Właściciel małej firmy zwykle nie ma w zespole nikogo, kto codziennie pilnuje bezpieczeństwa firmowej strony. Witryna powstała kilka lat temu, od tego czasu działa, więc nikt do niej nie zagląda. Tymczasem CERT Polska, zespół działający w Państwowym Instytucie Badawczym NASK, udostępnia bezpłatne narzędzie moje.cert.pl, które pozwala przeskanować własną domenę i dowiedzieć się, co w niej nie gra.
„To pierwsze w Polsce narzędzie, które pozwala dowolnej osobie, posiadającej domenę, na aktywne jej skanowanie pod kątem bezpieczeństwa. Może to zrobić zarówno osoba prywatna, mała firma, jak i duża instytucja publiczna. Co więcej, to rozwiązanie jest bezpłatne”, mówił przy uruchamianiu serwisu wicepremier i minister cyfryzacji Krzysztof Gawkowski.
Cztery rzeczy, które daje serwis
Zakres usług jest wąski i konkretny, co akurat przemawia na jego korzyść. Użytkownik może:
- zamówić skanowanie wszystkich swoich domen i otrzymać raport o wykrytych lukach,
- uzyskać informację o wyciekach haseł użytkowników w swojej domenie, wraz z alertem wysyłanym do właściciela lub administratora,
- sprawdzić, czy dana sieć jest chroniona Listą Ostrzeżeń przed stronami wiązanymi z działalnością oszustów,
- odbierać alerty o infekcjach szkodliwym oprogramowaniem i innych zagrożeniach we własnej sieci.
Wyniki skanowania nie trafiają do publicznej wiadomości. Dostaje je wyłącznie administrator, żeby miał czas naprawić to, co zostało znalezione.
Skąd biorą się wyniki
Pod spodem pracują dwa systemy CERT Polska. Artemis odpowiada za skanowanie stron, a system n6 codziennie przetwarza miliony zdarzeń i wyłapuje między innymi infekcje złośliwym oprogramowaniem, hostowanie szkodliwych treści oraz podatności aplikacji dostępnych z internetu. Efektem jest informacja trafiająca do przedsiębiorcy, osoby fizycznej albo instytucji o problemach w jej własnej infrastrukturze.
Skala pracy Artemisa daje wyobrażenie o tym, jak wygląda polski internet od podszewki. Narzędzie przeanalizowało ponad 1,15 mln domen i subdomen, wykrywając przy tym ponad pół miliona podatności oraz 35 tys. poważnych zagrożeń. Sam serwis moje.cert.pl ruszył testowo pod koniec 2024 roku, a w pierwszych miesiącach zarejestrowało się w nim ponad 900 użytkowników, którzy dodali blisko 1,8 tys. domen. Już w tej próbce system wykrył ponad 30 tys. podatności i błędnych konfiguracji, w tym ponad tysiąc o wysokim ryzyku.
Ta proporcja jest wymowna. Na 1,8 tys. zgłoszonych domen przypadło ponad 30 tys. znalezisk, czyli średnio kilkanaście na jedną domenę. Trudno zakładać, że akurat firmowa wizytówka wypadnie czysto.
Dlaczego to temat dla małej firmy
Typowa firmowa strona to system zarządzania treścią postawiony przez zewnętrznego wykonawcę, z kilkunastoma wtyczkami i formularzem kontaktowym. Umowa na opiekę skończyła się po roku, aktualizacje przestały przychodzić, a hasło do panelu ma jeszcze były pracownik. Żadna z tych rzeczy nie boli, dopóki ktoś nie podmieni treści albo nie wstawi przekierowania do fałszywego sklepu. Wtedy boli podwójnie, bo oprócz samej awarii pojawia się rozmowa z klientami, którzy zobaczyli to pierwsi.
Jeszcze ważniejszy bywa drugi element, czyli alert o wycieku haseł w domenie. Jeżeli pracownik używał firmowego adresu do rejestracji w serwisie, który padł ofiarą wycieku, to samo hasło często otwiera również skrzynkę firmową. W jednoosobowej działalności oznacza to dostęp do korespondencji z klientami i do kont w systemach płatności.
Od czego zacząć
Rejestracja wymaga wykazania, że domena rzeczywiście należy do zgłaszającego, więc pierwszy krok lepiej zrobić razem z osobą mającą dostęp do panelu DNS albo hostingu. Potem zostają trzy czynności: przejrzeć raport i rozdzielić znaleziska na pilne oraz te do planu, wyznaczyć w firmie jedną osobę odpowiedzialną za temat, a samo skanowanie powtarzać po każdej większej zmianie na stronie. Kolejność jest tu ważniejsza niż tempo, bo raport bez właściciela tematu po prostu zostaje w skrzynce.
Jeśli dopiero porządkujesz firmową obecność w sieci, zacznij od podstaw, czyli od tego, jak wybrać i zarejestrować domenę firmową. Firmom dostarczającym usługi większym podmiotom przyda się też wiedza, że nowe przepisy o cyberbezpieczeństwie obejmą także podwykonawców oraz że część firm czeka wpis do wykazu KSC. O tym, jak kończy się wystawianie firmowych urządzeń wprost do internetu, pisaliśmy natomiast przy okazji sterowników maszyn dostępnych z sieci.
Źródło: PAP MediaRoom, NASK
