{"id":31955,"date":"2018-11-28T09:10:47","date_gmt":"2018-11-28T08:10:47","guid":{"rendered":"https:\/\/biznes.t-mobile.pl\/najczestsze-bledy-popelniane-przez-administratorow-hasla"},"modified":"2025-06-04T14:25:45","modified_gmt":"2025-06-04T12:25:45","slug":"najczestsze-bledy-popelniane-przez-administratorow-hasla","status":"publish","type":"post","link":"https:\/\/biznes.t-mobile.pl\/pl\/najczestsze-bledy-popelniane-przez-administratorow-hasla","title":{"rendered":"Najcz\u0119stsze b\u0142\u0119dy pope\u0142niane przez administrator\u00f3w – has\u0142a"},"content":{"rendered":"\n\n\n
Z TEGO ARTYKU\u0141U DOWIESZ SI\u0118:<\/span><\/strong>

<\/p>\n

    \n
  1. CO JEST NAJCZ\u0118STSZ\u0104 PRZYCZYN\u0104 CYBERATAK\u00d3W<\/span><\/strong><\/li>\n
  2. JAKIE MECHANIZMY UWIERZYTELNIAJ\u0104CE CYBERPRZEST\u0118PCY ATAKUJ\u0104 NAJCZ\u0118\u015aCIEJ<\/span><\/strong><\/li>\n
  3. JAKIE B\u0141\u0118DY NAJCZ\u0118\u015aCIEJ POPE\u0141NIAJ\u0104 ADMINISTRATORZY<\/span><\/strong><\/li>\n
  4. JAKIE KONSEKWENCJE DLA BEZPIECZE\u0143STWA IT ORGANIZACJI MAJ\u0104 B\u0141\u0118DY POPE\u0141NIANE PRZEZ ADMINISTRATOR\u00d3W<\/span><\/strong><\/li>\n<\/ol>\n<\/td>\n<\/tr>\n<\/thead>\n<\/table>\n

    Jest kilka powod\u00f3w, dla kt\u00f3rych pomy\u0142ki lub zaniedbania administrator\u00f3w powinny by\u0107 szczeg\u00f3lnie brane pod uwag\u0119 podczas analizy ryzyka IT. Po pierwsze, osoby zarz\u0105dzaj\u0105ce rozwi\u0105zaniami IT maj\u0105 z racji pe\u0142nionych obowi\u0105zk\u00f3w du\u017co wi\u0119ksze uprawnienia, pozwalaj\u0105ce cz\u0119sto nie tylko na pe\u0142n\u0105 kontrol\u0119 nad systemami, ale tak\u017ce na ukrycie \u015blad\u00f3w ewentualnych incydent\u00f3w. Po drugie, administratorzy cz\u0119sto przekonani s\u0105 o tym, \u017ce b\u0142\u0119dy bezpiecze\u0144stwa pope\u0142niaj\u0105 u\u017cytkownicy a informatyk\u00f3w te problemy zwyczajnie nie dotycz\u0105. Po trzecie, cyberprzest\u0119pcy ch\u0119tnie wykorzystuj\u0105 b\u0142\u0119dy pope\u0142niane przez specjalist\u00f3w IT \u2013 to szybki i efektywny kosztowo spos\u00f3b pokonania mechanizm\u00f3w uwierzytelniaj\u0105cych atakowanej firmy. Te powody sprawiaj\u0105, \u017ce warto przyjrze\u0107 si\u0119 b\u0142\u0119dom najcz\u0119\u015bciej pope\u0142nianym przez administrator\u00f3w.<\/span><\/p>\n

    Nasze has\u0142a s\u0105 bezpieczne<\/h2>\n

    Has\u0142a s\u0105 jednym z podstawowych mechanizm\u00f3w zapewniaj\u0105cych bezpiecze\u0144stwo danych. Prawid\u0142owe ich tworzenie, przechowywanie, zarz\u0105dzanie i u\u017cywanie stanowi\u0105 jednak spore wyzwanie – tak\u017ce dla administrator\u00f3w.<\/span><\/p>\n

