{"id":31961,"date":"2019-01-01T09:01:00","date_gmt":"2019-01-01T08:01:00","guid":{"rendered":"https:\/\/biznes.t-mobile.pl\/najczestsze-bledy-popelniane-przez-administratorow-ataki-ukierunkowane"},"modified":"2025-06-04T15:47:06","modified_gmt":"2025-06-04T13:47:06","slug":"najczestsze-bledy-popelniane-przez-administratorow-ataki-ukierunkowane","status":"publish","type":"post","link":"https:\/\/biznes.t-mobile.pl\/pl\/najczestsze-bledy-popelniane-przez-administratorow-ataki-ukierunkowane","title":{"rendered":"Najcz\u0119stsze b\u0142\u0119dy pope\u0142niane przez administrator\u00f3w – ataki ukierunkowane"},"content":{"rendered":"\n\n\n
Z TEGO ARTYKU\u0141U DOWIESZ SI\u0118:<\/span><\/strong><\/strong>

<\/p>\n

    \n
  1. DLACZEGO ADMINISTRATORZY S\u0104 ATRAKCYJNYM CELEM DLA CYBERPRZEST\u0118PC\u00d3W <\/span> <\/strong><\/li>\n
  2. W JAKI SPOS\u00d3B NAJCZ\u0118\u015aCIEJ ATAKOWANI S\u0104 ADMINISTRATORZY <\/span><\/strong><\/li>\n
  3. CO MO\u017bE POM\u00d3C W MINIMALIZACJI SKUTK\u00d3W CYBERATAK\u00d3W NA ADMINISTRATOR\u00d3W <\/span><\/strong><\/li>\n<\/ol>\n<\/td>\n<\/tr>\n<\/thead>\n<\/table>\n

    Ataki ukierunkowane<\/h2>\n

    Jednym z najlepszych przyk\u0142ad\u00f3w tego, co mo\u017ce spotka\u0107 administrator\u00f3w firmowych system\u00f3w, jest historia ataku na firm\u0119 Bitstamp, prowadz\u0105c\u0105 jedn\u0105 z najwi\u0119kszych gie\u0142d kryptowalut.1<\/sup> W wyniku skutecznych dzia\u0142a\u0144 przest\u0119pc\u00f3w gie\u0142da straci\u0142a 18 000 bitcoin\u00f3w, w momencie kradzie\u017cy wartych ponad 5 milion\u00f3w dolar\u00f3w. Cyberprzest\u0119pcy bardzo drobiazgowo przygotowali si\u0119 do ataku i na d\u0142ugo przed nim przeprowadzili dok\u0142adn\u0105 inwigilacj\u0119 pracownik\u00f3w firmy, czego efektem by\u0142o poddanie ich pr\u00f3bom infekcji. I tak mi\u0142o\u015bnik muzyki typu punk rock otrzyma\u0142 zaproszenie na festiwal, na kt\u00f3rym mia\u0142y zagra\u0107 jego ulubione zespo\u0142y. Prezes firmy, kt\u00f3ry kiedy\u015b pracowa\u0142 jako dziennikarz, dosta\u0142 do recenzji artyku\u0142 prasowy, po\u015bwi\u0119cony interesuj\u0105cej go tematyce. Z kolei pracownik, kt\u00f3ry kr\u00f3tko przed atakiem odszed\u0142 z innej firmy, by pracowa\u0107 w Bitstampie, zosta\u0142 poproszony o wype\u0142nienie ankiety dotycz\u0105cej poprzedniego pracodawcy. Mimo przej\u0119cia kontroli nad kilkoma firmowymi komputerami przest\u0119pcy nie uzyskali jednak dost\u0119pu do g\u0142\u00f3wnego portfela firmy. Dopiero skuteczny atak na g\u0142\u00f3wnego administratora, kt\u00f3ry otrzyma\u0142 zaproszenie do presti\u017cowego stowarzyszenia bran\u017cowego, pozwoli\u0142 napastnikom na kradzie\u017c pieni\u0119dzy. W ka\u017cdym przypadku ataki trwa\u0142y wiele dni i polega\u0142y zar\u00f3wno na konwersacjach na Skype, jak i wymianie poczty elektronicznej. Jak wida\u0107 na powy\u017cszym przyk\u0142adzie skuteczne przeciwstawienie si\u0119 zdeterminowanemu napastnikowi nie jest \u0142atwym zadaniem. Nawet dla do\u015bwiadczonych administrator\u00f3w.<\/span><\/p>\n

