{"id":32043,"date":"2020-10-12T08:00:06","date_gmt":"2020-10-12T06:00:06","guid":{"rendered":"https:\/\/biznes.t-mobile.pl\/przezorny-zawsze-zaudytowany"},"modified":"2021-04-26T14:02:27","modified_gmt":"2021-04-26T12:02:27","slug":"przezorny-zawsze-zaudytowany","status":"publish","type":"post","link":"https:\/\/biznes.t-mobile.pl\/pl\/przezorny-zawsze-zaudytowany","title":{"rendered":"Przezorny zawsze zaudytowany"},"content":{"rendered":"\n\n\n
Z TEGO ARTYKU\u0141U DOWIESZ SI\u0118:<\/span><\/strong><\/strong>

<\/p>\n

    \n
  1. JAK WZRASTAJ\u0104CE ZAGRO\u017bENIA WP\u0141YWAJ\u0104 NA ZAINTERESOWANIE US\u0141UGAMI AUDYTU BEZPIECZE\u0143STWA?<\/span><\/strong><\/li>\n
  2. JAKIE ATAKI MIA\u0141Y MIEJSCE NA FIRMY W PIERWSZEJ PO\u0141OWIE 2020 ROKU?<\/span><\/strong><\/li>\n
  3. CZY FIRMY Z SEKTORA M\u015aP W POLSCE TAK\u017bE NARA\u017bONE S\u0104 NA CYBERATAKI?<\/span><\/strong><\/li>\n
  4. CZYM S\u0104 PENTESTY I Z KIM NALE\u017bY JE PRZEPROWADZI\u0106?<\/span><\/strong><\/li>\n
  5. W JAKI SPOS\u00d3B TESTOWANE S\u0104 ZABEZPIECZENIA PRZEDSI\u0118BIORSTW?<\/span><\/strong><\/li>\n<\/ol>\n<\/td>\n<\/tr>\n<\/thead>\n<\/table>\n

    MarketsandMarkets Research przewiduje, \u017ce warto\u015b\u0107 globalnego rynku test\u00f3w penetracyjnych wzro\u015bnie z 1,7 mld USD w 2020 r. do 4,5 mld USD do 2025 r., co oznacza \u015bredni roczny wzrost (CAGR) na poziomie 21,8%1<\/sup>. Zdaniem analityk\u00f3w g\u0142\u00f3wnymi czynnikami nap\u0119dzaj\u0105cymi ten rynek b\u0119d\u0105 przedsi\u0119biorstwa szukaj\u0105ce luk w ochronie danych i wdra\u017caj\u0105ce zabezpieczenia wynikaj\u0105ce ze zwi\u0119kszonego zagro\u017cenia cyberatakami. <\/span><\/p>\n

    Przybywa zagro\u017ce\u0144 dla bezpiecze\u0144stwa danych<\/h2>\n

    Ataki na firmy s\u0105 coraz cz\u0119stsze i kosztuj\u0105 coraz wi\u0119cej. W ostatnich miesi\u0105cach mia\u0142o miejsce kilka spektakularnych cyberatak\u00f3w na znane firmy. Pod koniec lipca 2020 u\u017cytkownicy urz\u0105dze\u0144 Garmin zostali w przykry spos\u00f3b dotkni\u0119ci utrat\u0105 dost\u0119pu do us\u0142ug na platformie Garmin Connect2<\/sup>. Tu\u017c po odkryciu problem\u00f3w zacz\u0119to si\u0119 domy\u015bla\u0107, \u017ce Garmin m\u00f3g\u0142 pa\u015b\u0107 ofiar\u0105 haker\u00f3w. Spekulacje te potwierdzi\u0142o BBC, wed\u0142ug kt\u00f3rego firma zosta\u0142a zaatakowana oprogramowaniem ransomware, szyfruj\u0105cym dane na komputerach i blokuj\u0105cym do nich dost\u0119p. Cyberprzest\u0119pcy \u2013 grupa Evil Corp – mieli pos\u0142ugiwa\u0107 si\u0119 narz\u0119dziami ransomware WastedLocker, a w zamian za podanie klucza deszyfruj\u0105cego dane w systemie za\u017c\u0105dali 10 mln. USD okupu. Garmin nie potwierdzi\u0142 oficjalnie, \u017ce zap\u0142aci\u0142 hakerom \u017c\u0105dany okup zapewniaj\u0105c, \u017ce dane u\u017cytkownik\u00f3w nie wpad\u0142y w niepowo\u0142ane r\u0119ce. <\/span><\/p>\n

