Rumunský katastr II: Řetěz, který nikdo nepřerušil

Čtyři dny. Tolik uplynulo mezi prvním průnikem a okamžikem, kdy Rumunsko přestalo umět zapsat prodej bytu.

Rumunské DNSC vydalo 22. července průběžnou technickou analýzu č. T66. Je to neklasifikovaný dokument a čte se jako učebnice. Ne proto, že by šlo o mimořádný útok. Právě naopak.

Řetěz krok za krokem

10. července. Prvotní přístup přes autentizační aplikaci (openam.ancpi.ro ) , vystavenou přímo do internetu. Obsluhovala platební platformu. Vstupní bod tvořily uniklé přihlašovací údaje.

13. července. Z virtuálního stroje platební aplikace epay se útočník autentizoval vůči vCenter. To je přechod z produkčního segmentu do management plane virtualizace. V dobře postavené síti je to zeď. Tady to byla chodba.

Kontrola virtualizace. Na vCenter si vyčetl všech 1 083 virtuálních strojů, stáhl si binárky a pohyboval se dál přes SSH.

Šifrování. Na několika ESXi serverech spustil ransomware bytetocrypt.

Destrukce a exfiltrace. Smazal zhruba 100 virtuálních strojů. A přes scp si na vlastní server zkopíroval celý řadič domény Active Directory, stroj označený DC1, plus zdrojový kód některých aplikací.

Dekryptor neexistuje. Ani u DNSC, ani v otevřených zdrojích. Obnova tedy stála a padala se zálohami.

Seznam příčin, který zná každý auditor

DNSC uvádí kumulované příčiny. Přečtěte si je pomalu.

Autentizační aplikace vystavená přímo do internetu. Nedostatečná segmentace, která umožnila přejít z produkční mašiny do management plane a dál na hypervizory. Chybějící vícefaktorová autentizace na privilegovaných účtech. Antivirus na pracovních stanicích, ale ne na serverech. A WAF před platební aplikací, který uchovával logy sedm minut.

Sedm minut.

Závěr DNSC je nemilosrdný a stojí za doslovné čtení: chybějící ucelená politika správy infrastruktury, slabá segmentace a špatná správa přihlašovacích údajů umožnily, aby se jediný bod kompromitace stal totální kompromitací.

Co k tomu říká Krasimir Kocev

Bulharský pohled na tenhle případ stojí za pozornost, protože Bulharsko má strukturálně stejný problém a nikdo si tam nedělá iluze. Krasimir Kocev, zakladatel a CEO bezpečnostní firmy SoCyber a platformy Kikimora, rozebral incident v bulharském podcastu Banknoti ot imoti.

Jeho první bod se týká úniku hesla. Přihlašovací údaje unikly buď na darknetová fóra, nebo je z prostředí vytáhl software. Pokud unikly na fórum, měla to agentura zjistit v okamžiku, kdy se tam objevily. Tomu se říká cyber threat intelligence a je to služba, ne genialita. Pokud je vytáhl software přímo ze systému, znamená to, že tam nebyl žádný mechanismus, který by pokus o exfiltraci zaznamenal.

Ať to bylo tak, nebo tak, výsledek je stejný. Nikdo se nedíval.

Druhý bod: stáří systémů. Kocev mluví o velmi starých Windows a Windows Server 2003 a o zneužití zranitelnosti známé od roku 2021. Pětiletá zranitelnost znamená pět let bez záplat. A dodává větu, kterou by si měl přečíst každý český ředitel odboru IT: totéž vidíme masově i v naší státní správě.

Třetí bod je jeho odpověď na otázku, co udělat hned. Vícefaktorová autentizace, sjednocené přihlašování, elementární správa hesel. Podle něj tyhle tři až čtyři kontroly zabrání zhruba osmdesáti procentům škod. Osmdesát procent za cenu konfigurace a školení.

Kde se zdroje rozcházejí

Tady musím být přesný, protože rozpor mezi zdroji je sám o sobě nález a nesmí se zamlčet ve prospěch lepšího příběhu.

Kocev v podcastu mluví o smazané databázi imotního registru. DNSC naopak uvádí, že je málo pravděpodobné, že by útočník získal data z databáze Oracle Exadata, a ANCPI trvá na tom, že hlavní právní a technické databáze zůstaly neporušené. Pravděpodobný výklad je, že smazaná byla velká část infrastruktury a záloh kolem jádra, zatímco samotné jádro přežilo. Pro trh s nemovitostmi to byl ovšem rozdíl bez rozdílu, protože nedostupná databáze a smazaná databáze vypadají pro notáře stejně.

Zranitelnost z roku 2021 je tvrzení útočníka, které ANCPI ani DNSC nepotvrdily. Stojí ovšem za rozvinutí, protože sedí až nepříjemně dobře.

