FSB üksus kasutab ruuterite vaikeparoole

Kusagil kontori, haigla või kortermaja tehnoruumis töötab ruuter, mis paigaldati aastaid tagasi. Püsivara pole uuendatud, kaugjuurdepääs on endiselt avatud ja parool on sama, millega seade tehasest tuli. Kuna ühendus töötab, ei puuduta seda keegi. Just selline nähtamatus teeb seadme Vene luurele kasulikuks.

USA NSA, FBI ja vähemalt kaheksa Euroopa riigi luureasutused nimetasid sel kuul avaldatud ühisnõuandes konkreetse Vene üksuse: FSB Keskus 16 kasutab süsteemselt ära unustatud võrguseadmeid (CISA). Hoiatusega on seotud Prantsusmaa, Itaalia, Poola, Rootsi, Soome, Eesti, Taani ja Tšehhi (NCSC NZ). Sõnum on ühine: ruuterite elementaarne hügieen on Lääne riikide jagatud nõrkus.

Kuidas võrgukaart majast välja liigub

Paljudes ruuterites on endiselt sees vana kaughalduse funktsioon, millega administraator saab seadet võrgu kaudu juhtida. Insenerid tunnevad seda SNMP nime all. Selle vanemad versioonid loodi aastakümneid tagasi ja turvalisus on seal napp. „Parool” on lühike tekstistring, mis jääb sageli tehaseväärtuseks: sõna otseses mõttes „public” või „private”. Internetti skaneeriv ründaja saab seda lihtsalt proovida (CISA).

Kui ligipääs õnnestub, käsib ründaja ruuteril kopeerida oma seadistusfaili ja saata selle enda kontrollitavasse serverisse (NSA). See fail on sisuliselt ruuteri märkmik: millised seadmed võrgus on, kuidas liiklus nende vahel liigub ja mõnikord ka see, kuhu on salvestatud ligipääsuandmed. Ründaja saab organisatsiooni sisekaardi ja sageli ka võimaluse liikuda sügavamale võrku.

Praktiline pilt on lihtne: luuraja proovib uksi, leiab lukustamata sissepääsu, kopeerib korruseplaani, loeb sisetelefonide nimekirja ja näeb, kus võtmeid hoitakse. Soome küberturvalisuse keskus sõnastas sama kainelt: nõrgalt kaitstud võrguseadmed avavad tee küberrünnakuteks ning organisatsioonid ei tohiks jätta selliseid halduspaneele avalikust internetist nähtavaks (Kyberturvallisuuskeskus).

Euroopa majanduste tugisüsteem on nähtaval

Nõuandes loetletud sihtmärgid on side, energia, finantsteenused, riigiasutused, kaitsetööstus ja tervishoid (CISA). See on sisuliselt iga Euroopa majanduse tugisüsteem.

Saksa kajastustes rõhutati tasakaalutust: ruuterid ja muud piiriseadmed, mis seisavad organisatsiooni ja avatud interneti vahel, saavad vähem tähelepanu kui serverid või sülearvutid, kuigi ühest valest seadistusest piisab, et ründaja saaks hakata võrku kaardistama (Handelsblatt, cyberdeutsch.news). Itaalia luureteenistused AISE ja AISI kirjutasid nõuandele alla (Decode39). Soome luure Supo avaldas ettevõtetele ja elutähtsatele sektoritele eraldi riikliku hoiatuse (Supo).

Risk ei piirdu esimese ohvriga. Ülevõetud ruuterist võib saada ründaja vahenduspunkt: hilisem vaenulik liiklus liigub ohvri võrgu kaudu ja näib tulevat usaldusväärsest Euroopa ettevõttest. See peidab ründaja jälgi ning teeb tuvastamise keerulisemaks kogu partnerite ja tarnijate ahelas (AttackIQ).

Lahendus on igav ja selles probleem ongi

Soovitatud kaitsemeetmed on meelega argised: lülitada vanad SNMP versioonid välja, minna üle SNMPv3-le, mis nõuab päris autentimist, muuta tehaseparoolid, lubada kaughaldus ainult teadaolevatest võrkudest, uuendada püsivara ja vahetada välja seadmed, millele tootja enam paiku ei paku (NSA). Soome küberturvalisuse keskus lisas, et logisid tuleks koguda ja säilitada kuus kuni 24 kuud (Kyberturvallisuuskeskus).

Kõik need sammud on IT-meeskonnale praegu tehtavad. Selleks ei ole vaja uut regulatsiooni ega luurebriifingut. Puudujääk on prioriteedis, mitte teadmises. Haiglal või omavalitsusel võib olla korralik sülearvutite turve, samal ajal kui harukontori ruuter kasutab endiselt 2018. aastal kaasa tulnud parooli.

Selle mustri eest hoiatavad nüüd ligi paarkümmend riiki. Vene riiklik luure ei pea alati läbistama keerukaid kaitsekihte. Sageli piisab hooldusluukidest, mida keegi pole lukku pannud. Spionaaž skaleerub, sest sama väike hooldusviga kordub tuhandetes võrkudes.