Nebezpečné území: IT bez údržby a bezpečnosti firmu dožene, dříve či později.

6/6 Série článků o firemních případech - Slepé skvrny firem

kompletní serii naleznete zde

Firemní web vznikl před osmi lety. Dodavatel dávno skončil, IT se mezitím několikrát vyměnilo a od té doby na web nikdo nesáhl, protože „přece funguje“. Jenže právě takové věci dnes útočníci hledají: nehlídané, neaktualizované a dostupné odkudkoliv.

Tomu se říká nebezpečné území. Firma o něm obvykle neví, dokud na něm něco nevybuchne.

IT bezpečnost firmy: když pohodlí vítězí nad pravidly

U spousty firem byla bezpečnost vždycky až druhá v pořadí. Základní pravidla se obcházela kvůli pohodlí administrátorů a udržení provozuschopnosti: sdílený administrátorský účet, který „všichni znají“, výjimka ve firewallu „jen na chvíli“, vzdálený přístup bez druhého faktoru nebo služební účet s právy správce, protože „s tím se to konečně rozjelo“.

Každé takové rozhodnutí dávalo v tu chvíli smysl. Problém je, že dočasná řešení mají tendenci zůstat napořád. IT bezpečnost firmy se tak postupně změní v hromadu výjimek, které nikdo nezrušil a už ani nepamatuje, proč vznikly. Nebezpečné území nevzniká jedním špatným rozhodnutím, ale stovkou pohodlných.

Technický dluh: účet, který roste v tichosti

Technický dluh v IT funguje stejně jako ten finanční: dokud ho nesplácíte, roste. Starý server, který se „nesmí restartovat“, systém bez podpory výrobce nebo aplikace, kterou umí obsluhovat jediný člověk, jsou typické splátky odložené na později.

Technický dluh se neprojeví v žádné tabulce ani hlášení. Ukáže se až ve chvíli, kdy je potřeba rychle reagovat, a firma zjistí, že aktualizovat nejde, protože by se rozbilo všechno, co na tom stojí. Čím déle se technický dluh odkládá, tím dražší a rizikovější je jeho splacení.

Správa IT: kdo za to vlastně odpovídá

Správa IT se v mnoha firmách dědí. Po předchozím dodavateli, po bývalém kolegovi, po externistovi, který odešel. Nový správce převezme servery a weby, ale ne přehled o tom, co kde běží, proč je to tak nastavené a kdo má jaká práva.

Správa IT bez evidence je hádání. A právě tady vznikají situace, kdy jsou přístupy k datům dostupné z okolního světa: administrační rozhraní vystavená na internet, vzdálená plocha dostupná odkudkoliv, zapomenuté testovací weby nebo databáze s výchozím nastavením. Co není v evidenci, to nikdo nehlídá. A co nikdo nehlídá, to dřív nebo později někdo najde.

Zastaralé PHP a PHP2Shell: hrozba, která dopadne i na zapomenuté weby

• více o zranitelnosti jsme psali v tomto článku

Zabezpečení serveru: základy, které se přeskakují

Zabezpečení serveru není žádná magie. Jsou to nudné základy: pravidelné aktualizace systému i aplikací, vypnuté služby, které nikdo nepoužívá, přístup jen těm, kdo ho opravdu potřebují, a monitoring, který dá vědět, když se děje něco nezvyklého. Právě tyhle základy se v nebezpečném území přeskakují jako první, protože se nedají odškrtnout jedním kliknutím a nikdo si jejich absence hned nevšimne. Dokud se něco nestane.

Audit IT infrastruktury: od čeho začít

Nebezpečné území se dá zmapovat v několika krocích. Pro první audit IT infrastruktury stačí odpovědět na pár otázek:

• Co vlastně běží? Seznam serverů, webů, kontejnerů a verzí softwaru, který na nich je
• Co je dostupné z internetu? Otevřené porty, administrační rozhraní, vzdálená plocha, staré testovací weby
• Kdo má administrátorská práva? A je opravdu nutné, aby je měl
• Co už nemá podporu výrobce? Operační systémy, aplikace i verze jazyků jako PHP
• Kdo odpovídá za aktualizace? A kdy se naposledy skutečně dělaly
• Je vzdálený přístup chráněný druhým faktorem?

Pokud na víc než dvě otázky nevíte odpověď, nemáte problém s jednou slabinou. Máte problém s přehledem.

Bezpečnostní audit firmy: začněte mapou území

Nejdražší bezpečnostní incident je ten, o kterém se firma dozví jako poslední. Bezpečnostní audit firmy nemusí být dlouhý ani drahý, často stačí jeden důkladný týden, aby bylo jasné, kde je co zastaralé, vystavené nebo bez majitele. Teprve pak se dá rozhodnout, co záplatovat hned, co naplánovat a co vypnout úplně.