FSB taikosi į Europos maršrutizatorius

Kažkur pastato techninėje spintoje veikia maršrutizatorius. Įrengtas prieš kelerius metus, su seniai neatnaujinta programine aparatine įranga ir vis dar priimantis gamyklinį slaptažodį. Ryšys veikia, todėl niekas jo neliečia. Būtent toks nematomumas daro šiuos įrenginius naudingus Rusijos žvalgybai.

Šį mėnesį JAV Nacionalinio saugumo agentūros, FTB ir mažiausiai aštuonių Europos valstybių žvalgybos institucijų paskelbtame bendrame perspėjime konkrečiai įvardytas Rusijos FSB 16-asis centras, sistemingai išnaudojantis tokius pamirštus įrenginius (CISA). Prie perspėjimo prisijungė Prancūzija, Italija, Lenkija, Švedija, Suomija, Estija, Danija ir Čekija (NCSC NZ). Tai ne vienos šalies incidentas, o bendras Vakarų pažeidžiamumas, susijęs su baziniu tinklo įrenginių administravimu.

Kaip pastato planas iškeliauja už durų

Daugelyje maršrutizatorių vis dar įjungta sena nuotolinio administravimo funkcija, leidžianti valdyti įrangą per tinklą. Inžinieriai ją vadina SNMP protokolu. Ankstyvosios jo versijos, kurtos prieš kelis dešimtmečius, beveik neturi saugumo sluoksnio. „Slaptažodis“ čia dažnai tėra trumpa teksto eilutė, palikta gamyklinė: tiesiog „public“ arba „private“. Tokius žodžius gali atspėti bet kas, skenuojantis internetą (CISA).

Gavęs prieigą, užpuolikas gali nurodyti maršrutizatoriui nukopijuoti savo konfigūracijos failą ir išsiųsti jį į jo kontroliuojamą serverį (NSA). Toks failas veikia kaip tinklo užrašinė: kokie įrenginiai yra viduje, kaip tarp jų juda srautas, o kartais ir kur saugomi prieigos duomenys. Taip gaunamas organizacijos vidaus žemėlapis ir neretai priemonės judėti giliau.

Praktiškai tai primena žvalgo darbą: tikrinamos durys, kol randamos neužrakintos, nukopijuojamas aukštų planas, perskaitomas vidinis telefonų sąrašas ir pasižiūrima, kur laikomi raktai. Suomijos kibernetinio saugumo centras tai suformulavo tiesiogiai: silpnai apsaugoti tinklo įrenginiai atveria kelią kibernetinėms atakoms, todėl organizacijos neturėtų palikti nuotolinio administravimo sąsajų matomų viešajame internete (Kyberturvallisuuskeskus).

Atviras Europos ekonomikų stuburas

Perspėjime išvardyti taikiniai: ryšių sektorius, energetika, finansinės paslaugos, valdžios institucijos, gynybos pramonės bazė ir sveikatos apsauga (CISA). Kitaip tariant, sektoriai, ant kurių laikosi bet kurios Europos ekonomikos kasdienis veikimas.

Vokietijos žiniasklaida atkreipė dėmesį į asimetriją: maršrutizatoriai ir kiti tinklo paribio įrenginiai, stovintys tarp organizacijos ir atviro interneto, dažnai stebimi silpniau nei serveriai ar darbuotojų kompiuteriai, nors vienos klaidingos konfigūracijos pakanka, kad užpuolikas pradėtų braižyti tinklo struktūrą (Handelsblatt, cyberdeutsch.news). Italijos žvalgybos tarnybos AISE ir AISI taip pat pasirašė bendrą perspėjimą (Decode39). Suomijos saugumo ir žvalgybos tarnyba Supo paskelbė atskirą nacionalinį įspėjimą įmonėms ir kritiniams sektoriams (Supo).

Rizika nesibaigia pirmąja auka. Perimtas maršrutizatorius gali tapti užpuoliko tarpiniu adresu: vėlesnis priešiškas srautas nukreipiamas per aukos tinklą, todėl atrodo ateinantis iš patikimos Europos įmonės. Taip užmaskuojamas užpuoliko buvimas ir apsunkinamas aptikimas visiems grandinės partneriams bei tiekėjams (AttackIQ).

Sprendimas nuobodus, ir čia problema

Rekomenduojamos priemonės sąmoningai paprastos: išjungti senas SNMP versijas, pereiti prie SNMPv3, kuri reikalauja tikro tapatumo patvirtinimo, pakeisti numatytuosius slaptažodžius, nuotolinį administravimą leisti tik iš žinomų tinklų, atnaujinti programinę aparatinę įrangą ir pakeisti įrenginius, kuriems gamintojai nebeteikia pataisų (NSA). Suomijos kibernetinio saugumo centras pridėjo dar vieną punktą: rinkti ir saugoti žurnalinius įrašus nuo šešių iki dvidešimt keturių mėnesių (Kyberturvallisuuskeskus).

Visa tai IT komandos gali padaryti dabar, be naujo reguliavimo ar papildomų žvalgybos instruktažų. Spraga ne žinių, o prioriteto. Ligoninė ar savivaldybė gali gerai saugoti darbuotojų kompiuterius, bet filialo maršrutizatorius vis dar veikti su slaptažodžiu, su kuriuo buvo pristatytas 2018 m.

Būtent apie tokį modelį perspėja dvidešimt valstybių. Rusijos valstybės žvalgyba nebūtinai laužia pažangias apsaugos sistemas. Ji naudojasi priežiūros angomis, kurios niekada nebuvo užrakintos. Šnipinėjimo mastas didėja todėl, kad ta pati nedidelė techninės priežiūros klaida kartojasi tūkstančiuose tinklų.