    Polscy informatycy do tej pory pami\u0119taj\u0105 wykradzione przez w\u0142amywaczy has\u0142o broni\u0105ce dost\u0119pu do oficjalnej strony internetowej Kancelarii Premiera RP, \u201eadmin1\u201d. Podobne trywialne has\u0142a cz\u0119sto padaj\u0105 ofiarami automat\u00f3w skanuj\u0105cych Internet i odgaduj\u0105cych has\u0142a do popularnych us\u0142ug takich jak SSH (ang. secure shell<\/em> czyli standard protoko\u0142\u00f3w komunikacyjnych u\u017cywanych w sieciach komputerowych TCP\/IP) czy RDP (ang. Remote Desktop Protocol<\/em> – protok\u00f3\u0142 pozwalaj\u0105cy na komunikacj\u0119 z us\u0142ug\u0105 terminala graficznego w Microsoft Windows).<\/span><\/p>\n

    Czasem administratorzy pozwalaj\u0105 sobie na ustawienie \u201ena chwilk\u0119\u201d prostego has\u0142a do us\u0142ugi dost\u0119pnej z zewn\u0105trz, zak\u0142adaj\u0105c, \u017ce nic z\u0142ego w tym czasie si\u0119 nie stanie. Niestety automaty skanuj\u0105ce sie\u0107 s\u0105 bardzo szybkie i natarczywe, co powoduje, \u017ce proste has\u0142o mo\u017ce zosta\u0107 sprawdzone w ci\u0105gu kilku sekund po jego ustawieniu. Nawet je\u015bli administrator po chwili ponownie ustawi bezpieczne has\u0142o, to na serwerze mo\u017ce by\u0107 ju\u017c zainstalowane z\u0142o\u015bliwe oprogramowanie.<\/span><\/p>\n

    Nie mamy w\u0142amywaczy w sieci wewn\u0119trznej<\/h2>\n

    Innym popularnym, lecz niebezpiecznym podej\u015bciem jest ustawianie prostych hase\u0142 w sieci wewn\u0119trznej firmy. Cze\u015b\u0107 administrator\u00f3w wychodzi z b\u0142\u0119dnego za\u0142o\u017cenia, \u017ce u\u017cytkownicy w firmowej sieci nie s\u0105 zagro\u017ceniem. O ile faktycznie rzadko zdarza si\u0119, by to pracownik w\u0142amywa\u0142 si\u0119 do wewn\u0119trznych system\u00f3w (cz\u0119\u015bciej wykorzystuj\u0105 oni ju\u017c posiadane dost\u0119py), to je\u015bli do firmowej sieci raz dostanie si\u0119 w\u0142amywacz, proste has\u0142a znacznie u\u0142atwiaj\u0105 mu uzyskanie dost\u0119pu do innych system\u00f3w i mog\u0105 znacz\u0105co zwi\u0119kszy\u0107 straty. W ograniczeniu tego zagro\u017cenia mo\u017ce pom\u00f3c separacja sieci wewn\u0119trznych, lecz nie oznacza to, \u017ce mo\u017cna w niej stosowa\u0107 \u0142atwiejsze has\u0142a.<\/span><\/p>\n

    Po co mi r\u00f3\u017cne has\u0142a<\/h2>\n

    Kolejnym grzechem administrator\u00f3w jest u\u017cywanie tych samych hase\u0142 w wielu r\u00f3\u017cnych miejscach. Do ogromnego wycieku danych u\u017cytkownik\u00f3w Dropboxa dosz\u0142o dlatego, \u017ce jeden z administrator\u00f3w u\u017cywa\u0142 tego samego has\u0142a w r\u00f3\u017cnych serwisach internetowych oraz do swojego firmowego konta na GitHubie. W podobny spos\u00f3b wykradziono dane klient\u00f3w Ubera. Przest\u0119pcy przegl\u0105daj\u0105 zbiory wykradzionych danych u\u017cytkownik\u00f3w r\u00f3\u017cnych serwis\u00f3w poszukuj\u0105c w nich profili administrator\u00f3w r\u00f3\u017cnych firm, licz\u0105c na to, \u017ce z u\u017cyciem ich prywatnych hase\u0142 b\u0119d\u0105 mogli dosta\u0107 si\u0119 tak\u017ce do zasob\u00f3w firmowych. W ten w\u0142a\u015bnie spos\u00f3b przej\u0119to nawet konto Marka Zuckerberga na Twitterze \u2013 u\u017cywa\u0142 tam tego samego has\u0142a, jakim pos\u0142ugiwa\u0142 si\u0119 w serwisie LinkedIn.<\/span><\/p>\n

