Polskie firmy obierają kurs na cyberbezpieczeństwo. Zmiany wymusiły wojna i pandemia

Aż 64% dyrektorów i menedżerów polskich firm obawia się cyberataku. Z badania firmy Sophos wynika, że rodzime przedsiębiorstwa zwracają o wiele większą uwagę na kwestie związane z cyberbezpieczeństwem niż jeszcze dwa lata temu. Znaczący wpływ na zmianę postaw miały pandemia koronawirusa oraz inwazja Rosji na Ukrainę.

Zaledwie 15% respondentów uznało cyberatak na firmę, w której pracuje, za mało prawdopodobny. Dla co drugiego badanego jest to rzeczywiste ryzyko, a co dziesiąty uważa, że podjęcie działań przez cyberprzestępców przeciwko niemu to tylko kwestia czasu.

Firmy znacznie odczuły w ostatnich dwóch latach wpływ pandemii i konfliktu zbrojnego w Ukrainie na swoje bezpieczeństwo. Trudną sytuację wykorzystywali cyberprzestępcy – odsetek polskich przedsiębiorstw dotkniętych przez ransomware wzrósł z 13% w 2020 roku do 77% w roku 2021.Pandemia sprawiła, że cyberbezpieczeństwo stało się priorytetem

Obecnie blisko 60% polskich menedżerów uważa, że ich firmy stały się bardziej narażone na cyberataki niż przed wybuchem pandemii. Zagrożeni czują się przede wszystkim przedstawiciele branży handlowej, przemysłu, komunikacji, IT oraz transportu i logistyki. Wielkość firmy czy wysokość jej obrotów nie mają znaczenia – ataków boją się zarówno zatrudniający 10, jak i ponad 250 osób. Przedsiębiorcy najbardziej niepokoją się tym, że działalność cyberprzestępców mogłaby zachwiać płynnością finansową firmy (40%) oraz spowodować problemy z realizacją zamówień i usług (37%). Obawy dotyczą też potencjalnych kar za wyciek danych lub innych skutków prawnych (36%). Co piąty ankietowany najbardziej boi się, że cyberatak mógłby doprowadzić do utraty pracowników.

54% ankietowanych stwierdziło, że od wybuchu pandemii w ich firmach zwraca się większą uwagę na kwestie związane z cyberbezpieczeństwem (wśród dużych firm odsetek ten wynosi aż 67%). Ponad połowa menedżerów deklaruje, że zabezpieczony został sprzęt do pracy zdalnej, zatrudniono specjalistę ds. bezpieczeństwa lub postawiono na nowe rozwiązania czy oprogramowanie. Żadnych zmian w podejściu do cyfrowego bezpieczeństwa w trakcie trwania pandemii nie zauważyło blisko 20% badanych.Wojna w Ukrainie wymusiła zmiany w polskich firmach

56% menedżerów i dyrektorów jest zdania, że zainteresowanie cyberbezpieczeństwem w ich firmach znacząco wzrosło po rozpoczęciu inwazji Rosji na Ukrainę. W niemal połowie przypadków zaczęto stosować kontrolę dostępu do danych, w 42% firm zorganizowano szkolenia dla pracowników z zakresu cyberbezpieczeństwa – najczęściej w małych (44%) i dużych firmach (51%). Co trzeci badany przyznał, że wojna na terytorium Ukrainy nie wpłynęła na sposób pracy czy firmowe zasady bezpieczeństwa.Polskie firmy bardziej świadome i przygotowane na tle krajów Europy

Firma Sophos zrealizowała takie samo badanie również w Czechach i na Węgrzech. Uzyskane w tych krajach wyniki znacząco różnią się od tych z Polski. 64% Węgrów uważa, że cyberatak na ich firmę jest mało prawdopodobny lub nawet niemożliwy. Wśród Czechów odsetek ten wynosi 45%. Dla porównania, w Polsce jest to zaledwie 15%. Dziewięciu na dziesięciu węgierskich ankietowanych deklaruje, że podejścia do kwestii cyberbezpieczeństwa nie zmieniły ani pandemia, ani rosyjska inwazja na Ukrainę. Takich samych odpowiedzi udzieliła ponad połowa czeskich przedsiębiorców. W Polsce podobnego zdania było tylko 27% respondentów. Trzy na cztery węgierskie firmy nie mają polityki cyberbezpieczeństwa. Jej brak deklaruje także 41% czeskich respondentów.

Usługa Sophos MDR kompatybilna z zewnętrznymi rozwiązaniami cyberochronnymi

Firma Sophos zapewniła kompatybilność swoich usług bezpieczeństwa MDR (Managed Detection and Response) z rozwiązaniami innych producentów. Dzięki temu wykrywanie ataków w różnych środowiskach operacyjnych oraz przeciwdziałanie im stało się jeszcze szybsze i skuteczniejsze.

Z usługi Sophos MDR korzysta ponad 12 tysięcy klientów. Obecnie jest ona w stanie zapewnić integrację danych telemetrycznych z wielu rodzajów rozwiązań firm trzecich, takich jak urządzenia końcowe, firewalle, usługi chmurowe, systemy zarządzania tożsamością, poczta elektroniczna i innych produktów ochronnych, stanowiących część Sophos Adaptive Cybersecurity Ecosystem. Sophos MDR jest też kompatybilny z systemami telemetrii bezpieczeństwa takich dostawców jak Microsoft, CrowdStrike, Palo Alto Networks, Fortinet, Check Point, Rapid7, Amazon Web Services (AWS), Google, Okta, Darktrace i wielu innych.

Zgromadzone dane telemetryczne mogą być automatycznie konsolidowane, korelowane i sortowane według przypisanych priorytetów na bazie informacji dostarczanych przez platformę Sophos Adaptive Cybersecurity Ecosystem i jednostkę do wykrywania cyberzagrożeń Sophos X-Ops. Integracja Sophos MDR z zewnętrznymi rozwiązaniami jest możliwa dzięki technologii, którą Sophos pozyskał wraz z nabyciem firmy SOC.OS w kwietniu 2022 roku.

Skuteczna ochrona i aktywne wyszukiwanie zagrożeń

Dzięki technikom przetwarzania danych oraz analizom telemetrii, zespół operacyjny Sophos MDR może szybko określić kto, kiedy i w jaki sposób atakuje system oraz zareagować na zagrożenie w całym ekosystemie klienta w zaledwie kilka minut. Zgromadzone dane mogą także posłużyć do aktywnego polowania na zagrożenia i identyfikowania zachowań przestępców, które nie zostały wcześniej wykryte.

Sophos proponuje nowy standard usług MDR

Usługę Sophos MDR można konfigurować w zależności od potrzeb. Klienci mogą wybrać czy zespół operacyjny ma przejąć wszystkie działania po wykryciu incydentu naruszenia bezpieczeństwa, tylko zapewniać wsparcie przy neutralizacji potwierdzonych zagrożeń czy też wyłącznie dostarczać szczegółowe powiadomienia o alertach dla firmowych zespołów ds. bezpieczeństwa.

Usługa Sophos MDR jest dostępna poprzez globalny kanał partnerów Sophos i dostawców usług zarządzanych (MSP). Możliwość integracji z wybranymi rozwiązaniami ochronnymi innych firm będzie dostępna bez opłat do końca roku. Klienci mogą również kupić dodatkowe pakiety kompatybilności. Wycena usługi bazuje na liczbie chronionych urządzeń.

Pół roku później: rola cyberataków w inwazji Rosji na Ukrainę

Według ukraińskiej Państwowej Służby Łączności Specjalnej i Ochrony Informacji (SSSCIP), od początku inwazji Ukraina doświadczyła aż 1123 cyberataków. 37% celów hakerów było związanych z instytucjami rządowymi i obroną. Co czwarty atak bazował na złośliwym kodzie, a 27% miało na celu kradzież poufnych informacji. Chester Wisniewski, ekspert Sophos podsumowuje intensywność, skuteczność oraz cel cyberataków we wciąż toczącym się konflikcie. 

Działania Rosjan na cyfrowym froncie można podzielić na kilka kategorii: destabilizujące, dezinformacyjne, cyberterrorystyczne i szpiegowskie. Z danych udostępnionych przez SSSCIP wynika, że rosyjscy hakerzy jeszcze w styczniu zaczęli rozsyłać szkodliwe oprogramowanie, które miało utrudniać lub wręcz uniemożliwiać pracę ukraińskich firm, agencji rządowych i infrastruktury krytycznej.  

23 lutego 2022 r. około godziny 16:00, na dzień przed rozpoczęciem inwazji lądowej, eksperci ds. bezpieczeństwa zanotowali wzmożoną liczbę ataków typu DDoS (zmasowane ataki polegające na generowaniu sztucznego ruchu internetowego i ciągłym wysyłaniu zapytań do serwera, w celu sparaliżowania jego pracy) oraz wiper (wymazanie danych z systemów). Tego typu ataki występowały przez pierwsze sześć tygodni konfliktu, potem ich natężenie osłabło. Zdecydowaną większość z nich przeprowadzono w pierwszych dniach wojny.  

