FSB vienība izmanto rūpnīcas paroles

Kaut kur ēkas tehniskajā skapī stāv maršrutētājs. Tas uzstādīts pirms vairākiem gadiem, darbojas ar programmaparatūru, kuru neviens nav atjauninājis, un joprojām pieņem rūpnīcas paroli. Ierīce strādā, tāpēc tai nepieskaras. Tieši šī neredzamība padara to noderīgu Krievijas izlūkdienestiem.

ASV Nacionālās drošības aģentūras, FIB un vismaz astoņu Eiropas valstu izlūkdienestu šomēnes publicētajā kopīgajā brīdinājumā par šādu ierīču sistemātisku izmantošanu nosaukta konkrēta Krievijas vienība — FSB 16. centrs (CISA). Koalīcijā ir Francija, Itālija, Polija, Zviedrija, Somija, Igaunija, Dānija un Čehija (NCSC NZ). Brīdinājums ir starptautisks, un tajā maršrutētāju drošības higiēna aprakstīta kā kopīga Rietumu ievainojamība.

Kā ēkas plāns nonāk ārpusē

Daudzos maršrutētājos joprojām ir ieslēgta veca attālinātās pārvaldības funkcija, kas administratoriem ļauj vadīt iekārtas tīklā. Inženieri to sauc par SNMP. Šā protokola sākotnējās versijas, kas izstrādātas pirms vairākām desmitgadēm, gandrīz neparedz drošības aizsardzību. „Parole” ir īsa teksta virkne, bieži atstāta rūpnīcas iestatījumos — burtiski vārds „public” vai „private”. To var uzminēt jebkurš, kas skenē internetu (CISA).

Kad piekļuve iegūta, uzbrucējs liek maršrutētājam nokopēt savu konfigurācijas failu un nosūtīt to uz viņa kontrolētu serveri (NSA). Šo failu var uztvert kā maršrutētāja piezīmju bloku: kādas ierīces atrodas tīklā, kā starp tām pārvietojas datplūsma un reizēm arī kur glabājas piekļuves dati. Uzbrucējs iegūst organizācijas iekšējo karti un nereti arī atslēgas, lai virzītos dziļāk sistēmā.

Mehānika ir vienkārša: izlūks pārbauda durvis, līdz atrod neaizslēgtas, nokopē ēkas stāvu plānu, izlasa iekšējo tālruņu sarakstu un pamana, kur glabājas atslēgas. Somijas Kiberdrošības centrs to formulēja praktiski: vāji aizsargātas tīkla ierīces paver ceļu kiberuzbrukumiem, un organizācijām šādi attālinātās pārvaldības paneļi nav jāatstāj publiski redzami internetā (Kyberturvallisuuskeskus).

Atsegts Eiropas ekonomikas karkass

Brīdinājumā uzskaitītas mērķētās nozares: sakari, enerģētika, finanšu pakalpojumi, valsts pārvalde, aizsardzības rūpniecība un veselības aprūpe (CISA). Tas faktiski ir jebkuras Eiropas ekonomikas pamatslānis.

Vācijas mediji izcēla asimetriju: maršrutētāji un līdzīgas robežiekārtas, kas atrodas starp organizāciju un atvērto internetu, bieži tiek uzraudzītas mazāk rūpīgi nekā serveri vai klēpjdatori, lai gan ar vienu kļūdainu iestatījumu pietiek, lai uzbrucējs sāktu kartēt tīklu (Handelsblatt, cyberdeutsch.news). Itālijas izlūkdienesti AISE un AISI brīdinājumu parakstīja kopā ar partneriem (Decode39). Somijas Drošības izlūkdienests Supo paralēli izdeva nacionālu brīdinājumu uzņēmumiem un kritiskajām nozarēm (Supo).

Risks neapstājas pie pirmā upura. Pārņemts maršrutētājs var kļūt par uzbrucēja pāradresācijas punktu: turpmāka naidīga datplūsma tiek virzīta caur upura tīklu, tāpēc izskatās, ka tā nāk no uzticama Eiropas uzņēmuma. Tas maskē uzbrucēja klātbūtni un apgrūtina atklāšanu katram partnerim un piegādātājam ķēdē (AttackIQ).

Risinājums ir garlaicīgs, un tā ir problēma

Ieteiktie aizsardzības pasākumi ir apzināti ikdienišķi: jāatslēdz vecās SNMP versijas, jāpāriet uz SNMPv3, kas prasa īstu autentifikāciju, jānomaina noklusējuma paroles, attālinātā pārvaldība jāierobežo līdz zināmiem tīkliem, jāatjaunina programmaparatūra un jānomaina ierīces, kurām vairs netiek nodrošināti drošības labojumi (NSA). Somijas Kiberdrošības centrs pievienoja vēl vienu prasību: žurnālfaili jāapkopo un jāglabā sešus līdz divdesmit četrus mēnešus (Kyberturvallisuuskeskus).

Katru punktu šajā sarakstā IT komanda var izdarīt tagad, bez jauna regulējuma vai izlūkošanas instruktāžām. Trūkst nevis zināšanu, bet prioritātes. Slimnīcā vai pašvaldības iestādē klēpjdatoru drošība var būt sakārtota, kamēr filiāles maršrutētājs joprojām izmanto paroli, ar kuru tas piegādāts 2018. gadā.

Tieši par šo modeli brīdina divdesmit valstis. Krievijas valsts izlūkdienesti ne vienmēr laužas cauri sarežģītām aizsardzības sistēmām. Bieži tie izmanto apkopes piekļuves, kuras nekad nav aizslēgtas. Šāda spiegošana mērogojas tāpēc, ka viena un tā pati nelielā uzturēšanas kļūda atkārtojas tūkstošiem tīklu.