Вчера изпратих въпрос до ДАНС относно видеокамери и валидатори в столичния градски транспорт

В малка част от реакциите и медийни публикации, това беше иронизирано като „Божанов се притесни, че руснаци и китайци ще ни следят в градския транспорт“. Разбирам тази интерпретация, тъй като ако човек няма целия контекст на киберсигурността и националната сигурност, всяко такова притеснение изглежда параноично. Затова ще си позволя малко по-дълго и техническо обяснение защо съществува риск и той трябва да бъде изследван.

Не казвам, че „руснаци и китайци ще ни следят“, обаче. Казвам, че чрез китайски и руски технологии, които са потенциално компрометирани, може да се въздейства негативно на стратегическата дейност – обществен транспорт в столицата.

По отношение на камерите – китайските (и не само) камери с известни уязвимости се използват по много начини от всякакви хакерски групи – и „частни“ и такива, които са свързани с чужди служби. Ако „хакването“ на тези камери е лесно (а то е, при някои модели), това допуска отдалечен контрол на тези устройства. Камерите едва ли са свързани директно с интернет, така че рискът е по-малък, но в зависимост от това как е сегментирана и защитена мрежата, пробив в една част може да доведе до достъп до камерите и извеждането на стрийм към трета страна.

Заради дългогодишни проблеми с евтини и незащитени устройства, Европейската комисия предлага „Регламент относно хоризонтални изисквания за киберсигурност за продукти с цифрови елементи и за изменение на Регламент (ЕС) 2019/1020“, с което да въведе изисквания към такъв тип устройства, вкл. за регулярни обновления, за докладване на уязвимости и др. Т.е. този проблем е доста масов и Европейската комисия е предприел законодателна инициатива.

Относно валидаторите, произведени в Русия – валидаторите имат задължително връзка с интернет (едва ли директно, но през вътрешна мрежа, която „излиза“ навън) защото трябва да извършва картови транзакции. Това означава, че са идеален обект на т.нар. supply chain атаки („атаки чрез веригата на доставки“). Дори в момента на производство и доставка да няма никаква уязвимост, при получаване на обновления такава може да бъде въведена.

Supply chain атаките са едни от най-трудните за установяване и предотвратяване, особено когато идват от място, на което имаш доверие, но то се оказва компрометирано. Една от най-мащабните хакерски атаки от последните години е т.нар. Solorigate, при което държавни институции и големи компании са атакувани през обновление за софтуер на SolarWinds. Затова големите компании правят оценка на риска на доставчиците си, за да оценят къде да фокусират повече усилия. Има цели компании, които се занимават изцяло с оценка на риска на доставчиците и на техните доставчици (защото един руски производител сам по себе си може да не е компрометиран, но негов подизпълнител може да бъде). Тъй като в Русия има репресивен режим, дори на добронамерена компания може да бъде въздействано, което увеличава риска. Такива са за хипотезите, поради които Касперски беше обявена за рискова компания от някои западни служби. Сложността при софтуерните системи е висока и това създава рискове за сигурността, които трябва да се изследват.

В конкретика, при въвеждане на „задна врата“ във валидатор и при недобра сегментация и защита на мрежата, това може да позволи „прескачане“ на хакерите от канала на валидатора към други системи. Вкл., например, за управление на стрелките или на електрическата мрежа в метрото, което вече води до рискове за физическата сигурност, а не само за мрежовата. Може да звучи параноично, и се надявам да остане такова, но това са реални рискове. Наскоро на една конференция, генерал от израелската армия сподели с половин уста за практиките на тяхната армия и служби спрямо неприятелски държави. Техните действия, по неговите думи, са с цел превенция и възпиране (deterrance), но други служби могат да имат други цели – от Христо Грозев и Белингкат разбрахме, че взривовете в български складове са дело на ГРУ (руското разузнаване).

С въпроса ми всъщност питам ДАНС дали ЦГМ и Метрополитен са взели необходимите мерки да ограничат тези рискове. Напр. дали са настроили защитните стени (firewall) правилно, дали следят за необичайни портове, за необичаен изходящ трафик към непознати адреси, дали пароли по подразбиране са сменени, как се управляват, дали се прилагат обновления (patch-ове), дали се следи трафика след прилагане на обновления, и други добри практики.

Винаги, когато се говори за киберсигурност и национална сигурност, нещата звучат притеснително за страничния наблюдател. А не трябва – всичко се свежда до управление на риска и прилагане на добри практики. В ДАНС има професионалисти, които разбират това и затова очаквам позитивен отговор, но съм длъжен да поставя тези въпроси. Киберсигурността на стратегически обекти е в компетенцията на ДАНС, но докато бях министър работихме добре съвместно с тях, тъй като министерството отговаря за киберсигурността в администрацията. А понякога дори за най-техническите неща се изисква политическа воля.