    To tam by\u0142o domy\u015blne has\u0142o?<\/h2>\n

    Chyba najgorszym, ale niestety nadal cz\u0119sto spotykanym zaniedbaniem jest pozostawienie domy\u015blnych hase\u0142 dost\u0119pu ustawionych przez producenta sprz\u0119tu lub oprogramowania. W sieci \u0142atwo mo\u017cna znale\u017a\u0107 spisy takich domy\u015blnych ustawie\u0144, posortowane wed\u0142ug producent\u00f3w, modeli urz\u0105dze\u0144 czy rodzaj\u00f3w aplikacji. Pomini\u0119cie zmiany domy\u015blnego has\u0142a w procesie instalacji i konfiguracji urz\u0105dzenia lub aplikacji jest to\u017csame z wystawieniem go na skuteczne ataki nawet pocz\u0105tkuj\u0105cych w\u0142amywaczy. Szczeg\u00f3lnie urz\u0105dzenia dost\u0119pne z sieci publicznej z domy\u015blnymi has\u0142ami cz\u0119sto staj\u0105 si\u0119 cz\u0119\u015bci\u0105 botnet\u00f3w (grup\u0105 komputer\u00f3w zainfekowanych szkodliwym oprogramowaniem).<\/span><\/p>\n

    Trzymamy wszystko w Excelu lub notatniku<\/h2>\n

    Pi\u0105tym spo\u015br\u00f3d najpowa\u017cniejszych grzech\u00f3w administrator\u00f3w dotycz\u0105cych hase\u0142 jest nieprawid\u0142owe przechowywanie danych uwierzytelniaj\u0105cych. Czasem jednym z pierwszych (a tak\u017ce ostatnich) krok\u00f3w test\u00f3w penetracyjnych jest odnalezienie pliku tekstowego lub arkusza kalkulacyjnego zawieraj\u0105cego wszystkie has\u0142a ca\u0142ego zespo\u0142u administrator\u00f3w w jednym miejscu. Istnieje wiele narz\u0119dzi takich jak Dashlane<\/em> czy Keeper<\/em>, wspomagaj\u0105cych prawid\u0142owe szyfrowanie, zarz\u0105dzanie has\u0142ami. Ich stosowanie w \u015brodowiskach firmowych powinno by\u0107 norm\u0105, a nie wyj\u0105tkiem.<\/span><\/p>\n

    <\/p>\n

    Lepiej zapobiega\u0107 zawczasu<\/h2>\n

    Odkrycie wszystkich z\u0142ych praktyk dotycz\u0105cych hase\u0142 stosowanych w danej firmie nie jest prostym zadaniem. Mo\u017cna podej\u015b\u0107 do tego z kilku r\u00f3\u017cnych perspektyw. Po pierwsze, nale\u017cy stworzy\u0107 odpowiednie standardy i procedury opisuj\u0105ce tworzenie, przechowywanie i zarz\u0105dzanie has\u0142ami. Po drugie, warto okresowo przeprowadza\u0107 audyty oraz testy penetracyjne<\/a>, kt\u00f3re pomagaj\u0105 w wykryciu nieprawid\u0142owo\u015bci w stosowaniu procedur. Trzecim elementem mo\u017ce by\u0107 monitoring u\u017cycia hase\u0142 na poziomie systemu SIEM, pozwalaj\u0105cy na wykrycie anomalii mog\u0105cych stanowi\u0107 zagro\u017cenie bezpiecze\u0144stwa. Czwartym czynnikiem minimalizuj\u0105cym ryzyko i wartym rozwa\u017cenia jest wdro\u017cenie Web Application Firewall<\/a>, kt\u00f3ry pozwoli ograniczy\u0107 ryzyko prze\u0142amywania zabezpiecze\u0144 aplikacji WWW, w tym pr\u00f3b odgadywania hase\u0142.<\/span><\/p>\n

    Bezpiecze\u0144stwo hase\u0142 pozwala tak\u017ce znacz\u0105co podnie\u015b\u0107 wdro\u017cenie wielosk\u0142adnikowego uwierzytelnienia. Nie zapominajmy tak\u017ce o zasadzie ograniczonego zaufania, kt\u00f3ra obowi\u0105zuje tak\u017ce w przypadku administrator\u00f3w. W ich przypadku warto rozwa\u017cy\u0107 u\u017cycie system\u00f3w zarz\u0105dzania uprzywilejowanymi kontami oraz u\u017cytkownikami, pozwalaj\u0105cych na ewidencjonowanie oraz monitorowanie zasadno\u015bci przeprowadzanych przez nich operacji.<\/span><\/p>\n

    Podsumowanie<\/h3>\n

    Przypomnijmy najwa\u017cniejsze zalecenia dotycz\u0105ce hase\u0142:<\/span><\/p>\n