Nacionaliniam kibernetinio saugumo centrui (NKSC) paskelbus apie du kritinius pasaulinius „PHP2Shell“ pažeidžiamumus, organizacijos skuba įdiegti saugumo naujinius. Vis dėlto vien pataisų įdiegimas dar nereiškia, kad grėsmė visiškai pašalinta.
Užpuolikai masiškai skenuoja sistemas, ieško neapsaugotų sprendimų ir kaupia prieigas, kurios vėliau gali būti panaudotos duomenims pavogti, sukčiauti ar kitoms kibernetinėms atakoms. Dabar vyksta tarsi sėja, o jos pasekmės gali išryškėti tik vėliau.
NKSC duomenimis, PHP naudoja maždaug 80 proc. Lietuvos interneto svetainių. Tai reiškia, kad pažeidžiamumai gali paveikti ne kelias atskiras įmones, o didelę šalies skaitmeninės infrastruktūros dalį.
Šiuo metu stebime tik pirmąjį įvykių etapą. Pasaulyje automatizuoti įrankiai nuolat tikrina, kurios sistemos dar nėra apsaugotos, ir mėgina į jas įsilaužti. Užpuolikai ne visada siekia iš karto pavogti informaciją ar sustabdyti veiklą. Kartais jų tikslas – įsitvirtinti sistemoje, susikurti prieigos galimybę ir palaukti tinkamesnio momento.
„Telia“ kibernetinio saugumo eksperto Dariaus Povilaičio vertinimu, šiuo metu vyksta „sėja“, tačiau organizacijoms delsiant arba apsiribojant vien atnaujinimais vėliau gali prasidėti gausus kibernetinių incidentų „derlius“.
Didelę riziką kelia tai, kad daugelis įsilaužimų ilgą laiką lieka nepastebėti. Kaip medicinoje ar atliekant automobilio diagnostiką, aiškius požymius lengviausia pamatyti tada, kai problema jau pažengusi. Daug sudėtingiau ją nustatyti ankstyvoje stadijoje, kai išoriniai simptomai beveik nepasireiškia.
Kibernetinių incidentų atveju sunku ne tik sustabdyti ataką, bet ir laiku suprasti, kad ji apskritai įvyko. Organizacijos neretai laukia akivaizdaus signalo – neveikiančios svetainės, užšifruotų duomenų ar pranešimo apie įsilaužimą. Tačiau pavojingiausi incidentai gali vykti tyliai: užpuolikas mėnesius lieka sistemoje, renka informaciją, stebi vartotojus ir ruošiasi kitam atakos etapui.
Dėl to įmonės ir kitos organizacijos neturėtų manyti, kad įdiegus PHP naujinį pavojus išnyko. Po tokio masto pažeidžiamumų būtina patikrinti, ar spraga nebuvo išnaudota iki pataisos įdiegimo. Naujinys uždaro pažeidžiamumą, tačiau neatšaukia galimai pavogtų prisijungimo duomenų, nepašalina į sistemą įkeltų kenkėjiškų failų ir neuždaro kitų prieigos kanalų, kurie galėjo būti sukurti anksčiau.
Po atnaujinimo rekomenduojama atlikti išsamesnį patikrinimą: peržiūrėti sistemų žurnalus, ieškoti neįprastų prisijungimų, nežinomų administratoriaus paskyrų, nepažįstamų procesų ir kitų galimo kompromitavimo požymių. Svarbus ir operatyvumas. Kuo ilgiau delsiama, tuo didesnė tikimybė, kad pažeidžiamumą užpuolikai ne tik aptiks, bet ir sėkmingai išnaudos. Be to, ilgai nepastebėtas įsibrovėlis vėliau gali lemti sudėtingesnį ir brangesnį incidento valdymą.
Ši situacija išryškina ir kitą problemą: kai kurios organizacijos net nežino, ar jų naudojamose sistemose veikia PHP. Svetainę gali prižiūrėti išorės kūrėjas, paslaugas administruoti hostingo tiekėjas, o pačioje įmonėje gali nebūti vidinės IT komandos. Tokiais atvejais reikėtų kuo greičiau susisiekti su technologijų partneriais ir išsiaiškinti, ar sistemos apsaugotos bei ar jose įdiegti būtini atnaujinimai.
Riziką didina ir senos sistemos, kurių organizacijos vengia atsisakyti, nes jos vis dar atlieka svarbias funkcijas. Kol jos veikia, modernizavimas dažnai atidedamas. Vis dėlto kritiniai pažeidžiamumai primena, kad pasenusi technologija ilgainiui tampa verslo rizika. Nors konkrečią spragą kartais galima užtaisyti per vieną dieną, priklausomybės nuo senos sistemos taip greitai panaikinti nepavyksta.
Tikėtina, kad artimiausiomis savaitėmis įvairiose pasaulio šalyse bus pranešta apie naujus kibernetinius incidentus. Todėl organizacijos turėtų ne tik nedelsdamos diegti atnaujinimus, bet ir tikrinti, ar jų sistemos nebuvo pažeistos anksčiau. Geriau iš anksto sumažinti galimo incidentų „derliaus“ mastą, nei vėliau spręsti jo padarinius.
Komentaro autorius – „Telia“ kibernetinio saugumo ekspertas Darius Povilaitis.