    Ile kosztuje atak<\/h2>\n

    Cho\u0107 w przypadku atak\u00f3w socjotechnicznych trudno znale\u017a\u0107 dobry punkt odniesienia, to ataki na systemy operacyjne i aplikacje mo\u017cna do\u015b\u0107 prosto por\u00f3wna\u0107. Dobrym przyk\u0142adem mo\u017ce by\u0107 tutaj cennik firmy Zerodium, kt\u00f3ra skupuje r\u00f3\u017cne metody atak\u00f3w (p\u00f3\u017aniej je odsprzedaj\u0105c z odpowiedni\u0105 mar\u017c\u0105) i publikuje w sieci swoje cenniki.2<\/sup> Ataki na domowe routery czy popularne fora internetowe kosztuj\u0105 10 tysi\u0119cy dolar\u00f3w. Skuteczne ataki na Adobe Readera, Safari czy Firefoxa to koszt ju\u017c 80 tysi\u0119cy dolar\u00f3w, podczas kiedy mo\u017cliwo\u015b\u0107 wykonania dowolnego kodu na najnowszym iPhonie bez udzia\u0142u u\u017cytkownika kosztowa\u0107 b\u0119dzie a\u017c p\u00f3\u0142tora miliona dolar\u00f3w. Podobny atak na platform\u0119 Windows przyniesie jego odkrywcy p\u00f3\u0142 miliona dolar\u00f3w. <\/span><\/p>\n

    Aktualizacje oprogramowania<\/h2>\n

    Czasem ataki wymierzone w administrator\u00f3w s\u0105 nad wyraz trudne do wykrycia i mog\u0105 przyjmowa\u0107 posta\u0107 z\u0142o\u015bliwej aktualizacji oprogramowania. Tak by\u0142o w przypadku narz\u0119dzia XManager, s\u0142u\u017c\u0105cego do zarz\u0105dzania serwerami.3<\/sup> Przest\u0119pcy przej\u0119li kontrol\u0119 nad infrastruktur\u0105 producenta tej aplikacji i dodali sw\u00f3j w\u0142asny kod do kolejnej jej wersji. G\u0142\u00f3wnym zadaniem z\u0142o\u015bliwego oprogramowania by\u0142o informowanie jego autor\u00f3w o udanej infekcji oraz zbieranie informacji o zara\u017conym \u015brodowisku. Z uwagi na fakt, \u017ce by\u0142o to narz\u0119dzie administracyjne, dzia\u0142a\u0142o zawsze z wysokimi uprawnieniami, pozwalaj\u0105c przest\u0119pcom na sprawn\u0105 realizacj\u0119 ich cel\u00f3w. <\/span><\/p>\n

    <\/p>\n

    Innym podobnym przypadkiem by\u0142a infekcja oprogramowania EvLog, u\u017cywanego przez administrator\u00f3w do analizy log\u00f3w systemowych. W tym incydencie skutecznie zainfekowane zosta\u0142y dziesi\u0105tki firm i organizacji z ca\u0142ego \u015bwiata, a przest\u0119pcy uzyskali dost\u0119p do interesuj\u0105cych ich uprawnie\u0144.4<\/sup> Tego rodzaju ataki s\u0105 szczeg\u00f3lnie niebezpieczne, poniewa\u017c pozostawiaj\u0105 niewiele \u015blad\u00f3w w systemach ofiary. Ich wykrycie mo\u017cliwe jest najcz\u0119\u015bciej tylko dzi\u0119ki wnikliwemu monitorowaniu ruchu sieciowego zara\u017conej organizacji. <\/span><\/p>\n

