Názory k článku
Loni žádná nuda. Armáda ČR v roce 2023 řešila přes 200 tisíc kybernetických útoků
-
Jen WAF mi na jednom vcelku zapadlem hobby-webserveru "sestrelil" jen za dnesek od pulnoci 105 podobnych pokusu, a to jeste neni konec dne :-) Jsou dny, kdy tamtez to da i 300+ zachytu. Ale rozhodne bych kolem toho nedelal PR stylem "nenudili jsme se" - tyhle veci se delaji a maji delat automatizovane, takze nuda to ve vysledku je... aneb koukli jsme na statistiku ze SIEMu.
-
tak ono je opravdu možné, že to řešili, tj. ručně to ověřovali, což je běžná praxe, ne? WAF je jen takový kanárek, zpravidla tě zajímají věci, které WAFem projdou a nikdy není 100% záchyt. Když jsi důsledný tak zjišťuješ zdroj, taguješ a kategorizuješ. Tomu i odpovídá ten počet, 20k za rok u velké organizace není nereálné číslo těch větších záchytů, které se ručně ověřovali, je to příliš malé číslo, aby to byly všechná řádky z logů.
Mně tam spíše zaujalo těch 180k malware případů. Jako malware totiž často označujeme něco, co jde ze vnitř ven (ať už C&C nebo i nějaké pokusy o volání domů, načtení domény). Ten nepoměr je dost výrazný a kdoví co odchytávají, že by třeba mobilní aplikace? Nebo tam měli nějakého krtka, který se jim tam šířil?
-
Na rucni zpracovani prave ty cisla take moc nesedi. Aneb i kdyz vynechame zmineny malware, porad to mame skoro 14 incidentu "zpracovanych" za hodinu v ramci bezne pracovni doby (na kterou se hraje i v armade, tzn. klasika 8/5). I a kdyby se pracovalo opravdu non-stop (coz je nerealne), porad to jsou vic jak tri "resene" incidenty za hodinu. Takze je vlastne otazkou, co za hausnumero nam tu armadni PR oddeleni serviruje ;-)
-
A kdeze pisu o k? :-) Jako za seriozni rucni zpracovani incidentu (o kterem byla vyse rec) fakt nepovazuju to, ze nekdo tomu da fajfku, aby to na nej nesvitilo a bezi od toho... to je dobry fakt akorat na ty "ohromujici" statistiky z kategorie "wow, neco jsme vystrcili do internetu a ono do toho zacne neco busit". Do toho bude zapadat i vase "odbaveni" padesat udalosti za osm clovekohodin. Jasne, da se u toho skvele vykazovat cinnost :-)
-
promiň, už špatně vidím :). Máš pravdu, píšeš o 14.
"Serizózní ruční zpracování" je klasifikace, kterou jsi si vytvořil, abys jí mohl rozporovat. Netuším jak si to představuješ. Ty události spolu vždy nějak souvisí a třídění, sledování, hledání indikací nějakého průniku či problému je běžná praxe.
Ano, i fajfka je ruční zpracování.
-
No pokud nekdo vali stovky udalosti denne k nejake rucni klasifikaci, tak zakonite ten operator tam driv nebo pozdeji u toho proste otupi. A jedinou vystupni hodnotou budou ty kolacove grafy do podobnych zpravicek. Coz v pripade tech "vasich" bank se ukazalo take - kdyz se neco fakt delo (ty utoky z Ruska), tak na to mnozi koukali zrovnatak jak vyvorana mys (a opakovane)... ostatne stejne jako ta armada (obrana). On ten web armady vubec neni zadna hitparada, co se dostupnosti tyce a na predmetnem telegramu se chlubi jeho sestrelenim taky pomerne casto. A ze by ta armada byla state-of-art? ;-) Zadne IPv6, zadne TLS1.3, preferovane DHE pred ECDHE... a DNSSECem bych se taky rozhodne nechlubil. Vzdyt tem rusakum musime bejt ve finale spis pro smich... a tak hlavne ze mame statistiku.
-
jak jsem psal, 4 lidi cca 200 událostí (koukám na čtvrtletí průměr).
To, jestli takovýhle způsob je efektivní je jiná věc, ale však výš jak se to v těch korporátech někdy prostě tahá silou a ne logikou, na sofistikovaný útok si stejně musí tahat lidi z venku, aby jim s tím pomohli.
Armáda přece není web, ten si prostě nechali udělat a už na to nějakou dobu nešáhli. Jak neobvyklé.
-
Jisteze, armada neni jen web. Ale z podobnych detailu typu neco jsme nekam frkli a pak uz jsme na to nesahli jde dovozovat ledacos, aneb kde berete jistotu ze i jinde to nedelaji stejne? Aneb bavime se o kontinualnim procesu - a pokud se nekde systematicky zanedbava, pak to proste nedelaji dobre. A to, ze se to snazi zamaskovat nesmyslnou statistikou z kategorie vykazovani cinnosti to nevylepsuji.
-
Stejne tak posuzovat veci podle PR prohlaseni, kde obsah sdeleni je fakticky neoveritelny dost dobre nejde, ze? :-) Zvlast kdyz celkem pravidelne se ta tiskova prohlaseni od reality dost lisi. Aneb to mate slunickove PR... a pak s s odstupem se nestacite divit, co se tam vlastne deje.
-
Ja se drzim treba toho, jaka je treba dostupnost toho armadniho webu. A ta je mizerna. A "kyberobranci" ani neustoji najezdy jednoho blbeho rusaka - a to tak, ze si z toho dotycny akorat dela srandu na socialnich sitich. PR neni vyvazene - to se chlubi jen "uspechy". O failech (a tedy prilezitostech ke zlepseni) se nemluvi.
ČLÁNKY DO MAILU