Co jeszcze sprawdzić w infrastrukturze IT placówki?

Poprzedni materiał obejmował działania, które można wykonać bez specjalistycznej wiedzy. Ten idzie głębiej i zakłada dostęp administracyjny do infrastruktury oraz znajomość jej konfiguracji.

Zakres jest szerszy niż incydent MyDR. Powód jest praktyczny: placówka, która i tak przegląda zabezpieczenia, powinna zrobić to raz i porządnie, zamiast wracać do tematu przy każdym kolejnym doniesieniu prasowym.

Active Directory i konta uprzywilejowane

• przejrzyj członkostwo w grupach Domain Admins, Enterprise Admins i lokalnych grupach administratorów na stacjach — każde konto musi mieć uzasadnienie,
• sprawdź konta z ustawieniem hasła bez terminu ważności oraz konta nieużywane dłużej niż 90 dni,
• zweryfikuj konta serwisowe: gdzie są używane, jakie mają uprawnienia i czy hasła były kiedykolwiek zmieniane,
• wyłącz lub usuń konta byłych pracowników i byłych podwykonawców,
• oddziel konta administracyjne od kont używanych do codziennej pracy i poczty,
• sprawdź politykę haseł w domenie: długość, złożoność, historię i blokadę po nieudanych próbach,
• przejrzyj delegacje uprawnień w AD — nadane doraźnie i nigdy nieodebrane są typowym znaleziskiem.

Dostęp zdalny: VPN i RDP

• sprawdź, czy port RDP nie jest wystawiony bezpośrednio do internetu — jeżeli tak, przenieś dostęp za VPN,
• włącz uwierzytelnianie na poziomie sieci dla połączeń pulpitu zdalnego,
• przejrzyj listę kont VPN, usuń nieaktywne i przypisz każde do konkretnej osoby,
• włącz drugi składnik uwierzytelniania dla VPN,
• sprawdź, czy oprogramowanie VPN i firmware urządzenia brzegowego mają aktualne poprawki — luki w urządzeniach brzegowych należą do najczęściej wykorzystywanych,
• ogranicz zakres sieci dostępny po zestawieniu VPN do zasobów faktycznie potrzebnych,
• zweryfikuj dostępy zdalne firm zewnętrznych: dostawcy systemu medycznego, serwisu sprzętu, księgowości — każdy powinien być imienny, ograniczony czasowo i logowany.

Konfigurację dostępu zdalnego w firmach opisujemy również w kontekście usługi administracji sieciami.

Firewall, Wi-Fi i segmentacja

• przejrzyj reguły firewalla pod kątem otwartych portów — każda reguła powinna mieć znany powód i właściciela,
• usuń reguły tymczasowe, które przetrwały dłużej niż projekt, dla którego powstały,
• sprawdź, czy sieć gościnna Wi-Fi jest odseparowana od sieci produkcyjnej,
• zweryfikuj standard zabezpieczenia sieci bezprzewodowej i zmień hasło, jeżeli jest znane szerokiemu gronu,
• oddziel urządzenia medyczne i sprzęt diagnostyczny od sieci biurowej — często pracują na starym oprogramowaniu bez możliwości aktualizacji,
• wydziel osobny segment dla drukarek i urządzeń wielofunkcyjnych,
• sprawdź, czy serwer z dokumentacją medyczną jest dostępny tylko z segmentów, z których faktycznie musi być dostępny.

Segmentacja jest tym elementem, który najbardziej ogranicza skutki udanego ataku. Jeden zainfekowany komputer w rejestracji nie powinien mieć bezpośredniej drogi do serwera z dokumentacją.

Serwery, aktualizacje i ochrona stacji

• sprawdź poziom poprawek na wszystkich serwerach i ustal harmonogram aktualizacji zamiast działań doraźnych,
• zweryfikuj, czy działają usługi, które nie są już potrzebne, i wyłącz je,
• sprawdź, czy na serwerach działa ochrona antymalware z aktualnymi definicjami,
• ustal, czy w środowisku pozostały systemy bez wsparcia producenta i zaplanuj ich wymianę lub izolację,
• wdroż lub zweryfikuj rozwiązanie klasy EDR na stacjach roboczych — sam antywirus sygnaturowy nie wykrywa ataków bezplikowych,
• włącz szyfrowanie dysków na komputerach przenośnych,
• sprawdź konfigurację uruchamiania makr w pakiecie biurowym i ogranicz ją do niezbędnego minimum.

Zagadnienia dotyczące utrzymania serwerów opisujemy szerzej przy usłudze administracji serwerami.

Kopie zapasowe

• sprawdź, czy kopie obejmują bazy systemu medycznego, dokumenty na dyskach sieciowych, pocztę i konfiguracje urządzeń,
• zweryfikuj, czy istnieje kopia poza siedzibą placówki lub w chmurze,
• upewnij się, że kopia nie jest dostępna do zapisu z konta, z którego korzysta się na co dzień — to podstawowa ochrona przed ransomware,
• sprawdź retencję: czy da się wrócić do stanu sprzed tygodnia, a nie tylko sprzed doby,
• wykonaj próbne odtworzenie i zapisz czas trwania,
• skonfiguruj powiadomienia o błędach zadań kopii,
• ustal, czy placówka posiada własną kopię danych przetwarzanych w systemie chmurowym dostawcy.

Logi i monitoring

• sprawdź, czy logowanie zdarzeń jest włączone na serwerach, w systemie medycznym, na urządzeniu brzegowym i w poczcie,
• ustal okres przechowywania logów — miesiąc to zwykle za mało, żeby odtworzyć incydent wykryty z opóźnieniem,
• zabezpiecz logi przed modyfikacją i przechowuj je poza systemem, którego dotyczą,
• skonfiguruj alerty dla zdarzeń istotnych: wielokrotne nieudane logowania, logowanie administratora poza godzinami pracy, utworzenie nowego konta z wysokimi uprawnieniami, zmiana reguł firewalla,
• sprawdź, czy ktokolwiek te alerty otrzymuje i czy na nie reaguje.

Ostatni punkt jest najważniejszy. Monitoring, którego nikt nie czyta, ma wartość wyłącznie dowodową — pozwala odtworzyć zdarzenie po fakcie, ale go nie zatrzymuje.

Porządek organizacyjny

Kilka rzeczy, które nie są konfiguracją, a decydują o tym, czy powyższe ustalenia przetrwają dłużej niż miesiąc. Obowiązek stosowania środków adekwatnych do ryzyka wynika z art. 32 RODO; zob. materiały UODO dla administratorów.

• aktualny wykaz systemów, dostawców i osób mających dostęp,
• wskazana osoba odpowiedzialna za bezpieczeństwo IT w placówce,
• krótka procedura postępowania przy podejrzeniu incydentu — kto komu zgłasza i w jakim czasie,
• harmonogram przeglądów: konta co kwartał, uprawnienia co pół roku, test odtworzenia kopii co kwartał,
• szkolenie personelu z rozpoznawania prób oszustwa, powtarzane, a nie jednorazowe.

Pełny przegląd tych obszarów prowadzimy w ramach audytu IT, a bieżące utrzymanie — w ramach stałej obsługi informatycznej.