Cyberbezpieczeństwo - czym jest i od czego zacząć?

Transkrypcja

Dziś moim gościem jest Wojciech Ciemski. Wojtek opowie nam o tym, czym jest cyberbezpieczeństwo i od czego zacząć przygodę w tym obszarze IT. Wojtku, dziękuję, że przyjąłeś moje zaproszenie na rozmowę.

Mateuszu, dziękuję ci bardzo za zaproszenie. Dla mnie to zawsze jest wielka przyjemność móc dzielić się wiedzą, czy móc po prostu rozmawiać o czymś, co mnie pasjonuje.

Wojtku, w takim razie powiedz nam w ogóle, jak to było w twoim przypadku − co łączy cię z branżą IT?

Z branżą IT łączy mnie ponad dekada doświadczenia. Można powiedzieć, że w zasadzie, przeszedłem przez prawie wszystkie działy IT, które są związane z utrzymaniem, bo najpierw pracowałem jako pracownik pierwszej linii wsparcia w helpdesku/service desku. Następnie przeszedłem jako osoba, która była odpowiedzialna za cały helpdesk w firmie zajmującej się badaniami klinicznymi. Potem przeszedłem jako administrator systemów Windows, Linux (chociaż moje serce zawsze będzie blisko open source'a i Linuxa − tak po prostu mam, rodzinnie). Aż w końcu, któregoś dnia (ja to nazywam pięknego, ale wtedy, to nie był dla mnie piękny dzień) padło hasło: szykujemy się do ISO 27001 i, jako młodszy administrator systemów Linux, byłem niejako zmuszony − będąc na kontrakcie na B2B, rzucając na szalę własną godzinówkę i chęci (przez godzinówkę mam na myśli godziny pracy, które przekraczały te 8 godzin dziennie) − przygotować jakiś poziom bezpieczeństwa, jakieś narzędzia związane z bezpieczeństwem systemów i sieci dla dosyć sporej dla mnie na tamten czas firmy − ponad 800 pracowników. Tak się zaczęło − bo audyt przeszliśmy, ja nie do końca byłem zadowolony z tego, jak to wszystko wyglądało. Nie byłem w stanie zrozumieć pewnych rzeczy, które teraz, będąc audytorem wiodącym tej normy, znacznie bardziej rozumiem. Tak zaczęła się moja przygoda z samym cyberbezpieczeństwem. Następnie poszedłem do pracy, gdzie byłem odpowiedzialny za tworzenie odpowiednich procedur − czyli z tych trzech filarów bezpieczeństwa zajmowałem się zarówno filarem technicznym, oczywiście jako administrator, jak i filarem administracyjnym (jest jeszcze filar fizyczny, jeśli chodzi o bezpieczeństwo fizyczne, ale w dziale IT nie zajmujemy się tym zazwyczaj). Potem przeszedłem do eksperckiego centrum szkolenia cyberbezpieczeństwa, gdzie miałem już okazję szkolić i poznawać narzędzia cyberbezpieczeństwa dla pracowników RON-u. Następnie, częściowo już jako freelancer, chodząc po różnych projektach i realizując różne większe lub mniejsze projekty, zajmowałem się stricte cyberbezpieczeństwem − moje serce zawsze będzie po tej niebieskiej stronie. Z racji tego, że przeszedłem tę drogę, poznałem te bolączki początkującego, zacząłem tworzyć bloga Security Bez Tabu® (na którego też serdecznie zapraszam), gdzie dzielę się wiedzą. Nie zajmuję się tam newsami, tylko raczej tymi podstawami cyberbezpieczeństwa. Miałem także wielką przyjemność wystąpić na bardzo wielu, największych, i nie tylko, konferencjach IT w Polsce. Mam tutaj na myśli TheHackSummit, SEMAFOR, Warszawskie Dni Informatyki. Prawdopodobnie, jeśli będziecie na jakiejś konferencji, gdzie będzie jakaś ścieżka cyberbezpieczeństwa czy bezpieczeństwa, to pewnie będziecie mnie tam w stanie znaleźć jako uczestnika, albo jako tego, który na scenie dzieli się wiedzą.

To z takim wstępem, chyba czas po prostu powiedzieć, czym jest cyberbezpieczeństwo − od tego byśmy sobie zaczęli, żebyśmy wiedzieli, o czym będziemy dzisiaj rozmawiać.

Cyberbezpieczeństwo w najprostszej definicji, będzie odnosić się do wszystkich praktyk, procesów i technologii, które będziemy stosować w celu ochrony systemów komputerowych, sieci i przede wszystkim danych przed cyberatakami, uszkodzeniami, problemami w ciągłości działania. Chodzi o to, że cyberbezpieczeństwo jest takim podzbiorem bezpieczeństwa jako takiego. W przypadku bezpieczeństwa chronimy informację, bez względu na to, czy jest ona w formie mówionej, tak jak teraz nasz podcast, czy jest w formie drukowanej, w formie jakichś procedur. W cyberbezpieczeństwie natomiast skupiamy się przede wszystkim na danych, czyli na ich zapisie w ciągu zera i jedynek. Skupiamy się głównie na triadzie, chociaż niektórzy mówią, że triada jest już passé, natomiast ja dalej uważam, że jest ona kluczowa i ważna − warto ją znać, ponieważ ona daje każdemu lekki obraz na temat tego, na czym powinniśmy się skupić i zawsze to są te trzy elementy. To jest trochę jak stół z trzema nogami − nie może być stół z dwoma nogami, bo się wywróci. Zawsze musimy brać pod uwagę wszystkie trzy zasady w triadzie, czyli: poufność (confidentiality), tj. ochrona informacji/danych przed nieautoryzowanym dostępem i ujawnieniem; integralność (integrity), czyli zapewnienie, że dane są dokładne i nie zostały zmodyfikowane, zwłaszcza przez osoby nieautoryzowane; dostępność (availability), tj. zapewnienie, że systemy i dane są dostępne dla uprawnionych użytkowników w czasie, jaki jest im potrzebny. Triadę rozszerza się jeszcze o autentyczność (authenticity), czyli zapewnienie, że użytkownicy i systemy są tymi, za których się podają, tak, że jesteśmy również w stanie tych ludzi zidentyfikować i potem, z tego wynika też niezaprzeczalność (non-repudiation) − czyli że dana osoba nie może zaprzeczyć, że to ona wykonała jakieś działanie. Ludzie, którzy zajmują się administracją systemami będą na pewno doskonale rozumieć, o czym mówię.

Wydaje się, że jest to bardzo ogromny obszar, w którym trzeba zacząć działać, żeby w ogóle móc zajmować się cyberbezpieczeństwem − o tym, co trzeba umieć na początku albo od czego warto zacząć, żeby w ogóle wejść w ten obszar, będziemy pewnie jeszcze mówić, ale ja chciałbym jeszcze porozmawiać o tym, w jakich obszarach działa specjalista od cyberbezpieczeństwa? Czy możesz nam przybliżyć ten temat?

Przede wszystkim chciałbym, żeby nasi słuchacze mieli w tyle głowy to, że to o czym powiem, to jest ten ogół. Bardzo często jest tak, że w zależności od działu IT, junior musi zazwyczaj być taką kałużą − czyli on bierze z tego wszystkiego 2 cm głębokości i musi mniej więcej to znać i dopiero potem wybiera swoją specjalizację, ale musi mieć przynajmniej podstawę. Nie przeraźcie się, że będzie tego teraz trochę sporo, bo specjalizacja i tak potem przyjdzie (ale to sobie na pewno powiemy w dalszej części rozmowy). W jakich obszarach on działa? Pierwsze − zarządzanie ryzykiem i polityki bezpieczeństwa: musimy wiedzieć, co się może wydarzyć, musimy stworzyć analizę ryzyka, wdrożyć odpowiednie polityki bezpieczeństwa oraz procedury, które mają na celu minimalizację, mitygację lub, czasami, to ryzyko trzeba będzie zaakceptować, ale świadomie.

