Bezpečnost skrze utajení nestačí, varují experti firmy

Bezpečnostní experti opakovaně varují firmy před nebezpečným omylem, který může mít fatální následky – přesvědčením, že jejich systémy jsou v bezpečí jen proto, že o nich nikdo neví. Tento přístup, označovaný jako „security through obscurity, tedy bezpečnost skrze utajení, se v praxi ukazuje jako zcela nedostatečná obrana proti moderním kybernetickým hrozbám.

Realita dnešního internetu je přitom neúprosná. Automatizované nástroje, které útočníci běžně používají, nepřetržitě prohledávají celý adresní prostor internetu a hledají zranitelné systémy. Nezáleží přitom na tom, zda je daná společnost velká korporace, nebo malý regionální podnik. Jakmile má systém připojení k internetu a obsahuje bezpečnostní slabinu, je jen otázkou času, kdy ji někdo objeví a zneužije. Představa, že útočníci cílí pouze na známé a velké organizace, je nebezpečná iluze.

Odborníci na kybernetickou bezpečnost zdůrazňují, že spektrum hrozeb, kterým dnes firmy čelí, je mimořádně široké. Nejde o jeden typ útoku nebo jednoho konkrétního protivníka. Organizace jsou vystaveny souběžně hned několika různým kategoriím rizik. Ransomwarové skupiny hledají příležitost k zašifrování dat a vydírání. Státem sponzorovaní aktéři provádějí špionáž a krádeže duševního vlastnictví. Kyberkriminálníci se zaměřují na finanční data a přihlašovací údaje. Hacktivisté útočí z ideologických pohnutek. A k tomu všemu přistupují takzvaní oportunistické hrozby, tedy automatizované skripty a boty, které bez jakéhokoli cílení zkouší každou dostupnou zranitelnost.

Právě tato kombinace vícečetných hrozeb z různých směrů dělá z kybernetické bezpečnosti komplexní výzvu, na niž nestačí jednoduchá řešení. Firma může mít vynikající ochranu proti ransomwaru, ale pokud neopravila starší zranitelnost ve svém webovém rozhraní, stává se snadným terčem pro automatizované útoky. Bezpečnostní řetěz je vždy tak silný, jak silný je jeho nejslabší článek.

Problém skrývání se za obscuritu se projevuje v různých podobách. Některé firmy spoléhají na nestandardní porty pro přístup ke svým službám. Jiné věří, že jejich interní systémy jsou dostatečně chráněny jen proto, že nejsou veřejně inzerovány. Další odkládají aktualizace s tím, že jejich systém přece nikdo nezná. Všechny tyto přístupy sdílejí stejnou základní chybu – předpokládají, že útočník musí o cíli nejprve vědět, aby ho mohl napadnout. Moderní útočné nástroje tuto podmínku jednoduše eliminují.

Internetové zranitelnosti přitom mohou mít různou povahu. Nezáplatované operační systémy a aplikace představují jeden z nejčastějších vstupních bodů. Špatně nakonfigurované cloudové služby, které neúmyslně vystavují citlivá data do internetu, jsou dalším rozšířeným problémem. Slabá nebo opakovaně používaná hesla, chybějící vícefaktorová autentizace, nezabezpečené vzdálené přístupy – to vše jsou reálné vstupní body, které útočníci aktivně vyhledávají a zneužívají.

Odborníci proto doporučují zásadní změnu myšlení. Firmy by měly vycházet z předpokladu, že jsou viditelné a potenciál