CERT Polska uruchamia nowe narzędzia do ochrony przed cyberzagrożeniami

To nie jest już pytanie, czy będziemy mieli do czynienia z takim incydentem, ale bardziej, kiedy on nastąpi – opisywał podczas śniadania prasowego Marcin Dudek, kierownik działu CERT Polska działającego w NASK. Jak podkreślił, cyberprzestępcy coraz częściej wykorzystują narzędzia sztucznej inteligencji do wyszukiwania podatności, tworzenia złośliwego oprogramowania czy przygotowywania phishingu. Jednocześnie AI jest wykorzystywana również przez obrońców. Problem polega na tym, że tempo pojawiania się nowych zagrożeń jest coraz większe.

Od podatności do ataku – już nie dni, ale godziny

CERT Polska regularnie publikuje informacje o krytycznych podatnościach w popularnym oprogramowaniu. Dla organizacji problemem może być jednak ustalenie, które z nich rzeczywiście dotyczą ich infrastruktury.– Trudno sobie wyobrazić, jak obrońcy, czyli firmy, mają nadążyć, kiedy codziennie dostają komunikaty o krytycznych podatnościach – wskazywał Dudek.
Organizacja musi najpierw sprawdzić, czy dana luka dotyczy używanych przez nią systemów, a dopiero później zdecydować, jak reagować.

Jednocześnie rozwój AI skraca czas potrzebny atakującym na wykorzystanie nowej podatności. Jak tłumaczył Dudek, jeszcze niedawno przygotowanie narzędzia wykorzystującego świeżo ujawnioną lukę wymagało specjalistycznej wiedzy i analizy. Dziś cyberprzestępcy mogą wykorzystać AI, by na podstawie opisu podatności przygotować odpowiednie skrypty.– Ten czas od wyjścia danej podatności do cyberprzestępców to są już godziny, a nie dni – mówił ekspert.

W tej sytuacji organizacje muszą przyjmować założenie określane jako „Assume Breach” – zakładać, że do włamania mogło już dojść. Kluczowe staje się wtedy jego szybkie wykrycie i zatrzymanie atakującego, zanim zdąży ukraść dane albo rozprzestrzenić się po wewnętrznej sieci.

Sposób na cyberzagrożenia

Jedną z odpowiedzi CERT Polska jest uruchomiony właśnie portal wiedza.cert.pl. Jak wyjaśniał Dudek, został on zbudowany wokół dwóch filarów. Pierwszym jest budowanie odporności organizacji. Portal zawiera informacje dotyczące m.in. bezpieczeństwa sieci, usług, stron internetowych i systemów przemysłowych. Wśród materiałów są również zagadnienia dotyczące zagrożeń ze strony grup APT (ang. Advanced Persistent Threat – zaawansowane i długotrwałe grupy cyberatakujące, które prowadzą dobrze przygotowane, często wieloetapowe operacje przeciwko konkretnym celom).

Drugi filar to reagowanie na incydenty. Użytkownicy znajdą tam konkretne ścieżki postępowania: co zrobić w przypadku podejrzenia przejęcia komputera, strony internetowej czy ataku phishingowego. Są również procedury i skrypty pozwalające zebrać informacje potrzebne CERT Polska do analizy zdarzenia. Chodzi o to, aby organizacja w sytuacji kryzysowej nie musiała szukać odpowiedzi w internecie ani tworzyć wielostronicowego opisu incydentu przy pomocy AI.– Dla nas jest ważne, żeby firmy, jak mają incydent, wykonały po prostu parę kroków, które my opisujemy – mówił Dudek.
Dzięki temu CERT Polska może otrzymać informacje w formie przydatnej do szybkiej analizy i udzielenia pomocy.

Portal obejmuje także kwestie nietechniczne. Są tam informacje o komunikacji kryzysowej, postępowaniu w przypadku wycieku danych, kontakcie z mediami i klientami oraz obowiązkach prawnych organizacji. Obecnie dostępnych jest ponad 90 artykułów. Baza ma być stale rozwijana i aktualizowana. W najbliższym czasie mają pojawić się m.in. materiały dotyczące bezpieczeństwa chmury i AcCYCIEtive Directory oraz kolejne ścieżki postępowania w przypadku incydentów.

Celowane ostrzeżenia, w tle AI

Drugie prezentowane rozwiązanie to nowa funkcja serwisu moje.cert.pl. Za jej przedstawienie odpowiadał Krzysztof Zając, ekspert CERT Polska rozwijający narzędzia techniczne. Mechanizm jest stosunkowo prosty. Organizacja dodaje do serwisu informacje o wykorzystywanych domenach lub sieciach. CERT Polska może następnie automatycznie rozpoznać technologie używane w tej infrastrukturze, np. WordPress, rozwiązania VPN czy konkretne wtyczki. Jeżeli później pojawi się nowa podatność dotycząca jednej z wykorzystywanych technologii, organizacja może otrzymać o niej automatyczne powiadomienie. Dzięki temu CERT Polska nie musi za każdym razem analizować całego polskiego internetu. Wie, które organizacje korzystają z określonego rozwiązania, i może skierować ostrzeżenie bezpośrednio do nich.

System nie pokazuje przy tym wszystkich znanych podatności. Jest ich około 100 tys. rocznie. Wybierane są te, które dotyczą technologii wykorzystywanych przez konkretną organizację i charakteryzują się wysokim ryzykiem wykorzystania. Wskaźnik EPSS, określający prawdopodobieństwo wykorzystania podatności, uwzględnia m.in. publiczną dostępność informacji o luce, popularność danej technologii i potencjalne skutki ataku. W efekcie administrator zamiast analizować tysiące informacji może otrzymać np. trzy, dziesięć czy kilkanaście podatności, które w danym momencie są dla jego organizacji najważniejsze.

CERT Polska wykorzystuje również AI do przygotowania zrozumiałych opisów podatności. Mają one ułatwić administratorom szybką ocenę problemu i podjęcie działania. Od publikacji informacji o podatności do wysłania powiadomienia organizacjom korzystającym z danej technologii może dzięki temu minąć około godziny.

Moje.cert.pl już wykrywa luki i wycieki

Nowa funkcja dołącza do istniejących możliwości moje.cert.pl. Serwis oferuje m.in. skanowanie bezpieczeństwa stron internetowych. System informuje również o wyciekach haseł. Kolejna funkcja dotyczy zdarzeń sieciowych. Instytucje mogą przekazać informacje o swoich sieciach, a CERT Polska może powiadomić je, jeżeli wykryje z ich infrastruktury np. skanowanie internetu, próby ataków czy działanie strony phishingowej. Administratorzy mogą również otrzymywać komunikaty o krytycznych podatnościach i rekomendacjach. Z kolei zwykli użytkownicy mogą zapisać się na ostrzeżenia dotyczące aktualnych kampanii phishingowych i oszustw, np. fałszywych SMS–ów dotyczących opłat. 

Moje.cert.pl działa od ponad roku. Ma już 22 tys. użytkowników, którzy dodali 26 tys. domen. W przypadku dodanych domen oraz blisko 3 tys. sieci CERT Polska wykrył prawie 900 tys. luk i powiadomił o nich zainteresowane instytucje.

Jak podkreślali przedstawiciele CERT Polska, oferowane narzędzia są dostępne bezpłatnie.

Krzysztof Ratnicyn