To może od razu przerwę ci na chwilę i dopytam, bo brzmi to bardzo górnolotnie i w zasadzie podejrzewam, że większość firm w ogóle tym tematem się nie zajmuje

−

czy jesteś w stanie nam powiedzieć, od jakiej wielkości albo w jakim przypadku firma zajmuje się czymś takim, bo znam mnóstwo firm, które w ogóle nie zajmują się tematem cyberbezpieczeństwa, chociaż wydaje się, że to jest bardzo duży błąd?

Odpowiem w ten sposób − samo to, że ty, jako przedsiębiorca, jako osoba odpowiedzialna za swój system, jako administrator, developer, usiądziesz i zastanowisz się: co w moim projekcie może pójść nie tak, nawet nie stricte pod względem cyberbezpieczeństwa (chociaż dobrze, żebyś się nad tym zastanowił); czy te technologie, których używam nie spowodują jakiejś słabości; czy ja nie będę musiał zaraz zmieniać tej technologii; czy nie będę musiał za jakiś czas zająć się jakąś nowszą wersją − jakie to może przynieść trudności mi, jako specjaliście w tym całym projekcie, i czy warto by było to komuś zakomunikować − to już jest jakaś analiza ryzyka. Jeżeli jeszcze zaczniesz wymyślać, jakie działania możesz podjąć, żeby te ryzyka, które sobie spiszesz (mam nadzieję, że spiszesz) zminimalizować tymi działaniami, a potem do tych działań też się zastanowisz, to już jest analiza ryzyka. I teraz od jakiej wielkości firmy się tym zajmują? Myślę, że to nie jest kwestia wielkości, tylko kwestia pewnej dojrzałości lub potrzeby zgodności z wymaganiami − bo jeżeli w tej chwili weźmiemy większość podmiotów publicznych, które podlegają pod Krajową Ustawę Cyberbezpieczeństwa czy podmioty kluczowe z rozszerzonej listy Dyrektywy NIS 2 – tam, ta analiza ryzyka jest czymś obligatoryjnym. Tak samo, jeżeli myślimy o tym, żeby być zgodnym z jakimkolwiek standardem związanym z bezpieczeństwem informacji − analiza ryzyka jest pewną podstawą. Bardzo często działania specjalistów ds. spraw cyberbezpieczeństwa są powiązane stricte z biznesem, z decyzjami biznesowymi. To nie jest tak, że my znajdziemy jakieś podatności albo jakieś słabości systemów i my będziemy je technicznie naprawiać. Nie, bo może się okazać, że biznesowo to się zupełnie nie opłaca − lepiej skierować wasze zadania w zupełnie inną stronę, a system zaorać i postawić go na nowo, bo będzie taniej kupić nową licencję − zawsze jest ten kontekst biznesowy i ten kontekst biznesowy będzie też wynikać właśnie z analizy ryzyka − ale to jest jeden z tych działów. Mówiąc o nim, podkreślam, że jest on ważny. Następnym działem − tu przejdźmy może do takich nieco bardziej ekscytujących rzeczy − są testy penetracyjne i ocena wrażliwości, czyli: specjaliści do spraw cyberbezpieczeństwa będą identyfikować luki w zabezpieczeniach systemów i aplikacji. Bardzo często skupiamy się na web aplikacjach właśnie z tego powodu, że kontekst biznesowy pokazuje, że jeżeli coś sprzedajemy, jeżeli świadczymy jakieś usługi przetwarzania danych, to zazwyczaj jest to robione w jakiejś aplikacji, która z kolei ma przynieść jakąś korzyść biznesową − to jest źródło przychodu naszej organizacji i skupiamy się na tym, żeby te wszystkie elementy były bezpieczne. Są też osoby, które symulują ataki hakerskie, czyli kolokwialnie mówiąc, szukają dziury w całym i mają mindset takiego typowego atakującego − pozwala to też na znalezienie słabych punktów i załatanie ich, identyfikację przed wykorzystaniem, przed realnymi zagrożeniami/przed realnymi cyberprzestępcami. Innym obszarem działalności jest monitorowanie i reagowanie na incydenty − dla administratorów (podkreślam tych administratorów, bo jest to fucha, którą znam, bo pracowałem kilka lat) − monitorowanie sieci i systemów pod kątem podejrzanych aktywności; w przypadku wykrycia − sprawdzenie, czy jest to rzeczywisty incydent bezpieczeństwa i wtedy jest potrzebna szybka reakcja, aby zminimalizować szkody i przywrócić zazwyczaj normalne funkcjonowanie systemów. Następnie mamy zarządzanie tożsamością i kontrola dostępu − coś, co już wspominałem na samym początku − żebyśmy wiedzieli, czy użytkownicy/aplikacja jest rzeczywiście tym, za kogo się podaje i tym, kto powinien mieć dostęp do systemu, a następnie upewnianie się, że to wszystko jest monitorowane, sprawdzane i nie występują tam też pewne słabości, że ktoś będzie w stanie się np. zalogować za innego użytkownika, albo realizować zadania w kontekście innego użytkownika. Kolejnym obszarem będzie kryptografia, czyli rozwiązania kryptograficzne, które zabezpieczają dane w trakcie przechowywania i przesyłania. Jest ona również kluczowa dla ochrony poufności i integralności danych. Jest tutaj potrzebna znajomość algorytmów szyfrujących i protokołów bezpieczeństwa. Zazwyczaj korzystamy z jakichś gotowych narzędzi, ale ta wiedza będzie nam potrzebna, żeby ocenić, czy jest to skuteczne, i znowu, w kontekście biznesowym, jak powinniśmy zastosować te narzędzia, bo może okazać się, że potem, te drobne niuanse sprawiają, że efektywność np. przesyłania pewnych danych jest zwiększona lub zmniejszona.

To może od razu dopytam − nie wiem, czy będziesz chciał odpowiedzieć i czy faktycznie tak jest, ale dużo mówi się o tym, że wszystkie rodzaje zabezpieczeń są zrobione tak, żeby można było jednak odczytać te dane, bo potrzebują tego służby. Czy faktycznie jest tak, że te algorytmy nie są idealne albo pozwalają odtworzyć dane służbom, żeby po prostu mogły się do tego dostać?

Odpowiem tak enigmatycznie − wszystko zależy − bo jeżeli przesyłasz te dane, to zależy ci, jeżeli jesteś nadawcą, żeby twój adresat je odczytał, żeby je zdeszyfrował. To nie jest słabość algorytmu, że ktoś ci to nagra i dla niego w tej obecnej chwili to są losowe śmieci, które nabiorą sensu dopiero wtedy, kiedy on pójdzie do twojego adresata i ty to metodą kryptograficzną gumowej pałki czy inną (nie sprawdzajcie tego w internecie), zabierze mu ten klucz albo zdobędzie ten klucz i zdeszyfruje tę wiadomość. Nie powiedziałbym, że jest to słabość algorytmu, tylko to będzie bardziej słabość tego, że firmy, które świadczą nam usługi poczty czy usługi przesyłania danych też muszą być zgodne z czymś i my niejako zgadzamy się na to i powinniśmy mieć tego świadomość, a jeżeli się nie zgadzamy na to, to oczywiście są różne metody, które wykorzystują te same algorytmy kryptograficzne, tylko wtedy to my jesteśmy odpowiedzialni za pilnowanie naszych kluczy deszyfrujących, za nieudostępnianie ich i to już jest po naszej stronie, żebyśmy to my zadbali o to, żeby nie było możliwości tej deszyfracji albo, żeby była ona mocno utrudniona.

Dobrze, to przerwałem ci − słuchamy dalej.