Материалът Киберсигурност на стратегически обекти е публикуван за пръв път на БЛОГодаря.

През седмицата темата с киберсигурността получи фокус покрай детайлите около атаката срещу пощите. В няколко интервюта описах общата картина, но ми се иска да направя малко по-пълно описание на това какво сме имали, какво сме направили за тези месеци и какво предстои.

Започвам със забележката, че ще използвам „киберсигурност“, макар че правилният термин в повечето случаи е „мрежова и информационна сигурност“. Правомощията на министъра на електронното управление са именно за „мрежова и информационна сигурност“ и то само в администрацията и част от операторите на съществени услуги. Български пощи не е в този обхват към момента.

Защитата на мрежовата и информационна сигурност е комплекс от технически и организационни мерки, които изискват добро планиране, приоритизиране, изпълнение и контрол в мащаба на държавната администрация (и в по-широк смисъл – на целия обществен сектор). Действаме с бързи стъпки, доколкото ни позволява наличният човешки ресурс.

1. Какво намерихме?

Към началото на мандата състоянието на информационните ресурси (т.е. хардуер, софтуер, мрежово оборудване, лицензи) беше силно незадоволително. Липсва адекватна, централизирана картина къде какво има, на какъв етап е от своя технологичен живот и какви са политиките по неговото подновяване. Има администрации с компютри на по 10 години, напр. Има системи без поддръжка (заради неплащани лицензи или по други причини). Всичко това са проблеми и за киберсигурността – в стари и излезли от поддръжка от производителите системи често има уязвимости. Всичко това го докладвах на Министерския съвет преди месец в рамките на годишния доклад за състоянието на информационните ресурси.

Преди 4 години от Демократична България публикувахме план за действие след срива на Търговския регистър. Половината от мерките са изпълнени, но със спорно качество – напр. регистърът на информационните ресурси е почти безполезен, резервните копия се правят централизирано от твърде малко администрации (с бавна скорост и липса на някои ключови функционалности), а на държавни облак му липсват важни процедури за присъединяване, вградени услуги за киберсигурност и др.

Базови добри практики във връзка с киберсигурността също не се прилагаха. Прости пароли, липса на двуфакторна автентикация, публично видими портове за отдалечен достъп (RDP), за портове за администрация на защитни стени и друг защитен софтуер – всичко това е вектор за атака. На много места липсва оперативно наблюдение на системите във връзка с оглед идентифициране на опити за първоначално проникване. Дори на местата, където има такова, не са свързани достатъчно много източници на информация, така че картината е непълна. Има и фрапиращи случаи, като една администрация, в която всички потребители са били администратори – за по-лесно. В пощите имаше не по-малко фрапиращи лоши практики.

Дирекцията за мрежова и информационна сигурност в Държавна агенция „Електронно управление“ е 16 души. Това е крайно недостатъчно за да покрие правомощията на агенцията (а вече – на министерството) по линия на киберсигурността. Капацитетът по останалите администрации в момента го установяваме в детайли, но общата картина не е розова – ИТ експертите в администрацията не са добре платени и правят всичко – от смяна на принтери, до конфигуриране на инструменти за киберсигурност.

Мога да изреждам още доста проблеми и примери, но от една страна е излишно, от друга страна не следва да разкривам детайли отвътре, от които някой може да се възползва (споделеното в горния параграф са неща, които в голяма степен са публично достъпни).

2. Какво свършихме

За този кратък период от време, в който преструктурираме една държавна агенция в две структури министерство и изпълнителна агенция, по линия на киберсигурността сме направили следното:

• Изпратихме писма до всички институции да подобрят настройките на системите си, свързани с изпращане на имейли (т.е. потенциални фишинг атаки от тяхно име)
• Сканирахме (вкл. с продължаващ абонамент за сканиране) всички администрации за публично достъпни системи, които не следва да бъдат достъпни. Напр. RDP (отдалечен достъп) – от около 60 отворени в началото, вече има само 10, като за тях предстоят санкции за ръководителите, тъй като това е нарушение на наредбата към Закона за киберсигурност
• България стана 30-тата държава в света с абонамент за Have I Been Pwned – безплатна услуга, която ни дава информация за изтекли пароли за имейли на държавната администрация. Изтеклите пароли са от външни сайтове, но тъй като потребителите често използват една и съща парола, при информация за изтекла парола, трябва да бъдат принуждаване да сменят настоящата си
• Блокирахме 48 хиляди IP адреса, свързани със злонамерена активност от Русия и Беларус (с първо писмо до интернет доставчиците – 45 хиляди и още 3 хиляди с последващо писмо)
• Събрахме списък с доброволци и подготвихме договори за тестове за проникване (penetration tests) – първите такива тестове вече са започнали
• Мигрирахме почти всички администрации към Защитения интернет възел на държавната администрация
• В началото на войната спешно проверихме някои от най-критичните обекти и отправихме препоръки за повишаване на сигурността
• Институтът за публична администрация, координирано с МЕУ, подготви информационен курс за защита от фишинг атаки
• Подготвихме изменение на Закона за киберсигурност, за да включим вътре Български пощи и други публични предприятия, които в момента не се контролират от никоя институция по линия на мрежовата и информационна сигурност
• Подготвихме изменения на Постановление на Министерския съвет за включване на Български пощи и БНБ в списъка със стратегически обекти, които обследва ДАНС
• Увеличихме броя места за специалисти по киберсигурност в структурата на министерството (т.е. дирекцията няма да е вече само 16 души)

