Umjesto skrivanja IT propusta, Beč ih nagrađuje. Ove je godine već isplatio 15.000 €

Svaki dobro uhodan i digitaliziran sustav poput onog u Beču može postati meta raznih napada. IT sigurnosni odjel Beča zato je postao jedna od ključnih, iako javnosti gotovo nevidljivih službi.

Voditelj sigurnosti informacijskih tehnologija grada Beča, Marco Ender, objasnio nam je kako održava gradski sustav sigurnim te kako se pripremaju za potencijalno najveći kibernetički test koji ih čeka iduće godine – Euroviziju.

Zidovi, rovovi i stražari

Sigurnosna slika grada Beča iz 1609. godine nije ni približna onoj današnjoj. U povijesti ste trebali imati zidine, rovove i stražare, objašnjava Marco koji ističe kako su nekadašnja sredstva zaštite zamijenjena firewallovima, automatiziranim sustavima detekcije te naravno timovima koji nadziru cijeli sustav ispred svojih računala.

Digitalna sigurnost postala je nova civilna zaštita grada u kojem danas živi više od dva milijuna stanovnika.

Prvo je pitanje dakle što točno svi ti sustavi i stručnjaci štite?

U slučaju grada Beča, njihova IT služba štiti sve gradske odjele (bečke vode, upravljanje otpadom, čišćenje ulica i vozni park, škole, vatrogasnu službu, hitne medicinske službe) te sve bolnice grada Beča. Uz sve to, tu je preko 90 tisuća službenih računala, tableta, mobitela, pametnih satova, 26 tisuća printera, oko 100 tisuća mail računa, 10 tisuća servera te oko 5 tisuća različitih bazi podataka.

Sve to čini ukupno 31,5 petabajta podataka koji trebaju biti osigurani non stop. Ako neki sustav stane, funkcioniranje grada postaje upitno.

Bolje spriječiti nego liječiti

Bitno je spriječiti, otkriti i ispraviti, tvrdi Marco:

Prevencija su zidovi. Detekcija su stražari. Korekcija su stručnjaci koji popravljaju štetu kad je napad već krenuo.

Tim provodi sigurnosne procjene, nadzire sustave u realnom vremenu, radi red teaming testove i razmjenjuje informacije s drugim europskim CERT timovima:

Uvijek smo u kontaktu sa stručnjacima iz inozemnih mreža i agencija. Na taj način su svi pravovremeno obaviješteni dođe li do problema.

Digitalna sigurnost nije egzaktna, kako se razvija sigurnost tako se razvijaju i tehnike napada. Sustav ne mora biti savršen, ali mora biti dovoljno dobar da pravi napadač odustane. Zato su u Gradu Beču odlučili ponuditi novčane nagrade onima koji im uspješno ukažu na propuste u sustavima kako bi spriječili potencijalne zle napadače.

Kako kriptografi stvaraju kriptonit za hakere i čime se uopće bave?

Petnaest tisuća eura ako hakirate Beč?

Ako se grad smatra dovoljno digitalno zrelim, onda mora biti dovoljno hrabar i dopustiti drugima da pokušaju uočiti određene propuste. Tako su se iz grada Beča umjesto skrivanja ranjivosti ispod tepiha odlučili na metodu “bug bountyja“.

Kao što i sam naziv kaže, radi se o programu u kojem se za pronalazak rupa u sustavima isplaćuju novčane naknade. U periodu od siječnja do listopada ove godine isplaćene su čak 33 nagrade, ukupne vrijednosti od 15 tisuća eura – ukupan budžet je znatno veći od dosad isplaćenog iznosa naglašavaju iz uprave. Iznos pojedinačne isplate dodijeljene za pronalazak kritičke ranjivosti u infrastrukturi ide i do tri i pol tisuće eura.

