Prisiminkite tą jausmą, kai gaunate laišką iš „banko”, kuris prašo „patvirtinti” savo duomenis per keistą nuorodą. Arba tą akimirką, kai įmonės serveriai staiga pradeda veikti lėtai, o IT specialistas su išgąsčiu veide sako „atrodo, kad mus užpuolė”. Lietuvoje tokiais atvejais yra viena organizacija, į kurią verta atsigręžti – CERT-LT. Bet kiek žmonių tikrai žino, kas tai yra ir kaip su jais susisiekti, kai reikalai pakrypsta į blogąją pusę?
Kas per padalinys yra CERT-LT ir kodėl jis egzistuoja
CERT-LT – tai Lietuvos nacionalinis kibernetinių incidentų valdymo padalinys, veikiantis prie Ryšių reguliavimo tarnybos (RRT). Pavadinimas kilęs iš angliško „Computer Emergency Response Team” – kompiuterinių avarijų tarnybos. Skamba biurokratiškai, tačiau realybėje tai konkreti struktūra, kuri kasdien stebi, kas vyksta Lietuvos kibernetinėje erdvėje.
Šios tarnybos funkcija paprasta – rinkti informaciją apie kibernetinius incidentus, juos analizuoti, teikti pagalbą nukentėjusiems ir, kas ne mažiau svarbu, informuoti visuomenę apie naujas grėsmes. Jeigu staiga per visą Lietuvą prasideda masinė sukčiavimo kampanija, panaudojanti tam tikrą schemą, CERT-LT paprastai pirmieji išplatina įspėjimą.
Verta paminėti, kad tokios tarnybos egzistuoja praktiškai visose Europos Sąjungos šalyse – tai NIS2 direktyvos ir bendros kibernetinio saugumo strategijos dalis. Vokietijoje savo CERT, Estijoje – savas, Lenkijoje – CERT Polska. Šios institucijos tarpusavyje bendradarbiauja, dalinasi informacija apie grėsmes, kurios dažnai kertasi valstybių sienas.
Kada verta kreiptis – ne visos problemos yra „incidentas”
Vienas dažniausių klaidingų supratimų – žmonės mano, kad į CERT-LT galima kreiptis dėl bet kokios kompiuterinės bėdos. Jei jūsų laptopas lėtai veikia arba nešiojamasis kompiuteris „užšąla”, tai dar nereiškia, kad reikia rašyti nacionalinei kibernetinei tarnybai.
Realūs atvejai, kai kreipimasis pagrįstas:
- Įmonės ar organizacijos IT sistemos buvo užpultos – duomenys užšifruoti, prašoma išpirkos (ransomware atakos)
- Pastebėtas neteisėtas priėjimas prie sistemų ar duomenų nutekėjimas
- Svetainė buvo pažeista ir platina kenkėjišką turinį
- Gautas įtartinas sukčiavimo (phishing) laiškas, kuris atrodo kaip masinė kampanija
- DDoS ataka – kai svetainė ar paslauga tampa nepasiekiama dėl perkrautų serverių
- Pastebėta pažeidžiamybė kritinėje infrastruktūroje ar valstybinėje sistemoje
Jeigu situacija yra asmeninio pobūdžio – pavyzdžiui, jūsų asmeninė paskyra socialiniame tinkle buvo įsilaužta – dažniausiai geriau kreiptis tiesiai į patį paslaugos teikėją. CERT-LT dirba daugiau su sistemine, plataus mastelio ar organizacijų lygio grėsme, nors pavieniai pranešimai apie sukčiavimo bangas taip pat vertingi.
Pranešimo procesas – kaip tai atrodo praktiškai
Pranešimą apie incidentą galima pateikti keliais būdais – per CERT-LT interneto svetainę užpildant formą, elektroniniu paštu arba, ypač skubiais atvejais, telefonu. Svetainėje esanti forma paprastai prašo nurodyti pagrindinę informaciją: kas nutiko, kada tai pastebėjote, kokios sistemos paveiktos, ar turite techninių įrodymų (log failų, ekrano nuotraukų, IP adresų).
Praktinis patarimas – prieš rašydami pranešimą, pasirūpinkite, kad turėtumėte kuo daugiau konkrečios informacijos. Bendras „man kažkas negerai su kompiuteriu” nepadės nei jums, nei specialistams. Naudinga informacija:
- Tikslus laikas, kada pastebėta problema
- Ekrano nuotraukos su matomu klaidos pranešimu ar įtartina veikla
- Įtartinų el. laiškų antraštės (headers), o ne tik tekstas
- IP adresai, iš kurių vyko įtartina veikla, jei žinomi
- Sistemos žurnalų (log) failai, jei įmanoma juos išsaugoti nesugadinus
Svarbu – jei įmonė patyrė ataką, nepradėkite iš karto perkrauti visų serverių ar valyti sistemų. Tai skamba kontraintuityviai, bet pirmas žingsnis turėtų būti įrodymų išsaugojimas. Perkrovus serverį galite sunaikinti pėdsakus, kurie padėtų suprasti, kaip atakuotojas patekol į sistemą.
Kas nutinka po pranešimo pateikimo
Gavus pranešimą, CERT-LT specialistai pirmiausia įvertina situacijos rimtumą – ar tai izoliuotas atvejis, ar dalis platesnės kampanijos, paveikiančios kelias organizacijas vienu metu. Priklausomai nuo situacijos sudėtingumo, tolimesni veiksmai gali skirtis nuo paprasto patarimo telefonu iki tiesioginio dalyvavimo incidento likvidavime.