3. Какво предстои тази година

Немалка част от конкретните мерките, които предстои да вземем, ще бъдат класифицирана информация, тъй като пряко засягат националната сигурност. Но общите политики за повишаване на нивото на мрежова и информационна сигурност са не по-малко важни:

• Приемане на всички подготвени нормативни изменения – в Закона за киберсигурност (за включване на пощите), в постановлението на Министерския съвет за стратегическите обекти
• Приемане на Решение на Министерския съвет с правила за отговор на инциденти – най-важното при много от типовете атаки е бързата и адекватна реакция. Затова от най-високо ниво ще „спуснем“ какви да са стъпките, които всяка администрация да следва при инцидент.
• Изменение на класификатора на длъжностите в администрацията и свързаните с него нормативни актове с цел повишаване на нивата на заплащане на специалисти по киберсигурност. Въвеждане и на позиция „стажант по киберсигурност“, така че да привличаме незавършили студенти с прилични заплати – тяхната експертиза вече е на достатъчно ниво, за да могат да бъдат полезни.
• Подготовка и приемане на нова стратегия за киберсигурност
• Структуриране на отношенията с частния сектор. Държавата няма достатъчно капацитет за оперативни наблюдения, триаж и отговор и трябва да бъде подпомагана от частния сектор. Трябва, обаче, да го направим по структуриран и адекватен начин, а не „всяка администрация сама да си преценя“ какво точно ѝ трябва и как да го получи
• Транспониране на втората директива за мрежова и информационна сигурност веднага след като бъде приета на ниво Европейски съюз
• Използване на максималните възможности на наличните системи за киберзащита (в момента много от тях не са адекватно настроени) и закупуване и инсталиране на нови
• Обновяване на регистъра на информационните ресурси и поддържането му актуален, така че да могат да се правят реални политики за информационните ресурси (обновяване, спиране от експлоатация, управление, бюджетиране)
• Регламентиране на централизирано закупуване на шаблонизирани решения за киберсигурност (няма смисъл всяка администрация да „открива топлата вода“)
• Повишаване на нивото на киберсигурност в частния сектор в рамките на Програмата за научни изследвания, иновации и дигитализация за интелигентна трансформация
• Засилване на ефективните проверки по Закона за киберсигурност – администрациите трябва да спазват поне действащата нормативна уредба, в която има немалко добри практики
• Развиване на експертния капацитет на служителите в администрацията чрез обучения, съвместно с Института за публична администрация
• Изграждане на център за оперативно наблюдение на мрежовата и информационна сигурност (Security operations center – SOC) в структурата на Министерство на електронното управление
• Създаване на Националния компетеностен център по киберсигурност с цел стимулиране на екосистемата от експерти и организации – бизнес, университети, държава, неправителствен сектор
• Засилен обмен на данни с партньорски държави, в т.ч. т.нар. индикатори на компрометиране (indicators of compromise). Т.е. когато един IP адрес опита да проникне в инфраструктура напр. в Естония, след неговото установяване в България да знаем за него и да го блокираме автоматично, преди изобщо да е опитал да „атакува“ и нас.

4. Заключение

Извън всички тези детайли, наличието на министерство означава, че тази политика е представена на масата на Министерския съвет. Което значително допринася за спазването първия принцип от цитирания по-горе план за действие, който бяхме предложили през 2018 г. – „Неделимост на киберустойчивостта от националната сигурност – политическото ниво трябва да е наясно, че срив, умишлен или не, в критични системи, се отразява директно на националната сигурност.“

Администрацията и службите за сигурност вече знаят, че киберсигурността е важна на политическо ниво. А това е важно за устойчивостта – спорадични мерки не вършат работа, ако у хората, които работят това ежедневно, няма увереност, че темата е важна на най-високо ниво.

Имаме много за наваксване. Рисковете са високи, ресурсите (човешки) са малко, а задачите са много и мащабни. Това прави нещата предизвикателни, но и мотивиращи. Сега е моментът да въведем трайна политика за киберустойчивост. Която включва много конкретика и технически детайли, но и много дългосрочни меки мерки за повишаване на капацитета.

Материалът Състоянието на киберсигурността в администрацията и пътят напред е публикуван за пръв път на БЛОГодаря.