.

Dale Peterson, prezentując wyniki badania, zaznaczył, że pojawiły się różne luki we wszystkich systemach (więcej tutaj: http://www.wired.com/threatlevel/2012/01/scada-exploits/) i liczy na to, że to będzie ostateczne ostrzeżenie dla producentów i administratorów tego oprogramowania.

Bezpieczeństwo IT najwyższych sfer

Wątpię, żeby ktokolwiek przeoczył historię posłanki PiS, Beaty Kempy. No dobrze, dla tych, którym się to udało: wyborcza.pl pisze trochę więcej. Jeden e-mail, przesłany do PAP, wywołał burzę oskarżeń, spekulacji. Potem okazało się, że ktoś skorzystał z prostej strony internetowej, która umożliwia „podszywanie się” pod dany adres. Jak pisze Janusz A. Urbanowicz, w swoim cyklu dla gazeta.pl - Niebezpiecznik:

Ale tak naprawdę problem lezy gdzie indziej. Taką wiadomość może wysłać każdy, więc redaktor dyżurny w PAP nie powinien publikować jej bez niezależnej weryfikacji.

To skłania do myślenia, w jakim stopniu nasz wizerunek w internecie jest bezpieczne. Z jednej strony, za włamanie na pocztę elektroniczną grozi odpowiedzialność karna, z drugiej – nic nie stoi na przeszkodzie, żeby ktoś zarejestrował domenę z naszym imieniem i nazwiskiem i wykorzystywał ją do swoich celów – np. jaroslawkaczynski.pl kieruje nas do sklepu z częściami samochodowymi. gazeta.pl pisze dziś o firmach, które rejestrują domeny nazwa.xxx, ze strachu, że ktoś może wykorzystac ich markę w ten sposób, do promocji pornografii.

Także to pokazuje, że bezpieczeństwo IT, to nie tylko kwestia danych, ale także wizerunku. Jak stwierdził jeden z moich klientów „takie rozwiązanie chroni firmę przed blamażem, w przypadku wycieku tyc hdanych”

 

Upss…

Jak pisze niebezpiecznik.pl - AMD miało pewien problem, a właściwie

dobry sposób na promocję gry w kręgach osób zainteresowanych bezpieczeństwem…

Otóż AMD, w ramach promocji przygotowanej razem z Codemasters, do sprzedawanych kart graficznych dodawało klucze do gry DiRt 3. Jednak niespodziewanie te klucze wyciekły, ponieważ  znalazły się, niezabezpieczone, na serwerze partnera promocji:

This past weekend activation keys associated with free Dirt 3 game voucher shipping with select AMD products were compromised. These activation were hosted in a third party fulfillment agency website, www.amdforyou.com, and did not reside on AMD’s website. Neither the AMD nor code masters servers were involved. We are working closely with Steam, code masters, to address the situation. AMD will continue to honor all valid game vouchers. However, the current situation may result in a short delay before the vouchers can be redeemed

Takie informacje cytuje gamebandits.com. Oficjalnie, ososby, które zarejestrują się w Steam, stracą swoje konta, więc chyba nie warto zastanawiać się nad zakupem „promocyjnych” wydań DiRT.

Swoją drogą, cały ten problem wynikł ze stron nieodpowiedzialnych pracowników i w rzeczywistości wcale mógłby nie zaistnieć, gdyby istniały odpowiednie procedury bezpieczeństwa IT.

0 20 21 22

Kto z Was pamięta jeszcze ten numer telefonu? Ja go wybierałem za każdym razem, łącząc się z internetem dzięki Telekomunikacji Polskiej. Pierwszy kontakt z siecią miałem w 1996 roku, ale jej historia w Polsce sięga 1991 roku, 17 sierpnia. Czyli innymi słowy, obchodzimy dziś 20 rocznicę naszej obecności w sieci.

Oczywiście to jest data umowna. Rafał Pietrak , pierwszy polski internauta, pracownik ośrodka komputerowego Wydziału Fizyki Uniwersytetu Warszawskiego, nie jest pewien, kiedy to dokładnie było. Ważne, co się stało – została nawiązana łączność komputerowa oparta o protokół IP i została wysłana pierwsza wiadomość. Do dziś nie rozstrzygnięto, czy do Kopenhagi, czy do Hamburga.