    Kolejn\u0105 firm\u0105, kt\u00f3ra w podobnym czasie mia\u0142a pa\u015b\u0107 ofiar\u0105 ransomware by\u0142 Canon3<\/sup>. Wed\u0142ug doniesie\u0144 BleepingComputer przest\u0119pcom uda\u0142o si\u0119 unieruchomi\u0107 m.in. wewn\u0119trzne komunikatory i systemy, emaile oraz cz\u0119\u015b\u0107 serwer\u00f3w. Wed\u0142ug informacji pozyskanych przez media przest\u0119pcy mogli wykra\u015b\u0107 tak\u017ce dane \u2013 oko\u0142o 10TB informacji, ujawnieniem kt\u00f3rych firma Canon mia\u0142a by\u0107 szanta\u017cowana. Warto podkre\u015bli\u0107, \u017ce ataki hakerskie nie dotycz\u0105 wy\u0142\u0105cznie du\u017cych i znanych firm. Bardzo cz\u0119sto to w\u0142a\u015bnie niedostatecznie zabezpieczone firmy \u015brednie i ma\u0142e padaj\u0105 ofiar\u0105 przest\u0119pc\u00f3w. Wed\u0142ug raportu na temat bezpiecze\u0144stwa cybernetycznego MSP, opracowanego przez Ponemon Institute na zlecenie Keeper w 2019 roku na ca\u0142ym \u015bwiecie 69%4<\/sup> ma\u0142ych i \u015brednich przedsi\u0119biorstw do\u015bwiadczy\u0142o cyberataku w wyniku prze\u0142amania systemu wykrywania zagro\u017ce\u0144. W 2019 \u015bredni koszt ataku hackerskiego w firmach M\u015aP wynosi\u0142 1,9 mln USD, w por\u00f3wnaniu do 1,24 mln w 2018. Warto pami\u0119ta\u0107, \u017ce polskie firmy nie s\u0105 odseparowane od sieci, od globalnej gospodarki oraz co za tym idzie \u2013 od zainteresowania grup przest\u0119pczych. Omawiane zagro\u017cenia jak najbardziej dotycz\u0105 zatem r\u00f3wnie\u017c rodzimych firm, a incydenty z nimi zwi\u0105zane maj\u0105 miejsce codziennie.<\/span><\/p>\n

    Po co s\u0105 pentesty, jak je wykonywa\u0107?<\/h2>\n

    Bez przeprowadzenia test\u00f3w penetracyjnych nie da si\u0119 stwierdzi\u0107, czy firma jest w\u0142a\u015bciwie zabezpieczona przed atakami z zewn\u0105trz i co stanowi jej pi\u0119t\u0119 achillesow\u0105, jak\u0105 drog\u0105 atakuj\u0105cy mog\u0105 przenikn\u0105\u0107 do wn\u0119trza organizacji i ukra\u015b\u0107 jej dane lub unieruchomi\u0107 kluczowe dla jej dzia\u0142ania serwisy. Dopiero audyt po\u0142\u0105czony z pentestami<\/a> jest w stanie unaoczni\u0107 wszelkie luki w bezpiecze\u0144stwie organizacji.<\/span><\/p>\n

    Rezerwa ze strony niekt\u00f3rych organizacji przed udost\u0119pnieniem swojej infrastruktury do cel\u00f3w audytu i test\u00f3w penetracyjnych wynika w g\u0142\u00f3wnej mierze z obawy o to, by efekty dzia\u0142a\u0144 grupy hacker\u00f3w weryfikuj\u0105cych stan zabezpiecze\u0144 nie wydosta\u0142y si\u0119 z organizacji i nie trafi\u0142y w r\u0119ce os\u00f3b niepowo\u0142anych. Wra\u017cliwe s\u0105 zar\u00f3wno same dane, kt\u00f3re mog\u0105 by\u0107 pozyskane w wyniku test\u00f3w, jak i informacje o lukach w zabezpieczeniach. Obawy te musz\u0105 zosta\u0107 rozwiane. Przedsi\u0119biorstwo, kt\u00f3re poddaje si\u0119 badaniom bezpiecze\u0144stwa powinno mie\u0107 pewno\u015b\u0107, \u017ce ma do czynienia z profesjonalistami i nie grozi mu ze strony etycznych hacker\u00f3w \u017cadne niebezpiecze\u0144stwo zwi\u0105zane z ujawnieniem danych i kompromitacj\u0105 wizerunkow\u0105. Jak tego dokona\u0107? Wa\u017cnym elementem mog\u0105cym przekona\u0107 o nale\u017cytej staranno\u015bci firmy przeprowadzaj\u0105cej audyt bezpiecze\u0144stwa mog\u0105 okaza\u0107 si\u0119 certyfikaty posiadane przez pracownik\u00f3w firmy wykonuj\u0105cej audyt, takie jak CISSP (Certified Information Systems Security Professional), CSSLP (Certified Secure Software Lifecycle Professional), CISM (Certified Information Security Manager), CompTIA Security+, QUALYS Certified Specialist, CEH (Certified Ethical Hacker) oraz OSCP (Offensive Security Certified Professional). Osoby mog\u0105ce wykaza\u0107 si\u0119 takimi certyfikatami posiadaj\u0105 nie tylko w\u0142a\u015bciwe kwalifikacje, ale tak\u017ce maj\u0105 za sob\u0105 lata do\u015bwiadcze\u0144 w pracy w bran\u017cy etycznego hackingu.<\/span><\/p>\n

