Kolege iz kompanije PCX IT Solutions su podijelili svoja iskustva sa terena sa našim Udruženjem kako bi ukazali na važnost zaštite kompanija u digitalnom prostoru i ukazali na potrebu za kontinuiranom cyber zaštitom 24/7.
Iz razumljivih razloga imena napadnutih kompanija nećemo navoditi.
Cyber napad
Tokom rutinskog poslovnog dana, jedan od zaposlenika je bio u komunikaciji s bankarskom službenicom. U tom trenutku, na njegov email stigla je poruka koja je izgledala kao da je poslana direktno iz banke. Poruka je bila najavljena i ništa nije ukazivalo na problem, pa je korisnik bez sumnje otvorio email.
Međutim, čim je email otvoren, na računaru je pokrenut maliciozni fajl. Taj fajl je pokušao izvršiti niz zlonamjernih radnji, uključujući pokušaje instalacije softvera koji bi omogućio krađu šifri za emailove, kao i pokušaje proboja kroz mrežnu sigurnost. Njegova namjera je vjerovatno bila skeniranje interne mreže kako bi pronašao i zaključao podatke, uključujući backup-e, te bi na taj način uzrokovao ozbiljnu štetu.
Na prvi pogled, čini se da je napadač uspio kompromitovati email račun i ugroziti sistem organizacije. Jedan korisnik je prijavio da je njegova baza emailova oštećena i nije bila dostupna, što je potvrdilo postojanje napada.
No, na sreću, mjere sigurnosti koje su prethodno postavljene omogućile su brzo otkrivanje i neutralizaciju prijetnje.
Kako je postavljena zaštita uklonila mogućnost štete
- Endpoint zaštita i EDR reagovali na vrijeme
Odmah nakon što je email otvoren, endpoint zaštita je prepoznala sumnjivu aktivnost i reagovala u djeliću sekunde. Endpoint zaštita je dizajnirana tako da prati ponašanje programa i odmah blokira svaki pokušaj maliciozne aktivnosti. U ovom slučaju, zaštita je uspjela blokirati pokušaje instalacije zlonamjernih programa koji bi omogućili krađu šifri i pristup sistemu.
Uz to, aktivirala se i EDR (Endpoint Detection and Response) zaštita, koja je automatski izolovala sve računare unutar mreže od vanjskog pristupa. Ova izolacija je spriječila širenje napada na ostale dijelove mreže i omogućila sigurnosnim timovima da istraže situaciju bez daljnjeg rizika. EDR zaštita je također omogućila da se računarima može pristupiti samo putem sigurnosnog portala, što je dodatno osiguralo sistem.
- Alarmni sistemi obavijestili sigurnosni tim
U trenutku kada je napad otkriven, sigurnosni alarmi su se aktivirali i poslali obavijesti timu zaduženom za mrežnu sigurnost. Na ovaj način, odgovorni tim je odmah bio obaviješten o pokušaju proboja, što je omogućilo brzu reakciju i daljnje mjere zaštite.
- Dubinsko skeniranje računara i promjena šifri
Jedna od prvih mjera koju je sigurnosni tim poduzeo bila je pokretanje dubinskog skeniranja svih računara unutar mreže. Ovo skeniranje je izvršeno kako bi se provjerilo da li je bilo još pokušaja napada ili instalacije malicioznih programa. Paralelno s tim, svi email nalozi unutar organizacije su dobili nove, jače šifre, čime su dodatno osigurani od daljnjih napada.
- Obnavljanje podataka iz backup-a
Nakon što su sve prijetnje bile blokirane i sistem je potvrđen kao siguran, sljedeći korak bio je obnavljanje oštećene baze emailova iz automatskog dnevnog backup-a. Backup je star svega nekoliko sati, što je značilo da su korisnici izgubili vrlo malo podataka. Zahvaljujući postavljenom automatskom dnevnom backup-u, organizacija se brzo oporavila i nastavila s normalnim poslovanjem bez velikih gubitaka.
- Sigurnosni izvještaji i nastavak praćenja
Nakon što je napad bio neutralizovan, sigurnosni tim je poslao detaljan izvještaj klijentu o napadu i trenutnom stanju njihovog sistema. Također, sistem je nastavljen s praćenjem i narednog dana, kada je ponovno izvršeno dubinsko skeniranje svih uređaja i mreže. Sigurnosni izvještaj je pokazao da više nema prijetnji, čime je potvrđeno da je sistem potpuno zaštićen.
- Obavijest banke i potvrda napada
Konačno, banka čiji naziv je korišten da bi se poslao lažni email, poslala je obavijest svim svojim klijentima i objavila upozorenje na svojoj web stranici i društvenim mrežama. Obavijest je potvrdila da email koji je poslan korisnicima nije bio službeni email banke, čime je potvrđena sumnja da je riječ o napadu tipa man-in-the-middle, gdje napadač presreće i modificira komunikaciju između dva legitimna korisnika.
Zaključak
Ovaj incident pokazuje koliko je važno imati postavljene sigurnosne mjere i backup sistema kako bi se zaštitili od digitalnih prijetnji. Zahvaljujući pravilnoj konfiguraciji sigurnosnih rješenja, organizacija je uspjela brzo otkriti napad, blokirati prijetnje i vratiti oštećene podatke uz minimalnu štetu.
Zaštita mreže, koja uključuje firewall, endpoint zaštitu s EDR-om, redovni backup i brze reakcije sigurnosnog tima, ključna je za očuvanje integriteta poslovanja i podataka u slučaju napada. Ovaj slučaj nas podsjeća da je digitalna sigurnost kontinuiran proces koji zahtijeva redovno praćenje, ažuriranje i prilagođavanje, ali koji može napraviti ogromnu razliku kada se prijetnje pojave.