Kyberzločinci mohou vaši firmu připravit o miliony. Jak jim v tom zabránit?

Síťová bezpečnost – OBSAH

1. Síťová bezpečnost – proč není radno ji podceňovat?
2. Odkud na vás mohou kyberzločinci útočit?
3. Jaké metody útočníci používají?
4. Jak ochránit firemní síť?
5. Do čeho investovat?
6. Základní pravidla bezpečného chování na internetu
7. Co dělat, pokud jste byli napadeni?

Síťová bezpečnost – proč není radno ji podceňovat?

Představme si situaci v malé firmě. Do jedné bezdrátové sítě je připojeno několik počítačů, některé málo zabezpečené. K WiFi routeru se pak připojují zaměstnanci také ze svých mobilů a někdy možná i jejich rodinní příslušníci. Už tento stav představuje pro nedostatečně zabezpečenou síť velké riziko, neboť záškodnický software se do ní může dostat velice snadno, například přes zavirovaný mobil dítěte některého ze zaměstnanců.

Samotný teenagerův telefon žádného útočníka nezajímá, teenager totiž nemá peníze ani data, za která by byl ochoten zaplatit. Útočníci cílí na počítače, v nichž najdou něco, co mohou zneužít nebo čím mohou uživatele vydírat. Jde o haldy citlivých či cenných dokumentů, přístupy do bankovnictví, hesla ke všemožným internetovým službám a podobně. Pokud se jim to podaří, mohou po vás chtít tisíce, statisíce nebo i miliony jen za to, že vám data vrátí.

Dobré zabezpečení firemní, ale i domácí sítě je proto naprosto zásadní. Cesta záškodnického softwaru až k ředitelovu počítači totiž nemusí být vůbec klikatá. Náš modelový teenager stahuje, co nemá, a přitom si telefon nakazí záškodnickým softwarem. Ten nakazí špatně zabezpečený domácí WiFi router, ze kterého se potom může snadno dostat do notebooku, který si zaměstnanec nakonec odnese do práce. A pokud je vaše firemní síť špatně zabezpečená, pohroma je na světě.

Odkud na vás mohou kyberzločinci útočit?

Existuje celá řada útoků, které nabývají různých podob. Úplně základní rozdělení lze učinit podle směru, z něhož útok přichází. Na sítě mohou záškodníci útočit ze tří stran:

1. Z fyzického okolí – někdo vezme svůj počítač a připojí se k vaší špatně zabezpečené bezdrátové síti. Tato „WiFi klíšťata“ zpravidla nejsou příliš nebezpečná, protože jejich cílem bývá jen připojení k internetu, za které nemusí platit. Někdy ovšem mohou mít zavirovaný počítač nebo na vaši síť takto útočit úmyslně. Nejedná se ovšem o příliš častou metodu.
2. Útok zvenčí – záškodníci se mohou pokusit hledat bezpečnostní skulinu, aniž by měli přístup do vaší sítě. Tyto útoky nemají příliš vysokou úspěšnost, ale s rozmachem IPv6 jich bude přibývat. Společným jmenovatelem úspěšných útoků je většinou starý neaktualizovaný router, případně laciný router, který řádné aktualizace vůbec nedostává. Takovým zařízením není vůbec vhodné bezpečnost firemní sítě svěřovat.
3. Útoky zevnitř sítě – o těchto útocích jsme už psali výše a budeme se o nich bavit i ve zbytku článku. Jde totiž o nejnebezpečnější a nejpravděpodobnější riziko, jakému může vaše síť čelit. Útočníci se do sítě nedostanou zvenku, ale zevnitř. Tam je „pozve“ neopatrný uživatel, který nevědomky nechá nakazit své zařízení, z něhož se záškodnický software snadno dostane do nezabezpečeného routeru i do dalších zařízení připojených k dané síti.

Jaké metody útočníci používají?