Później już szło z górki,w grudniu 1991 roku Stany Zjednoczone znoszą ograniczenia łączności z Polską, a w 1993 roku, ten sam wydział fizyki uruchamia Polish Home Page. Jak mówi Marcin Gromisz, współpracownik pierwszego Polskiego Internauty.

Nie spodziewałem się, że to tak się rozwinie. Dopiero w 1993 roku, kiedy powstała pierwsza przeglądarka, oczy mi się otworzyły.

technologie.gazeta.pl/ przygotowało bardzo przyjemną infografikę, która mówi trochę więcej o historii sieci w Polsce.

Oczywiście, razem z rozpowszechnieniem Internetu, pojawiły się też zagrożenia wyciekiem danych, ale to już mateirał na inne wpisy.

 

9000:1

Jeden pracownik wystarczył, żeby nieumyślnie stracić dane 9,000 byłych i obecnych urzędników Wydziału Zdrowia Stanu Kalifornia. Miał bardzo dobry pomysł – skoro miał dostęp do tych danych, skopiował je na swoją pamięć flash. Jedyny problem był w tym, że stracił tę pamięć, a wraz z nią, nazwiska, daty urodzenia, adresy i inne dane w archiwach wynagrodzeń 9000 poszkodowanych.

 

Wydział zdrowia  teraz bada, jaki jest rozmiar tego wycieku danych, a główny winowajca przebywa na przymusowym urlopie, odpowiadając na pytania, które pomogą zrozumieć co się stało.  Wyciek danych został wykryty dzięki stanowemu systemowi monitorowania bezpieczeństwa, który powiadomił o podejrzanej aktywności odpowiednie służby jeszcze w kwietniu. Oczywiście, teraz instytucja zapewnia, że poprawiła swoje zabezpieczenia aby uniknąć podobnych wypadków.

Zakładam, że zostało zainstalowane rozwiązanie z zakresu endpoint security, które może blokować usb, jeżeli nie spełniają pewnych wymogów (np. nie są szyfrowane), kontrolować porty i monitorować jakie pliki są przenoszone. Kontrola urządzeń przenośnych to wciąż temat niezbyt popularny, ale czasem rozwiązanie tego rodzaju, szczególnie jedno z tych bardziej skomplikowanych (http://www.endpointprotector.com/) może pomóc zapobiegać wyciekom danych i ochroni przed ignorancją pracowników.

Nowa jakość w bezpieczeństwie danych :)

Spotkaliście się wcześniej ze steampunkiem? Za pl.wikipedia.org:

Steampunk – odmiana fantastyki naukowej, specyficzna, boczna gałąź cyberpunku. W przeciwieństwie do cyberpunku, technologia otaczająca bohaterów nie jest oparta na elektronice lecz na mechanice (np. odpowiednikiem komputera jest maszyna różnicowa). Akcja utworów steampunkowych przeważnie rozgrywa się w epoce wiktoriańskiej – erze rewolucji technicznej, wieku pary (stąd nazwa gatunku: steam, ang. – para), w której historia potoczyła się inaczej niż w naszych dziejach. Dzięki temu steampunk zalicza się także do nurtu tzw. historii alternatywnej.

Zastanawiacie się jak wyglądało by bezpieczeństwo IT w epoce pary? Dzięki steampunker.ru możemy zobaczyć to na własne oczy. Po ustawieniu

właściwej kombinacji liczb, możemy używać pamięci flash wewnątrz. Mi Przypomina on Cryptex – narzędzie do przechowywania wrażliwych informacji z książek Dana Browna. Jedyna różnica jest taka, że w tym przypadku pendrive nie zostanie zniszczony, jeżeli spróbujemy go otworzyć siłą. Na razie powstał tylko jedno takie urządzenie, ale myślę, że część firm czegoś takiego może poszukiwać – zamiast blokować dostęp do portów USB dla pracowników, mogą pozwolić na przenoszenie wrażliwych danych na tak zabezpieczonych pamięciach.