Kolejna specjalizacja w cyberbezpieczeństwie to szkolenia i podnoszenia świadomości (niektórzy mówią najsłabsze − ja mówię najsilniejsze ogniwo całego łańcucha to człowiek) czyli edukacja pracowników i użytkowników na temat najlepszych praktyk, szkolenia odnośnie do zwiększenia świadomości, promowanie odpowiednich zachowań w sieci. Administratorzy systemów robią to też czasami na jakichś odboardingach albo są za to odpowiedzialni. O tym, kto jest osobą odpowiedzialną za bezpieczeństwo w dużej/małej firmie powiemy sobie jeszcze później, ale tu już od razu mogę wam dać taki protip − jeżeli chcecie uczyć użytkowników, to uczcie ich przede wszystkim tak, żeby oni mogli wdrażać zasady cyberbezpieczeństwa czy cyberhigieny (czy jak je nazwiemy) w swoim prywatnym życiu i wśród swoich znajomych. Wtedy jest o wiele większa szansa, że będą to robić automatycznie bezwiednie, czy po prostu będę o tym pamiętać również w swojej pracy komercyjnej. Ta ostatnia specjalizacja to zgodność z przepisami − audyt zgodności z przepisami, czyli zapewnienie, że organizacja jest zgodna z przepisami czy wymaganiami prawa: wspomniałem już o NIS 2, mamy ISO 27001, mamy HIPAA, jeżeli chodzi o healthcare, czyli służbę zdrowia, mamy osobne standardy dla instytucji finansowych, dla tych, którzy przetwarzają dane kart płatniczych. Są to pewne best practices i pewne wymagania, które są narzucane po to, aby minimalizować potencjalne szkody i potencjalne niedopełnienie tych działań przez podmioty, przez firmy, które działają na bardzo ważnych danych albo na danych, których kompromitacja mogłaby nieść za sobą fatalne skutki. Tak jak mówiłem − wymieniłem siedem obszarów i ktoś się może złapać za głowę − olaboga, aż tyle. Znowu, to jest siedem pewnych specjalizacji − każdy specjalista zaczyna od pewnej wiedzy w tych wszystkich obszarach, bo są pewne, jak ja to mówię, betonowe podstawy, i musisz mieć świadomość o algorytmach kryptograficznych, nawet jeżeli nie będziesz się skupiał stricte na tym, że masz to odpowiednie. Później przechodzisz do specjalizacji i sprawdzasz, co cię najbardziej ciekawi, co cię najbardziej ekscytuje i w to po prostu idziesz zawodowo.

Dopytałbym jeszcze o administratora systemu − bo dużo razy padało to słowo i ja miałem trochę takie wrażenie, że administrator systemu nie do końca zajmuje się cyberbezpieczeństwem, że to jest trochę inna działka. Pytanie, czy administrator systemu powinien znać cyberbezpieczeństwo, czy to jest trochę tak, że po prostu mamy administratora i uważamy, że on powinien wszystko zabezpieczyć i dbać o to bezpieczeństwo. Jak to faktycznie jest?

Trzy punkty widzenia moim zdaniem. Pierwszy punkt widzenia, dla wszystkich − bez względu na to, czy jesteście developerami, administratorami, czy pracujecie w helpdesku, czy zajmujecie się za przeproszeniem hodowlą jedwabników − zawsze ta warstwa cyberbezpieczeństwa, ta warstwa bezpieczeństwa informacji będzie dla was istotna, ponieważ (przechodzimy teraz płynnie do administratora systemów) w waszej pracy zawsze powinniście realizować swoje zadania z należytą starannością, dbając o powierzone wam dane. Administrator systemów jest, powiedzmy, ostatni, ponieważ pierwszą osobą, do której przyjdą z pochodniami, będzie zazwyczaj CISA, czyli osoba odpowiedzialna za bezpieczeństwo, albo to będzie zarząd, albo to będzie osoba wyznaczona przez zarząd − ona jest odpowiedzialna osobowo za błędy, za wycieki danych, za błędy w cyberbezpieczeństwie. Natomiast na pewno będzie cała analiza postincydentalna, by odpowiedzieć na pytanie w którym momencie zadziały się pewne błędy, i tak − administrator systemu jest odpowiedzialny za odpowiedni poziom bezpieczeństwa systemu. On nie musi być asem bezpieczeństwa, czasami on po prostu ma być zgodny z pełnymi regułami, z pełnymi wytycznymi. Jak słuchają nas jacyś administratorzy, to sprawdźcie sobie chociażby CIS Benchmark − fajne open source'owe i darmowe zasady, które pomagają utwardzić chociażby Linuxa, Windowsa, ale też jakieś routery i inne rzeczy. Czyli ta wiedza jest i będzie to też wszystko wynikać z tego filaru administracyjnego − czyli jaką powinienem mieć zgodność, jak powinien wyglądać ten początkowy system i co ja powinienem robić cyklicznie? Czy mam nad tym kontrolę? Oczywiście to jest dla większości ta część najmniej „sexy” − czyli robienie dokumentacji. Natomiast, niestety, ale to jest część pracy, która po prostu powinna być komunikowana. Tak − administrator jest odpowiedzialny. Jest on gdzieś tam na dole, ale jest odpowiedzialny właśnie za bezpieczeństwo. Jeśli zostanie wykazane, że on specjalnie nie wdrażał tego bezpieczeństwa, to będzie on pociągnięty do odpowiedzialności. Aby zakończyć ten temat czymś bardziej pozytywnym − muszę przypomnieć sobie skąd mam tę statystykę − natomiast ona mówi, że w 99 procentach systemy i aplikacje zostały skompromitowane przez błędy bezpieczeństwa starsze niż rok. Co mówi nam o tym, że bardzo często te błędy bezpieczeństwa, które doprowadziły do kompromitacji systemu, czy mówiąc kolokwialnie do shakowania, to są błędy wynikające z niewiedzy − z tego, że nie zaktualizowaliśmy czegoś, że nie zainteresowaliśmy się czymś przez dość długi czas.

OK, dobrze. Do tego tematu pewnie jeszcze dzisiaj przejdziemy. Aby po kolei realizować ten ciąg przyczynowo skutkowy, chciałbym cię teraz zapytać o to, z jakimi zagrożeniami w ogóle mamy do czynienia, jeśli chodzi o cyberbezpieczeństwo?

Ja tutaj lubię mówić (mówię o tym zwłaszcza na kursach związanych z podstawami), że tak naprawdę te nasze problemy, które mamy, to są te same problemy, które jako ludzie mieliśmy 10/20/30/40 i więcej lat temu, tylko one są trochę na innym medium. Czyli jak kiedyś szliśmy do sklepu i mieliśmy potencjalnie ryzyko, że ktoś nas napadnie, ukradnie nam dowód, zabierze nam pieniądze, nasze dane, źle nas policzą w kasie, nie będzie dostępności produktu itd., to teraz dzieje się to samo, tylko jesteśmy w sieci Internet i bariera wejścia dla tych złoczyńców jest zupełnie inna, bo nie muszą nas oni już fizycznie widzieć. Mówimy tutaj tak ogólnie, natomiast jeżeli chodzi o typy zagrożeń, z którymi musimy się spotykać w cyberprzestrzeni, to po pierwsze jest to malware, czyli złośliwe oprogramowanie, i w zasadzie każdy program, który działa w jakiś sposób złośliwie, będziemy nazywać malwarem. On ma swoje podtypy − takie najpopularniejsze to są wirusy, które same się replikują, ale potrzebują po prostu tego działania, że my jako użytkownik musimy coś kliknąć. Mamy robaki, które potrafią samodzielnie się rozprzestrzeniać, czyli mają jakieś części skryptów, które nawiązują połączenia z innymi i próbują się replikować. Mamy trojany, których chyba nie trzeba tłumaczyć, ale powiemy sobie, że one, tak jak ten koń trojański, udają legalną jakość oprogramowania, aplikacje, paczkę, ale później mają w sobie jakiś złośliwy skrypt i znowu może to być ransomware, robaki, wirus czy jakiś inny typ malware'u. Tak jak wspomniałem o ransomware − szyfruje on nasze pliki, blokuje dostęp do systemów i żąda okupu za ich odblokowanie − to jest takie najczęstsze. Mamy też ataki socjotechniczne, czyli te wszystkie nigeryjskie przekręty, chociaż niedawno jeszcze bardzo popularne były ataki „amerykańskiego admirała” na panie z Polski, który mówił, że jest zaszokowany pięknością i wyślij mi tylko na bilet, bo akurat słabo mi idzie z kasą teraz.

