Studenti prověřili ostražitost institucí vůči kyberútokům

Studenti Martin Oliver Gába a Tadeáš Ježek v rámci závěrečného výstupu Cyber Security Seminars provedli testování kybernetické bezpečnosti ve dvou vzdělávacích institucích. Cílem projektu CSS, podpořeného Google.org, je srozumitelně předávat praktické znalosti v oblasti digitální bezpečnosti. Prostřednictvím série simulovaných útoků, závěrečné reflexe a následné přednášky nabídli vhled do toho, jaké metody útočníků zabraly a jaká byla bezprostřední reakce zaměstnanců.

Proč jste si vybrali právě formu přímé intervence?

Tradiční způsob intervence formou teoretických přednášek, plných obtížně srozumitelných pojmů, nám připadal nedostatečně propojený s reálnou praxí, se kterou se zaměstnanci denně setkávají. Obávali jsme se, že tento přístup nebude dostatečně účinný pro zapamatování bezpečnostních zásad a opatření. Motivací pro zlepšení kyberbezpečnosti byla povaha práce obou institucí, které denně nakládají s citlivými daty o dětech a rodičích, přičemž jedna má 15 zaměstnanců, druhá 50. Průměrný věk v obou se pohybuje kolem 45 let.

Jaké tři typy simulovaných útoků jste zvolili a jak probíhala samotná realizace?

První vlna simulovaných útoků spočívala v rozmístění USB klíčů v prostorách institucí. Záměrně jsme je umístili tak, aby budily dojem, že je ztratil jeden ze žáků. Testovali jsme, zda budou tyto nosiče nahlášeny vedení, ignorovány, nebo v horším případě zapojeny do zařízení, kde jsme monitorovali otevření „virového“ souboru.

Ve druhé vlně jsme prostřednictvím e-mailové adresy ředitele rozeslali phishingový e-mail. Obsahoval záměrné gramatické chyby a nestandardní formátování, které mělo čtenáře přimět k vyplnění citlivých údajů. V obou těchto vlnách jsme monitorovali míru konverze, tedy kolik zaměstnanců na odkaz skutečně kliklo a ohrozilo tak bezpečnost instituce.

Třetí vlna byla zaměřena na techniky sociálního inženýrství. Jeden z členů týmu se vydával za studenta informatiky na praxi, který pod záminkou hlášení pro centrálu požadoval kontrolu serverovny. Při tomto testu jsme pracovali výhradně s veřejně dostupnými informacemi, ke kterým by měl přístup i reálný útočník. Cílem bylo ověřit, zda zaměstnanci ověří identitu nového „IT technika“, například telefonátem vedení nebo položením doplňujících kontrolních otázek.

Jak se zaměstnanci chovali v momentě, kdy útok probíhal?

V případě phishingu a nastražených USB disků projevila většina zaměstnanců zdravou skepsi. Oba typy „útoků“ byly poměrně rychle nahlášeny vedení i ostatním kolegům. Přesto jsme zaznamenali několik kliknutí na rizikové odkazy v prvních minutách po zahájení intervence, tedy v době, než se varovná informace stihla rozšířit napříč všemi odděleními.

U sociálního inženýrství jsme se naopak setkali s vysokou mírou důvěřivosti a ochoty pomoci. V jedné z institucí se pochybnosti o naší identitě objevily krátce po našem odchodu, což naznačuje, že i přes prvotní důvěru by zaměstnanci v případě reálného problému byli schopni včas zareagovat a hrozbu eliminovat.

V čem se přístup obou institucí nejvíce lišil?

Kvantitativní výsledky byly v obou institucích srovnatelné, zásadní rozdíl se však projevil v rychlosti vnitřní komunikace. V menší instituci stačila jediná zpráva v komunikační aplikaci a všichni zaměstnanci byli okamžitě v obraze. Právě tato efektivita jim umožnila naše „nastražené“ USB disky rychle odhalit a eliminovat riziko. Ve větší organizaci se informace šířily o poznání pomaleji. Zástupci obou institucí berou kyberbezpečnost vážně a naše testy ocenili jako užitečný podklad pro identifikaci a následnou opravu slabých článků v jejich zabezpečení.

Který z těch tří útoků měl nejvyšší „úspěšnost“?

Jako nejúčinnější metoda se ukázalo sociální inženýrství. V obou případech jsme bez obtíží získali přístup k citlivé infrastruktuře, jejíž kompromitace by v případě skutečného útoku znamenala vážné ohrožení. V jedné z institucí si přitom nikdo ničeho nevšiml až do momentu naší závěrečné prezentace, kdy jsme na proběhlou simulaci sami upozornili.

Objevila se u účastníků po odhalení defenziva a naštvání, nebo převládala zvědavost a snaha se poučit?

V obou případech jsme se setkali s velkým zájmem o to, jak se kybernetickým hrozbám bránit. V menším týmu byla diskuse velmi otevřená a neformální. Zaměstnanci se aktivně ptali a sdíleli své pocity z testů. Ve druhé instituci byla atmosféra o něco vážnější. Někteří zaměstnanci brali své „chyby“ v testech jako osobní selhání. I přes tyto počáteční rozpaky však převažovala snaha poučit se a udělat maximum pro to, aby se v budoucnu nenechali napálit.

Na co jste se v následné přednášce nejvíc zaměřili?

Naše prezentace výsledků nebyla jen o číslech. Podrobně jsme rozebrali jednotlivé simulované útoky a ukázali zaměstnancům konkrétní varovné signály, na které si mají v budoucnu dát pozor. Při komunikaci výsledků jsme kladli velký důraz na respekt. Naším cílem nebylo nikoho zahanbit, ale konstruktivně upozornit na slabá místa v systému a vybavit kolegy dovednostmi, které jim pomohou hrozby včas rozpoznat.

Hlavním ponaučením z celého testování je, že základem je neustálá ostražitost. Stačí chvilka nepozornosti či únava, například v pátek odpoledne, a zaměstnanec nevědomky otevře phishingový e-mail, čímž může celé organizaci způsobit týdny komplikací. Stejná obezřetnost platí i ve fyzickém světě. U každé neznámé osoby, která se pohybuje v prostorách instituce, by mělo být naprostou samozřejmostí ověření její totožnosti.

Tento projekt byl skvělým propojením teorie s praxí a příležitostí otestovat si naše dovednosti v terénu. Fakultě děkujeme za možnost podílet se na této unikátní zkušenosti.