NotPetya a Maersk: čo by penetračný test odhalil skôr ako útočníci

V júni 2017 sa globálny prepravca A.P. Moller-Maersk stal obeťou jedného z najničivejších kybernetických útokov v histórii. Škodlivý kód NotPetya v priebehu niekoľkých minút ochromil IT infraštruktúru firmy pôsobiacej v 130 krajinách a spôsobil škody, ktoré Maersk sám vyčíslil na stovky miliónov dolárov. Prípad NotPetya Maersk sa dodnes uvádza ako učebnicový príklad toho, čo sa stane, keď sa slabiny siete prvýkrát otestujú až pri skutočnom útoku. Nižšie nájdete, ako útok prebehol, ktoré medzery by penetračný test odhalil včas a čo si z toho môže zobrať slovenská firma s desiatkami aj stovkami zamestnancov.

Ako to celé začalo

Maersk, jedna z najväčších lodných spoločností na svete s 76 000 zamestnancami, ovládala približne 20% svetovej nákladnej kontajnerovej dopravy. Ich IT infraštruktúra spájala stovky prístavov, logistických centier a kancelárií po celom svete.

27. júna 2017 o 14:30 miestneho času sa začal šíriť ransomware NotPetya cez ukrajinský účtovný softvér M.E.Doc. Malvér sa dostal do siete Maersk cez jednu ukrajinskú pobočku a v priebehu minút infikoval 45 000 počítačov v 130 krajinách. Všetky servery, počítače aj terminály v prístavoch prestali fungovať.

Zaujímavé je, že NotPetya sa tvárilo ako ransomware žiadajúce výkupné, ale v skutočnosti išlo o deštruktívny útok navrhnutý tak, aby znemožnil obnovenie dát. Ani po zaplatení výkupného by firma svoje dáta nezískala späť.

Dôsledky útoku na prevádzku

Maersk musel na 10 dní úplne zastaviť príjem nových objednávok. Lode v prístavoch nemohli vykladať ani nakladať kontajnery, pretože automatizované systémy nefungovali. Zamestnanci sa snažili riešiť všetko manuálne pomocou papiera a telefónov.

Firma musela reinstalovať 4 000 serverov, 45 000 počítačov a 2 500 aplikácií. Tento proces trval viac ako 10 dní a vyžadoval 24-hodinovú prácu stoviek IT špecialistov z celého sveta. Celkové náklady na obnovu a stratu obchodov dosiahli 200 až 300 miliónov dolárov.

Jediné, čo firmu zachránilo pred úplnou katastrofou, bola náhoda: jeden doménový radič v pobočke v Ghane bol práve odpojený kvôli výpadku elektriny. Tento jediný neinfikovaný server umožnil obnoviť celú Active Directory infraštruktúru a zachrániť kritické konfigurácie.

Kde bola bezpečnostná medzera

Vyšetrovanie po útoku odhalilo niekoľko zásadných nedostatkov v IT bezpečnosti Maersk:

• Nedostatočná segmentácia siete: malvér sa mohol voľne šíriť medzi všetkými pobočkami
• Chýbajúce pravidelné penetračné testy, ktoré by odhalili možnosti laterálneho pohybu útočníkov
• Neaktualizované systémy: NotPetya využíval zraniteľnosť EternalBlue, na ktorú už existovala záplata
• Nedostatočné zálohovanie dát: záložné systémy boli v rovnakej sieti a tiež sa infikovali
• Slabá kontrola prístupu tretích strán: útočníci vnikli cez dodávateľský softvér

Ako sa dalo útoku predísť

Pravidelné penetračné testy by odhalili väčšinu týchto zraniteľností skôr, než ich zneužili útočníci. Penetračný test simuluje skutočný kyberútok v kontrolovanom prostredí a identifikuje slabé miesta v obrane.

V prípade Maersk by komplexný IT audit a penetračný test odhalil:

• Nedostatočnú segmentáciu siete a potrebu implementovať mikrosegmentáciu
• Chýbajúce záplaty na kritických systémoch
• Možnosti laterálneho pohybu v sieti pre potenciálneho útočníka
• Slabosti v systéme zálohovania a potrebu offline zálohovania
• Zraniteľnosti v softvéri tretích strán a potrebu lepšej kontroly dodávateľov

Dánska vláda po tejto udalosti prijala prísnejšie požiadavky na kybernetickú bezpečnosť kritickej infraštruktúry. Maersk investoval státisíce dolárov do modernizácie IT bezpečnosti a dnes pravidelne vykonáva penetračné testy.

Ako by vyzeral penetračný test podľa scenára NotPetya

Útok na Maersk nezačal prelomením hlavného firewallu. Začal jedným infikovaným počítačom v pobočke. Pri podobnom riziku má preto najväčšiu hodnotu interný penetračný test so scenárom „predpokladaného prieniku“: tester dostane prístup ako bežný zamestnanec alebo napadnutá stanica a zisťuje, kam sa odtiaľ dostane. Takýto test v praxi overuje najmä tieto body:

• či sa z jednej stanice dá cez sieť dostať k serverom, iným pobočkám alebo do výroby
• či sú na staniciach uložené prihlasovacie údaje administrátorov, ktoré sa dajú získať a použiť ďalej, presne ako to robil NotPetya
• či v sieti beží zastaraný protokol SMBv1 alebo systémy bez záplat, aké zneužil EternalBlue
• či sú zálohy a doménové radiče dosiahnuteľné z bežnej používateľskej siete

Výsledkom je správa so zisteniami zoradenými podľa závažnosti a s odporúčaním, čo opraviť ako prvé. Pri firme so stovkami zariadení a niekoľkými lokalitami trvá samotné testovanie typicky jeden až tri týždne a po oprave nasleduje overovací retest. Ako takýto postup vyzerá v praxi a čo všetko môže zahŕňať, opisuje stránka penetračné testy firemnej siete a aplikácií.

Poučenie pre slovenské firmy

Možno si myslíte, že váš podnik nie je tak veľký ako Maersk, a preto nie je atraktívnym cieľom. Opak je pravdou. Menšie firmy sú často ľahšími obeťami práve preto, že nemajú dostatočnú ochranu.

Stredne veľká výrobná firma z Trnavy, s ktorou sme spolupracovali, čelila podobnému útoku v roku 2022. Ransomware zašifroval všetky produktové výkresy, obchodné zmluvy a účtovnú dokumentáciu. Našťastie firma mala implementované naše riešenie na pravidelné zálohovanie a dokázali sme všetko obnoviť do 24 hodín bez platenia výkupného.

Kľúčom k prevencii je poznať svoje slabiny skôr než ich nájde útočník. Penetračné testy nie sú len záležitosťou veľkých korporácií. Každá firma, ktorá má zákaznícke dáta, finančné informácie alebo kritické obchodné procesy v digitálnej podobe, by mala pravidelne testovať svoju obranu.

Dodávateľský softvér: slabina, ktorú väčšie firmy podceňujú

NotPetya sa nešíril cez phishing, ale cez aktualizáciu legitímneho programu. Útočníci ovládli aktualizačný server ukrajinského účtovného softvéru a firmy si škodlivý kód nainštalovali samy, v dobrej viere. Maersk tento program používal v jedinej pobočke, no sieť bez vnútorného delenia stačila na to, aby sa útok rozšíril do celej skupiny.

Pre väčšie firmy a skupiny s pobočkami z toho plynú tri praktické pravidlá. Veďte zoznam softvéru tretích strán, ktorý sa aktualizuje automaticky alebo má vzdialený prístup do vašej siete. Oddeľte systémy pobočiek a dcérskych spoločností od centrálnej infraštruktúry tak, aby kompromitácia jednej nezasiahla ostatné. A do rozsahu penetračného testu zahrňte aj prístupy dodávateľov, ktoré sa v bežných testoch často vynechávajú. Smernica NIS2 navyše bezpečnosť dodávateľského reťazca výslovne zaraďuje medzi povinné opatrenia.

