Problem bezpieczeństwa w sieci dotyczy prawie każdego. Raport CERT traktuje o nas, naszych dzieciach i rodzicach

Wielkie logo operatora na okładce... W pierwszej chwili pomyślałem, że redakcja podrzuca mi do przeczytania ulotkę reklamową, jednak bardzo szybko musiałem zweryfikować swoje podejście do tego raportu. Jest to pełnowymiarowa analiza od osób, które naprawdę znają się na swojej pracy.

Cała publikacja liczy sobie 100 stron i choć warto zapoznać się z nią w całości, wybrałem dla was 10 rzeczy, które najbardziej rzuciły mi się w oczy. Czym jest CERT Orange Polska? To taki oddział komandosów GROM, tylko działający w internecie i na zlecenie Orange, w celu badania i ratowania bezpieczeństwa abonentów największej sieci internetowej w Polsce - nazwa pochodzi zaś od Computer Emergency Response Team.

Publikację otwiera podsumowanie roku 2017. W graficznej formie wskazuje z jakimi zagrożeniami polscy internauci mierzyli się w ostatnich miesiącach. Pewnym pocieszeniem (aczkolwiek nadal kiepskim) jest fakt, że blisko połowa zarejestrowanych incydentów to po prostu publikacja w sieci treści obraźliwych lub nielegalnych - spamu, piractwa etc. Przyzwyczailiśmy się, że stanowią krajobraz sieci i jakkolwiek nie jest to widok przyjemny, wydawałoby się nie zagrażają one w radykalny sposób naszemu bezpieczeństwu. Jednak, warto pamiętać, że spam jest najczęstszym nośnikiem złośliwego oprogramowania, a taka infekcja, to już poważna sprawa.

Równie groźne są próby włamań, to  blisko 15 proc. incydentów  badanych przez CERT.  Około 7 proc. to zbieranie informacji na temat użytkowników (np. phising), 5,5 proc. złośliwe oprogramowanie, zaś 2,9 proc. to oszustwa sieciowe. Wiceliderem zestawienia niepożądanych incydentów były ataki na dostępność zasobów, czyli np. DDoS lub innego rodzaju kampanie sabotażowe - stanowiły blisko 20 proc. wszystkich zarejestrowanych incydentów.

W dalszej części raportu możemy znaleźć rewelacyjny projekt w postaci osi czasu. Od stycznia do grudnia 2017 opisane są wszystkie najgroźniejsze wydarzenia zaobserwowane nie tylko w polskiej sieci. Z pewnym zadowoleniem przyznaję, że mamy tu masę zjawisk, które opisywaliśmy i przed którymi ostrzegaliśmy na łamach Spider’s Web oraz Bezprawnika: fałszywe profile np. Media Expert na Facebooku, podszywanie pod CEIDG, kampanie mailingowe (niby) DHL, Petya, dziurawy macOS i wiele, wiele innych. Kapitalna robota, fajne ujęcie i przeraża tylko, że opisane incydenty stanowią jedynie wierzchołek góry lodowej - przykłady konkretnych oszustw, które następnie miały setki naśladowców.

W dalszej części raport koncentruje się na nakreśleniu zagrożeń, z którymi zmierzymy się w nadchodzącym roku. Niestety, ale jednym ze szczególnie mocno zagrożonych sektorów są zdaniem autorów raportu banki. Z jednej strony ekscytujemy się możliwościami jakie oferuje tzw. fintech, a z drugiej okazuje się, że pojedyncze historie obrabowanych kont internetowych to, póki co preludium do realnego problemu. Albo, co gorsza, preludium do preludium.

Autorzy raportu obawiają się też o bezpieczeństwo danych osobowych wskazując, że RODO wcale nie musi wyeliminować problemu ich niekontrolowanego wycieku. Trochę miejsca poświęcono kryptowalutom oraz przede wszystkim różnym formom ataków komputerowych, które są powiązane z obsługującymi je usługami. A jakby tego wszystkiego było mało, prognozy zamyka kilka akapitów na temat sztucznej inteligencji, odnosząc się do niedawnych prognoz Elona Muska czy Stephena Hawkinga. Czyli jesteśmy już na tym etapie, na którym o AI rozmawiamy z realnym strachem. Pojawia się jednak nutka optymizmu – AI to także szansa na skuteczną walkę z cyberprzestępczością.

Kolejna część raportu stanowi wstęp do szczegółowego obrazu zagrożeń czyhających na współczesnego internautę. W mojej ocenie trafna jest teza postawiona w zdaniu - „Media społecznościowe – pierwszy wektor ataku?”. Otóż na Bezprawniku często spotykamy się z ludźmi oszukanymi czy nawet okradzionymi online i w 70 proc. przypadków jest to właśnie nierozważne poruszanie się po Facebooku (pozostałe 20 proc. to klikanie w przypadkowe linki w e-mailach, a 10 proc. zostawiam innym incydentom). Twórcy raportu mają sto procent racji wskazując zagrożenia natury technicznej, ale i mentalnej, że media społecznościowe to ryzyko dla cyberbezpieczeństwa, ale i prywatności.