    Z\u0142o\u015bliwe aktualizacje<\/h2>\n

    Omawiaj\u0105c temat aktualizacji oprogramowania nie spos\u00f3b nie wspomnie\u0107 o atakach, w kt\u00f3rych wektorem ataku by\u0142y z\u0142o\u015bliwe, zmodyfikowane przez przest\u0119pc\u00f3w aktualizacje oprogramowania u\u017cywanego przez wiele firm na ca\u0142ym \u015bwiecie. Takimi przyk\u0142adami mog\u0105 by\u0107 niedawne incydenty NotPetya czy CCleanera, gdzie dzi\u0119ki przej\u0119ciu kontroli nad serwerem aktualizacji przest\u0119pcy mogli w niezauwa\u017calny dla u\u017cytkownik\u00f3w spos\u00f3b infekowa\u0107 miliony komputer\u00f3w. Te ataki mog\u0105 stanowi\u0107 istotne zagro\u017cenie i by\u0107 argumentem przeciwko regularnemu aktualizowaniu aplikacji. Nale\u017cy jednak zauwa\u017cy\u0107, \u017ce ryzyka, wynikaj\u0105ce z u\u017cywania nieaktualnych aplikacji, znacznie przewy\u017cszaj\u0105 te p\u0142yn\u0105ce z ich regularnego aktualizowania. Ataki na nieaktualne aplikacje trudno nawet zliczy\u0107, podczas gdy ataki z\u0142o\u015bliwych aktualizacji to nadal pojedyncze incydenty w skali roku. <\/span><\/p>\n

    Zarz\u0105dzanie uprawnieniami<\/h2>\n

    Warto pami\u0119ta\u0107, \u017ce im prostsza i \u0142atwiejsza jest praca administratora, tym prostsze b\u0119dzie zadanie potencjalnego w\u0142amywacza. Administratorzy, korzystaj\u0105cy z jednego konta z wysokimi uprawnieniami do wszystkich swoich zada\u0144, bardzo u\u0142atwiaj\u0105 prac\u0119 atakuj\u0105cym. Wystarczy, \u017ce napastnik uzyska dost\u0119p do dowolnego komputera, na kt\u00f3rym wcze\u015bniej logowa\u0142 si\u0119 administrator (a komputer nie zosta\u0142 od tamtej pory ponownie uruchomiony) i nawet z poziomu zwyk\u0142ego u\u017cytkownika b\u0119dzie m\u00f3g\u0142 pr\u00f3bowa\u0107 odczyta\u0107 z pami\u0119ci komputera po\u015bwiadczenia administratora. S\u0142u\u017cy do tego bardzo skuteczne narz\u0119dzie Mimikatz, u\u017cywane regularnie zar\u00f3wno przez pentester\u00f3w jak i w\u0142amywaczy. Ryzyko takiego ataku ograniczy\u0107 mo\u017ce u\u017cywanie r\u00f3\u017cnych kont do r\u00f3\u017cnych cel\u00f3w.<\/span><\/p>\n

    Czynno\u015bci administratora serwera nie zawsze wymagaj\u0105 uprawnie\u0144 administratora domeny, a spor\u0105 cz\u0119\u015b\u0107 pracy administrator mo\u017ce wykona\u0107 z uprawnieniami zwyk\u0142ego u\u017cytkownika. Warto zadba\u0107 o to, by poziom u\u017cywanych uprawnie\u0144 by\u0142 zawsze proporcjonalny do wykonywanych zada\u0144 \u2013 utrzymywanie takiej higieny pracy znacz\u0105co skomplikuje \u017cycie potencjalnego napastnika. Nale\u017cy tak\u017ce pami\u0119ta\u0107 o monitorowaniu wszystkich czynno\u015bci wykonywanych przez administrator\u00f3w. Ich rejestrowanie powinno przebiega\u0107 w taki spos\u00f3b, by sami administratorzy nie mogli modyfikowa\u0107 tych zapis\u00f3w. Warto tak\u017ce wprowadzi\u0107 mechanizmy wykrywania i analizy ewentualnych anomalii, takich jak chocia\u017cby logowania poza tradycyjnymi godzinami pracy. W realizacji tych zada\u0144 bez dodatkowego obci\u0105\u017cania istniej\u0105cego zespo\u0142u mo\u017ce pom\u00f3c zewn\u0119trzna us\u0142uga SOC<\/a>.<\/span><\/p>\n

    Podsumowanie<\/h3>\n

    Administratorzy stanowi\u0105 bardzo atrakcyjny cel dla przest\u0119pc\u00f3w. W dbaniu o w\u0142a\u015bciwy poziom bezpiecze\u0144stwa ich pracy pomo\u017ce przestrzeganie poni\u017cszych zalece\u0144: <\/span><\/p>\n