{"id":31957,"date":"2019-01-01T09:01:00","date_gmt":"2019-01-01T08:01:00","guid":{"rendered":"https:\/\/biznes.t-mobile.pl\/najczestsze-bledy-popelniane-przez-administratorow-konfiguracja"},"modified":"2024-11-14T21:55:08","modified_gmt":"2024-11-14T20:55:08","slug":"najczestsze-bledy-popelniane-przez-administratorow-konfiguracja","status":"publish","type":"post","link":"https:\/\/biznes.t-mobile.pl\/pl\/najczestsze-bledy-popelniane-przez-administratorow-konfiguracja","title":{"rendered":"Najcz\u0119stsze b\u0142\u0119dy pope\u0142niane przez administrator\u00f3w – konfiguracja"},"content":{"rendered":"\n\n\n
\n

Z TEGO ARTYKU\u0141U DOWIESZ SI\u0118:<\/span><\/strong><\/h2>\n
    \n
  1. JAK WA\u017bNE DLA KA\u017bDEJ ORGANIZACJI JEST PRAWID\u0141OWA KONFIGURACJA SERWERA CZY APLIKACJI<\/span><\/strong><\/li>\n
  2. JAKIE S\u0104 PODSTAWOWE ZASADY BEZPIECZE\u0143STWA ZASOB\u00d3W FIRMY<\/span><\/strong><\/li>\n
  3. JAKIE SKUTKI NIESIE ZE SOB\u0104 DOMY\u015aLNA KONFIGURACJA SERWERA CZY APLIKACJI<\/span><\/strong><\/li>\n
  4. CZYM GROZI NIEWYCOFANIE Z U\u017bYTKOWANIA STARYCH WERSJI OPROGRAMOWANIA CZY NIEPOTRZEBNYCH PLIK\u00d3W NA SERWERACH<\/span> <\/strong><\/li>\n
  5. JAKIE S\u0104 NAJWA\u017bNIEJSZE ZALECENIA DOTYCZ\u0104CE DBANIA O PRAWID\u0141OW\u0104 KONFIGURACJ\u0118 SYSTEM\u00d3W I APLIKACJI<\/span><\/strong><\/li>\n<\/ol>\n<\/td>\n<\/tr>\n<\/thead>\n<\/table>\n

    Celem prawid\u0142owej konfiguracji serwera czy aplikacji jest ograniczenie mo\u017cliwo\u015bci atak\u00f3w i utrudnienie zadania napastnikom. Aby zapewni\u0107 w\u0142a\u015bciwy poziom ochrony zasob\u00f3w organizacji niezb\u0119dne jest przestrzeganie podstawowych zasad bezpiecze\u0144stwa takich jak udost\u0119pnianie informacji tylko tym u\u017cytkownikom, kt\u00f3rzy ich potrzebuj\u0105 czy usuwanie niepotrzebnych komponent\u00f3w \u015brodowiska IT. Do\u015bwiadczenie pokazuje jednak, \u017ce nie jest to proste.<\/span><\/p>\n

    Domy\u015blne konfiguracje<\/h2>\n

    Mimo du\u017cego post\u0119pu w tym obszarze nadal wielu dostawc\u00f3w us\u0142ug czy oprogramowania nie zapewnia domy\u015blnie ich bezpiecznej konfiguracji. Prawid\u0142owe ustawienie zasad dost\u0119pu pozostaje zadaniem klienta, kt\u00f3ry nie zawsze potrafi mu podo\u0142a\u0107, co powoduje tysi\u0105ce incydent\u00f3w wyciek\u00f3w informacji rocznie.<\/span><\/p>\n

    Jednym z najcz\u0119\u015bciej spotykanych scenariuszy jest udost\u0119pnienie ca\u0142emu \u015bwiatu repozytori\u00f3w danych w us\u0142ugach chmurowych takich jak np. AWS. Taki b\u0142\u0105d by\u0142 powodem ujawnienia danych polskiej firmy po\u015brednicz\u0105cej w rozliczaniu zdarze\u0144 ubezpieczeniowych, ale tak\u017ce ameryka\u0144skich firm zbrojeniowych czy urz\u0119d\u00f3w. Z kolei udost\u0119pnianie w sieci baz MongoDB w domy\u015blnej konfiguracji bez has\u0142a zaowocowa\u0142o masowymi atakami ransomware, gdzie napastnicy szyfrowali lub usuwali dane i \u017c\u0105dali okupu za ich odzyskanie.<\/span><\/p>\n

    Tak\u017ce domy\u015blna konfiguracja bramek VoIP sta\u0142a za stratami id\u0105cymi w miliony euro, gdy przest\u0119pcy wykorzystali cudze urz\u0105dzenia do generowania wysokop\u0142atnych po\u0142\u0105cze\u0144. Skanowanie sieci pod k\u0105tem podobnych b\u0142\u0119d\u00f3w jest ulubionym zaj\u0119ciem wielu w\u0142amywaczy.<\/span><\/p>\n

    Zapomniane serwery, us\u0142ugi i systemy<\/h2>\n

    O ile w przypadku uruchamiania lub aktualizacji nowych us\u0142ug czy system\u00f3w z regu\u0142y kto\u015b pilnuje, czy ju\u017c wystartowa\u0142y, o tyle ich wycofanie z u\u017cytkowania cz\u0119sto przebiega bez nadzoru i nikomu nie zale\u017cy na ich ostatecznym wy\u0142\u0105czeniu. Mog\u0105 temu zaradzi\u0107 zar\u00f3wno dobre procedury jak i dedykowane narz\u0119dzia wspieraj\u0105ce proces inwentaryzacji zasob\u00f3w IT.<\/span><\/p>\n

