Egy etikus hackelési vizsgálat kijózanítóan hat a cégekre, de van, aki ebből sem tanul.
Lesújtó képet festett a hazai vállalatok és szervezetek biztonsági felkészültségéről, informatikai rendszereinek védelméről a múlt heti Ethical Hacking konferencián Keleti Arthur, a KFKI it-biztonsági stratégája. Az elmúlt három év során lefolytatott, több mint 200 rendszert érintő etikus hackelési vizsgálata alapján azt a következtetést vonta le, hogy „nem kell a neutronágyú, mert a pajszer is mindent nyit” – vagyis a legtöbb rendszerbe egyszerű, szinte kőkorszaki módszerekkel is könnyedén be lehet jutni, legyen szó akár kis-, akár nagyvállalatról, akár közigazgatási szereplőről.
Ez annál is szomorúbb, mert a vizsgálatot kérő vállalatok döntő többsége meg van győződve arról, hogy rendszerei biztonságával minden rendben van, és csak (például egy audit miatti) szükséges formalitásnak tekintik a betörési tesztet, ami után nem is hagynak időt a szükséges korrekciókra. Ráadásul mindig csak az infrastruktúra egyes elemeit vizsgáltatják, a teljes vertikumra kiterjedő vizsgálatra nem volt példa.
A tipikus gondok között vannak a nem frissített rendszerek, a biztonságot figyelembe nem vevő fejlesztések vagy éppen az elhanyagolt jelszópolitika. „Meglepően sokszor találkoztunk admin/admin felhasználónév/jelszó párossal, amiről azt hittem, hogy vállalati környezetben nem fordulhat elő” – adott hangot hitetlenségének Keleti Arthur.
Minden biztonsági képzés ellenére még mindig megdöbbentő a felhasználók hiszékenysége is. Egy több mint ezer fős cégnél azt a módszert alkalmazták, hogy egy képzeletbeli informatikus kolléga nevében létrehoztak egy iwiw-fiókot; bejelölték a cég dolgozóit ismerősnek (nagyon sok visszajelölést kaptak); majd a nem létező informatikus nevében írtak egy kör-emailt, hogy egy közelgő migrációhoz kérnék: adják meg a kollégák egy weblapon a felhasználónév/jelszó párosukat. Az akciót kénytelenek voltak leállítani, amikor – egy órán belül! – már a cég felsővezetői is kezdték küldözgetni a kért információkat.
Schopp Attila