Działania destrukcyjne  

Prawdopodobnie najbardziej dotkliwym był atak Rosjan tuż po rozpoczęciu inwazji na system łączności satelitarnej Viasat, używany w całej Europie Środkowej i Wschodniej. Według informacji agencji Reuters zakłócenia komunikacyjne miały przyczynić się do zdobycia przewagi militarnej. Ukraińscy dowódcy byli jednak w stanie przegrupować się i ustanowić alternatywną komunikację, aby zminimalizować wpływ ataku. Należy jednak zaznaczyć, że wyrządził on szkody także w państwach NATO. Spowodował m.in. zakłócenie działania ponad 5800 turbin wiatrowych w Niemczech.  

Po sześciu miesiącach są dowody wskazujące, że to Rosja miała większe problemy z komunikacją w łańcuchu dowodzenia niż Ukraina. Ataki mające na celu destabilizację nie miały większego wpływu na wynik żadnej z dotychczasowych bitew.  

Działania cyberterrorystyczne 

Niektóre znane grupy cyberprzestępcze, takie jak Conti i Lockbit, od razu zadeklarowały, po której stronie konfliktu się opowiadają. Na początku inwazji obserwowaliśmy wzmożoną aktywność tzw. haktywistów: ataki DDoS, usuwanie stron internetowych, włamania do niezabezpieczonych systemów. Zarówno w Ukrainie, jak i w Rosji nie wywarły one trwałego wpływu.  

Wciąż jednak można natknąć się na przykłady takiej „partyzanckiej” działalności. Niedawno w Moskwie nieznani sprawcy zhakowali aplikację Yandex Taxi i zamówili przez nią kilkadziesiąt taksówek pod jeden adres, tworząc w centrum miasta olbrzymi korek.  Działania wywiadowcze 

W przeciwieństwie do działań destrukcyjnych, te o charakterze szpiegowskim są wymierzone nie tylko w Ukrainę, ale i w wspierające ją państwa i podmioty. Taka aktywność jest trudniejsza do sklasyfikowania, a często także do namierzenia.  

Nie jest niczym nowym, że Rosja atakuje Stany Zjednoczone, Unię Europejską i państwa członkowskie NATO, korzystając ze złośliwego oprogramowania i phishingu. W niektórych przypadkach istnieją jednak przekonujące dowody na to, że te ataki mają bezpośredni związek z inwazją na Ukrainę.  

W marcu 2022 roku Grupa Analiz Zagrożeń firmy Google (TAG) opublikowała raport dokumentujący rosyjskie i białoruskie ataki phishingowe na amerykańskie organizacje pozarządowe, siły wojskowe jednego z państw bałkańskich oraz ukraińską firmę przemysłu zbrojeniowego. Z kolei z badań firmy Proofpoint wynika, że europejscy urzędnicy zajmujący się uchodźcami z Ukrainy stali się celem kampanii phishingowych, które prowadzone są z adresu e-mail członka ukraińskich sił zbrojnych. Jego konto zostało bowiem wcześniej zhakowane przez rosyjskie służby wywiadowcze. W lipcu Rosjanie wzięli na celownik media. Próbowali pozyskać dostęp do ich systemów poprzez nowo odkrytą lukę „Follina” w pakiecie Microsoft Office. 

Po ponad pół roku trwania inwazji na Ukrainę można powiedzieć, że Rosja okazała się słabo przygotowana nie tylko pod kątem militarnym, ale także cyfrowym. Podjęte próby cyberataków mogły mieć o wiele bardziej niszczycielski wpływ. Trzeba jednak pamiętać, że to kraj rządzony przez Władimira Putina kontroluje sporą część dostaw energii do Europy Zachodniej.  

Czy w obliczu nadchodzącej zimy szykują się nowe kampanie dezinformacyjne, wywierające presję na europejskich przywódców, aby złagodzili sankcje? Czy sytuację wykorzystają też grupy cyberprzestępcze, których celem mogą stać się koncerny energetyczne? Rola cyberataków w przyszłych tygodniach i miesiącach może ulec zmianie, którą trudno jest przewidzieć. Jednak lekcją, którą z inwazji na Ukrainę można wyciągnąć już teraz, jest to, że silna obrona może być bardzo skutecznym atakiem. 

Cyberprzestępcy sięgają po ciasteczka. Ataki z wykorzystaniem plików cookie coraz popularniejsze

Cyberprzestępcy coraz częściej stosują pliki cookie do omijania uwierzytelniania wieloskładnikowego. Według raportu Sophos, atakujący mogą uzyskiwać dostęp do zasobów firm dzięki wykradzionym sesyjnym „ciasteczkom”. Pozwalają one podszywać się pod prawdziwych użytkowników i swobodnie poruszać w firmowej sieci.

 

Dlaczego cyberprzestępcom zależy na ciasteczkach?

Sesyjne pliki cookie, zwane też „ciasteczkami”, są zbierane i przechowywane przez przeglądarkę internetową do momentu jej zamknięcia lub wylogowania się ze strony internetowej. Zawierają m.in. informacje o otwieranych stronach internetowych i identyfikują przeglądarkę, z której użytkownik łączy się z serwisem.

Po uzyskaniu dostępu do firmowych systemów, atakujący mogą wykorzystać pliki cookie do dalszych działań, takich jak przejęcie dostępu do poczty elektronicznej, modyfikacja danych lub repozytoriów kodu źródłowego czy próby wyłudzenia dostępu do dodatkowo zabezpieczonych zasobów.

Ciasteczka wyjątkowo groźną bronią w arsenale cyberprzestępców

Skradzione pliki cookie mogą posłużyć do ataku typu „pass-the-cookie”. Przestępcy z ich pomocą oszukują przeglądarkę i podają się za uwierzytelnionego użytkownika, np. pracownika firmy, co pozwala też ukryć ich złośliwe działania w firmowej sieci. Jest to możliwe, ponieważ token dostępu jest tworzony i przechowywany w przeglądarce podczas korzystania z uwierzytelniania wieloskładnikowego.

Problem jest o tyle poważny, że wiele legalnych aplikacji internetowych posiada stałe pliki cookie, które są przechowywane do momentu wylogowania się użytkownika, a czasem nigdy nie tracą one ważności.

Cyberprzestępców ogranicza jedynie kreatywność

Rozwiązaniem zapewniającym większe bezpieczeństwo może wydawać się regularne czyszczenie plików cookie i innych informacji uwierzytelniających w przeglądarkach. Jednak zaostrzenie zasad dotyczących ciasteczek wiąże się z pewnymi kompromisami. Skrócenie okresu ich ważności oznacza konieczność częstego logowania się przez użytkowników.

Według eksperta Sophos, aby zapewnić sobie odpowiednią ochronę, firmy powinny korzystać z narzędzi, które umożliwiają skuteczne wykrywanie złośliwego oprogramowania, zwłaszcza za pomocą analizy behawioralnej.

Polisa na wypadek cyberataku – jak firmy mogą chronić się przed skutkami ransomware?

Polisę na wypadek cyberataku ma aż 97% dużych polskich przedsiębiorstw – wynika z badania przeprowadzonego na zlecenie firmy Sophos. W 9 na 10 przypadków wykupione ubezpieczenie obejmuje odszkodowanie za skutki zainfekowania oprogramowaniem ransomware. W ciągu ostatniego roku zwiększyła się świadomość dotycząca cyberbezpieczeństwa, jednak firmy zauważają też spadek dostępności polis i ich rosnące koszty.

 

Rośnie odsetek ubezpieczonych

W 2021 roku na świecie na cyberubezpieczenie zdecydowało się 92% dużych firm. W 2019 r. było to 84%. Wzrósł także odsetek przedsiębiorstw, których polisa zabezpiecza przed skutkami ransomware – z 64% do 83%.

Polska jest nie tylko w europejskiej, ale i w światowej czołówce pod względem odsetka dużych firm posiadających polisę od cyberataku. Na Starym Kontynencie był on wyższy wyłącznie w Czechach (99%), Szwecji oraz Belgii (po 98%). Dla porównania, na Węgrzech jedynie 82% spółek stosuje podobne rozwiązania.

Ransomware – firmy wolą dmuchać na zimne

Najczęściej polisę od złośliwego oprogramowania wykupują ci, którzy już zostali nim zaatakowani. Ubezpieczenie od ransomware wybiera 89% zainfekowanych w przeszłości firm i 70% tych, które do tej pory nie doświadczyły próby wyłudzenia okupu za zaszyfrowane dane. 41% korzystających z polisy pokrywającej skutki ransomware (34% wszystkich respondentów) wskazuje, że są w niej wyjątki i wyłączenia.