Ewentualnie zawsze pozostaje szyfrowanie pamięci USB np. dzięki Easy Lock lub o krok dalej, kontrolowanie przenoszonych plików – np. dzięki Endpoint Protector. Zasada jest prawie ta sama – nie da się otworzyć zawartości bez odpowiedniego hasła. A i szyfrowanie może być tańsze od produkcji takich cudeniek z mosiądzu.

 

Po co kradnie się dane? Dla okupu!

Serio - technologie.gazeta.pl opisuje przypadek, gdzie haker włamał się na serwer firmy telekomunikacyjnej, żeby wykraść wrażliwe dane. Dysponował zaawansowanym sprzętem i dokładnie wiedział, co chce osiągnąć.

W zamian za zwrot danych przestępcy zażądali od poszkodowanej spółki pieniędzy w kwocie około 100 tys. zł. Okup miał być przekazany w Krakowie, pod Wawelem. Miał go odebrać 19-letni wspólnik hakera

przekazał PAP nadkomisarz Janusz Jończyk w imieniu śląskiej policji. Współpracując z departamentem bezpieczeństwa, śledczy byli w stanie powstrzymać przestępców.

Szczerze mówiąc, pierwszy raz spotkałem się z taką sytuacją, gdzie zamiast sprzedać dane dalej, przestępca zażądał ich zwrotu. Ciekaw jestem, o ile za mało wycenił to co wykradł – podobno znajdowały się tam nawet informacje o klientach.

PICNIC – czyli przed idiotyzmem nic nas nie obroni

Słyszeliście kiedyś ten akronim – „problem in chair, not in computer”?

Chodzi po prostu o to, że nie ważne jak dobrze zabezpieczymy swoje pliki, nie ważne ile wydamy na zakup rozwiązań bezpieczeństwa, zawsze znajdzie się jeden użytkownik, który sprawi, że nasze dane mogą trafić w niepowołane ręce.

bloomberg.com opisuje pewną kampanię, stworzoną przez instytucję rządową – departament bezpieczeństwa wewnętrznego. Mechanizm był bardzo prosty – personel „rozrzucił” twarde dyski, płyty CD, pamięci flash na parkingach instytucji rządowych i prywatnych firm, dostarczających im rozwiązania. Jaki był tego cel? Przede wszystkim sprawdzenie czy hakerzy mogą tym kanałem dotrzeć do poufnych informacji.

Wynik przerósł najśmielsze oczekiwania. Właściwie to udowodnił jak bardzo bezmyślni mogą  być pracownicy – do komputerów podłączone zostało 60% procent urządzeń pozostawionych na parkingach. Jeśli chodzi o te urządzenia, które miały oficjalne logo, było to 90% urządzeń. Pełen raport badania ujrzy światło dzienne w drugiej połowie roku, ale już teraz wyniki skłaniają do myślenia.

„Wkładając” nie autoryzowane urządzenie, użytkownik naraża całą siec na niebezpieczeństwo utraty, bądź zniszczenia danych. Mała i prosta rzecz, a tak wiele osób o tym zapomina.

Dlatego właśnie największe zagrożenie dla bezpieczeństwa siedzi przed komputerem na krześle.

Co z tym można zrobić? Jest sporo sposobów. Jeżeli chodzi o urządzenia przenośne – to przede wszystkim ich kontrola. W prosty sposób można zablokować wszystkie porty USB w firmowych komputerach. Bardziej sprytny administrator będzie wiedział, że to doprowadzi do małego chaosu w firmie – dlatego dobrym rozwiązaniem jest odpowiednie rozwiązanie do kontroli, np. Endpoint Protector, produkowany przez CoSoSys. Wprowadza nam 2 różnice – nie blokujemy a autoryzujemy odpowiednie urządzenia, odpowiednim użytkownikom i z drugiej strony monitorujemy to co się dzieje, łącznie z przenoszonymi plikami, żeby wiedzieć, kiedy reagować.

