Rozhovor: Reakční plán krok za krokem

Digitalizace

Technologie

Nejlepší obranou je útok. Tedy řešení, která nejen aktivně detekují hrozby, ale i jim brání a sama vytvářejí protiopatření. O kybernetických útocích jsme mluvili s Tomášem Vobrubou, Lead Security Engineerem ve společnosti CheckPoint Software Technologies, lídrem v oblasti kybernetické bezpečnosti, a ptali jsme se…

Jakým kyberútokům čelí firmy v Česku nejčastěji?

Podle aktuálního CheckPoint reportu, který mapuje útoky ve světě i u nás, jednoznačně dominuje ransomware. V prvním pololetí 2022 vzrostl počet incidentů o 42 %. Na druhém místě jsou dlouhodobě kryptominery a bankovní malware.

Jaký je dlouhodobý trend?

Trend je jasný – malware dnes slouží především k monetizaci a obohacení. Nejde už o amatérské aktivity nebo zlomyslnost. Reálně čelíme strategickým kyberútokům motivovaným ziskem, což ukazuje na vážnost situace, v níž se nacházíme.

Co firmy v zabezpečení často podceňují?

V praxi se opakují jednoduché scénáře:

„Zálohování mě vždycky zachrání.“
Není to tak. I když zálohujete, často chybí plán obnovy a hlavně jeho testování. Úspěšný útok pak přináší nepříjemná překvapení.

„Mě se to netýká, kdo by mě napadl.“
Ale malware, zvlášť ransomware, se neptá, kdo jste a co máte.
„Podruhé se to nestane, už jsem ztratil dost.“
Tomu říkáme posttraumatické vystřízlivění. Útok proběhne, firma se zotaví, ale motivace investovat do prevence rychle mizí.

Platí, že nejlepší obranou je prevence?

Ano, ale hlavně záleží na správné technologii. Je lepší číst v logu: „Malware byl detekován a zastaven, ransomware automaticky sanován“, než: „Vidím ransomware, ale neumím ho zastavit, poraď si, admin.“ A když to zjistíte až po několika hodinách, může být pozdě.

Reakční plán krok za krokem – jaké jsou základní principy?

Jednoduchý postup: identify – protect – detect – respond – recover. Na papíře to vypadá snadno, realita bývá jiná. Pomáhá zůstat v klidu a myslet racionálně. I panika typu „všechno odpojit ze sítě“ může někdy pomoct.

Cvičení a důkladná příprava dělají mistra. Aby byla reakce na útok efektivní, je nutné rozpoznat rozsah škod, mít plán odstavení infrastruktury, připravený response tým, SOC, sběr logů a další technologie. Na reakční plány musíte mít také dostatek zdrojů (lidí i financí), abyste tuto činnost zvládli sami, a to může být problém.

Je možné outsourcovat reakční a recovery služby?

Ano. Firmy si mohou vybrat partnera, který doporučí technologie a zajistí dohled i recovery plány. Například IXPERTA nabízí vlastní SOC a IRT týmy (Incident Response Team), které firmám pomáhají procesně i technologicky.

Kdo by měl být do reakčního plánu zapojený?

Ne jen CISO, ale celý C-level management včetně lidí, kteří dokážou ohodnotit aktiva firmy a jejich rizika. Postupy jsou jiné pro banku, státní úřad, výrobní podnik nebo malou firmu s 10 zaměstnanci. A ano – i tyto menší firmy musí plánovat, protože ransomware pro ně může být existenční hrozbou.

Důležitá je i podpora majitele firmy, který je konečným sponzorem těchto aktivit. Malý podnikatel často investuje raději do výroby než do bezpečnosti. Ale co když firma přijde třeba jen o dva počítače s účetnictvím a kontakty?

Jak útok komunikovat?

Záleží na závažnosti problému, odvětví, zemi a legislativě. U nás je vhodné (a někdy povinné) informovat SK-CERT. Postupy nastavují SOC týmy a technologie.

Nejkurióznější případ z praxe?

U jednoho zákazníka jsme při kontrole infrastruktury hned po zapojení našich zařízení detekovali aktivní ransomware, o kterém nevěděl ani antivir, ani IT oddělení. Přesto společnost problém neřešila a ani do budoucna neplánovala ochranu.

Kyberútoky už nejsou o amatérských aktivitách. Jsou to strategické útoky motivované ziskem,“ říká Tomáš Vobruba, Lead Security Engineer v Check Point Software Technologies Ltd.

Je prevence opravdu nejlepší obranou? A jak reagovat, když zjistíte, že jste obětí útoku?

Díky Tomáši za skvělý rozhovor a cenné informace.

Chcete se orientovat v technologiích a nejnovějších trendech v oblasti kybernetické bezpečnosti? Neváhejte a přidejte se k nám na SECURITY NIGHT, 20. října 2022 v Košicích.

Publikováno: 24. srpna 2022