На прошлой неделе активисты Украинского киберальянса провели своеобразный марафон под названием #FuckResponsibleDisclosure.

Цель марафона, как поведал спикер УКА под ником Sean Brian Townsend, – обратить внимание общественности и власти на то, что, не смотря на все законы, заявления и инвестиции, реальной безопасностью никто не занимается.  

– В ходе акции #FuckResponsibleDiscloСтавшая уже постоянной рубрика #fuckresponsibledisclosure снова стартовала 14 ноября с Коммунального научно-исследовательского учреждения «Научно-исследовательский институт социально-экономического развития города» (г. Киев). Как утверждают активисты, начальник отдела системного администрирования и поддержки выложил общий диск с бэкапами 1С сразу в архивированном виде, «чтоб скачивать было удобно».

sure мы обнаружили, что несмотря на то, что война идёт уже четвертый год, никому нет дела до информационной безопасности. Всё вокруг общее, а значит ничьё. Никто не несет ответственность за ошибки в построении и сопровождении государственных информационных систем, – считает спикер Украинского киберальянса. – Последней каплей стал общий диск киевской областной полиции: личные данные сотрудников полиции, внутренние распоряжения, списки паролей от официальных аккаунтов (mvd123 — очень хороший пароль!).

InternetUA разбирался, что показал «бесплатный пентест» от украинских хактивистов, и как на это реагируют в госструктурах.

Не уязвимость, а халатность

– Мы ничего не взламывали. Вся информация получена в открытом доступе. Её просто «забыли на улице», – уточняет спикер киберальянса, –  Так же ресурсы не давали никаких предупреждений о том, что там находится информация, охраняемая законом. Это всё равно, что если бы мы зашли на обычный веб-сайт и нашли всё там.

По словам спикера УКА, самыми распространенными «уязвимостями», обнаруженными хактивистами в безопасности госструктур, являются сетевые диски без пароля и открытые FTP-сервера.

– Это даже не уязвимость, это халатность, – резюмирует Sean Brian Townsend.– Обнаруженные проблемы грозят немедленной утечкой данных и возможным последующим уже настоящим взломом, что приведет к компрометации всей сети предприятия или организации.

Украинский киберальянс не первый раз проводит подобные акции. В рамках #fuckresponsibledisclosure публиковалась информация о взломанном почтовом сервере МВД, пароле от учётной записи почты Команды быстрого реагирования на инциденты при Госспецсвязи (CERT-UA), находящихся в открытом доступе документов НАЗК, уязвимостях Министерства юстиции, SCM Рината Ахметова, НДЭКЦ, экспертного центра при Министерстве здравоохранения и других.

Кого «взломали» и что нашли

На протяжении нескольких дней «марафона» киберактивисты сообщили об открытом для всех желающих общем диске Херсонского облсовета (с записями заседаний, ключами АЦСК и другими данными, включая авиабилеты на Ростов), открытом FTP-сервере портала «Судова влада України» (в открытом доступе, помимо прочего, находились корневые сертификаты и пароль для генерации ключей пользователей), о множественных критических уязвимостях портала Государственной службы финансового мониторинга Украины (портал последний раз обновлялся в 2008 году) и о находящейся в открытом доступе базе деклараций сотрудников ГУ НП в Киевской области (с не везде затертыми личными данными и адресами полицейских).

«Саботажем» Украинский киберальянс считает обнаруженный в сети компьютер, принадлежащий ГУ НП в Киевской области, пускающий без какого-либо пароля в сетевой диск «obmen Marina» со 150 гигабайтами информации областной полиции. Среди обнаруженной в открытом доступе информации – пароли, планы, протоколы, личные данныеполицейских.

Как реагируют госструктуры

– Некоторые на замеченные нами уязвимости реагируют нервно, и угрожают уголовным преследованием, а некоторые не реагируют вообще, – рассказывает Sean Brian Townsend. –   Более-менее нормально отреагировал CERT-UA, но только через три дня, и только под давлением общественности.