    Podobny problem dotyczy starych wersji oprogramowania i niepotrzebnych plik\u00f3w na serwerach. W trakcie test\u00f3w penetracyjnych nie raz mo\u017cna znale\u017a\u0107 na serwerze WWW kopie bazy danych sprzed kilku lub kilkunastu miesi\u0119cy, kt\u00f3r\u0105 administrator wystawi\u0142 do pobrania, a po pobraniu zapomnia\u0142 usun\u0105\u0107.<\/span><\/p>\n

    Innym cz\u0119sto spotykanym problemem jest publiczne udost\u0119pnianie testowych lub deweloperskich wersji aplikacji. Taki incydent dotkn\u0105\u0142 m.in. system wyborczy w Polsce kilka lat temu. Z kolei w\u0142\u0105czona rozszerzona diagnostyka b\u0142\u0119d\u00f3w, pomocna w ustalaniu przyczyn problem\u00f3w technicznych, mo\u017ce pom\u00f3c w\u0142amywaczom w uzyskaniu dost\u0119pu do informacji dla nich nieprzeznaczonych. Taki incydent mia\u0142 miejsce w popularnym polskim serwisie Kinoman, gdzie komunikat o b\u0142\u0119dzie bazy danych ujawnia\u0142 login i has\u0142o jej administratora. Warto tu zaznaczy\u0107, \u017ce problem zarz\u0105dzania has\u0142ami pomagaj\u0105 rozwi\u0105za\u0107 dedykowane narz\u0119dzia, wymuszaj\u0105ce przestrzeganie polityk bezpiecze\u0144stwa w tym obszarze.<\/span><\/p>\n

    Zarz\u0105dzanie dost\u0119pem<\/h2>\n

    Przest\u0119pcy ch\u0119tnie wykorzystuj\u0105 tak\u017ce nieprawid\u0142owo skonfigurowane prawa dost\u0119pu. Brak ogranicze\u0144 przeciwko pr\u00f3bom odgadywania has\u0142a znacz\u0105co u\u0142atwia ataki typu bruteforce, gdzie w\u0142amywacze testuj\u0105 r\u00f3\u017cne kombinacje login\u00f3w i hase\u0142, a\u017c znajd\u0105 prawid\u0142owe. Listy najpopularniejszych hase\u0142 s\u0105 publicznie dost\u0119pne w internecie i przest\u0119pcy cz\u0119sto z nich korzystaj\u0105.<\/span><\/p>\n

    Z kolei w trakcie pr\u00f3b ustalania przyczyn problem\u00f3w z \u0142\u0105czno\u015bci\u0105 sieciow\u0105 do\u015b\u0107 popularnym krokiem jest \u0142agodzenie regu\u0142 firewalla<\/a>, a\u017c do ca\u0142kowitego przepuszczenia ruchu bez \u017cadnej kontroli. Niestety zdarza si\u0119, \u017ce taka konfiguracja pozostaje na urz\u0105dzeniu d\u0142u\u017cej, ni\u017c jest to potrzebne, u\u0142atwiaj\u0105c zadanie przest\u0119pcom. Taki incydent przydarzy\u0142 si\u0119 nawet jednemu z producent\u00f3w firewalli, a problemy z w\u0142a\u015bciw\u0105 konfiguracj\u0105 regu\u0142 zabezpieczenia sieci le\u017ca\u0142y u podstaw niedawnej powa\u017cnej awarii system\u00f3w na lotnisku Ok\u0119cie.<\/span><\/p>\n

    Programi\u015bci kontra administratorzy<\/h2>\n

    Problem\u00f3w z konfiguracj\u0105 serwer\u00f3w czy aplikacji nie \u0142agodz\u0105 cz\u0119ste konflikty na linii programi\u015bci \u2013 administratorzy. Szybkie tempo rozwoju aplikacji, cz\u0119sto przy u\u017cyciu gotowych modu\u0142\u00f3w dost\u0119pnych w sieci, trudno pogodzi\u0107 z zapisami procedur zarz\u0105dzania systemami. Je\u015bli obie strony nie potrafi\u0105 doj\u015b\u0107 do porozumienia, cz\u0119sto ko\u0144czy si\u0119 to powstaniem \u201ealternatywnego IT\u201d, bez oficjalnego wsparcia dzia\u0142\u00f3w do tego dedykowanych, co nie wp\u0142ywa pozytywnie na poziom bezpiecze\u0144stwa ca\u0142ej organizacji.<\/span><\/p>\n

    Lepiej zapobiega\u0107 zawczasu<\/h2>\n

    Jak przeciwdzia\u0142a\u0107 podobnym problemom? Bez w\u0105tpienia w\u0142a\u015bciwie skonstruowane i wdro\u017cone procedury s\u0105 podstawowym elementem bezpiecze\u0144stwa. Z uwagi jednak na stopie\u0144 skomplikowania problemu warto tak\u017ce zapewni\u0107 mechanizmy monitorowania sieci i nietypowych sytuacji takie jak Security Operations Center<\/a> oraz mechanizmy prewencji, takie jak odpowiednio skonfigurowane i zarz\u0105dzanie firewalle sieciowe oraz aplikacyjne. W ocenie stanu rzeczy pomog\u0105 tak\u017ce testy penetracyjne.<\/span><\/p>\n

    Podsumowanie<\/h2>\n

    Przypomnijmy najwa\u017cniejsze zalecenia dotycz\u0105ce dbania o prawid\u0142ow\u0105 konfiguracj\u0119 system\u00f3w i aplikacji:<\/span><\/p>\n