Wyższe okupy, droższe ubezpieczenia

Z opublikowanego przez Sophos raportu z badania wynika, że rośnie nie tylko odsetek ubezpieczonych przedsiębiorstw, ale także kwoty płacone cyberprzestępcom. W 2021 r. średnia wysokość okupu wynosiła 812 tys. dolarów (ok. 3,8 mln złotych). To blisko pięć razy więcej niż w rok wcześniej (170 tys. dolarów). Aż 11% firm, które poszły na rękę atakującym, uiściło opłatę w kwocie powyżej miliona dolarów. Tylko co piąta zapłaciła za odzyskanie dostępu do danych mniej niż 10 tys. dol.

Ubezpieczyciele częściej wypłacają środki pozwalające usunięcie skutków ataku i przywrócenie działania firmy (77% przypadków, wzrost o 10 pp. względem 2020 r.) niż zapłacenie okupu (40% przypadków, spadek o 4 pp. względem ubiegłego roku).

Co trzecia duża firma zauważa, że polisy chroniące przed skutkami cyberataków są droższe niż przed rokiem. Ponad połowa zwraca też uwagę na rosnące wymagania wobec firm, które chcą wykupić takie ubezpieczenie. 40% respondentów jest zdania, że coraz mniej ubezpieczycieli ma w swojej ofercie polisy na wypadek cyberataków.

Cyberzagrożenia wymusiły zmiany

Sytuacja przedsiębiorców jest coraz trudniejsza. Według raportu Sophos liczba cyberataków na firmy wzrosła o 57% w porównaniu z rokiem 2020. Ponad połowa ankietowanych przedsiębiorstw jest zdania, że działania przestępców są bardziej złożone i dotkliwe niż w poprzednich latach. Największym problemem jest ransomware, z którym styczność miało aż 66% badanych. Dla porównania, w zeszłym roku było to 37%.

Rosnąca skala zagrożeń zwiększa jednak świadomość wśród przedsiębiorców. 97% firm deklaruje, że w ostatnim roku wprowadziło zmiany w swoich systemach ochronnych. Najczęściej polegały one na wdrożeniu nowych rozwiązań i usług związanych z cyberbezpieczeństwem (64%) oraz szkoleniu pracowników (56%).

O badaniu

Badanie na grupie 5,5 tys. specjalistów IT z 31 krajów przeprowadziła niezależna agencja badawcza Vansom Bourne na zlecenie firmy Sophos. Respondenci reprezentujący firmy różnej wielkości (od 100 do 5 tys. pracowników) pochodzili z Europy, obu Ameryk, Azji, wysp Pacyfiku, Azji Środkowej, Bliskiego Wschodu i Afryki. Badanie zostało przeprowadzone w styczniu i lutym 2022 roku.

Z całym raportem można zapoznać się na stronie https://www.sophos.com/en-us/whitepaper/cyber-insurance-2022

Nawet do 7 tygodni nielegalnego dostępu do firmowych danych. Cyberprzestępcy korzystają z luk w popularnych aplikacjach – raport Sophos

Duże, dobrze prosperujące przedsiębiorstwa to niejedyne cele cyberprzestępców. Z raportu Sophos wynika, że im mniejsza firma, tym dłużej atakujący są w stanie penetrować jej zasoby – nawet do 51 dni. Badanie wskazuje też, że do szkodliwej działalności najczęściej wykorzystywane są luki w Microsoft Exchange.

 

Każda godzina na wagę złota

W ubiegłym roku średni czas, po którym wykryto obecność cyberprzestępców w firmowej infrastrukturze IT, wydłużył się o 36% – z 11 dni w 2020 r. do 15 dni w 2021 r. Wskazuje to, że techniki wykorzystywane przez intruzów są coraz bardziej wyrafinowane. Co więcej, zazwyczaj zostają oni zauważeni dopiero w momencie, gdy oprogramowanie ransomware, którym zainfekowany jest system, zacznie swoją szkodliwą działalność. Ten rodzaj ataku stanowił aż 73% wszystkich analizowanych w raporcie przypadków.

Mała firma, wielkie kłopoty

Według raportu Sophos cyberprzestępcy dłużej przebywają w infrastrukturze IT mniejszych firm. W przypadku przedsiębiorstw liczących do 250 pracowników, atakujący są aktywni nawet 51 dni, a w podmiotach zatrudniających od 3 do 5 tys. osób – średnio 20 dni.

Luki w powszechnie wykorzystywanym oprogramowaniu

Autorzy raportu zwracają szczególną uwagę na niezałatane luki w oprogramowaniu, takie jak ProxyShell i ProxyLogon w serwerach poczty elektronicznej Microsoft Exchange. Cyberprzestępcy wykorzystali je w blisko połowie badanych w 2021 r. przypadków. Dla porównania, tylko co dwudziesty atak nastąpił w wyniku złamanych bądź nielegalnie pozyskanych danych uwierzytelniających.

W swoim badaniu eksperci Sophos wyróżnili grupy IAB (Initial Access Brokers), zajmujące się wyłącznie pozyskiwaniem danych dostępowych do systemów firm, a następnie odsprzedawaniem ich innym przestępcom, np. udostępniającym ataki ransomware jako usługę (Ransomware as a Service, RaaS). Wraz ze wzrostem aktywności takich grup rośnie także poziom trudności wykrywania ataków. IAB bezwzględnie wykorzystują słabe punkty zabezpieczeń, szczególnie nowo wykryte luki w popularnych aplikacjach.

Nie zawsze udaje się ustalić, którędy atakujący uzyskali dostęp do danych. Dlatego specjaliści do spraw cyberbezpieczeństwa powinni zachować czujność i na bieżąco łatać luki, zwłaszcza w powszechnie używanym oprogramowaniu. Nie mniej istotne jest zabezpieczanie usług zdalnego dostępu.

3 na 4 polskie firmy padły ofiarą ataku ransomware w 2021 roku – raport Sophos

W 2021 roku gwałtownie wzrosła skala ataków ransomware na średnie i duże firmy w Polsce. Według badania Sophos aż 77% z nich doświadczyło tego zagrożenia – w roku 2020 było to zaledwie 13%. Całkowite straty spowodowane przez ransomware wzrosły pięciokrotnie. Połowa przedsiębiorstw, których dane zostały zaszyfrowane, płaci okup przestępcom.

 Okupy coraz wyższe i częściej płacone

Odsetek firm zatrudniających ponad 100 osób, które zostały dotknięte atakami ransomware, wzrósł na całym świecie – z 37% w 2020 roku do 66% w 2021. Średni płacony okup był prawie pięciokrotnie wyższy niż rok wcześniej i wyniósł 812 tys. dolarów. Trzykrotnie wzrósł też odsetek przedsiębiorstw, które zapłaciły przestępcom co najmniej milion dolarów. Firmy są coraz bardziej skłonne przesłać atakującym okup – w 2021 roku zrobiło to aż 46% (w 2020 roku było to 32%).W Polsce 8 na 10 ataków kończyło się zaszyfrowaniem firmowych danych. Aż połowa przedsiębiorstw, których dotknął ten problem, zapłaciła przestępcom, nawet jeśli dysponowały one innymi sposobami odzyskiwania informacji, takimi jak kopie zapasowe. Firmy płaciły przestępcom średnio 670 tys. zł.Miliony na przywrócenie sprawności

22% polskich firm w wyniku ataku ransomware poniosło koszt od 2,8 mln do nawet 5,8 mln złotych. Co dziesiąta zanotowała straty rzędu 5,8-29 mln zł. Wydatki te związane były z przestojami w działalności, straconymi możliwościami biznesowymi, kosztami operacyjnymi oraz koniecznością opłacenia okupu – średnio było to 7,6 mln zł. To znaczny wzrost w porównaniu z 2020 rokiem, gdy średni koszt wynosił 1,49 mln zł.

Jedynie 5% polskich firm nie odczuło negatywnego wpływu ataku na codzienną działalność. 62% przyznało, że ransomware miał poważne skutki dla działania biznesu. Połowa przedsiębiorstw znacząco odczuła utratę szans biznesowych i przychodów. W porównaniu ze średnią światową, w Polsce przedsiębiorstwa dłużej neutralizują skutki ataku. Tylko 39% firm udało się to w mniej niż tydzień (globalnie było to 53%). Co czwarta firma przywracała normalną działalność do miesiąca, a 31% – od 1 do nawet 3 miesięcy.

Dostępność Cloud Workload Protection

Rozwiązanie jest już dostępne w pakiecie z produktami Sophos Intercept X Advanced dla serwerów, XDR oraz usługą Sophos Managed Threat Response. Można nim zarządzać w ramach chmurowej platformy Sophos Central. Cloud Workload Protection może być też wdrożony jako odrębne rozwiązanie, np. dla zespołów odpowiedzialnych za bezpieczeństwo IT.