Публично на обнаруженные активистами УКА во время последнего марафона #fuckresponsibledisclosure  «дыры» отреагировал только Херсонский областной совет. На официальной странице облсовета в Facebook появилось заявление о том, что обнародованная киберальянсом  информация – провокация, а документы якобы «попали в сеть путем проникновения  пока неустановленными лицами». В Херсонском облсовете даже написали  заявление в полицию по факту незаконного вторжения в локальную компьютерную сеть.

Однако уже на следующий день советник главы Херсонского облсовета Галина Ляшевская поблагодарила активистов за «доброжелательный пинок». Ляшевская признала, что «нужно что-то менять» и обратила внимание на «чужие следы, грозящие гораздо большими неприятностями ХОСу». Речь идет об обнаруженных активистами файлах с расширением .so – фрагменте эксплоита SambaCry. Это значит, что сервер областного совета был взломанполностью другими хакерами полгода назад.

В ГУ НП в Киевской области нашему изданию сообщили, что их сетевой диск, пускающий без пароля к 150 гигабайтам данных, принадлежит отделу коммуникации (пресс-службе) Национальной полиции в области. На нем сохранялась информация и документация, «проходящая» через отдел: справки, отчеты и т.д.  В областном управлении Нацполиции отметили, что данные диска не содержали информации с ограниченным доступом.

– У нас, в отделе коммуникаций, данные открыты. Это данные, которые мы используем при сотрудничестве с журналистами. Видео, фото и документы, которые мы здесь рассматриваем, они не есть закрытыми. То, что доступ к сетевому диску открылся людям, которые не работают «в системе» – факт. Сейчас этим занимается киберполиция. Они уже ограничили и закрыли доступ к сетевому диску. Сейчас нам настраивают сеть для дальнейшей работы,  – говорит руководитель отдела коммуникаций ГУ НП в Киевской области Николай Жукович.

Действия УКА руководитель пресс-службы областной полиции считает мудрыми и претензий к «взлому» не имеет:

– Как по мне, так это нормально, что киберальянс указал на этот «пробел»  и попросил сделать что-то, чтобы этого не было.  Это очень мудро и хорошо. Если бы они стали распространять все эти документы, возможно, были бы какие-то претензии, – считает Жукович.

В день обнаружения уязвимости портала Судова влада України, InternetUA пытался узнать, известно ли им о проблеме. Однако ни в пресс-центре портала, ни в ГП «Інформаційні судові системи», обслуживающем court.gov.ua,  нашему изданию не смогли предоставить комментарий. Отметим, что спустя час после публикации об обнаруженной халатности, FTP-сервер был закрыт паролем, однако сервер видеосвязи остался доступным каждому.

Не предоставили комментария и в Коммунальном научно-исследовательском учреждения «Научно-исследовательский институт социально-экономического развития города»:

– Без комментариев, – заявил нашему изданию начальник отдела системного администрирования и поддержки  «Научно-исследовательского института социально-экономического развития города» Олег Загребельный и бросил трубку.

Аналогичную реакцию мы получили и от Государственной службы финансового мониторинга Украины.

– Я с вами обсуждать вопрос информационной безопасности наших ресурсов не буду, –сообщил сотрудник Департамента информационных технологий Госфинмониторинга и также бросил трубку. 

Их сервер, напомним, не обновлялся около 10 лет:

Ужасающая статистика

По данным основателя и руководителя Украинских кибер войск (не входят в состав УКА – Ред.) Евгения Докукина, за период с 2001 по 2016 годы всего было атаковано 956 украинских государственных сайтов (включая взломы сайтов и DDoS атаки). С 2009 по 2015 год было инфицировано 67 gov.ua сайтов, которые, по словам активиста, несомненно были взломаны для размещения вредоносного кода.

– Информационная безопасность – это не хакеры в масках, не пятидесятидюймовые мониторы, многопроцессорные чемоданчики и дорогостоящий софт. Безопасность начинается с соблюдения элементарных правил и личной ответственности, – напоминает Sean Brian Townsend. – Служебная халатность во время войны называется иначе: саботаж.

Источник: internetua.com

Оставить комментарий: