Gints Mālkalnietis, CERT.lv

1. Kā ātri zaudēt daudz datus - izspiedējvīrusu
uzbrukumi biznesam
Gints Mālkalnietis
23.11.2023

2. Incidentu sadalījums
phishing
compromised
scam
business-email-compromise
consulting
spam
phishing-email
phishing-site
dos
masquerade
proxy
exploit
extortion
unprivileged-account-compromise
trojan
potentially-unwanted-accessible
sextortion
information-disclosure
unauthorised-information-access
advance-fee-fraud
ransomware
unauthorized-use-of-resources
virus
privileged-account-compromise
data-loss
outage
bot
responsible-disclosure
social-engineering
leak
backdoor
defacement
weak-crypto
application-compromise
ddos-amplifier
harmful-speech
new-attack-signature
sniffing
unauthorised-information-modification
unauthorized-login
unknown
worm

3. IBM Data Breach Report 2022

4. IBM Data Breach Report 2022

5. Izspiedējvīrusi nekad nenāk tukšā vietā!
• Jaunas 0-day Ievainojamības
• Pikšķerēšana
• Sekmīgi uzbrukumi realizēti pret mērķiem, kas nav ievērojuši labās
prakses principus IKT infrastruktūras uzturēšanā
• Vairāki upuri izmantojuši sistēmas kuriem jau sen (8-12 mēneši) bijušas
zināmas ievainojamības, arī to programmatūras ražotāji brīdinājuši par
uzbrukumiem
• Iekārtas pieejamas publiskā internet tīklā bez praktiskas
nepieciešamības

6. • Ja ir iespējams nozagt lielāku naudu, uzbrucēji izmantos visus līdzekļus!
• Viltotas SMS – to identifikatorus ir iespējams viegli mainīt, bet cilvēki tām uzticas
• Balss zvani izliekoties par kolēģi
• Balss viltošana izmantojot jaunākas MI metodes ir kļuvusi pavisam vienkārša
• Viltoti (deepfake) video
• Viltoti datu pārraides kabeļi ar keyloger funkciju
Lai izspiestu lielu naudu, tiks lietotas visas
metodes!

7. Profesionāli izspiedējvīrusu operatori ir gatavi maksāt par informāciju!
• Domēna administratora parole
• Reāla lietotāja konta parole
• VPN piekļuves informācija
• Ziņas par uzņēmuma iekšējo struktūru
• Informācija par izmantoto programmnodrošinājumu
Iekšējās nesaskaņas – apdraudējums
uzņēmumam
.

8. Vai visus datus vajag nolikt internetā?

9. Vai visus datus vajag nolikt internetā?
Internetā tiek izvietotas uzņēmumam svarīgu datņu apmaiņas platformas,
kuru aizsardzība tiek veidota nepareizi:
• Piekļuve netiek aizsargāta ar 2F autentifikāciju
• Pieslēgums iespējams no visas pasaules, bez VPN
• Netiek veikta laicīga programmnodrošinājuma atjaunināšana
• Novecojuši, nešifrēti, datu apmaiņas protokoli (FTP, POP3, IMAP utt.)
• Lietotāju tiesības nav pietiekami nodalītas
• Nepietiekama žurnālfailu veidošana un glabāšana
• Nav rezerves kopiju!
• Nav monitoringa!

10. Attālinātās piekļuves visiem
Iestādes nepietiekami kontrolē attālināto piekļuvi saviem datiem
• RDP piekļuve būtiskiem datu avotiem– grāmatvedībai, personāla datiem
• Bez vajadzības uzstādīti TeamViewer utt. rīki
• Netiek izmantota NEKĀDA attālināta pieslēguma aizsardzība (VPN utt.)
• Netiek veikta piekļuves mēģinājumu pārraudzība
• Parole nav pietiekami droša
• Piekļuve tīklā nodrošina pārāk lielas tiesības tajā
• RDP uz nestandarta porta nepalielina drošību!

11. «Caurie» izstrādātāji
• Sekmīgam uzbrukumam vajag atrast vājāko ķēdes elementu, nevis
uzbrukt labi aizsargātai datorsistēmai!
• Ērtības labad resursu uzturētāji labprātīgi ievieš dažādus «backdoor» :
• Izstrādātājam papildus izveidots lietotāja konts ar augstām tiesībām
• IP adrese izstrādātāja tīklā, no kuras var piekļūt serveriem bez VPN savienojuma
• Piekļuve sistēmu «backend» serveriem bez pilnvērtīgas darbību izsekojamības un
žurnalēšanas
• Iespēja pieslēgties sistēmām bez saskaņošanas ar to turētāju
• Izstrādātājiem izsniegtas domēna administratora tiesības
• Uz izstrādātāju kontiem neattiecas uzņēmumā pieņemtās paroļu izveides politikas
• Atļauts izmantot novecojušas/neuzturētas OS un programmu versijas
• Nepietiekami nodalīta izstrādes un produkcijas vide