A teraz chyba bardzo popularne jest też „Twoja paczka nie może dojść. Kliknij w link, żeby dopłacić 1,99 PLN”?

Tak, zawsze przy świętach to też niestety będzie. Następnym zagrożeniem jest phishing. Rozróżniamy dwa rodzaje phishingu: phishing zwykły, czyli trochę tak jak wtedy gdy zanęcamy ryby (bo to ma też brzmieć bardzo podobnie), czyli wysyłamy tak dużo jak tylko się da i jako atakujący czekamy aż ktoś odpowie; spear phishing − już nie łowimy na przysłowiową siatkę, co nam się złapie, tylko łowimy na włócznię albo na kuszę, czyli celujemy już w konkretną rybę − kierujemy to do konkretnej osoby, organizacji, wykorzystujemy spersonalizowane informacje, staramy się np. podszyć się po administratora, czyli szykujemy stopkę, imię, nazwisko, tak aby nam uwierzyli. Jest jeszcze pretexting, czyli podszywamy się pod inną osobę, aby zdobyć zaufanie i wyłudzać jakieś informacje. Jest to też atak socjotechniczny, czyli po prostu podszywamy się pod kogoś innego.

To może dwie rzeczy ode mnie − jeżeli ktoś interesuje się takimi tematami, to polecam książkę Kevina Mitnicka,

Duch w sieci

− bardzo fajna historia o osobie, która bardzo dobrze radziła sobie z atakami socjotechnicznymi. Można też wysłuchać audiobooka, kto chce − polecam, bardzo fajnie się słucha. A co do pretextingu, to zapytałbym cię, czy obecnie w tej w dobie AI’a ta opcja nie stała się takim priorytetem? Teraz to chyba nie jest żaden problem, by nagrać wideo albo dźwięk i udawać babcię, dziadka czy kogoś innego?

Mówimy tu przede wszystkim o tym voice phishingu, gdzie teraz rzeczywiście, z jakiejś małej próbki dźwiękowej możemy być po prostu bardziej przekonujący. Wyłudzenia na wnuczka już były − te rzeczy były, tylko teraz zrobiło się to bardziej popularne, bo nasi politycy oberwali tym rodzajem ataku i teraz po prostu więcej o tym słyszymy − ale to było już dostępne. To, co dzieje się od kiedy wszedł ChatGPT i inne duże modele językowe i wszystkie narzędzia, o których mówimy AI, a tylko coś tam wykorzystują – to wszystko tylko sprawiło, że bariera wejścia do całej masy rzeczy jest obniżona. W tym kontekście mówimy o cyber zbójach czy cyber złoczyńcach, którzy są w stanie za 9-10 dolarów − za jakąś małą kwotę przekonać cię do czegoś. Czy będą oni generować głos twojego dziecka i nagrają jakąś wiadomość, czy np. wszystkie te aplikacje undress app − one nie rozbierają, tylko na podstawie zdjęcia generują nagie ciało. Nie zmienia to faktu, że jeżeli zobaczysz − pewne ja i ty, jakbyśmy zobaczyli siebie nago, to byśmy powiedzieli, że całkiem nieźle wyglądamy − natomiast dla większości pań to byłoby coś ultra niekomfortowego i nie chciałyby, żeby było to gdziekolwiek w sieci. Nie bagatelizuję tego, po prostu staram się, żeby nie wprowadzić tutaj takiego patosu, żebyśmy zaraz nie wyciągnęli folii i kręcili czapkę. Bardziej chodzi mi o fakt, że to wszystko obniża barierę wejścia i powinniśmy mieć świadomość, że skoro dla nich bariera wejścia do czynienia zła jest obniżona, to my powinniśmy np. mieć jakieś hasło, że jak nie jesteśmy pewni, czy to są nasi bliscy, to podaję np. „oko” i nagle wiesz, że na pewno rozmawiasz ze swoją rodziną. Może to być dowolne hasło, które wspólnie sobie ustalicie. Najlepiej, żeby było to takie hasło, którego nikt się nie spodziewa. Inną opcją jest też drugi składnik uwierzytelniania, czyli ok, napisałeś mi prośby o Blika, zadzwoń do mnie np. na Facebooku albo wyślij mi to jeszcze przez coś innego, żebym się upewnił. Jeżeli mówimy o zagrożeniach, to mamy też oczywiście ataki na sieć. Pierwszym rodzajem ataków jest ten wspomniany przez ciebie − rządy, które nagrywają nasze wiadomości i są w stanie je potem odczytać. Jak zdobędą klucz to jest Man-in-the-Middle, które niektóre organizacje wdrażają mówiąc, że jest to dla bezpieczeństwa − rozszywają ruch HTTPS, żeby widzieć, co przeglądamy przez strony. To później jest Man-in-the-Middle, tylko taki za naszą (jako pracowników) zgodą, ale może też nieść za sobą duże konsekwencje i dużą możliwość wglądu w to, co robi pracownik i jakie dane przesyła przez przeglądarkę. Mówimy też o atakach DoS (Denial of Service) albo DDoS (Distributed Denial of Service) − ataki mające na celu przeciążenie serwera lub sieci, aby uniemożliwić dostęp do usługi. Jeżeli atak jest z jednego miejsca to mówimy o DoS-ie, jeżeli mamy całą chmarę, czyli kilka tych punktów, które wysyłają informacje, to mówimy wtedy o DDoS-ach. Mamy też Exploity, czyli wykorzystywanie luk w oprogramowaniu − mówiliśmy o testach penetracyjnych, więc przykłady tego typu ataków to jest SQL Injection czy cross-site scripting. Nie będę wchodził teraz w szczegóły, jeżeli chcecie to sprawdźcie to sobie, ale uogólniając jest to wykorzystanie tych słabości, żeby podnieść uprawnienia i skompromitować serwer. Jeżeli ktoś byłby bardziej zainteresowany to zapraszam, żeby poszukać sobie czym jest CVE i CVE Database, a my na razie nie będziemy się na tym teraz skupiać.

Tak jest. To może zapytam jeszcze o te aktualizacje, o których wcześniej wspominałeś, bo jednak z własnego doświadczenia ogólnie jestem z tych osób, które wolą trochę poczekać z aktualizacją do nowszej wersji, aby inni ludzie ją przetestowali i sprawdzili, żeby przypadkiem inne rzeczy się nie wysypały − wiem, że jest dostępna nowa wersja, ale może nie być ona do końca przetestowana i może nie działać. Czy w twojej branży, w cyberbezpieczeństwie, jest to dobra praktyka, czy raczej powinniśmy od razu wrzucać wszystkie aktualizacje, które się pojawiają, żeby nie było tego problemu, że ktoś po roku skorzystał z luki, która już dawno temu była załatana?

Tu znowu są dwa różne podejścia. Po pierwsze, to wszystko ma kontekst biznesowy i jeżeli powiedzą ci, że nie możesz ruszyć aplikacji czy systemu powyżej wersji XYZ, to jej nie ruszasz. Robisz analizę ryzyka. Patrzysz, co może pójść nie tak. Patrzysz i oczywiście powinieneś monitorować, jakie nowe zagrożenia do twoich systemów czy aplikacji się pojawiają i powinieneś to raportować. Druga rzecz jest taka, że mówisz o aktualizacji do najnowszej wersji − domyślam się, że tutaj chodzi ci przede wszystkim o tym poczekaniu, jak powiedzmy był przeskok z Windowsa 10 na 11 albo coś tego typu?

Tak.