Co robią nasi sąsiedzi…

„Zagrożenie atakiem na systemy informatyczne stale wzrasta, a metody hakerów są coraz bardziej wyszukane” – podkreślił Niemiecki minister spraw wewnętrznych Hans-Peter Friedrich. „Dlatego też – dodał – obrona przed tego typu zagrożeniem wymaga coraz więcej wysiłku i nakładów”.

W związku z tym, od kwietnia 2011, w Bonn funkcjonuje narodowe centrum obrony przed atakami cybernetycznymi. Obecnie jego zespół to eksperci z Federalnego Urzędu Bezpieczeństwa Technik Informatycznych i funkcjonariusze Urzędu Ochrony Konstytucji i centrum zapobiegania katastrofom. Potem, zespół poszerzy się o funkcjonariuszy z Federalnego Urzędu Kryminalnego oraz policji federalnej. Czym mają się zajmować? W przypadku kryzysu będą koordynować działania służb, a na codzień zajmą się analizą zagrożeń i audytem zabezpieczeń systemów informatycznych.

Ciekaw jestem kiedy nasz kraj weźmie przykład z Niemiec w tym obszarze. Jak na razie statystyki Niemieckie donoszą, że dziennie pojawiają się 3 – 5 incydentów, gdzie do rządowych systemów informatycznych próbują dostać się osoby nie powołane. Czy ktoś zna statystyki w Polsce? czy nikt nie chce nas napadać, czy raczej nawet nikt tego nie monitoruje?

Co administrator danych wie o bezpieczeństwie

Ostatnio opublikowane studium pokazuje, że administratorzy baz danych nie do końca rozumieją o co chodzi w zarządzaniu bezpieczeństwem.  Sami przyznają, że ich wiedza w tym obszarze jest dość ograniczona. Kwestie takie jak kontrola zmian, zarządzanie aktualizacjami czy audyt bezpieczeństwa nie są im znane. Całe studium zostało oparte o badanie pośród 214 administratorów Sybase, którzy należą do International Sybase User Group.

“A majority of respondents admit that there are multiple copies of their production data, but many do not have direct control over the security of this information,” the survey report stated. “Only one out of five take proactive measures to mask or shield this data from prying eyes.”

Analityk Unisphere Research, Joe McKendrick, który jest autorem badania ISUG, zaznacza, że to tylko jedno z takich badań, które są prowadzone wśród użytkowników różnych typów baz danych, także tych, działających na konkurencyjnych platformach, takich jak SQL Server czy Oracle.

“This [ISUG survey] pretty much follows the same script [as the survey responses in the other database environments,” pisze McKendrick. “It’s very consistent — with a very common theme across all of these different user groups and technology bases — that there is a disconnect between management and security.”

Ciekawe jest to, że 50% respondentów nie uważa, że w najbliższym roku staną się ofiarą wycieku danych. Według Richa Mugulla, założyciela firmy analitycznej Securosis, nie ma w tym nic niespodziewanego.

“We still see very much a split between the database and security worlds — and not nearly the level of communication between the two of them that we’d like,” mówi Mogull.

Eksperci od bezpieczeństwa radzą instytucjom, żeby bardziej przyłożyły się do udostępniania baz danych nie tylko dla ich administratowrów, ale także specjalistów IT.

“We need to ask ourselves, ‘Where are these pieces of classified information and bank account numbers and sensitive organizational data being stored in the databases? Can we identify all the databases they’re in?’”  Wyjaśnia Hutton. “And then we can figure out how to create a control structure that prevents, detects, and responds to incidents against that database.”

Eksperci wskazują też, że wiele organizacji nie potrafi efektywnie przeprowadzić audytu danych, co sprawia, że polityki bezpieczeństwa i ich kontrola naprawdę działają. McKendrick wskazuje, że jego badanie wykryło, ze 16% instytucji prowadzi comiesięczny audyt danych. Kolejne 32% nawet nie potrafi powiedzieć, kiedy są przeprowadzane takie audyty, bądź po prostu ich nie przeprowadza.