Kritinės infrastruktūros objektų (energetika, sveikatos apsauga, finansų sektorius) atveju reagavimas paprastai yra greitesnis ir intensyvesnis – tokių institucijų sutrikimai gali turėti platesnį poveikį visuomenei. Pranešti apie incidentus tokiose sistemose ne tik rekomenduojama, bet dažnai ir teisiškai privaloma pagal Lietuvos kibernetinio saugumo įstatymą.
Verta žinoti, kad CERT-LT dažniausiai nesiima „tirti nusikaltimo” prasme, kaip tai daro teisėsaugos institucijos. Jų vaidmuo daugiau techninis – padėti suprasti, kas atsitiko, kaip sustabdyti tolimesnę žalą ir kaip apsisaugoti ateityje. Jeigu incidentas turi nusikalstamos veikos požymių, paraleliai reikėtų kreiptis ir į policiją ar Kibernetinių nusikaltimų tyrimo tarnybą.
Įmonių pareiga – ne tik gera valia, bet ir teisinė būtinybė
NIS2 direktyvos įgyvendinimas Lietuvoje pakeitė žaidimo taisykles nemažai daliai verslo subjektų. Jei jūsų organizacija patenka į „esminių” ar „svarbių” subjektų kategoriją (pagal veiklos sritį – energetika, transportas, sveikatos apsauga, IT paslaugos ir kt.), pranešimas apie reikšmingus kibernetinius incidentus tampa privaloma, o ne pasirenkama procedūra.
Terminai čia svarbūs – dažniausiai reikalaujama pirminį pranešimą pateikti per 24 valandas nuo incidento pastebėjimo, o detalesnę ataskaitą – per 72 valandas. Tai nemažas iššūkis organizacijoms, kurios neturi iš anksto pasiruošusios incidentų valdymo procedūros.
Praktinis patarimas verslui – jei jūsų įmonė patenka į reguliuojamą sferą, nelaikykite incidentų valdymo plano vien formalybe, kurią reikia turėti „dėl audito”. Turėkite iš anksto paruoštą kontaktų sąrašą, aiškų vidinį procesą, kas ir kada praneša CERT-LT, ir bent minimalų šabloną, kuriuo galima greitai užpildyti pranešimo formą, kai laiko nėra daug.
Dažniausios grėsmės, apie kurias CERT-LT informuoja
Peržvelgus praeitų metų CERT-LT ataskaitas ir viešus pranešimus, matosi tam tikri pasikartojantys motyvai. Sukčiavimo (phishing) kampanijos, imituojančios bankus, valstybines institucijas ar populiarias paslaugas, tebėra viena dažniausių grėsmių formų. Taip pat dažnai minimos ransomware atakos, kurios taikosi į mažesnes ir vidutines įmones, manančias, kad jos „per mažos, kad kas nors jomis domėtųsi”.
Kitas svarbus aspektas – DDoS atakos, kurios periodiškai bangomis užgriūna Lietuvos valstybines institucijas, ypač jautriais politinio konteksto momentais. Šios atakos dažnai koreliuoja su geopolitine situacija regione, o CERT-LT tokiais atvejais atlieka svarbų koordinacinį vaidmenį tarp skirtingų institucijų.
Nereikia pamiršti ir apie IoT (interneto daiktų) prietaisus – kameras, maršrutizatorius, protingus namų prietaisus, kurie tampa vis populiaresniu atakų taikiniu, nes daugelis jų nėra tinkamai apsaugoti ir gali būti panaudoti botnetų kūrimui.
Vietoj tradicinės pabaigos: ką reikia žinoti šiandien, kad rytoj būtų ramiau
Jeigu iš viso šito reikėtų išsinešti tik kelis dalykus, tai būtų šitie. Pirma, žinokite, kad CERT-LT egzistuoja – tai ne mitinė institucija, kuri veikia kažkur toli ir niekada nepasiekiama. Jų svetainėje visada rasite aktualius kontaktus ir pranešimo formas. Verta jas išsisaugoti žymėse (bookmarks), kad avarinės situacijos metu nereikėtų gaišti laiko paieškai.
Antra, nelaukite „tobulo momento” pranešimui. Daugelis žmonių ir organizacijų delsia kreiptis, manydami, kad situacija nėra „pakankamai serioze” arba bijodami atrodyti nekompetentingi. Realybėje geriau pranešti apie potencialiai netikslų dalyką, nei nutylėti apie tikrą grėsmę, kuri vėliau pasirodo daug platesnė, nei atrodė iš pradžių.
Trečia, jei vadovaujate įmonei ar organizacijai, investuokite laiką iš anksto – kol nėra kritinės situacijos – susipažinti su pranešimo procedūromis, ypač jei jūsų veikla patenka į reguliuojamas sritis pagal NIS2. Krizės metu paskutinis dalykas, kurio norite, yra bandyti supranti, kokia forma turi būti užpildyta ir kur ją siųsti.
Galiausiai, kibernetinis saugumas nėra vienkartinis veiksmas, o nuolatinis procesas. CERT-LT teikiami įspėjimai ir rekomendacijos verti sekimo net tada, kai jūsų pačių sistemos, atrodo, veikia sklandžiai. Grėsmių kraštovaizdis kinta greitai, o tai, kas buvo saugu praeitą mėnesį, gali tapti pažeidžiamybe rytoj. Prisijunkite prie jų naujienlaiškio, sekite pranešimus – tai kainuoja kelias minutes, bet gali sutaupyti daug daugiau, kai ateis laikas, kai jums tikrai reikės žinoti, kur kreiptis.