Mădălin Dumitru, CEO rumunské bezpečnostní firmy Scut, upozornil v podcastu ZONA na to, co openam.ancpi.ro vlastně je. OpenAM je open source systém pro správu identit a přístupů. Vrátný, který stojí u vchodu a rozhoduje, kdo smí dovnitř. A OpenAM měl podle něj od roku 2021 zranitelnosti umožňující vzdálené spuštění kódu a obejití autentizace.

Ověřil jsem si to nezávisle na něm a je to horší, než to zní. CVE-2021-35464 je pre-auth RCE ve ForgeRock Access Management a OpenAM, chyba v deserializaci Javy. Spouští se jediným GET nebo POST požadavkem na exponovaný endpoint. Zveřejněna 29. června 2021, do dvou týdnů k ní vydala varování americká CISA, proof of concept je veřejně dostupný a zranitelnost byla aktivně zneužívána. Náprava existuje od roku 2021 a spočívá v upgradu.

Dumitru sám zdůrazňuje, že jde o spekulaci, dokud nevyjde závěrečná zpráva. Beru to stejně a čtenář by to tak měl brát taky. Zároveň platí, že vrátný u hlavního vchodu, na kterého existuje pět let veřejný návod a varování národní agentury spojenců, je přesně ten typ položky, kterou má odchytit inventář vystavených služeb.

Open source tady není viník. Dumitru to formuluje férově: u open source platíte pozorností to, co byste u enterprise licence zaplatili penězi. Kdo si vybere první variantu a pak nepozoruje, si ve výsledku nevybral nic.

Slabá hesla typu klávesnicových kombinací jsou informace z druhé ruky a generální ředitel ANCPI veřejně uvedl, že administrátoři měli silná hesla. Zároveň DNSC potvrzuje, že vstupním vektorem byly uniklé přihlašovací údaje. Obojí může být pravda současně, pokud kompromitovaný účet nepatřil administrátorovi. Právě proto se dělá MFA i na běžných účtech.

Za celým tím rozporem stojí jedna technická věta z analýzy. Retence logů sedm minut. Instituce, která měsíc po incidentu nedokáže autoritativně říct, co jí odteklo, nemá jak to zjistit. Ta neschopnost odpovědět je škoda sama o sobě, protože z ní plyne oznamovací povinnost, kterou nelze splnit, a pojistné plnění, které nelze doložit.

Proč je to organizační, a ne technický problém

Jsem certifikovaný auditor a architekt kybernetické bezpečnosti a za ta léta jsem si zvykl na jednu věc: na seznamu příčin skoro nikdy nenajdete nic, co by se nedalo koupit nebo nastavit.

Projděte ten seznam znovu a ke každé položce si doplňte, čí to byla práce.

MFA na privilegovaných účtech je politika. Někdo ji buď napsal a někdo ji buď vynutil, nebo ne. Segmentace mezi produkcí a management plane je architektonické rozhodnutí, které někdo udělal a někdo měl jednou za rok zkontrolovat, jestli pořád platí. Antivirus na stanicích a ne na serverech je rozsah zakázky. Někdo ho definoval a někdo ho schválil. Vystavená autentizační aplikace je položka v inventáři vystavených služeb. Takový inventář buď existuje, nebo neexistuje.

A sedm minut retence logů nikdo nenastavil ze zlé vůle. Nastavil je někdo, kdo neměl v popisu práce se na to za rok znovu podívat.

To je celá pointa téhle série. Technologie na tomhle seznamu selhala přesně nulakrát. Selhaly role, lhůty a kontrolní body, tedy věci, které se nedají koupit v krabici a které nejde ukázat na fotce z datového centra.

Dumitru z toho vyvozuje jednu strukturální věc a já se pod ni podepisuju bez výhrad. Bezpečnost se v našem regionu chápe jako IT projekt. Podřízení bezpečnosti pod IT je přitom zásadně špatně, protože ten, kdo infrastrukturu staví, nemůže sám sebe testovat ani dohlížet na toho, kdo ho testuje. Jeho příměr: je to, jako by řidič autobusu byl zároveň mechanik i revizor.

Bezpečnost má reportovat přes governance přímo tomu, kdo rozhoduje o penězích, aby ten člověk věděl, jaké riziko nese, s jakou pravděpodobností a za kolik.

Praktický důsledek téhož: nikdy nenechte systém testovat toho, kdo ho implementoval. Žádný dodavatel nepřijde s tím, že jeho vlastní dílo je vadné. Věřte všem a přesto míchejte karty.

V Aplis Solutions proto začínáme mapou aktiv a posouzením skutečného stavu, a ne nákupem. Modul CyberComply pak drží to, co v Rumunsku chybělo nejvíc: kdo za co odpovídá, do kdy to má být hotové a jak se pozná, že to hotové je.

Ve třetím dílu se podíváme na to, jak vypadá situace dnes, měsíc po útoku, a co stálo Rumunsko těch několik týdnů ticha.

Útočník nemusel být chytřejší než obránci. Stačilo mu být důslednější než jejich procesy. Autor: Petar P. Stanchev, Ph.D., LL.D.