Jeśli chodzi o aktualizacje do tej naszej podwersji, która jest wymagana od nas − tu znowu, wykonałeś analizę biznesową, która ci mówi, że nie wchodzę w najnowszą wersję, powiedzmy główną, ponieważ ona powoduje pewne problemy, nad którymi ja nie chcę się zastanawiać, nie chcę tracić na nie czasu − ale do twojej danej podwersji też będą kolejne aktualizacje, czy to 1.2, 1.3, czy wręcz 1.2.5.6, czy coś tego typu, zwłaszcza jeżeli mówimy o oprogramowaniu, o jakichś web aplikacjach. I w ramach tych podwersji czy „pod-podwersji” są już zmiany, które sprawiają, że dana podatność nie występuje. To też nie jest tak, że wersje trzeba aktualizować. Nie, bo jeżeli wychodzi jakaś podatność − wspomniałem o tej CVE Database − to tam masz informację, co należy zrobić, żeby ta podatność nie występowała. Jeżeli jest tam aktualizacja, to jest informacja: albo której wersji to dotyczy (zazwyczaj jest numer wersji i poniższe), albo do jakiej wersji powinieneś ją zaktualizować, żeby to już nie występowało. Na sam koniec mówimy o zagrożeniach, które mamy wewnątrz i zagrożenia, które mamy z zewnątrz. Zagrożenia wewnętrzne – tu musimy wychodzić z zasady ograniczonego zaufania, że osoby, które mają dostęp w naszej sieci − są naszymi pracownikami czy są w naszej organizacji − mogą być niezadowoleni ze swojej pracy. Mogą zostać np. przekupieni lub będą czerpać inne korzyści majątkowe lub nie, związane z tym, żeby zrobić szkodę organizacji. Powinniśmy być na to przygotowani. Są też zewnętrzne zagrożenia. Zazwyczaj mówi się tu o zagrożeniach typu APT (Advanced Persistent Threats). Są to grupy zorganizowane, grupy bardzo często związane z rządami, często sponsorowane przez firmy lub państwa. Są to już raczej bardzo dobrze zorganizowane grupy. Charakteryzują się one wysokim poziomem zaawansowania technicznego i trudnością wykrycia, bo mówimy tu o osobach, które w sposób świadomy wykorzystują swoją wiedzę związaną z cyberbezpieczeństwem szkodząc innym podmiotom. Zazwyczaj te grupy specjalizują się w atakach różnego rodzaju. Jeżeli chcemy zaznajomić się z tym, ile tych grup jest, jakich technik używają, to polecam (mam nadzieję, że to załączymy) MITRE ATT&CK™ − macierze MITRE − gdzie jest to rozpisane i możemy to mniej więcej zobaczyć. Jeżeli jesteśmy np. firmą związaną z finansami, to będziemy wiedzieć jakie grupy najczęściej atakują instytucje finansowe, jakich technik oni używają i co ewentualnie możemy zrobić, żeby im to utrudnić, oczywiście na tyle, na ile pozwoli nam biznes. Chyba wymieniłem już wszystkie typy zagrożeń, z którymi musimy się zmierzyć, zajmując się cyberbezpieczeństwem.

OK, to teraz może przejdźmy do takiego typowego dnia osoby, która pracuje w cyberbezpieczeństwie − bo powiedzieliśmy jakie są zagrożenia, a teraz warto powiedzieć, jak wygląda taki dzień, bo pewnie ciężko to sobie wyobrazić osobie, która nigdy nie miała do czynienia z cyberbezpieczeństwem, albo po prostu zastanawia się, jak będzie wyglądać jej praca, bo przygotowuje się do niej.

Ja opowiem wam tutaj o takim standardowym dniu w pierwszej linii wsparcia w Security Operations Center. Jest to miejsce, gdzie analizowane i zbierane są informacje − czyli co dzieje się w sieci i na granicy sieci z internetem i generalnie zwraca się uwagę na wszystkie anomalie, incydenty, żeby podnieść poziom bezpieczeństwa naszej organizacji. Dlaczego będę mówił o SOC-u, a nie powiem np. o dniu pentestera czy audytora? Bo patrząc na obecne trendy, które są chyba od dwóch czy trzech lat, najprościej dostać pracę w Security Operations Center, bo tych ofert jest po pierwsze najwięcej, a po drugie wymagana jest tam najmniejsza wiedza i doświadczenie − z różnych powodów, nie wchodźmy w to teraz, ale dlatego opowiadam stricte o tym; plus jest to związane z defensywą, a mówiłem już, że moje serce jest po tej defensywnej stronie. Taki typowy dzień, będzie wyglądać tak, że zazwyczaj wcześnie rano, (może to też być późno, bo zazwyczaj jest to praca zmianowa), czyli powiedzmy o 7-8 rano, po zalogowaniu się do systemów, jest przegląd raportów i alertów z nocy oraz maili od naszych kolegów z nocnej zmiany, aby zidentyfikować wszelkie podejrzane aktywności. Czasami SOC może też pracować 12 godzin, albo 8 godzin w dzień, a w nocy te systemy po prostu działają i agregują informacje − to też jest OK, w zależności od miejsca, w którym będziecie pracować. Rano jest bardzo ważny moment, żeby upewnić się, że każde zagrożenie, które wystąpiło w nocy, wtedy kiedy nas nie było albo kiedy byli inni, nie przeszło niezauważone. Następnie zazwyczaj jest codzienne spotkanie zespołu − może być to stand-up, może być krótki online. W czasie takiego spotkania komunikowane i adresowane są wszystkie zmiany w infrastrukturze, wprowadzone aktualizacje lub wszelkie istotne wydarzenia, które mogą mieć wpływ na bezpieczeństwo, ponieważ my jako zespół bezpieczeństwa/reagowania na incydenty musimy wiedzieć, co zmieniło się w organizacji. To jest również czas na ustalanie priorytetów na resztę dnia − mogło się okazać, że są wdrożenia nowej aplikacji, trzeba zrobić testy − ewentualnie będą testy penetracyjne w tej danej aplikacji, więc nie przejmujemy się zwiększoną listą alertów związaną stricte z tym adresem IP. W przedpołudnie, czyli około godziny 9 − aktywne monitorowanie systemów za pomocą narzędzi typu SIEM − Security information and event management, czyli system, który agreguje logi i działania z naszej sieci i analizuje alerty i identyfikuje potencjalne zagrożenia, jak np. podejrzane logowania czy nietypowe ruchy w sieci. Jeśli wykryje coś podejrzanego rozpoczynam analizę aby ocenić, czy jest to incydent, czy to nie jest tzw. false positive, czyli po prostu jakaś anomalia, niezwiązana z realnym zagrożeniem. Jeżeli jest to coś, co mogę wykonać, realizuję to. Jeżeli jest to coś, co powinienem wysłać wyżej − ta pierwsza linia zazwyczaj jest też po to, żeby odfiltrować typowe problemy od tych, które potrzebują rzeczywistej, dogłębnej analizy − wtedy wysyłam to do drugiej linii wsparcia albo do wyższego poziomu, ale raczej do drugiej, i ta druga linia działa już dalej. Tak jak wspominałem − w ciągu tego dnia będą to w większości niskopoziomowe incydenty, tak jak blokowanie złożonych adresów IP, które skanują nasze systemy, czasami resetowanie kont użytkowników, czy usuwanie zainfekowanych plików, lub po prostu zezwalanie na to, żeby te pliki były pobrane, bo są to pliki potrzebne do pracy, natomiast zostały one zablokowane w naszych systemach. Oczywiście muszę to wszystko udokumentować. Dlaczego? Żeby była rozliczalność całej tej pracy i, żebyście się też nie martwili, zazwyczaj te systemy, które zajmują się analizą, gdy rozpoczynamy dany case analizy incydentu, czy potencjalnego incydentu − one same potrafią zapisywać każdy nasz ruch, a my zamykając czy zezwalając na pewne działania, wpisujemy komentarz, więc ten proces dokumentacji zazwyczaj jest ułatwiony przez oprogramowanie. Zawsze jest też miejsce na obiad. Ja podczas obiadu, ale jest to już moje zboczenie zawodowe, po prostu czytam o tym, co jest potrzebne do mojej pracy, czyli przeglądam jakieś najnowsze raporty, czasami dokumentacje, można odpalić jakiś film na YouTubie, porozmawiać z kimś. Pamiętajcie, że stety albo niestety, praca związana z cyberbezpieczeństwem, zwłaszcza w miejscach, gdzie mamy styczność z drugim człowiekiem w postaci atakującego, wymaga tego, by cały czas być na bieżąco albo starać się być na bieżąco. Południe to dalej monitorowanie systemów. Wtedy zazwyczaj ruch sieciowy wzrasta, pojawi się więcej alertów. Ja mam więcej roboty, powinienem trochę szybciej reagować, cały czas pilnując oczywiście dokładności. Jeżeli pojawią się jakiekolwiek incydenty, które wymagają większej wiedzy, to nie pracuję sam. Dlatego jest zespół, więc mogę współpracować z moim zespołem pierwszej linii, dopytując się ich, czerpiąc od nich wiedzę, albo konsultuję się z drugą lub trzecią linią wsparcia. Może to obejmować przekazywanie jakichś szczegółów, dostarczanie logów, wspólne planowanie dalszych działań. Ten nasz typowy dzień zaczęliśmy powiedzmy od 8 − kończy się on w okolicy godziny 16. Ostatnie spojrzenie i dokumentowanie działań, ostatni raport dzienny lub poinformowanie kolejnej zmiany o tym, co udało się zrobić a czego nie. Dokumentowanie i komunikacja to są takie dwie, może nietechniczne rzeczy, które są niezwykle istotne w pracy zespołu, ale to już chyba w zasadzie we wszystkich zespołach.