Kolejnym jakże trafnym spostrzeżeniem jest problematyka dzieci w sieci. Tutaj Orange subtelnie lokuje swój „Bezpieczny starter”, który umożliwia nam kontrolę nad poczynaniami podopiecznego w pierwszych latach oswajania cyfrowej rzeczywistości. Raport wskazuje zagrożenia obecności najmłodszych w internecie - sporo jest o pornografii, pedofilii, ale też m.in. braku zrozumienia dla mechanizmów działania sieci. Prewencja? Cóż, o technologiach jest kilka akapitów, ale ostateczne wnioski wskazują, że z młodzieżą trzeba przede wszystkim rozmawiać. Do krainy internetu - wprowadzać i uczyć obsługi.

W dalszej części raport odrzuca nieco na bok swój publicystyczno-moralny ton, przechodząc w analizę zagadnień technicznych. Tym razem chodzi już o infrastrukturę, firewalle i antywirusy. Dowiemy się tam między innymi o tym, jak w ciągu minionego roku malware i ransomware paraliżowały świat (pamiętacie jeszcze WannaCry?), a ataki DDoS i im pokrewne blokowały dostęp do stron internetowych. Orange trochę się też przechwala, że jego infrastruktura jest na tyle dobra, że różnego rodzaju robaki i trojany udawało się blokować automatycznie. Jest w sumie czym się chwalić, kiedy zaczniemy czytać wykresy i tabele wskazujące na to, ile tego cybernetycznego robactwa w sieci się panoszy i jak wielkie sieje spustoszenie.

Wśród stosunkowo znanych form wirusowania naszych komputerów niewątpliwie uwagę przyciąga BitCoinMiner, którego różne postacie stanowiły aż 2 proc. wszystkich wykrytych przez operatorów Orange ataków. To jest niesamowite, że mniej więcej 2 proc. wszystkich komputerów kopie bitcoiny i to w zasadzie najczęściej bez wiedzy ich użytkowników.

Każdy z działów znajduje szczegółowe omówienie metod zabezpieczenia i niestety każdy z nich posiada też smutny wniosek w postaci „braku stuprocentowo skutecznej metody”.

Poza wirusami, atakami DDoS oraz atakami hackerskimi na urządzenia końcowe, z punktu widzenia przeciętnego użytkownika największe zainteresowanie powinien budzić phishing oraz socjotechnika.

Pamiętam wywiad z jednym z najbardziej znanych hakerów na świecie, który został zapytany o to jak łamał hasła do różnych usług. Wyjaśniał, że ich posiadacze sami mu je podawali na IRC-u.

Moja wiedza na temat czarnych meandrów programowania i obchodzenia zabezpieczeń jest ograniczona do teorii oraz kilku historii, które jeszcze w latach dziewięćdziesiątych budziły największe emocje. Natomiast jestem przekonany, że mimo wszystko socjotechnika, manipulowanie internautą, docieranie do niego czy nakłanianie do określonych działań, stanowią dziś formę cyberniebiezpieczeństwa. Cieszę się, że raport to dostrzega i poświęcił temu zupełnie osobny podrozdział.

Znajdziemy tam nawet tak oczywiste - wydawałoby się - stwierdzenia jak: „Sympatia. Z zasady chętniej pomożemy ludziom, których znamy i lubimy. Do tego stopnia, że możemy z rozpędu otworzyć załącznik z otrzymanego „od nich” e-maila, który może okazać się wysłanych bez ich wiedzy wirusem.”. Kilka stron wcześniej raport ilustruje i opisuje bardzo złożone metody przeciążania serwerów, ale akurat fragment o socjotechnice powinniście wydrukować i nakleić nad monitorem wszystkim znajomym. To tutaj zaczynają się niemal wszystkie przekręty z Allegro, OLX i im podobnych.

W końcowej fazie raportu nie mamy już złudzeń - ludzie, którzy przygotowali to zestawienie znają się na rzeczy i z niejednego już pieca chleb jedli. Uwzględniono wszystko, od złożonych procesów technicznych po metodę na wnuczka. I ktoś, kto nie zna realiów polskiego internetu, mógłby się z tego zaśmiać, ale... dokładnie tak się sprawy mają. Wnuczek prawdopodobnie zbiera w Polsce większe żniwo od niejednego ransomware.

Ostatnie strony raportu to podsumowanie działalności instytucji jaką jest CERT Orange Polska. Mamy też praktyczne wyjaśnienie tego, co dokładnie robią w Orange i jak zaproponowali usługi, takie jak Cybertarcza, wspomniany Bezpieczny starter czy Chroń dzieci w sieci. Raport zamyka krótki poradnik ochrony przedsiębiorstwa oraz glosariusz użytych w nim trudniejszych pojęć.

To jest bardzo, bardzo dobry raport. Choć nie każdy jego element musi zapierać dech w piersiach (każdemu wedle potrzeb), to jednak jego zdecydowana część zwraca uwagę na problemy cyberbezpieczeństwa w internecie. I kiedy mówię cyberbezpieczeństwo, to nie mam na myśli tylko wielkich korporacji, które przesyłają dane na czterech kontynentach. Spora część tego zestawienia jest o tobie, twoich dzieciach i twoich rodzicach.