Artemis - nowe narzędzie CERT Polska. System przeskanował prawie 2 tys. domen gmin i powiatów

Jak działa Artemis?

Artemis w poszukiwaniu podatności bezpieczeństwa i błędów konfiguracyjnych bada strony udostępnione w internecie przez instytucje publiczne, takie jak szkoły, szpitale, instytuty badawcze, uczelnie, czy jednostki samorządu terytorialnego.

Regularne skanowanie systemów podmiotów, w przypadku których obsługa incydentów koordynowana jest przez CSIRT NASK, pozwala monitorować i podnosić ich poziom bezpieczeństwa. Uzyskane wyniki nie są w żaden sposób upubliczniane, a jedynie przekazywane administratorom, dzięki czemu zyskują oni wiedzę na temat wykrytych podatności i mogą wykorzystać ją w celu poprawy bezpieczeństwa systemów. W ramach ponownych testów zespół CERT Polska sprawdza, czy zostały wdrożone niezbędne poprawki.

Istotną cechą narzędzia jest to, że proces skanowania pozwala administratorom zidentyfikować obserwowane działania jako prowadzone przez CERT Polska. Pozwala to ograniczyć do minimum zagrożenia związane z pochopnym reagowaniem.

Do prowadzonych skanowań wykorzystywany jest jeden adres IP. System skanujący jest tak skonfigurowany, by administrator, zobaczywszy podejrzane połączenie, był w stanie sprawdzić, że pochodzi ono od CERT Polska. Powiadomienia o zgłoszonych podatnościach są wysyłane z adresu cert@cert.pl. Wszystko to po to, by uniknąć wątpliwości dotyczących tego, skąd pochodzi dana aktywność i czy nie ma wrogiego charakteru.

Rezultaty licznych skanowań, poza podnoszeniem poziomu bezpieczeństwa danego podmiotu, pozwalają też budować szerszy obraz cyberbezpieczeństwa Polski i kierować zasoby CERT Polska tam, gdzie są one najbardziej potrzebne, np. poprzez tworzenie poradników, czy prowadzenie akcji informacyjnych i edukacyjnych.

Polki i Polacy coraz bardziej świadomi zagrożeń w sieci

"Nie ma współcześnie biznesu, który mógłby funkcjonować w internecie bez strony internetowej. Proszę sobie wyobrazić co by się działo z naszym biznesem, gdyby faktycznie ciągłość działania tej strony została zakłócona. To mogłoby rzutować na realne straty. To mogłoby też skutkować rozszerzeniem tego ataku poprzez stronę internetową, na którą wchodzą inni klienci i internauci. Na samym końcu to straty wizerunkowe dla samego podmiotu, który miał włamanie. Odpowiedzią na problemy stron internetowych jest właśnie nasz całościowy projekt" - podkreślił wczoraj kierownik zespołu CERT Polska Sebastian Kondraszuk.

Z kolei twórca narzędzia Artemis z zespołu CERT Polska Krzysztof Zając powiedział, że celem projektu Artemis jest badanie bezpieczeństwa systemów, które leżą we właściwości CERT Polska. "Badamy na przykład bezpieczeństwo systemów udostępnych przez szkoły, szpitale, instytuty badawcze, uczelnie, ale też jednostki samorządu terytorialnego, czyli strony gmin i powiatów, ale też spółek gminnych obsługujących różne usługi jak na przykład wywóz śmieci" - mówił Krzysztof Zając.

"Dzięki projektowi Artemis zwiększamy bezpieczeństwo tych systemów, ponieważ znalezione podatności zgłaszamy administratorom, tak żeby mogli je jak najszybciej załatać, tak żeby przestępcy nie byli w stanie ich wykorzystać" - zaznaczył ekspert z zespołu CERT Polska.

Jednym z założeń ekspertów podczas tworzenia projekt Artemis była możliwa automatyzacja działania systemu, żeby zarówno skanowanie, jak i analiza tego co system znalazł oraz zgłaszanie podatności było możliwe automatycznie i działo się możliwie niskim nakładem pracy. Następnym założeniem było nieobciążanie systemów, ponieważ - jak tłumaczyli eksperci - nie chcieli, aby skanowanie doprowadziło do niedostępności, czy jakichkolwiek innych problemów. "Ostatnim założeniem, jakie nam przyświecało jest korzystanie w miarę możliwości z istniejących modułów, żeby nie marnować czasu programistów i żeby wykorzystać to co ludzkość wie na temat cyberbezpieczeństwa" - zaznaczył twórca narzędzia Artemis.

"System Artemis działa następująco. Zaczynamy od listy domen, na przykład listy domen gmin z dostępnej bazy jednostek samorządu terytorialnego, następnie dla każdej domeny wyszukujemy jej subdomenę, następnie wykrywamy uruchomione usługi. Dla różnych usług mamy różne moduły, które sprawdzają ich bezpieczeństwo. Niektóre testują bezpieczeństwo serwerów pocztowych, inne testują bezpieczeństwo aplikacji opartych na systemie WordPress, jeszcze inne znajdują pliki jak kopie zapasowe, które mogły być omyłkowo pozostawione przez administratora na serwerze. Znaleziska z tych modułów wysyłane są administratorom, tak żeby mogli zareagować i te podatności naprawić" - wyjaśnił.

Skanowanie trwa od 2 stycznia

W trakcie spotkania przedstawiciele zespołu CERT Polska podkreślili, że skanowanie systemem Artemis już trwa i od początku stycznia udało się przeskanować blisko 2 tys. domen gmin i powiatów wraz z subdomenami. "Mamy też pierwsze wyniki, które zostały zgłoszone administratorom, żeby polepszyć poziom cyberbezpieczeństwa w Polsce" - przekazał Krzysztof Zając.

"Udało się znaleźć kila tysięcy domen z nieprawidłowo skonfigurowanym szyfrowaniem komunikacji pomiędzy użytkownikiem, a domeną. Udało też się znaleźć kilkaset stron bazujących na nieaktualizowanym oprogramowaniu. Każda z tych stron wykorzystująca nieaktualizowane oprogramowanie mogłaby się stać celem przestępców korzystających z podatności starszych wersji, ponieważ istotna część aktualizacji wynika z tego, że znaleziono jakąś podatność, którą autor oprogramowania chciał załatać" - podał.

"Znaleziono też kilkadziesiąt sytuacji, w których pliki konfiguracyjne z hasłami, pliki z kopią zapasową serwisu czy foldery z danymi systemu poczty (adresami e-mail, treściami wiadomości czy załącznikami) były dostępne publicznie. Udało się również znaleźć kilkadziesiąt niewłaściwe zabezpieczonych folderów zawierających kod źródłowy systemu, a czasem nawet hasła dostępowe" - dodał.

Eksperci CERT Polska zapowiedzieli też rozwijać projekt Artemis dwutorowo. "Po pierwsze dodając wykrywanie innych rodzajów podatności, a drugim torem uruchamianie systemu na stronach internetowych z innych grup. Zaczęliśmy od jednostek samorządu terytorialnego, ale instytucji leżących we właściwości CERT Polska jest jeszcze kilka, na przykład szkoły. W związku z tym drugim torem, który będziemy rozwijać jest uruchamianie go na większej liczbie stron internetowych, tak żeby poprawiać ich bezpieczeństwo" - zaznaczył Krzysztof Zając.