V tomto příspěvku bych chtěl zmínit některé incidenty, které řešil v minulém roce bezpečnostní tým CSIRT.CZ, a o kterých nebylo z nejrůznějších důvodů vhodné se zmiňovat ihned po jejich vyřešení.
Zneužitý hosting
V srpnu jsme přijali hlášení o incidentu, jehož původce neváhal investovat do nákupu legálního hostingu. Nejprve si u jednoho velkého operátora pronajal celou síť, v níž provozoval různé aktivity, které na první pohled nevzbuzují podezření. Jednalo se například o provozování on-line kasin, e-shopů s podezřele levným software a se značkovými hodinkami Rolex :). Operátor se bohužel pravděpodobně nechtěl dostat do konfliktu se zákazníkem a tak raději zvolil taktiku mrtvého brouka. Na situaci si stěžovalo čím dál více subjektů ze zahraničí, což vedlo až k problémům s blokováním některých jeho služeb. Smlouvu tomuto zákazníkovi vypověděl v říjnu, kdy už pro něj situace byla neúnosná. Provozovatel webů se však pouze přesunul k jinému velkému ISP. Zde se situace opakovala. Až ve chvíli, kdy důsledky chování tohoto zákazníka dopadly na další zákazníky, došlo na výpověď smlouvy. Poté proběhlo stěhování k menšímu rovozovateli webhostingových služeb. Ten sice také nechtěl zákazníka odpojit, ale byl ochotný o celé věci diskutovat. Když jsme mu vysvětlili, že provozovat kasina lze v České republice pouze po nahlášení u Ministerstva financí ČR a poukázali na předchozí události spojené s provozováním těchto webů, rozhodl se sám aktivně smlouvu vypovědět. Zatím to tedy vypadá, že tato poslední zkušenost konečně odradila provozovatele těchto webů od jejich dalšího provozování v naší zemi, neboť národní csirt od té doby již žádnou další stížnost neobdržel. Byl to běh na dlouhou trať, ale pro pověst České republiky je dobré, že se nakonec podařilo tyto weby vytlačit mimo „internetový rozsah ČR“. Pokud by se takováto síť u nás dlouhodobě udržela, mohly by se k nám začít stěhovat také weby s daleko nebezpečnějším obsahem. To by potom mohlo znamenat větší rizika i pro uživatele internetu u nás.
Varování ICS-CERT
V listopadu náš tým obdržel od týmu ICS-CERT seznam přibližně osmdesáti potenciálně ohrožených ICS (Industrial control system) systémů v Česku. ICS systémy zahrnují systémy SCADA, DCS a PLC. Tyto systémy nebyly přímo napadeny, ale jejich provozovatelé je měli dostupné z internetu a mnohdy pouze s minimálním zabezpečením, či dokonce s defaultním jménem a heslem. Informace jsme zpracovali a individuálně předali všem provozovatelům těchto systémů. Záměrem této preventivní akce bylo tedy upozornit provozovatele těchto zařízení, že mají takovýto systém dostupný z internetu, a předejít tak zneužití či poškození těchto systémů v budoucnosti. Více informací lze nalézt například na této adrese.
Spolupráce s FBI
V říjnu náš tým ve spolupráci s MVČR pomáhal FBI s předběžným zajištěním důkazů. Jednalo se o server, který sloužil několik let jako hlava botnetu. Protože existovala reálná možnost, že by po sobě vlastník tohoto serveru mohl zamést stopy, byli jsme požádáni o vyjednání předběžných záloh dat důležitých pro další vyšetřování. Protože neznáme podrobnosti o průběhu dalšího vyšetřování, nemohu bohužel zacházet do přílišných podrobností. V každém případě, to oč jsme byli požádáni se nám podařilo s provozovatelem služeb domluvit.
Pavel Bašta