12. MK noteikumi 442
15.10. tiek nodrošināta sistēmas auditācijas pierakstu (turpmāk – sistēmas pieraksti)
veidošana un uzglabāšana vismaz sešus mēnešus pēc ieraksta izdarīšanas. Sistēmas
pierakstos ietver informāciju par pieslēgšanos vai atslēgšanos no sistēmas, datu atlasi,
kā arī konta izveidi, grozīšanu vai dzēšanu, fiksējot notikuma laiku, kas sakrīt ar
faktiskā notikuma koordinēto pasaules laiku (UTC), interneta protokola adresi, no kuras
veikta darbība, aprakstu, kā arī informāciju par darbības iniciatoru – identifikatoru,
pieslēguma metadatus;
15.11. jebkura piekļuve sistēmai ir jebkura piekļuve sistēmai ir izsekojama līdz
konkrētam sistēmas lietotāja kontam vai interneta protokola (IP) adresei;

13. MK noteikumi 442
Prasības paaugstinātas drošības sistēmām
24.6. tiek nodrošināta sistēmas (gan servisa, gan operētājsistēmas) pierakstu veidošana
(ietverot sistēmas auditācijas datus – autentifikācijas datus un tīkla plūsmas auditācijas
datus, domēna vārdu sistēmas (DNS) servera pierakstus, ielaušanās atklāšanas sistēmu
(IDS) pierakstus, operētājsistēmas autentifikācijas pierakstus) un uzglabāšana vismaz
18 mēnešus pēc ieraksta izdarīšanas, uzglabājot sistēmas pierakstus vai to kopijas
atsevišķi – nodalīti no attiecīgās sistēmas;

14. IBM Data Breach Report 2022

15. Vai zināms, kas notika iekšējā tīklā?
• Nezināmu uzbrucēju darbības ir grūti izsekot
• Lielu, apjomīgu uzbrukumu pilna analīze prasa ļoti daudz laika
• Viegli pamanīt vienkāršākās aktivitātes, ne vienmēr iestādes datortīkla
administratoriem ir spējas un interese meklēt tālāk
• Ilgtermiņa ietekme uz iestādi grūti aptverama/izmērāma – nozagtas
paroles var tik lietotas atkārtoti, izzagti dati var tik lietoti
komercnoslēpumu iegūšanai. Uzbrucēji mēdz pieprasīt izpirkuma maksu
par nozagto datu nepublicēšanu (GDPR sodi utt.)

16. Šifrējošie izspiedējvīrusi
• Vairums uzbrukumu veikti izmantojot RDP piekļuvi
• Praktiski visi veiksmīgie uzbrukumi veikti brīvdienu naktīs
• Uzbrucēji šifrējuši visus tīklā pieejamos datorus
• Izmantoti rīki kā Mimikatz un citi, lai atrastu datoros administratoru
paroles vai kerberos tickets.
• Visbiežāk, upura lietotāja kontam bijušas vismaz lokālā
administratora tiesības, atļauts atslēgt AV un mainīt ugunsmūra
konfigurāciju

17. Šifrējošie izspiedējvīrusi = zuduši dati
Neeksistējošas rezerves kopijas!
• Aktuālajiem datiem kopijas tiek veidotas pārāk reti
• Kopijas tiek glabātas kopā ar pašiem datiem – nav atbilstošas rezerves kopiju
glabāšanas infrastruktūras
• Nepietiekams kopēto datu apjoms, lai ātri un bez zaudējumiem atjaunotu darbu
• Netiek veiktas regulāras pārbaudes, lai apliecinātu kopēto datu darbaspēju

18. Kāpēc uzbrukumi ir sekmīgi?
1. Vājas paroles
2. Neeksistējošs/nepietiekams monitorings
3. Nav rezerves kopiju
4. Rezerves kopijas nesatur pietiekami daudz datu sistēmas atjaunošanai
5. Nav veikta pietiekama piekļuves tiesību nodalīšana
6. Steiga ieviešot jaunus pakalpojumus, bez adekvātu drošības risinājumu
izvēles
7. Datortīkla un, tajā esošo servisu, uzbūves nepārzināšana
8. Nepietiekama programmatūras versiju/atjauninājumu kontrole un
ieviešana

19. Footer
https://www.cert.lv
gints@cert.lv
Gints Mālkalnietis
Paldies!