Čo si overiť vo vlastnej sieti ešte tento mesiac

Nie každú otázku musí zodpovedať až penetračný test. Niektoré si váš IT tím alebo správca overí za pár dní a odpovede ukážu, kde je riziko najväčšie:

• Existuje aspoň jedna kópia záloh offline alebo v nemennom úložisku, ktorú útočník z firemnej siete nezmaže?
• Skúšali ste za posledný rok obnovu doménového radiča alebo celej Active Directory, nielen jednotlivých súborov?
• Majú lokálne administrátorské účty na počítačoch jedinečné heslá, alebo je všade rovnaké?
• Prihlasujú sa doménoví administrátori na bežné pracovné stanice?
• Oddeľuje sieť kancelárie, servery, výrobu a pobočky, alebo je všetko v jednom segmente?
• Viete, za koľko hodín by firma fungovala aspoň v núdzovom režime, keby naraz prestali fungovať všetky počítače?

Maersk mal pri obnove šťastie v podobe jedného odpojeného servera v Ghane. Na náhodu sa spoliehať nedá. Ak na niektorú z otázok neviete odpovedať, práve tam má zmysel začať. Ako drahá môže byť chyba v delení siete, ukazuje aj náš článok o sieťovej segmentácii na príklade konkrétnej firmy.

Čo by vás ešte mohlo zaujímať

Ako často by sme mali robiť penetračné testy?

Odporúčame minimálne raz ročne, alebo vždy po väčších zmenách v IT infraštruktúre. Firmy v regulovaných odvetviach ako finančníctvo alebo zdravotníctvo by mali testovať častejšie, ideálne dvakrát ročne. Po každom teste je dôležité opraviť identifikované zraniteľnosti a následne overiť účinnosť opráv.

Koľko stojí penetračný test pre malú firmu?

Cena závisí od rozsahu infraštruktúry a hloubky testovania. Rozhoduje najmä počet testovaných systémov a lokalít, to, či ide o externý alebo interný test, a či súčasťou je aj test webových aplikácií. V porovnaní s potenciálnymi škodami z kyberútoku, ktoré môžu dosahovať desaťtisíce až státisíce eur, je to minimálna investícia do prevencie.

Aký je rozdiel medzi penetračným testom a bezpečnostným auditom?

Bezpečnostný audit kontroluje, či dodržiavate stanovené bezpečnostné politiky a štandardy. Penetračný test ide ďalej: aktívne sa pokúša preniknúť do vašich systémov rovnako ako skutočný útočník. Oba prístupy sa dopĺňajú a ideálne je kombinovať ich pre kompletnú ochranu.

Nepoškodí penetračný test naše systémy?

Profesionálne vykonávané penetračné testy sú bezpečné a neohrozujú vašu prevádzku. Pred testom sa dohodneme na rozsahu, časovaní a pravidlách. Testy sa zvyčajne vykonávajú v mimopracovnom čase a testeri používajú kontrolované metódy, ktoré minimalizujú riziko výpadku. Všetky aktivity sú monitorované a dokumentované.

Ako sa NotPetya dostal do siete Maersk?

Cez aktualizáciu ukrajinského účtovného softvéru M.E.Doc, ktorý používala pobočka Maersk na Ukrajine. Útočníci ovládli aktualizačný server dodávateľa a škodlivý kód rozšírili ako bežnú aktualizáciu. V sieti sa potom šíril pomocou zraniteľnosti EternalBlue a odcudzených prihlasovacích údajov.

Aký je rozdiel medzi externým a interným penetračným testom?

Externý test skúma, čo útočník vidí a dokáže z internetu, napríklad webové aplikácie, VPN alebo vystavené služby. Interný test predpokladá, že útočník už je vo vnútri, a overuje, ako ďaleko sa dostane z jedného počítača. Prípad Maersk ukazuje, že pre firmy s pobočkami je interný test rovnako dôležitý ako externý.

Ako dlho trvá penetračný test?

Pri menšej firme s jednou lokalitou trvá testovanie obvykle niekoľko dní, pri väčšej firme s viacerými pobočkami a aplikáciami jeden až tri týždne. K tomu treba pripočítať prípravu rozsahu a spracovanie správy. Po odstránení zistení sa odporúča krátky retest, ktorý overí, že opravy fungujú.

Ochráňte svoju firmu skôr, než bude neskoro. História Maersk ukazuje, že ani veľké spoločnosti s obrovskými IT rozpočtami nie sú imúnne voči kyberútokom. Rozdiel medzi katastrofou a včasnou prevenciou často spočíva v jednom penetračnom teste.