Cyberbriefing SafeKlik: cztery wydarzenia ważne dla bezpieczeństwa
Dzisiejszy przegląd obejmuje bezpieczeństwo polskich uczelni, ryzyko związane z uprzywilejowanym dostępem do konfiguracji zewnętrznych dostawców MFA, publikację dotyczącą kampanii Macfinger ClickFix oraz kanadyjskie dochodzenie wobec IDScan. Przy każdym wydarzeniu oddzielamy potwierdzone informacje od rekomendacji, które organizacje mogą wykorzystać podczas własnej oceny ryzyka.
Polskie uczelnie na cyberfroncie
Polskie uczelnie nie są wyłącznie miejscami kształcenia studentów. Przechowują duże zbiory danych, rozwijają technologie o strategicznym znaczeniu, współpracują z przemysłem i wojskiem, a ich laboratoria tworzą rozwiązania mające zastosowania cywilne oraz obronne. Taki profil sprawia, że sektor akademicki może przyciągać cyberprzestępców i grupy powiązane z obcymi państwami.
Znaczenie tego zagrożenia wynika z połączenia kilku wskazanych cech sektora: wartościowych danych, badań nad strategicznymi technologiami oraz współpracy z podmiotami przemysłowymi i wojskowymi. Każdy z tych obszarów może stanowić cel ataku, natomiast ich współistnienie zwiększa potencjalną wartość uczelni dla napastników zainteresowanych informacjami, technologią albo rezultatami prowadzonych prac.
Problem dotyczy nie tylko władz uczelni i zespołów informatycznych, ale również naukowców, studentów oraz partnerów uczestniczących we wspólnych projektach. Skuteczny atak może mieć znaczenie dla ochrony danych i dorobku badawczego, zwłaszcza gdy prace prowadzone w laboratoriach mogą znaleźć zastosowanie cywilne albo obronne.
- Rekomendacja: zinwentaryzować dane i projekty badawcze, wskazując ich właścicieli oraz znaczenie strategiczne.
- Rekomendacja: sprawdzić zabezpieczenia współpracy z przemysłem i wojskiem w systemach obsługujących wspólne projekty.
- Rekomendacja: uwzględnić laboratoria i zespoły badawcze w uczelnianych analizach ryzyka oraz procedurach reagowania.
Publikacja o kampanii Macfinger ClickFix
SANS Internet Storm Center opublikował materiał zatytułowany Macfinger ClickFix campaign. Informacja pozwala potwierdzić, że kampania o tej nazwie stała się przedmiotem publikacji bezpieczeństwa. Sam tytuł nie daje jednak podstaw do przypisania jej określonym sprawcom, opisania wykorzystywanych technik ani wskazania konkretnych systemów lub użytkowników jako celów.
Bezpieczna interpretacja tej informacji powinna ograniczać się do nazwy Macfinger ClickFix i faktu opublikowania poświęconego jej materiału. Nie należy na tej podstawie tworzyć opisu sposobu działania, kanału dostarczenia, używanych narzędzi ani skutków. Każde takie twierdzenie wymagałoby osobnego potwierdzenia przed wykorzystaniem w analizie, detekcji lub komunikacie dla użytkowników.
Dla zespołów SOC, administratorów i analityków znaczenie tej publikacji polega przede wszystkim na wskazaniu tematu wymagającego dalszej weryfikacji. Bez potwierdzonych danych technicznych nie można wiarygodnie określić grupy narażonych odbiorców, skali zdarzenia ani adekwatnych wskaźników kompromitacji, dlatego reakcja powinna być ostrożna i oparta na dodatkowej analizie źródła.
- Rekomendacja: przeanalizować pełną publikację SANS przed tworzeniem reguł detekcji lub wskaźników kompromitacji.
- Rekomendacja: nie przypisywać kampanii konkretnym sprawcom bez niezależnych i jednoznacznych dowodów źródłowych.
- Rekomendacja: oddzielić potwierdzone obserwacje techniczne od hipotez w dokumentacji zespołu bezpieczeństwa.