Myślę, że tak.

Wspomniałeś o tych incydentach − to może czas zapytać, czy w tej dziedzinie standardem jest, że jeżeli jest pożar, to nie schodzimy z pokładu, aż go nie ugasimy? Wspomniałeś, że jest team, ale po pierwsze, czy nie musimy załatwić sprawy, a po drugie, czy jak już się czymś zajmujemy to więcej czasu zejdzie nam na przekazanie tych informacji niż na dokończenie sprawy samodzielnie?

Będzie to bardzo mocno zależeć od tego, czym się zajmujemy, bo np. incydenty niskopoziomowe, których przykłady podałem, nie będą wymagać jakiejś analizy. Natomiast, jeżeli okaże się, że np. był Log4J − Log4J chyba każdy kojarzy bez względu na to, czy zajmuje się cyberbezpieczeństwem czy nie, jak jest po prostu w IT, to zna to hasło. Tam były niekończące się meetingi, gdzie niektórzy nawet po prostu robili sobie drzemki w pracy, tylko po to, żeby wstać i dalej nie wyjść z pracy, dopóki nie zaadresują i nie naprawią tego problemu. Oczywiście o wiele większa presja jest na osobach, które są wyżej w hierarchii, bo tak jak wspominałem, ten dyrektor do spraw cyberbezpieczeństwa odpowiada osobiście, więc on oczywiście będzie motywować swój zespół, żeby pomógł mu w tym wszystkim. Natomiast, znowu, to zależy od polityki firmy. Bardzo ważne jest jednak to, żeby ta reakcja na poważne incydenty była natychmiastowa, bo czas jest kluczowy. Jeżeli dowiemy się, że jest jakaś kompromitacja, to przy obecnych mediach, które jeżeli chodzi o ich przepustowość − czy to światłowód, czy nawet skrętka − każda minuta to ilość danych, które właśnie wyciekają (możemy to nawet konkretnie policzyć). To jest jedna rzecz − czyli potrzeba tej natychmiastowej reakcji i czas, który jest ważny. Ważna jest koordynacja i praca zespołowa − współpraca całego zespołu, o którym już rozmawialiśmy. Czasami jest też niestety tak, że „wszystkie ręce na pokład” i jakoś to potem będziemy rozliczać, ale w tej chwili, jeżeli my nie będziemy pracować jako zespół, to może się okazać, że jutro nie ma szans, żeby przyjść do pracy, bo nie ma po co – już wszystko spłonęło (mówiąc kolokwialnie). Trzeba się też trochę przygotować na pracę pod presją. Są dwa rodzaje ludzi w cyberbezpieczeństwie: jedni mówią, że zdają sobie sprawę i czasami sobie za przeproszeniem ryją głowę tym, że każdy ich błąd może kosztować firmę życie − OK, to jest prawda. Z drugiej strony są tacy, którzy mówią: ale są te systemy, więc nawet jak się pomylę, to wydarzy się coś innego. Moim zdaniem ani jedna, ani druga skrajność nie jest dobra. Należy pamiętać, że może zdarzyć się praca pod presją i jeżeli wiemy, że ten stres związany z konsekwencjami naszych działań jest, to powinniśmy dobrze zaadresować czynności późniejsze, żebyśmy my, jako ludzie, odpoczęli, bo stres nigdy nie jest dobrym doradcą, jeżeli chodzi o dokonywanie czynności. Jak już ten pożar, o którym wspomniałeś, się wydarzy, to znowu, z punktu widzenia biznesowego, najważniejsza jest dokumentacja i analiza po incydencie. Nawet jeżeli my zrobiliśmy wszystko, na hurra, udało nam się – fantastycznie. Następnego dnia musimy usiąść i dać informacje: co zrobiliśmy, w jakim czasie musimy zrobić analizę poincydentalną. Musimy dojść do wniosków i do zrozumienia tego, jak doszło do incydentu, jakie dodatkowe środki zabezpieczeń możemy wprowadzić, bo to, że ten incydent, wybuchł tak duży, a my musieliśmy działać, to dlatego, że albo nie mieliśmy jakiejś polityki, nie mieliśmy czegoś wdrożonego, albo analiza ryzyka, o której już wspomniałem na samym początku, nie przewidziała czegoś takiego. To będzie też czas na przeanalizowanie efektywności zespołu czy wprowadzenie ewentualnych usprawnień do procedur reagowania na incydenty. Ten, wybuch i „wszystkie ręce na pokład”, to jest dopiero jeden etap − oczywiście prawdopodobnie kluczowy, żeby firma dalej działała − ale później jest ta cała praca, którą powinniśmy wykonać.

To chyba czas na pytanie, kto w takim razie za to potem odpowiada? Jak to jest z tą odpowiedzialnością? Czy będąc gdzieś w zespole cyberbezpieczeństwa albo będąc menadżerem takiego zespołu, taka osoba potem za to odpowiada? Czy jego głowa „leci”, czy to tak nie działa? Jak tu jest z tą odpowiedzialnością i z radzeniem sobie w głowie z tym, że to my będziemy musieli potem za to odpowiadać?

To jest trochę tak jak w przypadku administratora, o którym mówiliśmy − każdy jest częściowo odpowiedzialny. Natomiast, jakbyśmy tak wchodzili od ogółu do szczegółu, to w każdej firmie istnieje struktura organizacyjna i zestaw procedur i polityk. Osobą odpowiedzialną za cyberbezpieczeństwo często jest CISO (Chief Information Security Officer) lub tzw. security manager. Odgrywa on rolę w tworzeniu, wdrażaniu, monitorowaniu wszystkich polityk związanych z bezpieczeństwem – to jest jego główna odpowiedzialność, ale potem, jak już szukamy, z jakiego powodu ten incydent wystąpił (ta kompromitacja czy cokolwiek), to będzie się już to trochę „rozmywać” − mamy zarząd i kadrę kierowniczą, która zgodnie chociażby z normą ISO 27001 ma obowiązek zapewnienia odpowiednich zasobów i wsparcia dla wszystkich działań związanych z cyberbezpieczeństwem, bezpieczeństwem informacji i oni są odpowiedzialni za tworzenie kultury bezpieczeństwa w organizacji. Mamy działy bezpieczeństwa i IT − one są odpowiedzialne za utrzymywanie, wdrażanie technologii i zabezpieczeń, ale mamy też użytkowników końcowych, bo każdy pracownik zgodnie z tą normą i z politykami, które wdrożymy, ma obowiązek przestrzegać polityk bezpieczeństwa czy polityk silnych haseł, czy po prostu z należytą starannością realizować swoje zadania. Ta należyta staranność, to również jest staranność o to, żeby te dane, które ta osoba przetwarza w ramach swojej pracy były bezpieczne. Globalnie odpowiedzialne jest CISO albo kadra kierownicza, natomiast w ramach późniejszej wewnętrznej analizy postincydentalnej może się okazać, że oni ponieśli odpowiedzialność główną, ale odpowiedzialność poniesie też np. użytkownik końcowy, który odpukać zrobił coś specjalnie źle, specjalnie coś kliknął, specjalnie coś zainstalował, zrobił coś niezgodnego z politykami.