Sophos Cloud Workload Protection wkrótce będzie również dostępny jako aplikacja dla systemu Linux, przeznaczona m.in. dla zespołów DevSecOps i Security Operations Center (SOC), które potrzebują pełnego wglądu w środowiska IT o krytycznym znaczeniu, z zagwarantowanym minimalnym wpływem na ich wydajność. Aplikacja zapewni integrację interfejsu API z istniejącymi rozwiązaniami do automatyzacji, orkiestracji, zarządzania logami i reagowania na incydenty.

Sophos wprowadza nowe urządzenia Firewall XGS Series analizujące dane szyfrowane protokołem TLS

Sophos wprowadził do oferty rodzinę zapór sieciowych XGS, wyposażonych w mechanizm głębokiej analizy danych, które w trakcie przesyłania szyfrowane są protokołem TLS 1.3 (Transport Layer Security). Nowe rozwiązanie jest nawet pięć razy szybsze niż inne dostępne na rynku modele i umożliwia analizę ruchu sieciowego bez strat na wydajności. Weryfikowanie informacji szyfrowanych poprzez TLS jest kluczowe dla bezpieczeństwa firm – według badania Sophos, w ciągu ostatniego roku dwukrotnie wzrosła liczba cyberataków wykorzystujących ten mechanizm. Przestępcy ukrywają w ten sposób już 45% złośliwego oprogramowania.

TLS coraz częściej zagrożeniem, a nie ochroną

Szyfrowanie protokołem TLS coraz częściej stosują cyberprzestępcy, aby uniemożliwić narzędziom ochronnym wykrycie i powstrzymanie złośliwej działalności. Atakujący ukrywają swoją aktywność w ruchu sieciowym związanym z zaufanymi stronami – wykorzystują chronione przez TLS usługi internetowe i chmurowe, takie jak Google Cloud, Pastebin czy Discord. Tylko w ciągu jednego miesiąca badacze Sophos znaleźli i zgłosili prawie 10 tys. adresów URL kierujących do Discorda, które prowadziły do złośliwego oprogramowania.

– Firmy coraz częściej przenoszą do chmury krytyczne aplikacje biznesowe oraz przyjmują mechanizmy zapewniające dostęp do zasobów z ograniczonym zaufaniem. Stawia to nowe wyzwania związane z wydajnością systemów i monitorowaniem całej insfrastruktury narażonej na cyberataki. Specjaliści ds. bezpieczeństwa i działy IT muszą zagwarantować sobie możliwość wglądu w szyfrowany ruch, aby powstrzymywać ataki we wczesnej fazie, a nie gdy widać już ich efekty, np. w postaci zablokowanego przez ransomware dostępu do plików. Nowe urządzenia z serii XGS zapewniają pełne informacje o ruchu TLS, coraz częściej wykorzystywanym przez cyberprzestępców – mówi Monika Sierocinski, Team Lead CAM, Eastern Europe w Sophos.

Przyspieszone monitorowanie ruchu sieciowego

W urządzeniach z rodziny XGS wykorzystano architekturę Xstream, stosowaną już wcześniej w innych zaporach sieciowych Sophosa. Zapewnia ona ochronę przed zagrożeniami typu zero-day, wykrywa i zatrzymuje nawet najbardziej zaawansowane ataki, w tym ransomware. Zastosowano w niej specjalne procesory Xstream, które w automatyczny sposób identyfikują zaufany ruch, charakterystyczny dla usług SaaS, sieci SD-WAN i aplikacji chmurowych, a następnie priorytetyzują go, co wpływa na przyspieszenie transmisji danych. Uwolnione w ten sposób zasoby zapewniają jeszcze więcej przestrzeni dla ruchu objętego szyfrowaniem TLS i jego głębokiej analizy. Platforma Xstream znacznie zmniejsza też opóźnienia w transmisji i poprawia wydajność aplikacji biznesowych, zwłaszcza tych, które korzystają z dużych ilości danych w czasie rzeczywistym. Funkcjonalność procesorów można rozszerzać w elastyczny sposób i dostosowywać do zmieniających się potrzeb biznesowych firm.

Zapewniana przez urządzenia XGS ochrona bazuje na inteligentnym wykrywaniu zagrożeń w ramach świadczonej przez SophosLabs usługi Intelix. Podejrzany złośliwy kod jest bezpiecznie przechowywany w wirtualnym środowisku i poddawany głebokiej analizie na podstawie wiedzy zgromadzonej przez Sophos w petabajtach danych o zagrożeniach. Zestaw reguł, na podstawie których prowadzona jest analiza, jest stale aktualizowany, aby w szybki sposób wykluczyć ruch o bezpiecznym charakterze. Dzięki temu zespoły bezpieczeństwa mogą łatwo sprawdzać szyfrowanyą transmisję danych i zachować pełny wgląd w swoją infrastrukturę IT, bez obniżania wydajności systemu.

Automatyczna synchronizacja ochrony

Zapory sieciowe z serii XGS łączą się z platformą chmurową Sophos Central. W automatyczny sposób wymieniają informacje o zagrożeniach z innymi podłączonymi do niej rozwiązaniami i reagują na wykryte incydenty bezpieczeństwa. W ramach usługi Sophos Managed Threat Response (MTR) możliwe jest także zapewnienie dodatkowej ochrony, polegającej na opiece świadczonej w trybie 24/7 przez specjalistów ds. cyberbezpieczeństwa. Ułatwia to zarządzanie złożonymi środowiskami klientów.

Urządzenia Sophos Firewall XGS są dostępne przez globalny kanał partnerów Sophos i dostawców usług zarządzanych (MSP). Przeznaczone są do pracy w charakterze kompleksowego zabezpieczenia sieciowego dla małych i średnich firm, a także tych z rozproszonymi oddziałami. Rozwiązania te objęte są uproszczonym modelem licencjonowania, w ramach którego zapewniono rozszerzone wsparcie techniczne ekspertów Sophos. W najbliższych tygodniach udostępnione zostaną także dodatkowe modele, przeznaczone dla złożonych środowisk brzegowych, w których wymagane jest zapewnienie maksymalnej przepustowości.

Badanie Sophos: w efekcie pandemii dzieci z klas 1-3 częściej korzystają z sieci

Sytuacja związana z nauką zdalną i lockdownem wpłynęła na zmianę nawyków nie tylko dorosłych, ale i najmłodszych. Według badania przeprowadzonego przez firmę Sophos, aż 67% dzieci z klas 1-3 korzysta z internetu częściej niż przed pandemią. Poniedziałkowy powrót najmłodszych do szkół to wyczekiwana przez wielu rodziców i dobra dla uczniów wiadomość. Zdalne nauczanie pokazało jednak wyzwania związane z bezpieczeństwem dzieci w internecie oraz właściwym korzystaniem przez nie z urządzeń elektronicznych. Ryzyko sprowadzane przez cyberzagrożenia dostrzega nawet 74% rodziców, niewielu jednak podejmuje działania w celu ochrony najmłodszych.

Dzieci częściej są online w trakcie pandemii 

Tylko 8% najmłodszych w Polsce w efekcie pandemii korzysta z sieci mniej, a 25% równie często jak wcześniej. Zdecydowana większość (67%) przebywa online częściej i wskaźnik ten jest wyższy niż u naszych sąsiadów: 52% w Czechach i 50% na Węgrzech. Zmiana nawyków była przy tym najmniejsza w przypadku dzieci z największych miast (42% korzysta z internetu równie często jak wcześniej), a największa w małych miejscowościach (82% korzysta z sieci więcej). 

– Media elektroniczne stwarzają niezwykłe możliwości dla rozwoju człowieka, jednak niosą również zagrożenia. Amerykańskie Towarzystwo Pediatryczne wskazało, iż ekspozycja na czas ekranowy (sumarycznie: TV, komputer, konsola, telefon) dla dzieci w wieku 5-8 lat powinna wynosić maksymalnie 1-2 godziny dziennie wartościowych treści, dostosowanych do możliwości poznawczych. Z tymi wytycznymi zgadzają się psychologowie i pedagodzy. Badania nad skutkami kontaktu z mediami bez ograniczeń i kontroli pokazują wiele niekorzystnych dla rozwoju konsekwencji, takich jak zaburzenia snu, koncentracji uwagi, nadpobudliwość, zaburzenia w zachowaniu – wskazuje dr Iwona Sikorska z Zakładu Psychologii Rozwoju i Zdrowia Instytutu Psychologii Stosowanej UJ.

Matki zaniepokojone bardziej niż ojcowie 

Rodzice dostrzegają ryzyko związane z cyberzagrożeniami dla swoich dzieci podczas korzystania przez nie z sieci. 37% ocenia je jako wysokie lub bardzo wysokie. Kolejne 37% – jako co najmniej umiarkowane. Matki dwukrotnie częściej niż ojcowie oceniają przy tym ryzyko jako bardzo wysokie. Wśród zagrożeń dla najmłodszych w sieci rodzice najczęściej wskazują niewłaściwe treści, takie jak np. pornografia (75%), hejt (71%), kradzież informacji i haseł (67%) oraz niewłaściwe kontakty, np. w mediach społecznościowych czy na forach (66%).

