За прошедшие два месяца в национальном сегменте сети Интернет участились случаи взломов и компрометации различных интернет-ресурсов, относящихся к частному и государственному сектору.
Анализ произошедших компьютерных инцидентов выявил общие ошибки, допускаемые администраторами, часть которых описана в первой части цикла статей.
Практически во всех выявленных инцидентах точкой проникновения в информационную систему организаций послужили старые не используемые и доступные из сети Интернет сайты. У большинства пострадавших организаций старые сайты были разработаны без использования CMS (Content Management System). Из-за неправильных настроек прав доступа к директориям злоумышленники загружали бэкдоры на указанные ресурсы, которые впоследствии эксплуатировали для своих нужд.
Стоит отметить, что злоумышленники «администрировали» скомпрометированные системы и оставались незамеченными в течении многих месяцев, а в некоторых случаях счет шёл на года. За это время они детально изучали системы и сервисы, похищали информацию и/или использовали скомпрометированную инфраструктуру для осуществления вредоносной активности в отношении других ресурсов. Все это время их не замечали из-за отсутствия либо неправильной конфигурации систем мониторинга, контроля целостности, обнаружения и/или предотвращения вторжений и других средств защиты, в отдельных случаях вовсе отсутствовали системы защиты информации.
Для снижения вероятности компрометации информационных систем и ресурсов, своевременного выявления, а также уменьшения ущерба, следует обратить внимание на рекомендации из предыдущей статьи, а также:
- Отключить от сети Интернет неиспользуемые веб-ресурсы.
- Произвести блокировку/удаление всех неактуальных учетных записей, например, уволившихся сотрудников.
- Ограничить или закрыть доступ из сети Интернет к тестовым/разрабатываемым web-ресурсам, если нет необходимости их публиковать.
- Провести ревизию прослушиваемых портов на хостах, зафиксировать список необходимых служб/демонов и отключить неиспользуемые.
- Провести инвентаризацию системных файлов ОС и веб-ресурсов и осуществлять постоянный контроль их целостности, с оперативным уведомлением администратора в случае выявления не легитимных изменений.
- Ограничить везде, где это возможно, использование/исполнение скриптов в папках веб-ресурсов, а также запретить запись файлов в директориях.
- Использовать VPN для доступа к внутренним ресурсам компании/организации.
- Организовать постоянное обучение и совершенствование знаний персонала в области обеспечения информационной безопасности, занимающегося администрированием и эксплуатацией информационных систем, корпоративной сети и веб-ресурсов.
- Реализовать строгое разделение привилегий между пользователями системы/ресурсов с доступом лишь к тому, что ему необходимо для работы. Исключить избыточность прав доступа.
- Ужесточить правила файрвола (максимальное использование принципа белого/черного списка). Обязательно ограничить доступ к админ-панели и/или к хосту для администрирования с фиксированного списка IP-адресов.
- Организовать запись и хранения логов (системных и приложений) в течении не менее 1 года на удаленном защищенном сервере.
- Перейти на использование шифрованного соединения (почта, FTP, веб-приложения и т. д.).
- Изменить стандартные порты и интерфейсы используемых сервисов.
- Использовать системы мониторинга для отслеживая состояния хостов и событий безопасности, например, системы типа SIEM (Security information and event management), HIDS (Host-Based Intrusion Detection System — хостовая система обнаружения вторжений), IPS/IDS (например, open source решения (suricata, snort и др) или коммерческие).
- Осуществлять на регулярной основе проведение аудитов информационных систем и ресурсов, в том числе доступных из сети Интернет.
Следует также обратить внимание государственных органов и организаций на необходимость строго соблюдения требований законодательства, регламентирующего порядок использования национального сегмента сети Интернет, в том числе в части создания, размещения и регистрации интернет-сайтов и иных государственных информационных ресурсов (систем).
В качестве основных нормативных правовых актов, затрагивающих сферу безопасности при использовании информационно-коммуникационных технологий, следует отметить:
- Закон Республики Беларусь от 10 ноября 2008 г. № 455-З «Об информации, информатизации и защите информации»
- Указ Президента Республики Беларусь от 1 февраля 2010 г. № 60 «О мерах по совершенствованию использования национального сегмента сети Интернет»
- Указ Президента Республики Беларусь от 25 октября 2011 г. № 486 «О некоторых мерах по обеспечению безопасности критически важных объектов информатизации»
- Указ Президента Республики Беларусь от 23 января 2014 г. № 46 «Об использовании государственными органами и иными государственными организациями телекоммуникационных технологий»
- Постановление Совета Безопасности Республики Беларусь от 18 марта 2019 г. № 1 «О Концепции информационной безопасности Республики Беларусь»
- Постановление Совета Министров Республики Беларусь от 29 апреля 2010 г. № 644 «О некоторых вопросах совершенствования использования национального сегмента глобальной компьютерной сети Интернет»
- Постановление Совета Министров Республики Беларусь от 29 апреля 2010 г. № 645 «О некоторых вопросах интернет-сайтов государственных органов и организаций и признании утратившим силу постановления Совета Министров Республики Беларусь от 11 февраля 2006 г. № 192»
- Приказ Оперативно-аналитического центра при Президенте Республики Беларусь от 17 декабря2010г. № 92 «Об утверждении перечня уполномоченных поставщиков интернет-услуг»
- Приказ Оперативно-аналитического центра при Президенте Республики Беларусь от 20 февраля 2020 г. № 66 «О мерах по реализации Указа Президента Республики Беларусь от 9 декабря 2019 г. № 449».
В случае выявления Вами инцидентов кибербезопасности следует незамедлительно проинформировать об этом CERT.BY по телефону (017) 309-24-64, либо путем направления краткого описания проблемы, выявленных индикаторов компрометации и контактных данных сотрудников на адрес support@cert.by.
Для удобства и своевременного оповещения о новостях подписывайтесь на нас в социальных сетях:
linkedin.com
facebook.com
twitter.com