Nieuczciwy zewnętrzny dostawca MFA może przechwytywać hasła
Badacze bezpieczeństwa opracowali atak, w którym napastnik dysponujący uprzywilejowanym dostępem rejestruje nieuczciwego zewnętrznego dostawcę MFA. Tak przygotowany dostawca może przechwytywać hasła użytkowników podczas prawidłowych prób logowania. Opis dotyczy scenariusza badawczego i nie stanowi sam w sobie potwierdzenia szeroko prowadzonej kampanii wykorzystującej tę metodę.
Kluczowym warunkiem opisanego ataku jest wcześniejsze uzyskanie przez napastnika uprzywilejowanego dostępu, który pozwala zarejestrować zewnętrznego dostawcę MFA. Następnie nieuczciwy komponent uczestniczy w procesie logowania i może przechwycić hasło użytkownika. Ryzyko wiąże się więc zarówno z ochroną uprzywilejowanych kont, jak i z kontrolą zmian dotyczących dostawców uwierzytelniania.
Scenariusz ma znaczenie dla organizacji korzystających z zewnętrznych dostawców MFA oraz dla administratorów odpowiedzialnych za konfigurację uwierzytelniania. Użytkownik może wykonywać zwykłą próbę logowania, nie rozpoznając nieuczciwego komponentu. Z tego powodu szczególnie ważne są kontrola uprzywilejowanego dostępu i widoczność zmian w ustawieniach dostawców MFA.
- Rekomendacja: sprawdzić, które konta mogą rejestrować lub zmieniać zewnętrznych dostawców MFA.
- Rekomendacja: ograniczyć uprzywilejowane uprawnienia do osób, które rzeczywiście administrują konfiguracją uwierzytelniania.
- Rekomendacja: monitorować i weryfikować każdą zmianę dostawcy MFA w ustawieniach organizacji.
Kanadyjski regulator bada praktyki IDScan
Kanadyjski regulator wszczął dochodzenie dotyczące IDScan po naruszeniu danych. Postępowanie ma zbadać praktyki bezpieczeństwa organizacji oraz ocenić, czy sposób powiadomienia poszkodowanych był odpowiedni w świetle kanadyjskiego federalnego prawa prywatności obowiązującego podmioty sektora prywatnego. Samo dochodzenie nie przesądza o odpowiedzialności ani o jego końcowym wyniku.
Opisane działanie ma charakter regulacyjny: właściwy organ analizuje zabezpieczenia IDScan i adekwatność powiadomień skierowanych do osób dotkniętych naruszeniem. Są to dwa odrębne obszary oceny, obejmujące praktyki bezpieczeństwa oraz komunikację po incydencie. Ustalenia regulatora będą wymagały zakończenia postępowania, dlatego nie należy traktować jego rozpoczęcia jako rozstrzygnięcia naruszenia prawa.
Sprawa jest istotna dla organizacji przetwarzających dane w kanadyjskim sektorze prywatnym, a także dla zespołów bezpieczeństwa, prawnych i komunikacyjnych obsługujących incydenty. Pokazuje, że reakcja na naruszenie może podlegać ocenie zarówno pod kątem zastosowanych praktyk bezpieczeństwa, jak i jakości powiadomienia osób, których dane zostały dotknięte zdarzeniem.
- Rekomendacja: sprawdzić procedury powiadamiania poszkodowanych pod kątem właściwych obowiązków prawnych i terminów.
- Rekomendacja: dokumentować decyzje bezpieczeństwa oraz działania podejmowane podczas obsługi każdego naruszenia danych.
- Rekomendacja: połączyć pracę zespołów bezpieczeństwa, prawnych i komunikacyjnych w planie reakcji na incydenty.
Co warto sprawdzić w pierwszej kolejności
Wspólnym motywem opisanych wydarzeń jest potrzeba kontroli nad zasobami o podwyższonej wartości oraz nad uprzywilejowanymi zmianami. Uczelnie powinny uwzględniać badania i partnerstwa w analizach ryzyka, administratorzy tożsamości powinni kontrolować możliwość rejestrowania dostawców MFA, analitycy muszą unikać wniosków wykraczających poza potwierdzone informacje, a organizacje przetwarzające dane powinny przygotować spójne procedury techniczne, prawne i komunikacyjne.