Není důvod si myslet, že kybernetických útoků bude ubývat. Právě naopak. Na počítačové sítě spoléhá čím dál více firem a útočníci vymýšlejí stále sofistikovanější metody, jak tyto sítě zneužít. Je-li počítač nebo WiFi router zavirován, běžný uživatel nemusí nic poznat, pokud si to útočník nepřeje. Jak se ale stane, že se záškodnický software do počítačové sítě vůbec dostane, a co v ní může napáchat?

Jak už bylo zmíněno výše, škodlivý software se do vaší sítě může dostat skrze zařízení, která se k síti připojují. Do nich se mohou dostat např. pomocí tzv. trojského koně, což je software, který se zdá při instalaci neškodný, ve skutečnosti v sobě ale ukrývá škodlivý kód. Nemusí však jít pouze o programy, které si do počítače vědomě nainstalujete. Nebezpečné mohou být také e-mailové přílohy od neznámých odesílatelů, napadené internetové stránky nebo infikované USB disky.

A jak to vypadá, když se útočníci úspěšně zmocní vašeho WiFi routeru? Získají například přístup k jeho nastavením, mezi která patří i DNS server. Ten má na starosti překlad doménových jmen na IP adresy. Pokud tedy do internetového prohlížeče zadáte www.mojebankovnictví.příklad, útočníci jsou schopni vám zobrazit podvrženou stránku místo skutečného webu vaší banky. Do připravených polí zadáte své přihlašovací údaje, čímž je de facto pošlete útočníkům. Podobným způsobem vás mohou přesměrovat také na internetové stránky, z nichž si nevědomky stáhnete škodlivý software.

To byl pouze jeden z hrůzných příkladů toho, jak mohou útočníci zneužít špatně zabezpečenou WiFi síť. V ní se mohou některé škodlivé programy dokonce šířit z počítače na počítač (tzv. červi) a nést s sebou škodlivý kód. V lepším případě to zpomalí vaši síť, v horším to způsobí roznesení škodlivých programů do ostatních připojených počítačů. Mezi nimi může být např. i zákeřný ransomware, který umí neprolomitelně zašifrovat vaše nejcennější data.

Jak ochránit firemní síť?

Už jsme zmínili výše, že pokud máte malou firmu, určitě byste neměli spoléhat na nejlevnější WiFi router, který v nabídce najdete. Dostupné aktualizace pro taková zařízení nemusí být nejkvalitnější a hlavně mohou po pár letech skončit. Ani kvalitní síťové prvky vás ale nemusí ochránit, pokud nedbáte na jejich správné nastavení. Co můžete ihned udělat pro to, aby byla vaše síť bezpečnější?

• Silné heslo k WiFi – silné heslo k bezdrátové síti je naprostý základ. Mělo by být dostatečně dlouhé a složené z písmen, číslic a speciálních znaků. Hlavně nesmí být snadno uhodnutelné. Použít jako heslo například název firmy je určitě špatný nápad.
• Změna hesla do administrace WiFi routeru – nové WiFi routery mají obvykle nějaké výchozí přihlašovací údaje, kterými se dostanete do jejich administrace. Může jít např. o kombinaci jména „admin“ a hesla „admin“ nebo „1234“. Takové heslo prolomí škodlivý program za milisekundy. Heslo proto hned po prvním spuštění změňte a udělejte ho přitom mnohem silnější.
• Pravidelně aktualizujte WiFi router – kdyby se ve vašem WiFi routeru objevila bezpečnostní skulina, útočníci by se mohli do vaší sítě dostat dokonce i zvenku. Proto je nutné software routeru pravidelně aktualizovat, protože pokud se nějaká bezpečnostní skulina objeví, zodpovědný výrobce ji v nejbližší aktualizaci opraví.
• Nepracujte s admin právy – úplně každý uživatel (neplatí výjimka ani pro ředitele) ve firemní síti musí pracovat pod účtem, který nemá administrátorská práva. Jde o zcela základní a nezbytnou podmínku pro fungování principů IT bezpečnosti. Standardní uživatel ani nesmí administrátorské heslo znát, protože by to vedlo k prolomení ochrany.
• Používejte aktualizovaný software – z pohledu bezpečnosti je důležité zajistit používání aktuálních verzí jednotlivých aplikací. Operační systém Windows 10 se již pravidelně aktualizuje zcela sám a bez zásahu uživatele. Stejně tak je nutné přistoupit i k dalším aplikacím. Pověstnou černou díru představuje aplikace Adobe Acrobat Reader pro prohlížení PDF souborů. Ta má různé bezpečnostní aktualizace každý týden a z pohledu IT správce jde vyloženě o problémovou aplikaci. Naštěstí moderní webové prohlížeče umí PDF soubory zobrazit v interním prohlížeči, proto Adobe Acrobat Reader jednoduše okamžitě odinstalujte.