W wyniku pandemii dzieci korzystają z sieci znacznie częściej i mimo powrotu do szkół prawdopodobnie te nawyki się nie zmienią. Dlatego na urządzeniach, z których korzystają najmłodsi, należy zainstalować programy ochronne. Warto też używać aplikacji, które umożliwią kontrolowanie stron przeglądanych prze dziecko i ilości czasu spędzanego w sieci, a także blokowanie niepożądanych treści, m.in. pornograficznych. Dzięki temu rodzice będą mogli stale nadzorować działania swoich dzieci w internecie oraz ustalać zasady korzystania z konkretnych programów, np. tylko w określonych godzinach – wskazuje Łukasz Formas, kierownik zespołu inżynierów w firmie Sophos.

Ochrona wciąż mało popularna

Tylko 18% rodziców dzieci uczęszczających do klas 1-3 korzysta z programów zabezpieczających najmłodszych w internecie, aż 82% ich nie używa. Zdecydowana większość spośród wszystkich ankietowanych (70%) planuje jednak zacząć to robić. Polacy wyraźnie odstają w tej kwestii od sąsiadów: 44% Czechów i 41% Węgrów korzysta z aplikacji chroniących dziecko w sieci. Co ciekawe, wśród rodziców korzystających z zabezpieczeń Polacy częściej niż sąsiedzi używają rozwiązań z zakresu kontroli rodzicielskiej (47% w porównaniu z 5% Węgrów i 24% Czechów).

O badaniu 

Badanie zostało zrealizowane za pomocą ankiet internetowych CAWI wśród rodziców dzieci w klasie 1-3 szkoły podstawowej. Ankiety przeprowadzono w dniach 7-10 grudnia 2020 roku w Polsce, Czechach i na Węgrzech, na próbie 300 rodziców w każdym z krajów.

Jak stworzyć sieć dla gości z pomocą UTM Sophos

Co wspólnego Sophos XG Firewall ma z gościnnym HotSpotem? Czyli jak stworzyć niekoniecznie bezprzewodową, profesjonalną sieć dla gości.

O HotSpot-ach słów kilka

Od pewnego czasu przymierzaliśmy się w FENie do zmiany sposobu uwierzytelniania w naszej sieci dla gości, do tej pory korzystaliśmy z rozwiązania które spełniało swoje zadanie, ale nie do końca spełniało nasze oczekiwania, chociażby w zakresie kompatybilności z wieloma platformami czy zarządzaniem. Generalnie wybierając rozwiązanie do obsługi sieci dla gości nie ma rozwiązania uniwersalnego w zakresie uwierzytelniania, bo każda organizacja ma nieco inne wymagania i potrzeby.

Wymagania podyktowane mogą być różnymi czynnikami, inne wymagania będzie miał hotel, który może sprzedawać taki dostęp na zasadzie usługi, a inne firma o profilu handlowym, gdzie dostęp do sieci gościnnej ma za zadanie ułatwić kontakt z odwiedzającym nas partnerem, umilić mu czas oczekiwania na skompletowanie zamówienia lub spotkanie.  Nie bez znaczenia jest sposób w jaki chcemy decydować o dostępie, bo sieć dla gości może być zupełnie otwarta, oczywiście umieszczona w osobnym VLANie, z dostępem tylko do Internetu, często z ograniczonym pasmem i odpowiednimi politykami filtrowania przeglądanych stron czy wykorzystywanych aplikacji. Jeżeli boimy się, że naszą sieć dla gości „zaleją” użytkownicy z zewnątrz lub stanie się źródłem Internetu dla mieszkańców okolicznych domów, w końcu mostek wifi z anteną panelową na znanym portalu aukcyjnym można kupić za niecałe 100 pln, a podłączenie się zajmuje kilka minut,  to możemy zastosować różnorodne mechanizmy uwierzytelniania i dziś chciałbym opisać niektóre z nich.

Tryb Client Bridge w mostku Planet WNAP-7320 jako przykład podłączenia z zewnątrz do otwartej sieci dla gości

Jednym z założeń jakie przyjęliśmy podejmując decyzję o zmianie sposobu uwierzytelniania w sieci dla gości była możliwość wykorzystania tego co już mamy, czyli mechanizmów dostępnych w wykorzystywanym kontrolerze wifi lub na bramie sieciowej. Zastosowanie sieci otwartej nie wchodziło w grę, po pierwsze nie chcieliśmy stać się lokalnym providerem wifi dla sąsiadów, po drugie rozwiązanie takie byłoby niebezpieczne dla innych użytkowników naszej sieci dla gości.

Rozwiązanie spotykane czasami w hotelach polegające na oklejeniu korytarzy kartkami z hasłem WPA-PSK albo WPA2-PSK uznaliśmy za mało eleganckie, pomijając fakt, że aktualnie takie hasełko można sobie zamówić na predefiniowanym szablonie i oprawić.

Przykład szablonu z hasłem WPA-PSK do zabezpieczenia dostępu do sieci w hotelu/pensjonacie.
Źródło: http://www.eleganceandenchantment.com/

Jak się wkrótce okazało, pomysł wykorzystania mechanizmów uwierzytelniania na poziomie kontrolera wifi też został szybko porzucony, bo jedyne co można było uzyskać, to logowanie nazwą użytkownika i hasłem przez Captive portal, czyli stronę, która pojawia się użytkownikowi sieci dla gości po otwarciu przeglądarki internetowej. W wypadku kontrolera nazwę użytkownika i hasło razem z czasem ważności konta należało wprowadzić przez interfejs www kontrolera. Kontroler ma wbudowaną bazę użytkowników, ale aby użytkownika do niej dodać trzeba nadać uprawnienia administracyjne osobie, która będzie tych użytkowników tworzyć.

Takie rozwiązanie uznaliśmy za niebezpieczne i niewygodne, nie chcieliśmy procesu tworzenia kont dla gości przerzucać na administratorów. Drugim problemem tego typu uwierzytelniania była dystrybucja tych kont dla samych gości, kontroler nie jest wyposażony w żaden mechanizm eksportu czy drukowania danych logowania. Kolejnym urządzeniem na liście do sprawdzenia była nasza brama sieciowa.

Ręczne dodawanie użytkowników – gości na poziomie kontrolera sieci bezprzewodowej. Brak możliwości eksportu.

Co XG Firewall ma wspólnego z HotSpotem?

W firmie wykorzystujemy jako bramę Sophos XG Firewall, jest to platforma UTM która powstała w wyniku połączenia dwóch rozwiązań. Pierwszym z nich jest Sophos UTM, stale rozwijana platforma wywodząca się z firmy Astaro, bardzo popularna na rynku niemieckim ale również u nas. Drugim rozwiązaniem są firewalle firmy Cyberoam, indyjski producent, na naszym rynku od kilku lat, rozwiązania znane ze swojej wydajności i z nowatorskiego podejścia do uwierzytelniania użytkowników, w Cyberoam tożsamość użytkownika to zawsze była 8 warstwa modelu sieciowego i jedno z ważniejszych kryteriów, które można wykorzystać przy definiowaniu reguł zapory sieciowej i filtrowania ruchu.

Wynikiem połączenia obu rozwiązań jest system operacyjny SF-OS, który w aktualnej wersji 16 łączy w sobie większość funkcjonalności platformy UTM i Cyberoam. Do pełni szczęścia brakuje mu jeszcze Sandstorma, czyli naszej platformy sandbox, pozwalającej podejrzane pliki wysyłać do chmury aby zdetonować je na prawdziwym systemie operacyjnym i dowiedzieć się czy nie zawierają szkodliwej zawartości. Sandstorm na platformę XG zbliża się jednak wielkimi krokami, ale o szczegółach innym razem.

Główny panel monitorowania sieci XG Firewall v16.

Wracając do tematu uwierzytelniania, XG Firewall ze względu na połączenie w nim możliwości dwóch systemów operacyjnych oferuje kilka mechanizmów które mogliśmy wykorzystać w wypadku sieci dla gości:

1. Captive Portal – baza użytkowników lokalna lub wyniesiona(AD, LDAP, eDirectory itp.). Problem w tym trybie mieliśmy ten sam który opisywałem w wypadku kontrolera wifi, bo ktoś tymi użytkownikami musi zarządzać. Mimo swojej wady dla naszego przypadku, jest to rozwiązanie  dla sieci w których nie chcemy wpuszczać np. prywatnych urządzeń pracowników do sieci firmowej, ale jednocześnie dajemy im możliwość zalogowania się do sieci dla gości swoimi firmowym kontem. Stanowi to  rozwiązanie problemu BYOD (Bring Your Own Device), bo jednocześnie pozwalamy pracownikom korzystać z sieci, ale nie musimy zarządzać oddzielnie kontami dla ich urządzeń prywatnych, czy je specjalnie konfigurować.

Zewnętrzne bazy danych wspierane przez XG Firewall.