Naime, taj program pokrenuli su još 2016. godine za austrijske IT studente, a 2020. su ga proširili i odlučili ga otvoriti za stručnjake putem platforme HackerOne. Ove godine program su pustili potpuno javno. Iako Marco kaže da do sad nisu imali ogroman broj prijava, ta situacija mogla bi se promijeniti činjenicom da je servis sada javno dostupan svima. Iz uprave poručuju kako ovo nije znak slabosti već zrelosti. Ako se i vi želite okušati u hakiranju bečkih IT sustava, više informacija pronađite na poveznici.

Opasnosti koje donosi Eurovizija

Iduća će godina za gradsku upravu Beča biti više od glazbenog spektakla. Eurovizija donosi milijune posjetitelja, medijske kuće, sponzore, streaming platforme i golemi digitalni promet.

Prema riječima Marca, to znači i najveću površinu potencijalnog napada do sada. Velike priredbe nisu samo logistički izazov. One otvaraju vrata digitalnim prijetnjama koje ne ciljaju samo sustave, nego i povjerenje građana i reputaciju grada, Marco ističe:

Najveća opasnost nisu samo DDoS napadi, nego lažne web stranice, manipulacija informacijama i prevare koje koriste brend Eurovizije.

U digitalnom svijetu svatko može izraditi stranicu s logom natjecanja i ponuditi lažni smještaj ili ulaznice. I tu digitalna sigurnost postaje više od tehničkog pitanja. Ona postaje pitanje javnog povjerenja. Beč se zato ne priprema samo kao domaćin događaja, nego i kao digitalni štit koji mora ostati uspravniji nego ikada – kaže Marco koji vjeruje kako su njihovi sustavi već sad spremni za eurovizijsko natjecanje.

Struktura obrane

Bečka internetska sigurnosna obrana sastoji se od tri profesionalna sloja. To su: Security and Safety tim, WienCERT tim te red i blue timovi. Ovi timovi dijelom su sustava koji ne samo da reagiraju na napade nego ih pokušavaju i predvidjeti.

Prvi tim zadužen je za odgovor prema incidentima, drugi za sigurnosno inženjerstvo dok je treći tu kako bi procijenio rizik i upravljao kontinuitetom poslovanja. Sve to čini organizacijski proces koji uključuje brojne stručnjake, procedure i protokole poput dobro poznatih ISO 27001 i 27002 koji pokrivaju sustav upravljanja informacijskom sigurnošću dok se ISO 22301 odnosi na business continuity management.

Stvarali su udžbenike i igre, a danas nas spašavaju od 40 milijardi cyber prijetnji

Grad je prošao i revizije austrijskog Državnog ureda za reviziju te NIS evaluacije kao službeni IT servis za bečke bolnice. Takav sustav certifikacije nije samo formalnost nego potvrda da se digitalna infrastruktura tretira kao kritična javna usluga, tvrdi Marco:

Kombinacija međunarodnih standarda i praktičnih alata MITRE ATT&CK Framework koristi se za mapiranje svih faza cyber napada.

To stručnjacima daje pregled koji sustavi mogu biti napadnuti, koliko brzo mogu reagirati i postoji li slabija karika u lancu. Ako ijedna karika pukne, kako je Marco više puta spomenuo, napad može proći. Upravo zato obrana mora biti slojevita i stalno testirana.

Ništa bez AI-ja

Umjetna inteligencija ne mijenja samo način na koji sigurnosni stručnjaci štite sustav nego i način na koji napadači traže svoje prilike. Marco pojašnjava da je upravo tu nastao najveći pomak:

U zadnje vrijeme dobivamo puno kvalitetnije phishing pokušaje zahvaljujući AI-ju. Danas možete uz jedan prompt AI-ju reći da vam napiše phishing mail na njemačkom, a on će to odraditi poprilično kvalitetno.

Isto kao što mi koristimo AI kao pomoć u obrani, hakeri ga koriste kao sredstvo napada, objašnjava nam Marco koji smatra da nas uskoro čeka veća ovisnost o cloudu i intenzivnija primjena umjetne inteligencije u napadima i obrani, što će otvoriti potpuno nova polja rizika koja danas još ne možemo u potpunosti predvidjeti.