Do čeho investovat?

Pokud chcete udělat něco pro bezpečnost vaší firemní sítě, tak bude rozhodně nutná finanční spoluúčast. Samozřejmě včetně dodržení praktických tipů, které jsme zmínili v předchozí kapitole.

Vždy záleží na konkrétních podmínkách, ale v zásadě je dobré se v rámci firemní sítě držet produktů od jednoho výrobce. To s sebou totiž nese pohodlnější správu více prvků najednou nebo v podstatě stejné uživatelské rozhraní. Důležitým rozhodnutím je také fakt, zda si vystačíte s WiFi pokrytím nebo potřebujete připojit různá zařízení (například tiskárny, nebo NAS servery) i pomocí kabelu. Někteří výrobci totiž mají ve své nabídce jen WiFi prvky, což u moderní tiskárny není žádný problém, ale NAS server jako firemní úložiště souborů je zkrátka nutné připojit pomocí kabelu.

Moderní firma pouze s WiFi sítí

V tomto případě vám můžeme vřele doporučit tzv. WiFi Mesh systém. O co jde? Jednoduše řečeno v jednom balení dostanete tři satelity, které mezi sebou vzájemně komunikují a vždy vaše zařízení automaticky připojí k nejvhodnější jednotce, abyste pokaždé získali ten nejlepší signál. Čím více satelitů sada obsahuje, tím větší plochu pokryjete stabilním WiFi signálem. A v případě potřeby lze snadno kdykoli dokoupit další satelity.

Instalace Mesh sítě a všech jejích prvků je velmi jednoduchá. Satelity jsou už ve výchozím nastavení spárovány a stačí pouze hlavní satelit připojit kabelem k internetu a další satelity rozmístit po kancelářích. Následné nastavení sítě přesně na míru už vám zabere jen pár minut.

Celý Mesh WiFi systém ovládáte pomocí mobilní aplikace, v níž pohodlně nastavíte své soukromí a další parametry – přístup k WiFi pro návštěvu, blokování některých uživatelů nebo případně rodičovskou kontrolu, kterou lze v rámci firmy využít k zakázání přístupu zaměstnanců například na sociální sítě během pracovní doby.

Kombinace WiFi + kabelové LAN

I když se to může celé řadě uživatelů zdát staromódní, přesto kombinace WiFi a klasické kabelové LAN sítě stále ve firmách převažuje. LAN síť je důležitá z pohledu stability a především kvůli přenosovým rychlostem. Standardem je 1 GbE, ale nástup 10GbE technologie je zcela nezvratný. Zejména na těch místech, kde potřebujete rychle přenést ohromné množství dat. Například v rámci zálohování serverů nebo při práci s NAS serverem.

Nesmíme opomenout, že kabelová LAN síť je citelně bezpečnější než bezdrátová WiFi. Logicky je přeci jen složitější, aby si záškodník nepozorovaně připojil vlastní počítač do volné LAN zásuvky. I vůči tomu by však správně nastavená síť měla být imunní. Typicky jsou volné zásuvky deaktivované přímo na switchi a případně je nasazena také kontrola MAC adres, která do sítě připojí pouze předem schválená zařízení.