2. Captive Portal – uwierzytelnianie SMS. Jeden z ciekawszych mechanizmów, użytkownikowi pojawia się Captive Portal na którym musi wprowadzić swój numer telefonu. Firewall spięty z zewnętrzną bramką SMS wysyła na podany numer dane do uwierzytelnienia. Fajna sprawa bo jednoznacznie identyfikujemy kto się dołączał do naszej sieci, wadą tego rozwiązania jest fakt, że musimy wykupić pakiet SMSów u zewnętrznego operatora(koszty niewielkie ale jednak), pozwalamy też dołączyć się dowolnemu użytkownikowi posiadającemu ważny nr telefonu, również sąsiadom. Z powodzeniem można by ją wykorzystać w sieci hotelowej, urzędzie czy szpitalu. Dając bezpłatny dostęp do Internetu dla klientów oferujemy wartość dodaną, przy czym możemy jednoznacznie zidentyfikować użytkownika po jego numerze telefonu.

3. HotSpot – Terms of use Acceptance. Strona na której użytkownik musi zaakceptować regulamin zanim uzyska dostęp do zasobów. Rozwiązanie zbyt otwarte jak dla nas, ale mogłoby się sprawdzić np. w muzeum w którym dostęp byłby zapewniony tylko dla określonych aplikacji i do określonych serwerów i tak naprawdę nie interesowałoby nikogo kto do sieci się podłącza.

4. HotSpot – Password of the Day. Zasada działania mechanizmu jest następująca, codziennie o określonej przez admina godzinie, automatycznie tworzone jest hasło obowiązujące danego dnia. Hasło nie dość że generowane automatycznie przez XG Firewall może być wysłane na wskazany adres email. Nawiązując do wcześniej wspomnianego oklejonego korytarza, rozwiązanie tego typu jest bardziej bezpieczne, nawet jeżeli ktoś miałby je codziennie drukować aby ustawić w ramce na ladzie w recepcji, ponieważ hasło jest cyklicznie zmieniane,. Automatyczne wysyłanie hasła na email to też sposób aby rozpropagować je w ramach organizacji dla większej ilości osób.

Tworzenie HotSpot z mechanizmem Password of the Day.

5. HotSpot – Vouchery. Funkcjonalność voucherów pozwala wygenerować zbiór kodów za pomocą których użytkownicy w danej sieci dla gości są uwierzytelniani. Kod użytkownik wprowadza na stronie do logowania którą podobnie jak w pozostałych przypadkach można spersonalizować.

Spersonalizowana strona do logowania HotSpot-voucher.

Vouchery czy jak kto woli kupony z kodem dostępu tworzone są na poziomie tzw. User Portalu, czyli portalu dedykowanego dla użytkowników, a nie dla administratorów. Dzięki temu oddzielamy rolę administracji samym firewallem od roli tworzenia kuponów, przy czym osobę która będzie miała uprawnienie do generowania voucherów możemy wskazać, korzystając z uwierzytelniania w zewnętrznej bazie(np. AD) lub tworząc mu konto lokalne.

Sam voucher oferuje różne rodzaje ograniczeń:

  • ważność od pierwszego zalogowania, np. 2 dni od kiedy użytkownik zalogował się po raz pierwszy
  • rzeczywisty czas dostępu, np. 1 h do wykorzystania
  • ilość przesłanych danych, np. 100 MB do wykorzystania

Kod pojawiający się na voucherze jest dynamicznie generowany przez XG Firewall, przewidziano również możliwość generowania kodów QR dla urządzeń mobilnych oraz drukowania wielokrotności voucherów na jednej kartce wybranego formatu. Stworzony voucher można wyeksportować do formatu PDF i wydrukować lub same kody wyeksportować do formatu CSV.

Przykład spersonalizowanego voucheru

Jakie są plusy wykorzystania voucherów? Można je wygenerować wcześniej, udostępnić w formacie elektronicznym lub wydrukować i położyć w salce konferencyjnej, na ladzie w recepcji albo w pokojowym hotelu. Mamy znacznie większą kontrolę nad czasem wykorzystania, ilością pobieranych danych, jeżeli tylko chcemy możemy wprowadzić identyfikację użytkownika przed udostępnieniem mu voucheru np. w trakcie przyjmowania nowego gościa notując przypisany mu nr voucheru.

Zarówno na stronie do logowania jak i samym voucherze możemy dodać logo organizacji albo wprowadzić szczegółową instrukcję jak do sieci się dołączyć. Tworzeniem voucherów można zarządzać z dowolnego miejsca,  z  którego pozwolimy na dostęp do User Portalu.

Niejednokrotnie przekonałem się o tym, że najprostsze rozwiązania bywają najlepsze, i tak było również w tym przypadku. Wybraliśmy vouchery z ograniczeniem czasowym, tj. ważności od pierwszego zalogowania użytkownika. Dalsza część artykułu poświęcona jest konfiguracji tego trybu uwierzytelniania.

Integracja istniejącej sieci WiFi z funkcjonalnością HotSpot na XG Firewall

W naszym wypadku mieliśmy już działającą sieć wifi pracującą na kontrolerze, ale gdybym miał tworzyć sieć od nowa wykorzystalibyśmy wbudowane możliwości XG Firewalla, który oprócz funkcjonalności HotSpotów posiada w pełni funkcjonalny kontroler sieci bezprzewodowej, z automatycznym wykrywaniem i aktualizacją punktów dostępowych, dynamicznym planowaniem kanałów, możliwością grupowania AP, wsparciem 802.11r czyli szybkim roamingiem czy szerokim wachlarzem mechanizmów bezpieczeństwa włączając w to WPA i WPA2 Enterprise.

Jak to bywa w wypadku rozwiązań z centralnym zarządzaniem, do kontrolera Sophos(XG Firewall) musielibyśmy jednak kupić punkty dostępowe Sophos, czyli wiązałoby się to koniecznością wymiany wszystkich APeków, a te które mamy jeszcze szkoda by było złomować.

Proces integracji z istniejącym kontrolerem i konfigurację Firewalla XG podzieliłem na kilka etapów:

  • Stworzenie dedykowanego vlanu dla gości, rozpropagowanie go w sieci i dopięcie istniejącego SSID
  • Stworzenie HotSpotu na XG Firewall powiązanego z VLANem dla gości
  • Personalizacja HotSpotu
  • Stworzenie reguł firewalla
  • Przygotowanie voucherów

Dla chętnych polecam rejestrację na stronie:

https://secure2.sophos.com/en-us/products/unified-threat-management/free-trial/xg-demo.aspx

Jest to online demo na którym można samemu zapoznać się z interfejsem konfiguracyjnym Firewalla XG i zobaczyć jak to co będę opisywał w dalszej części wygląda w rzeczywistości.

Dedykowany VLAN dla gości

Nowy vlan jest w XG traktowany jako podinterfejs wirtualny istniejącego interfejsu fizycznego. W naszej sieci korzystamy z klasycznego rozwiązania router on a stick, czyli jeden z interfejsów fizycznych XG jest dołączony do portu typu Trunk na zarządzanym przełączniku i nim przenoszona jest większość wykorzystywanych przez nas VLANów 802.1q. Warto wspomnieć, że XG jest firewallem strefowym, dzięki czemu możemy prościej zarządzać ruchem przechodzącym pomiędzy różnymi interfejsami fizycznymi czy wirtualnymi nie tylko na podstawie adresu sieciowego ale również na podstawie nazwy strefy. W naszym wypadku dodałem na tym etapie dwie konfiguracje. Pierwsza to dedykowana strefa, dzięki temu jestem pewny, że reguły stworzone dla innych stref nie będą dotyczyły naszej sieci dla gości, tworząc strefę mamy też możliwość określenia jakie usługi świadczone będą w danej strefie przez XG Firewall.

Tworzenie strefy na XG Firewall

Dodanie strefy wymaga: nadania jej nazwy, określenia typu strefy (LAN lub DMZ), określenia usług jakie będą świadczone w danej strefie przez XG Firewall(u nas jak można zauważyć na powyższym rysunku były to tylko uwierzytelnianie klientów i Captive Portal oraz DNS, potrzebny żeby można było rozwiązać nazwę domenową strony na którą użytkownik próbuje wejść i go przekierować).

Drugim elementem było dodanie VLANu, w tym wypadku wybieramy nasz interfejs który pełni rolę Trunk’a do przełącznika, podajemy tag 802.1q, wskazujemy strefę do której nasz interfejs będzie przypisany (nowo stworzona strefa dla gości) oraz nadajemy mu adresację.