Albo po prostu zostawił swój identyfikator, albo hasło zapisane na kartce.

Tu już wchodzimy trochę w rzeczy typu, jeżeli on zostawił identyfikator i kartkę, to nie spełnił polityk, prawda? Tu już wchodziłby sąd, prawo pracy i sprawdzenie, czy on rzeczywiście zrobił to specjalnie, czy nie itd. To są już trochę inne rzeczy. Takie bardziej barwne przykłady, to uczelnia (nie pamiętam, która uczelnia i to może to lepiej, jeżeli jej nie wymienię z nazwy), której pracownik zgrał sobie bazę danych studentów sprzed iluś tam lat i trzymał to na laptopie, który nie był zaszyfrowany i pech chciał, że go zgubił albo mu ukradli, już nie pamiętam tego. Tutaj nie mówimy o tym, że on to zrobił przez przypadek, tylko z pełną swoją świadomością złamał on pewne zasady i reguły i pomimo tego, że na poziomie ogólnym to uczelnia odpowiedzialna jest za swojego pracownika i za ten wyciek danych, a potem oni wewnętrznie będą rozliczać tego człowieka właśnie za zrobienie takich, a nie innych czynności.

Tak się trochę uśmiechnąłem, jak powiedziałeś o tym, bo sobie pomyślałem, że to był taki dobry pracownik, który zrobił po prostu backup, jakby się coś stało.

Na swoim nieszyfrowanym urządzeniu?

No dobrze, przejdźmy dalej, bo zrobiliśmy pełen wstęp − czas chyba odpowiedzieć na pytanie, od czego powinniśmy zacząć przygodę z cyberbezpieczeństwa, jeżeli ktoś jest zainteresowany tym tematem?

Gdy prowadzę dosyć popularne wystąpienie na temat jak zacząć się uczyć cybersecurity, zawsze zaczynam od tego, że po pierwsze powinniśmy mieć odpowiedni mindset, a potem powinniśmy podjąć odpowiednie kroki, ponieważ kiedyś to było tak, że potrzebowałeś konkretnej wiedzy − najlepiej również wiedzy odnośnie do programowania niskopoziomowego, bo wtedy to programowanie polegało na programowaniu niskopoziomowym − więc trzeba było rozumieć to, co się tam dzieje, posiadać jakąś wiedzę w dziedzinie administracji czy innej i dopiero na tym budować kolejny piedestał cyberbezpieczeństwa. Teraz, kiedy jest bardzo duże zapotrzebowanie na ludzi na pierwszą linię wsparcia i te specjalizacje są czasami bardzo wąskie − mówiłem, ile jest obszarów, którymi może zajmować się specjalista, ale nie znaczy to, że on się tym wszystkim zajmuje − potrzebuje on konkretnej wiedzy, ale już ci mówię, jakiej. Po pierwsze, gdybym zaczynał teraz, to odczarowałbym sobie parę mitów. Pierwszy mit jest taki, że nie potrzebuję doświadczenia i certyfikatów − ważniejsza jest praktyka i to, co ja zrobię i udokumentuję, że zrobię. Nie muszę być hakerem, chociaż mam taki niewybredny dowcip, że ludzie, którzy chcą wejść w cyberbezpieczeństwo, są bardzo często jak napaleni nastolatkowie − dużo myślą o penetracji, ale mało o zabezpieczaniu się. Chociaż jest to takie ekscytujące, zwłaszcza oglądając film Hakerzy z Angeliną Jolie − to zakładanie kaptura, „I'm in” − to są te filmy, gdzie pokazani są amerykańscy hakerzy i jest to takie ekscytujące. Jednak to nie są tylko testy penetracyjne i jest bardzo wiele możliwości wejścia w cyberbezpieczeństwo, zwłaszcza z tą defensywą i czasami nie potrzebuję technicznego wykształcenia, co nie znaczy, że ono mi się nie przyda. Nie jest ono obligatoryjne − żebyśmy nie mówili sobie, że muszę skończyć informatykę i mieć inżyniera, żeby pójść w cyberbezpieczeństwo.

To może ja tylko dopowiem, że kończąc informatykę, nie przypominam sobie, żebym w ogóle miał cokolwiek na temat cyberbezpieczeństwa. Miałem tylko administrację systemów, ale to było raczej − jak stworzyć użytkownika i tyle, a nie jak się np. zabezpieczyć.

To już taka dygresja, jeżeli chodzi o uczelnie – bardzo dużo powiedziane jest o normach ISO − są takie przedmioty. Są też przedmioty związane z sieciami, bo zazwyczaj na informatyce są sieci związane z Cisco, więc mamy specjalistów, którzy są w stanie coś powiedzieć o bezpieczeństwie sieci, i mamy zazwyczaj audytorów, którzy są też menadżerami/innymi tego typu osobami i oni są w stanie nauczyć cię czegoś o normach ISO, o zgodności, o pewnych wymaganiach. Niestety bardzo często, tu się to kończy, a reszta rzeczy jest ruszona trochę po macoszemu. Czasami jest trochę o bezpieczeństwie aplikacji webowych, bo wiadomo, że masz programistów, którzy muszą być zgodni z jakimiś podstawami do WASP-a i posiadają jakąś wiedzę, ale czasami nie ma tej wiedzy, której potrzebujesz stricte, żeby pójść na tę pierwszą linię wsparcia, bo tam powinieneś mniej więcej rozumieć, jak nazywają się ataki i jak one będą mniej więcej wyglądać w sieci, żeby je w tej sieci znaleźć. Natomiast czego się uczyć, żeby zacząć pracę w cyberbezpieczeństwie − najpierw musicie mieć wiedzę z podstaw IT − czyli obsługa systemów operacyjnych Windows i Linux. Windows − ponieważ środowisko korporacyjne używa go najczęściej, nie ma co się obrażać, a Linux − ze względu na to, że większość aplikacji jest na tym systemie operacyjnym i wiele narzędzi, z których będziecie korzystać, jest również narzędziami zainstalowanymi na serwerach związanych z Linuxem. Wiedza na temat tego, jak te systemy działają, jak nimi administrować, na poziomie powerusera jest fundamentem. Podstawy sieci, bo wszystko obecnie rozmawia przez sieć − więc znajomość sieci komputerowych, protokołów, topologii − kluczowy element.

To może dodam tylko, że jeden z poprzednich odcinków był na temat sieci, więc możecie sobie zajrzeć – godzina albo półtorej godziny materiału na temat samych sieci – same podstawy.

To albo obejrzyjcie teraz i wróćcie do nas, albo posłuchajcie nas do końca i tam wróćcie. Ja polecam wam jeszcze, żebyście nauczyli się jakiegoś języka programowania, np. Pythona, i znowu − nie chodzi o to, żeby być programistą/deweloperem, ale o to, że po pierwsze, jak będziemy się zajmować bezpieczeństwem, często będzie to bezpieczeństwo web aplikacji − dobrze byłoby rozumieć, jak pracuje taka web aplikacja, jaka jest mniej więcej składnia − gdy rozumiem składnię i co jest mniej więcej napisane w kodzie web aplikacji, to pomaga mi to w tym, żeby szukać luk w bezpieczeństwie, ewentualnie szukać potwierdzeń, że jednak wszystko jest w porządku. Nie jestem programistą (od razu wam mówię), nie nazwałbym się tak nigdy, natomiast mam większe lub mniejsze doświadczenie w pisaniu swojego kodu.

Chciałbym właśnie dopytać, czy to nie jest też tak, że ten język programowania jest po to, żeby automatyzować niektóre działania?