Typickou značkou, která nabízí komplexní sortiment, je americká Ubiquiti. V široké nabídce síťových produktů Ubiquiti naleznete špičkové vnitřní a venkovní přístupové body s podporou nejnovějších standardů. Také nechybí ani výkonné routery a switche pro vysokorychlostní přenos dat. To vše lze velmi jednoduše a efektivně spravovat pomocí jedné webové konzole. Takže například změnu přístupového hesla pro WiFi změníte během pár okamžiků klidně pro 40 přístupových bodů najednou. Stejně snadno lze automatizovat nahrávání aktualizací přímo pro jednotlivé prvky sítě.

Velmi podobně funguje i další známý výrobce TP-LINK a jeho systém Omada. Opět jde o ucelené produktové řady, vhodné pro jakékoli firemní nasazení. Vzhledem k tomu, že jednotlivé síťové prvky jsou v rámci interní sítě napojeny na hlavní cloudový kontrolér, můžete díky zabezpečenému propojení do cloudu na podnikovou síť dohlížet odkudkoliv na světě. Klidně i pomocí mobilní aplikace (je dostupná pro Android a iOS). Spravovat lze jednotlivé přístupové body, ale i cloudové kontroléry Omada bez nutnosti dalších nákladů na nákup a instalace dalšího hardwaru. A díky využití cloudu se nemusíte starat ani o žádný lokální server, na kterém by typická dohledová služba sítě běžela. Z pohledu bezpečnosti pak oceníte fakt, že na cloudu nejsou uložena žádná konfigurační data a ani přes něj neběží žádná firemní komunikace.

Platforma TP-Link Omada SDN nabízí robustní ochranu sítě včetně lepšího soukromí uživatelů. Mezi klíčové prvky zabezpečení patří například vlastní VPN, silný firewall, URL/IP/MAC filtrování, kontrola přístupu, pokročilé šifrování WPA3 nebo speciální portál pro registraci dočasného přístupu. Vždy tak lze zpětně dohledat, co které zařízení v síti dělalo.

Základní pravidla bezpečného chování na internetu

Jakmile máte koncové zařízení připojené k síti a následně k internetu, je nutné řešit zabezpečení. Samotná ochrana proti různým hackerům se skládá z několika vrstev, které se vzájemně podpírají. Již jsme zmínili, že je nutné pracovat na PC výhradně s nižšími uživatelskými právy, díky čemuž odfiltrujete celou řadu možných útoků. Například když nepozorně kliknete na podvržený e-mail. Samozřejmě je vhodné používat některý z placených antivirových programů. Zdůrazňujeme, že placených. Pokud za antivir nechcete platit, používejte vestavěný Microsoft Defender přímo ve Windows 10 a neinstalujte nic dalšího – je to zbytečné.

V rámci placených antivirových systémů jsou velmi dobré reference na slovenský ESET. S jeho pomocí vás nepřekvapí žádné podezřelé stránky nebo soubory z nedůvěryhodných zdrojů. I když je ve firmách dobrým zvykem uživatele pravidelně školit na práci s technikou, přesto jen málo uživatelů dokáže v každodenní záplavě různých e-mailů odhalit potenciální problém.