Dodanie podinterfejsu VLAN na XG Firewall

Co mamy do tej pory, stworzony VLAN, z adresacją dedykowaną do sieci dla gości oraz w dedykowanej strefie, gdybyśmy nie chcieli spinać tego z siecią bezprzewodową to już można by było korzystać z dedykowanej sieci dla gości np. na przełączniku w salce konferencyjnej, trzeba by się tylko upewnić że VLAN został rozpropagowany w sieci, a porty przełącznika w salce tagują ruch właśnie do niego. To ważna informacja ponieważ funkcjonalność HotSpot w XG Firewall którą będziemy dopiero konfigurować można wykorzystać na wiele sposobów, z punktami dostępowymi Sophos, z rozwiązaniem bezprzewodowym firmy trzeciej(nasz przypadek) ale również z siecią przewodową np.  na gniazdach umieszczonych w pokojach hotelowych.

Nie będę opisywał konfiguracji VLANów na przełącznikach czy rozwiązaniu WiFi z którego korzystamy, bo w każdym wypadku będzie to wyglądało inaczej jeżeli chodzi o komendy czy interfejsy, ale zasada będzie taka sama. Co zatem trzeba zapamiętać, stworzony VLAN, musi zostać dopięty do Waszego rozwiązania, czy to kontrolera wifi(pewnie jako port trunkowy), czy wolno stojących punktów dostępowych(trunk lub access w zależności od tego czy APeki potrafią mapować ruch z SSID do VLANu) czy chociażby do przełącznika dostępowego (porty w trybie access), jak to mamy zrobione, możemy przystąpić do dalszej konfiguracji. U nas wyglądało to tak, z portu A na XG firewall wchodzimy do portu w trybie trunk na przełączniku i z tego przełącznika znowu portem w trybie trunk do kontrolera wifi, w którym SSID: Konsorcjum_FEN_Guest zostało zmapowane do rozpropagowanego vlanu o nr 4.

Nasz HotSpot

Kolejnym krokiem jest dodanie sieci HotSpot, zarządzanie całym modułem Wireless Protection w XG jest dostępne przez zakładkę Protect->Wireless.  Jak wspomniałem wcześniej nasze urządzenie ma rozbudowane możliwości w zakresie obsługi sieci bezprzewodowych, ale z naszej perspektywy potrzebne będą tylko trzy zakładki z tej grupy.

Zaczynamy od zakładki HotSpot, tu po dodaniu nowej sieci definiuje się takie parametry jak: nazwa HotSpotu, interfejs sieciowy na którym HotSpot ma działać(u nas dla przypomnienia to vlan 4, dla gości), na tym poziomie możemy też przypisać filtry dozwolonych aplikacji, stron www, polisę IPS dla ruchu oraz QoS(żeby goście nie „zjedli” nam całego dostępnego pasma).

Konfiguracja HotSpot, interfejsy i polityki.

W naszym przypadku mamy już stworzone polityki zarówno do filtrowania aplikacji, www jak i polisy IPS, które przypisałem do naszego HotSpota. Oczywiście konstrukcja polityk i to czy będą bardziej czy mniej restrykcyjne zależy tak naprawdę od tego co chcemy osiągnąć i jakie polityki bezpieczeństwa ma nasza organizacja.

XG Firewall zarówno dla HotSpota jak i dla pozostałych sieci znacznie ułatwia tworzenie takich reguł ponieważ zarówno aplikacje jak i strony www są już skategoryzowane, a definiując swoją regułę możemy skorzystać z gotowych szablonów(czyli zestawów reguł) lub stworzyć szablon na podstawie wybranych kategorii.

Przykład gotowego szablonu i polityk ograniczających dostęp do wybranych stron www w miejscu pracy.

Podobnie wygląda kwestia definiowania polityk dla aplikacji, możemy wybrać gotowy szablon lub stworzyć go zupełnie od nowa.

Szablony do filtrowania aplikacji.

W przypadku sieci dla gości istotne jest ograniczenie pasma użytkownikom. W XG możemy ograniczać ruch per użytkownik lub grupa użytkowników zarówno w dół jak i w górę. Z pomocą w konfiguracji znowu przychodzą predefiniowane szablony.

Predefiniowane szablony Traffic Shaping – QoS.

U nas stanęło na Moderate Limited Rule, gotowym szablonie ograniczającym ruch per użytkownik do 512 kB/s, ale oczywiście można tworzyć również swoje reguły. Reguła ograniczająca pasmo może być definiowana dla oby kierunków ruchu, indywidualnie lub dla grup.

Tworzenie własnej reguły Traffic Shaping – QoS.

Ciekawym rozwiązaniem może być zastosowanie reguł tzw. Schedule wise , czyli zależnych od aktualnego czasu(dnia tygodnia i godziny), dzięki nim możemy stworzyć inne reguły dla godzin pracy firmy i np. weekendów. Reguły Traffic Shaping w XG możemy też powiązać z konkretnym ruchem www lub aplikacjami, tak aby ograniczyć pasmo dla konkretnych usług.

Gdy wybraliśmy interfejs na którym HotSpot ma działać i przypisaliśmy ograniczenia, przechodzimy do właściwych ustawień HotSpotu.

Ustawienia HotSpot.

Zaczynamy od wyboru czy przekierowujemy użytkowników na stronę szyfrowaną SSL, ustawienie Redirect to HTTPS. Ma to swoje zalety, ponieważ w takim wypadku dane wprowadzane na stronie przez użytkownika(czyli nasz kod z voucheru) będą szyfrowane i nikt ich nie podsłucha, z drugiej jednak strony decydując się na HTTPS musimy się upewnić, aby na urządzenie wgrać certyfikat podpisany przez zaufane CA, któremu będą z kolei ufały przeglądarki, inaczej korzystanie z HotSpotu przez naszych gości będzie wymagało zaakceptowania certyfikatu niezaufanego, co staje się coraz trudniejsze z każdą aktualizacją obecnie wykorzystywanych przeglądarek.

Następnie wybieramy tryb HotSpotu, o trybach już pisałem, dla przypomnienia odsyłam do wcześniejszej części artykułu, jedna uwaga, tryby opisywane jako Captive Portal w XG (punkty 1 i 2 w opisie metod uwierzytelniania konfigurowane są w innej zakładce i nie będą szczegółowo omawiane w tym artykule). My zdecydowaliśmy się na Vouchery. Gdy już wybierzemy tryb, określamy definicje Voucherów (Voucher Definitions) jakie mają być dostępne dla osoby która będzie je generowała. Definicje mogą uwzględniać, czas ważności od pierwszego zalogowania (Validity Period), czas wykorzystania(Time quota) lub ilość danych (Data volume).

Definicja Voucheru.

U nas osoby generujące vouchery dostały do dyspozycji kilka ustawień, 8 godzin, 1 dzień, 2 dni (pod kątem różnego rodzaju szkoleń które prowadzimy na miejscu). Oczywiście nic nie stoi na przeszkodzie aby czas ten skrócić lub wydłużyć, wszystko zależy od tego na ile chcemy pozwolić gościom w naszej sieci. Szablony predefiniowanych voucherów możemy też modyfikować lub dodawać w dedykowanej zakładce HotSpot Voucher Definition.

Poza definicją czasu ważności voucheru możemy określić na ilu urządzeniach dany voucher może zostać wykorzystany (Devices per voucher), przecież coraz częściej oprócz laptopa zabieramy ze sobą smartfon lub tablet, które też lubią mieć dostęp do sieci Internet, alternatywnie ten sam voucher może wykorzystać kilka osób podczas spotkania.

W kolejnym kroku definiujemy użytkowników którzy będę mogli generować vouchery (Administrative Users), jeżeli XG jest spięty z zewnętrzną bazą (w naszym wypadku AD), możemy po prostu wybrać użytkowników z listy, jeżeli jednak nie dysponujemy połączeniem do zewnętrznej bazy możemy użytkowników dodać do lokalnej bazy XG.

Regulamin i przekierowanie po logowaniu.

W trybie vouchera również możemy użytkownikom wyświetlić regulamin do zaakceptowania (Users have to accept terms of use), aby upewnić się, że zgadzają się na warunki korzystania z naszej sieci dla gości. Po zaznaczeniu opcji, po prostu wpisujemy tekst w polu Terms of Use.

Gdy użytkownik poprawnie się uwierzytelnił możemy przekierować go na wybraną przez siebie stronę (parametr Redirect to URL after login), u nas przekierowanie następuje na www.fen.pl

Personalizacja HotSpotu

Strona, która wyświetla się użytkownikom w trakcie logowania do sieci HotSpot standardowo jest w języku angielskim, XG oferuje jednak możliwości jej personalizacji. Dostępne są 2 tryby Basic oraz Full. W trybie Basic dodajemy do strony swoje logo, system może je automatycznie skalować, a także tytuł i tekst, który ma się wyświetlać na stronie, dla większości przypadków tryb ten będzie wystarczający.

Personalizacja strony logowania.

W trybie Full mamy możliwość zmodyfikowania pliku HTML oraz pliku stylu CSS a także dodanie swoich własnych grafik. Żeby z niego skorzystać w pierwszej kolejności pobieramy szablony z zakładki HotSpot Settings.

Pobranie szablonów voucheru oraz strony logowania.

