Državni revizor Izraela razotkriva sigurnosne propuste u radu na daljinu u vladinim institucijama
Izvješće Državnog revizora Izraela otkrilo je ozbiljne sigurnosne propuste VPN-a za rad na daljinu u više ministarstava i hitnih službi. Nalazi oslikavaju zabrinjavajuću sliku: fragmentirane sustave autentifikacije, osjetljive podatke na slabo zaštićenim zajedničkim diskovima i postavke udaljenog pristupa koje kritičnu infrastrukturu izlažu prijetnjama, osobito grupama povezanim s iranskom državom. Iako je izvješće specifično za Izrael, ranjivosti koje opisuje daleko su od jedinstvenih za bilo koju zemlju ili organizaciju.
Što je izvješće Državnog revizora Izraela zapravo otkrilo
Revizija Državnog revizora identificirala je tri ključne kategorije propusta. Prvo, sustavi autentifikacije među agencijama bili su fragmentirani, što znači da su različita ministarstva koristila nedosljedne ili nekompatibilne metode provjere identiteta korisnika. Takav mozaičan pristup stvara rupe koje napadači mogu iskoristiti za bočno kretanje kroz sustave nakon što ostvare prvi upad.
Drugo, postavke rada na daljinu utvrđene su kao opasno ranjive. Dok su vlade diljem svijeta ubrzano širile udaljeni pristup tijekom i nakon pandemije, mnoge su agencije to činile bez primjene dosljednih sigurnosnih standarda. Izraelsko izvješće odražava ono što su sigurnosni istraživači široko dokumentirali: pritisak da se omogući produktivnost na daljinu često je nadišao implementaciju odgovarajućih sigurnosnih kontrola.
Treće, otkriveno je da su osjetljivi podaci pohranjeni na zajedničkim diskovima bez odgovarajućih kontrola pristupa. Kada su datoteke s vladinim ili operativnim podacima dostupne širokim grupama korisnika uz minimalan nadzor, jedan ugrožen račun može izložiti golem opseg materijala.
Zašto su fragmentirana autentifikacija i zajednički diskovi univerzalna prijetnja
Propusti identificirani u ovom izvješću nisu isključivo izraelski problem. Oni odražavaju obrasce viđene u organizacijama u svim sektorima. Fragmentirana autentifikacija osobito je česta u velikim institucijama koje su rasle kroz spajanja, proračunske cikluse ili brzu ekspanziju. Svaki odjel samostalno usvaja alate, a nad cijelom organizacijom nikada se ne uspostavi jedinstveni sloj upravljanja identitetom.
To je važno jer je autentifikacija prva crta obrane. Kada zaposlenici koriste slabe ili ponovno korištene lozinke u različitim sustavima ili kada se višefaktorska autentifikacija primjenjuje nedosljedno, čitava mreža postaje snažna onoliko koliko i njezina najslabija vjerodajnica. Razmjeri izloženosti vjerodajnica u divljini su zapanjujući. Curenje podataka RockYou2024, koje je otkrilo više od 19 milijardi ugroženih lozinki, ilustrira koliko je golem bazen iskoristivih vjerodajnica dostupan napadačima. Svaka organizacija koja se oslanja isključivo na lozinke, bez slojevite autentifikacije, kocka se sa svojim najosjetljivijim podacima.
Zajednički diskovi značajno pojačavaju ovaj rizik. Čak i uz dobru perimetarsku sigurnost, korisnik koji ima legitiman pristup zajedničkoj mapi s osjetljivim datotekama postaje nesvjestan napadni vektor u trenutku kada njegove vjerodajnice budu ugrožene.
Kako ranjive postavke rada na daljinu izlažu osjetljive podatke riziku
Rad na daljinu iz temelja mijenja model prijetnji za bilo koju organizaciju. U uredskom okruženju promet obično teče kroz centralno upravljane mreže gdje sigurnosni timovi imaju vidljivost. Udaljeni radnici spajaju se s kućnih mreža, osobnih uređaja, a ponekad i javnog Wi-Fi-ja, što uvodi varijable koje je teško kontrolirati na velikoj skali.
Kada je udaljeni pristup konfiguriran bez sigurnog VPN tunela, promet između zaposlenika i internih sustava može biti presretnut ili promatran. Još kritičnije, ako VPN pristup nije uparen s jakom autentifikacijom, ukradena vjerodajnica je sve što napadaču treba da se unutar mrežnog perimetra pojavi kao legitiman korisnik.
Izraelsko izvješće naglašava da su čak i vladine agencije, koje teoretski raspolažu namjenskim resursima za kibernetičku sigurnost i regulatornim mandatima, imale poteškoća s implementacijom dosljedne sigurnosti udaljenog pristupa. Za privatne organizacije s manje resursa izazov je još veći. Jaz između toga da je VPN postavljen i toga da je ispravno konfiguriran i provođen za svakog udaljenog korisnika mjesto je na kojem se mnoge organizacije nađu izložene.
Arhitektura nultog povjerenja i VPN-ovi: praktične lekcije za udaljene radnike
Izraelska revizija implicitno upućuje na skup načela koja sigurnosni profesionalci godinama zagovaraju pod okriljem arhitekture nultog povjerenja. Temeljna ideja je jednostavna: nemojte automatski vjerovati nijednom korisniku ili uređaju, čak ni onima unutar mreže. Svaki zahtjev za pristup treba provjeriti, svaka veza bilježiti, a pristup ograničiti samo na ono što je nužno za određenu ulogu.
Za udaljene radnike i organizacije koje ih podržavaju to se prevodi u nekoliko konkretnih praksi. VPN-ovi ostaju temeljni sloj za enkripciju prometa između udaljenih krajnjih točaka i internih sustava, no ne smiju se tretirati kao potpuno rješenje sami po sebi. Trebaju biti upareni s višefaktorskom autentifikacijom, provjerom zdravlja uređaja i granularnim kontrolama pristupa koje sprječavaju da jedan ugrožen račun dosegne sve.
Zajedničke diskove treba redovito revidirati, a pristup ograničiti prema načelu potrebe za znanjem. Osjetljive datoteke ne bi trebale biti standardno dostupne svima u organizaciji samo zato što su ondje zaposleni.
Što to znači za vas
Nalazi Državnog revizora Izraela služe kao praktičan kontrolni popis za svaku organizaciju ili udaljenog radnika koji procjenjuje vlastiti sigurnosni položaj. Ako se vaš udaljeni pristup oslanja na lozinke bez drugog faktora autentifikacije, riječ je o poznatoj ranjivosti. Ako vaš tim osjetljive dokumente sprema u široko dostupne zajedničke mape, ta je izloženost stvarna.
Započnite revizijom vlastitih praksi autentifikacije. Slabe vjerodajnice ostaju jedna od najčešćih ulaznih točaka za napadače, a skupovi procurjelih podataka poput RockYou2024 znače da se lozinke ponovno korištene iz prethodnih curenja već nalaze u rukama prijetnjskih aktera. Omogućite višefaktorsku autentifikaciju gdje god je dostupna, koristite pouzdan VPN za sva udaljena spajanja na radne sustave i zatražite pregled o tome tko zapravo ima pristup osjetljivim zajedničkim datotekama u vašoj organizaciji.
Propusti na razini vlade podsjetnik su da nijedna institucija nije prevelika niti previše službena da bi je zatekli osnovni sigurnosni propusti. Dobra je vijest da su mjere za ublažavanje dobro poznate. Provesti ih u djelo dio je koji zahtijeva namjeran trud.