Hlavní hrozby pro uživatele

• Odkazy v e-mailech – před každým kliknutím na odkaz v příchozím e-mailu se zamyslete, zda jde o standardní záležitost (například vám kolega posílá odkaz na nákup zboží na alza.cz), nebo zda jde o netypickou situaci. V tom případě e-mail rovnou smažte. Pokud půjde o něco důležitého, jistě se vám odesílatel ozve jiným způsobem.
• Přílohy v e-mailech – další typický způsob zneužití uživatelské neznalosti. Ještě než přílohu otevřete, vždy si prohlédněte samotný e-mail. Jde o známého odesílatele? Má správný tvar adresy? Nejsou v e-mailu zvláštní překlepy, jako kdyby zprávu překládal automaticky Google?
• Zneužití hesel – málo bezpečné nebo opakovaně použité heslo představuje jednu z největších hrozeb. I ve firemním prostředí používejte správce hesel. Například KeePass dokáže vygenerovat a spravovat ohromné množství přístupů. Pro každou registraci tak snadno vytvoříte unikátní přístupové údaje. A kdyby došlo k úniku dat, vaše identita zůstane ochráněna.
• Sledujte zabezpečení webových stránek – všimněte si, že každá solidní webová stránka má v adresním řádku zámek. To znamená, že je chráněna certifikátem, pro jehož získání se musel majitel webové stránky prokázat certifikační autoritě. Zámek = bezpečný HTTPS protokol. Výhodou tohoto protokolu HTTPS je jeho bezpečnost. Data odesílaná pomocí protokolu HTTPS jsou zabezpečena protokolem Transport Layer Security (TLS), který poskytuje tři klíčové vrstvy ochrany: šifrování, autentizaci a integritu dat. Například v internetovém bankovnictví už se bez HTTPS neobejde žádná banka. Zastaralý protokol HTTP je typicky nasazený na málo navštěvovaných webových stránkách a současně je poznávacím znamením podvodných stránek, které chtějí získat uživatelská data. Například vám podsunou podvodnou přihlašovací stránku do e-mailu.

Naše doporučení tedy zní jasně – na počítači s Windows 10 pracujte výhradně s nižšími uživatelskými právy, mějte nainstalovaný placený antivirový program, používejte aktualizovaný webový prohlížeč a samozřejmě pravidelně zálohujte klíčové soubory na externí disk, který není stabilně připojený k PC. To je kombinace, která vás poměrně dobře ochrání před nástrahami internetových zákoutí.

Co dělat, pokud jste byli napadeni?

Pokud nedodržíte ani základní prvky internetové bezpečnosti, je jen otázkou času, kdy nastane den s velkým D. Tím myslíme situaci, kdy bude váš počítač zavirovaný. Co s tím? Pokud půjde jen o nějaký malware, tak to vlastně ani nemusí obyčejný uživatel poznat. Nicméně budou na něj vyskakovat různá reklamní okna, místo typické vyhledávací stránky seznam.cz se bude objevovat nějaká jiná. A samozřejmě se dostaví i postupné zpomalení celého PC.

IT profesionál takové PC rozpozná během pár okamžiků. Laik si musí pomoci například jednorázovou kontrolou pomocí nástroje ESET Online Scanner. Ten z prostředí webového prohlížeče proskenuje vaše PC. Pokud budou nalezeny problémy, aplikace se je pokusí odstranit. Pokud to nepůjde, nejpozději v tento moment volejte svého správce IT a počítač neprodleně odpojte od sítě.

Pokud však chytnete ransomware, můžeme vám garantovat, že to okamžitě pozná i naprostý počítačový neznalec. Všechny soubory na ploše a v dokumentech totiž najednou nepůjdou otevřít. Například místo oblíbené fotografie se objeví pouze výzva k zaplacení výpalného, v některých případech i s informací, kolik času uživateli na zaplacení zbývá. Po uplynutí doby se požadovaná částka navýší. Typicky hacker požaduje platbu v bitcoinech nebo jiné virtuální měně. Po zaplacení by následně mělo dojít k odšifrování dat nebo obnovení přístupu do infikovaného zařízení. V praxi však i po zaplacení zůstávají soubory zašifrované. Proto doporučujeme nic neplatit.

Co však s tím? Počítač napadený ransomwarem je nutné kompletně zformátovat a nainstalovat operační systém znovu. A pak záleží, jak starou máte zálohu na externím disku, protože zašifrovaná data jsou nenávratně pryč.

Kybernetická ochrana firemních zařízení a dat je v současné době tak komplexní záležitost, že na tohle zkrátka potřebujete IT specialistu. Bez jeho odborných znalostí vystavujete svoji firmu obrovskému bezpečnostnímu riziku.