Dostępne są dwa rodzaje szablonów, Login Page Template(strona logowania) oraz voucher template. Szablon strony logowania zawiera plik HTML oraz formularz stylów CSS, można je edytować i wgrać z powrotem do danego HotSpota korzystając z wcześniej wspomnianego trybu personalizacji pełnej. Szablon Voucheru występuje w formacie PDF, można go albo otworzyć edytorem PDF, albo stworzyć swój szablon od podstaw i wyeksportować go do PDF w wersji nie wyższej niż 1.5. Więcej o personalizacji voucheru można znaleźć tutaj: https://community.sophos.com/kb/pl-pl/122794

Ważne jest to aby voucher zawierał odpowiednie znaczniki które zostaną automatycznie podmienione przez XG firewall w momencie generowania voucheru np.:

<?code?>  – zostanie automatycznie podmieniony na wygenerowany dynamicznie kod voucheru

<?validity?> – zostanie automatycznie podmieniony na czas ważności kodu

Każdy szablon musi zawierać również zestaw wszystkich znaków które zostały użyte w znacznikach na voucherze w następującym formacie:

<?abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789!”#$%&'()*+-./:;=@^_`{|}~?>

Ciąg znaków zostanie automatycznie usunięty w trakcie generowania voucheru dlatego nie należy się obawiać, że pozostanie na voucherze po jego wygenerowaniu.

Przykład spersonalizowanego voucheru przed wgraniem do XG Firewall.

Reguły Firewalla

Mamy stworzonego HotSpota, do zakończenia konfiguracji pozostało nam zdecydować do jakich segmentów sieci chcemy wpuszczać użytkowników z sieci gościnnej. W momencie tworzenia HotSpota XG tworzy automatycznie obiekt który skupia użytkowników zalogowanych do naszej sieci dla gości (w dalszej części ten obiekt występuje na zrzutach jako ##Konsorcjum_FEN_Guest) oraz jedną regułę sieciową w której dopuszcza ruch z sieci HotSpot do sieci WAN oraz przypisuje wybrane w HotSpocie polityki filtrowania www, aplikacji i QoS.

Jeżeli nie chcemy dopuścić ruchu z sieci dla gości do innych segmentów naszej sieci lokalnej, to ustawienie będzie wystarczające, jeżeli jednak chcemy dopuścić ruch np. do jakiegoś wewnętrznego serwera, należy utworzyć dodatkową regułę na Firewallu. W naszym przypadku konieczne było dodanie wyjątku dla urządzeń do bezprzewodowej transmisji wideo, czyli wyświetlania przez wifi obrazu z monitora czy smartfona bezpośrednio na projektorze. Wykorzystywane przez nas urządzenia do transmisji wePresent standardowo znajdują się w innym vlanie, ponieważ są wykorzystywane głównie przez pracowników.

Żeby osiągnąć zamierzony efekt w pierwszej kolejności należało pogrupować wePresenty po adresach IP w jeden zbiór. W tym celu tworzymy grupę IP Host w zakładce Hosts and Services(rys. 20).

Grupowanie urządzeń.

Następnie należało utworzyć regułę która dopuści ruch (Action Accept) z sieci Konsorcjum_FEN_Guest(obiekt ##Konsorcjum_FEN_Guest) czyli  po zalogowaniu użytkownika do wskazanego zbioru(obiekt wePresent). Ponieważ reguły filtrowania stron, aplikacji i QoS zostały już zaaplikowane na domyślnej regule dostępu z LAN ->WAN w tym wypadku wystarczają nam pola standardowe (rys. 21), jak strefa i sieć źródłowa, strefa i sieć docelowa. Jeżeli chcielibyśmy politykę uczynić dokładniejszą można by było również w tym wypadku zastosować ograniczenia pod kątem określonych usług czy czasu obowiązywania reguły.

Reguła firewalla dopuszczająca ruch do urządzeń bezprzewodowej transmisji wideo.

Generowanie voucherów

Jak wspomniałem w XG vouchery generowane są na tzw. User Portalu, jest to miejsce w którym użytkownicy korzystający z XG standardowo mogą pobrać klienta czy konfigurację do klienta VPN (XG ma wbudowane funkcjonalności serwera VPN SSL i IPSec), sprawdzić swoją skrzynkę kwarantanny(wbudowane funkcjonalności Email Protection) oraz między innymi wygenerować Voucher dla użytkowników gości. Z User Portalu nie ma dostępu do ustawień administracyjnych firewalla. User portal dostępny jest w XG standardowo również na innym porcie(443) niż portal administracyjny (4444).

Logowanie do User Portalu.

Po zalogowaniu i wybraniu zakładki HotSpots (rys. 22) osoba odpowiedzialna za generowanie voucheru określa, dla jakiego HotSpota generuje Voucher(parametr Hotspot), jaki ma to być typ Voucheru (HotSpot Voucher Definition) z wcześniej predefiniowanej listy, ile voucherów chce wygenerować (Amount) i opcjonalnie czy vouchery mają być automatycznie wyeksportowane do PDF(Print), jaki format ma mieć strona (Page Size), ile voucherów ma się zmieścić na zadanym formacie(Vouchers per page), ponieważ system je automatycznie skaluje oraz czy do voucheru ma zostać dodany kod QR. Po kliknięciu Create Vouchers kupony zostają wygenerowane i pobrane w formacie PDF na lokalny komputer administratora.

Alternatywnie  utworzone vouchery można przejrzeć i wyeksportować w późniejszym terminie do PDF lub CSV.

Generowanie voucherów na User Portalu.

W wyniku otrzymujemy pobrany przez przeglądarkę plik PDF, gotowy do wycięcia. Wystarczy wysłać go na drukarkę i pociąć, dla ułatwienia dołączone są linie po których należy wyciąć vouchery. Oczywiście nic nie stoi na przeszkodzie żeby mieć jeden voucher na stronę i nic nie wycinać, ale wtedy warto byłoby zmniejszyć format strony.

Przykładowy zestaw wygenerowanych voucherów.

Mając ważny voucher wystarczy dołączyć się do sieci wifi która u nas nazywa się Konsorcjum_FEN_Guest, po otwarciu przeglądarki użytkownik zostaje przekierowany na stronę pokazaną na rys. 7, na niej wprowadzamy kod ze swojego voucheru i zatwierdzamy przyciskiem login. Jeżeli wprowadzony kod jest poprawny użytkownikowi wyświetlony jest ekran potwierdzający poprawne zalogowanie wraz ze statusem wykorzystanego voucheru.

Poprawne zalogowanie i stan wykorzystania voucheru.

Użytkownik może tą stronę dodać do zakładek w przeglądarce aby sprawdzić stan wykorzystania voucheru w późniejszym terminie. Po chwili gość zostaje przekierowany na stronę www.fen.pl i może normalnie korzystać z sieci.  Gdy upłynie czas ważności voucheru, lub osoba odpowiedzialna za tworzenie voucheru usunie dany voucher z bazy, gość traci dostęp do sieci i strona logowania jest mu wyświetlana ponownie.

Podsumowanie

Łatwość edycji szablonów i fakt, że odwiedza nas wielu dostawców i partnerów z różnych rejonów świata, sprawiły, że mamy zarówno vouchery w wersji PL jaki EN. Na miejscu w salce konferencyjnej gdzie do tej pory stały: drukarka fiskalna połączona kablem szeregowym ze sterownikiem wifi, na którym trzeba było wybrać odpowiednią kombinację klawiszy aby wygenerować ticket i przesłać do dedykowanej bramy umieszczonej w serwerowni, stanęło pudełko z wydrukowanymi voucherami.

Zaczynając konfigurację nie wiedziałem na 100 % czy nowe rozwiązanie będzie lepsze od poprzedniego, patrząc na to z perspektywy czasu, myślę, że to bardzo dobra zmiana. Pozbyliśmy się trzech urządzeń, uprościliśmy schemat sieci, bo wykorzystujemy jedną bramę i jeden interfejs zarządzania. Ruch z sieci dla gości został odseparowany wirtualnie dzięki VLANom, ale jednocześnie mamy możliwość dołączenia się do wybranych zasobów z innych VLANów co nie było możliwe do tej pory. Zyskaliśmy filtrowanie stron www i aplikacji z których nie korzystaliśmy w sieci gościnnej. Zarządzanie voucherami w końcu jest dostępne z dowolnego miejsca, więc nawet gdyby się skończyły łatwo możemy z drugiej lokalizacji je wygenerować i wysłać na drukarkę w siedzibie głównej, a nie tłumaczyć np. przez telefon co wcisnąć na sterowniku żeby gość mógł dołączyć się do naszej sieci.

Sophos XG Firewall, okazuje się świetnym rozwiązaniem które poza wszystkimi funkcjonalnościami bezpieczeństwa może zostać z powodzeniem wykorzystany jako brama dostępowa w sieciach gościnnych, przewodowych jak i bezprzewodowych, integrując się bezproblemowo z rozwiązaniami firm trzecich w różnych środowiskach.