Rok 2023 to kolejne działania CERT Polska poprawiające bezpieczeństwo polskiego internetu. Jednym z zainicjowanych w tym czasie projektów był Artemis. Dwanaście miesięcy działania dało imponujące efekty - przeskanowaliśmy ponad 50 tys. domen i adresów IP, odkrywając blisko 180 tys. podatności lub błędnych konfiguracji.

Jak działa Artemis?

Artemis to narzędzie rozwijane przez zespół CERT Polska, a zapoczątkowane przez członków koła Politechniki Warszawskiej KN Cyber. Przy jego pomocy badamy strony udostępnione w internecie w poszukiwaniu podatności bezpieczeństwa i błędów konfiguracyjnych. Regularne skanowanie systemów pozwala monitorować i podnosić ich poziom bezpieczeństwa. Uzyskane wyniki nie są w żaden sposób upubliczniane, a jedynie niezwłocznie przekazywane administratorom, dzięki czemu zyskują oni cenną wiedzę na temat wykrytych podatności i mogą wykorzystać ją w celu poprawy bezpieczeństwa systemów. Warto też dodać, że w ramach ponownych testów zespół CERT Polska sprawdza, czy zostały wdrożone niezbędne poprawki.

Istotną cechą przygotowanego przez nas narzędzia jest to, że proces skanowania pozwala administratorom zidentyfikować obserwowane działania jako prowadzone przez CERT Polska. Pozwala to ograniczyć do minimum ewentualny stres i zagrożenia związane z pochopnym reagowaniem. Wszystkie istotne dla administratorów informacje zostały opisane na dedykowanej podstronie: https://cert.pl/skanowanie/.

Rezultaty licznych skanowań, poza podnoszeniem poziomu bezpieczeństwa danego podmiotu, pozwalają też budować szerszy obraz cyberbezpieczeństwa Polski i kierować zasoby CERT Polska tam, gdzie są one najbardziej potrzebne, np. poprzez tworzenie poradników, czy prowadzenie akcji informacyjnych i edukacyjnych.

Co już wykrył Artemis?

Skanowanie trwa od początku stycznia. Blisko rok działania pozwala nam zebrać odpowiednią liczbę danych, by zmierzyć się z oceną działania Artemisa. A ta wypada pozytywnie. Wyniki jednoznacznie wskazują na potrzebę istnienia takiego narzędzia, a zainteresowanie podmiotów świadczy o tym, że jest rozpoznawalne i cenione.

Do 13 grudnia 2023 łącznie przeskanowano ok. 50.6 tys. domen i adresów IP oraz ok. 249.7 tys. subdomen, w tym m.in.:

• ok. 36.9 tys. domen oraz ok. 25.7 tys. subdomen szkół i placówek oświatowych - skanowane były m.in. strony szkół podstawowych, ponadpodstawowych oraz policealnych, jak również domeny młodzieżowych domów kultury, przedszkoli czy poradni psychologiczno-pedagogicznych,
• ok. 5.4 tys. domen i adresów IP oraz ok. 93.3 tys. subdomen jednostek samorządu terytorialnego - skanowane były także np. strony spółek odpowiedzialnych za wywóz śmieci, jak również archiwalne domeny czy systemy obsługujące pocztę, jeśli znajdowały się w subdomenie danej gminy,
• 890 domen i adresów IP oraz ok. 84.4 tys. subdomen uczelni - były to np. strony wydziałów, ale też domeny związane z konferencjami czy projektami naukowymi,
• 521 domen oraz ok. 2.3 tys. subdomen banków,
• 267 domen oraz ok. 34.1 tys. subdomen operatorów usług kluczowych.

Łącznie zgłoszono ok. 178 tys. podatności lub błędnych konfiguracji, w tym ok. 11.4 tys. wiążących się z wysokim zagrożeniem. Przynajmniej jedną podatność bądź błędną konfigurację wykryto w ponad 64 tys. przeskanowanych domen lub subdomen.

Znaleźliśmy m.in.:

• ok. 74.8 tys. przypadków korzystania z nieaktualnego oprogramowania - może to stwarzać ryzyko ataku przy użyciu znanych podatności. Warto pamiętać, że niektóre z podatności mogą skutkować tym, że ze strony można pobrać dane, inne pozwalają zmieniać treść, jeszcze inne - uzyskać uprawnienia administratora;
• ok. 43.3 tys. przypadków problemów z konfiguracją SSL/TLS, co powoduje ryzyko przechwycenia komunikacji użytkownika ze stroną, a jeżeli dane zostaną przechwycone i pojawił się tam login i hasło, to przestępca może je poznać i zalogować się do serwisu jako uprawniony użytkownik;
• ok. 26.4 tys. przypadków błędnie skonfigurowanych mechanizmów weryfikacji nadawcy poczty e-mail, co może pozwolić na wysyłanie fałszywych e-maili z danej domeny,
• ok. 5.4 tys. przypadków konkretnych krytycznych lub poważnych podatności umożliwiających np. przejęcie strony lub pobranie informacji z bazy danych.

Administratorzy skanowanych systemów na bieżąco otrzymują informacje o wykrytych podatnościach. Pozwala to na budowanie bezpieczniejszej cyberprzestrzeni i podniesienie bezpieczeństwa wszystkich użytkowników sieci, ponieważ podmioty nie są wybierane przypadkowo. Zależy nam, by nasze działania objęły możliwie szeroki zakres wynikający z ustawy o krajowym systemie cyberbezpieczeństwa.