    Jak wygl\u0105da testowanie zabezpiecze\u0144?<\/h2>\n

    Pentesty zazwyczaj rozpoczyna si\u0119 od identyfikacji przez hackera systemu docelowego, a nast\u0119pnie podejmowane s\u0105 przez niego dzia\u0142ania maj\u0105ce na celu wykrycie podatno\u015bci. Haker testuj\u0105cy zabezpieczenia firmy po\u015bwi\u0119ca czas na zbieranie danych, kt\u00f3re wykorzysta nast\u0119pnie do zaplanowania symulowanego ataku. Stosuje przy tym narz\u0119dzia, czyli oprogramowanie zaprojektowane do przeprowadzania atak\u00f3w typu brute-force (w\u0142amanie do systemu poprzez pr\u00f3by wielokrotnego \u201ezgadywania\u201d has\u0142a) lub SQL injection (skorzystanie z luk w bazach danych). Si\u0119ga si\u0119 tak\u017ce do technik in\u017cynierii spo\u0142ecznej pozwalaj\u0105cych znale\u017a\u0107 luki w procedurach organizacji. Stosowane s\u0105 do tego celu na przyk\u0142ad wiadomo\u015bci e-mail do pracownik\u00f3w pozwalaj\u0105ce na wy\u0142udzania informacji i uzyskania dost\u0119pu do sieci lub dost\u0119pu fizycznego do budynku. Po zako\u0144czeniu pr\u00f3b prze\u0142amania ochrony bezpiecze\u0144stwa haker stara si\u0119 ukry\u0107 \u015blady po swoich dzia\u0142aniach wewn\u0105trz organizacji. Usuwa m.in. oprogramowanie, kt\u00f3re zainstalowane zosta\u0142o przez niego wewn\u0105trz penetrowanej sieci. Zacieranie \u015blad\u00f3w pozwoli mu unikn\u0105\u0107 wykrycia i opu\u015bci\u0107 system docelowy w taki spos\u00f3b, jakby go tam nigdy nie by\u0142o. Na koniec sporz\u0105dzany jest raport z wnioskami na temat jako\u015bci i skuteczno\u015bci stosowanych przez firm\u0119 zabezpiecze\u0144.<\/span><\/p>\n

    Testy penetracyjne i audyty konieczne s\u0105 m.in. dlatego, i\u017c w systemie zabezpiecze\u0144 najs\u0142abszym ogniwem tradycyjnie jest cz\u0142owiek, a z drugiej strony to w\u0142a\u015bnie cz\u0142owiek jest w stanie najszybciej znale\u017a\u0107 ludzkie b\u0142\u0119dy. Nale\u017cy pami\u0119ta\u0107, \u017ce weryfikacj\u0119 zabezpiecze\u0144 organizacji nale\u017cy przeprowadza\u0107 cyklicznie, bo zmienia si\u0119 zar\u00f3wno technologia IT, sama organizacja, jak i jej otoczenie \u2013 ca\u0142y czas pojawiaj\u0105 si\u0119 nowe zagro\u017cenia, kt\u00f3re nale\u017cy bra\u0107 pod uwag\u0119. Testy zabezpiecze\u0144 warto robi\u0107 po ka\u017cdej istotnej zmianie kodu w aplikacji, czy zmianach w infrastrukturze bezpiecze\u0144stwa. Zesp\u00f3\u0142 przeprowadzaj\u0105cy audyt i testy penetracyjne musi zosta\u0107 w\u0142a\u015bciwie przeszkolony, pos\u0142ugiwa\u0107 si\u0119 najnowsz\u0105 metodologi\u0105 i uwzgl\u0119dnia\u0107 ewoluuj\u0105ce socjotechniki, kt\u00f3rymi pos\u0142uguj\u0105 si\u0119 przest\u0119pcy. Takim warsztatem i kompetencjami legitymuj\u0105 si\u0119 najbardziej znane podmioty na rynku audytu i pentest\u00f3w. Us\u0142ugi audytowe oferuj\u0105 operatorzy telekomunikacyjni, m.in. T\u2011Mobile. W\u015br\u00f3d przeprowadzanych przez operatora test\u00f3w mo\u017cna znale\u017a\u0107: testy penetracyjne aplikacji, sieci i infrastruktury oraz symulowanie cyberatak\u00f3w na zlecenie klienta. Operator jednocze\u015bnie oferuje doradztwo w obszarze bezpiecze\u0144stwa teleinformatycznego, w tym testy por\u00f3wnawcze r\u00f3\u017cnych technologii.<\/span><\/p>\n

    Podsumowanie<\/h3>\n

    Przypomnijmy najwa\u017cniejsze informacje dotycz\u0105ce audyt\u00f3w bezpiecze\u0144stwa:<\/span><\/p>\n