Dlatego chciałem o tym powiedzieć, bo chyba najwięcej tutoriali jest o tym, jak po automatyzować pewne rzeczy i to w zasadzie chyba tylko ten powód mógłbym podać, jeżeli chodzi o programowanie. Powiedziałbym jeszcze o jednej rzeczy i jest to coś bez czego nie wyobrażam sobie wejścia w cyberbezpieczeństwo i obecnie chyba w ogóle w IT − to jest angielski. Ja staram się i będę się starał, żeby jak najwięcej materiałów było po polsku, ale nie oszukujmy się − większość i tak będzie dostępna w języku angielskim. Na pewno wszystkie opisy błędów będą w języku angielskim. Jest to też standard, jeżeli chodzi o język systemowy. Jeżeli ktoś robi inaczej, to znaczy, że robi niepoprawnie, np. jeżeli ma logi w języku polskim albo w jakimś innym języku. Angielski na poziomie rozumienia dokumentacji jest ważny.

Zastanawiam się nad tym angielskim − znowu, faktycznie, samo czytanie logów itd. − tu wystarczą słówka, tu szybko można się zorientować, ale nie wiem czy na wyższym poziomie niedługo będzie to potrzebne, skoro AI jest już w stanie tłumaczyć w trybie rzeczywistym? Wiadomo, że nie jest to idealnie, ale za niedługo może się okazać, że w zasadzie każdy materiał w internecie: czy to wideo, czy audio, będziesz w stanie mieć od razu w swoim języku.

OK, dobrze, fantastycznie. Życzę tobie i sobie, żeby tak było, ale na chwilę obecną, jak mam się tego uczyć, to wolałbym nie czekać na to, czy AI rzeczywiście wystąpi tylko wolałbym już od razu uczyć się, dowiadywać się nowych rzeczy i trzeba pamiętać, że czasami te tłumaczeniami mogą być śmieszne, bo tak jak w języku polskim masz słowo granat, które oznacza broń, owoc i kolor, już nie mówiąc o innych tego typu słówkach − w angielskim, tak samo. Może się okazać, że jeszcze trochę wody w Wiśle upłynie zanim te tłumaczenia będą technicznie poprawne, zwłaszcza jeżeli chodzi o język techniczny. OK − jest to pieśń przyszłości, natomiast nie chciałbym na tym polegać. W większości wolałbym się tego nauczyć i umieć też dogadywać z ludźmi, zwłaszcza wtedy, kiedy nie będę miał przy sobie technologii.

Tak, zgadzam się, chciałem tylko dodać, że wydaje się, że może za niedługo będzie troszkę inaczej.

Wiem, tak po prostu mówię. Ostatnia rzecz to są standardy i best practices − są pewne standardy, jeżeli chodzi o bezpieczeństwo web aplikacji i systemów, jeżeli chodzi o testowanie web aplikacji i innych rzeczy. Warto z tego po prostu czerpać i używać tego z czysto biznesowego punktu widzenia − jeżeli będziecie pracować dla firmy z budżetu publicznego, to są pewne wymagania, z którymi one się borykają i to te wymagania musicie znać, a nie jakieś inne, wymyślone na nowo − nauczyć się ich i mówić tak znam, to pomogę wam w osiągnięciu tych celów biznesowych. Powiedziałem już o tym, czego się uczyć − to co ja tu uznaję za takie betonowe podstawy. Skąd się uczyć? Oczywiste oczywistości i parę nieoczywistych zdań ode mnie: książki, kursy, certyfikaty, laboratoria, strona internetowa. Teraz słuchajcie. Książki to zazwyczaj wiedza na jakiś temat zamknięta między okładkami. Nie polecam wam czytać książek od deski do deski, chyba że się szykujecie do jakiegoś certyfikatu − książka ma tytuł tego certyfikatu, więc tam jest cała wiedza, żeby go zdać. W większości przypadków potrzebujecie jakiegoś wprowadzenia do tematu i ewentualnie rozwiązania jakiegoś waszego problemu i tak traktujcie książki związane z IT. Ja tutaj za mną, czego nie widzicie, mam jakieś 150-200 książek o IT i nie tylko, i większość z nich nie przeczytałem od deski do deski. Sięgałem po nie, by przeczytać konkretny rozdział, który był mi potrzebny, żeby zrozumieć jakąś tematykę. Jeżeli chodzi o jakieś moje polecane typy: Bezpieczeństwo aplikacji webowych od Sekuraka, Wprowadzenie do bezpieczeństwa IT, tom pierwszy, też od nich − fajne książki, które pozwalają się zaciekawić tym cyberbezpieczeństwem. Linux. Komendy polecenia od Łukasza Sosny − jeżeli chodzi o korzystanie z Linuxa i poruszanie się po nim. Polecam moją książkę, niedługo będzie wydanie drugie − Cyber Security w pytaniach i odpowiedziach. W wersji pierwszej pytania i odpowiedzi są w takiej bardzo krótkiej formie − jak na rozmowie o pracę. Wydanie drugie będzie już o wiele lepiej zrobione. Zachęcam, żebyście rzucili sobie na to okiem. Jeżeli chodzi np. o budowanie jakiegoś własnego laboratorium, Krzysztof Godzisz wydał Laboratorium Cyberbezpieczeństwa w Dockerze, gdzie po pierwsze uczycie się Dockera, trochę administracji Linuxem, a po trzecie stawiacie sobie jakieś swoje laboratorium cyberbezpieczeństwa właśnie w Dockerze, więc trzy w jednym. Ta książka ma zresztą fajne oceny. Jeżeli chodzi o kursy i certyfikaty − mamy możliwość formalizacji wiedzy poprzez certyfikaty i tutaj polecam wam podejście dwojakie: albo idziemy w to, co jest rozpoznawalne w branży − prześledźcie sobie oferty pracy i zobaczcie, czego oni wymagają. Takim złotym strzałem jest zawsze CompTIA Security+. To jest certyfikat, który najczęściej pojawia się na rozmowach o pracę i zdanie go pokazuje, że macie wiedzę z tych wszystkich działów, o których powiedziałem na początku, że jak będziecie rozmawiać z innymi ludźmi, będziecie rozumieć te same rzeczy pod tymi samymi pojęciami. Jeżeli chodzi o certyfikaty związane z testami penetracyjnymi i innymi rzeczami, to jest np. eJPT, jeżeli chodzi o Junior Penetration Testing. Natomiast to, o czym jak zauważyłem mało się mówi, jest to, że jeżeli idziecie do kogoś na kurs, to przede wszystkim pamiętajcie, że macie specjalistę tej dziedziny na wyciągnięcie ręki. Zapłaciliście mu po to, żeby on wam wyjaśnił wszystko co związane jest z tym kursem w taki sposób, żebyście zrozumieli. Nie bójcie się więc zadawać pytań. Tak samo jest z prelekcjami − nie bójcie się zadawać pytań, bo to jest bardzo często jedyny czas, kiedy macie tego człowieka, który ma dedykowany czas na to, żeby odpowiadać na wasze pytania. Naprawdę trzeba z tego korzystać. Zauważam natomiast, zwłaszcza na szkoleniach, na których ja byłem, że ludzie bardzo często tych pytań nie zadają, bo się wstydzą. Pamiętajcie, że nie ma głupich pytań. Są tylko czasami złośliwe odpowiedzi prowadzącego. Naprawdę uwierzcie, że zarówno ja, jak i prawie wszyscy trenerzy i wszystkie osoby, które dzielą się wiedzą, z przyjemnością odpowiadamy na pytania, bo to oznacza, że ktoś interesuje się tym, co właśnie powiedzieliśmy. Inaczej − wykorzystajcie czas na zadawanie pytań na szkoleniach, żeby zrozumieć. Ja czasami też w przerwach zadawałem pytania nieco obok szkolenia, tylko po to, żeby rozwiązać jakiś swój problem, który nawet miałem w pracy po to, żeby ktoś mi doradził, bo normalnie nie miałbym możliwości porozmawiania z takim człowiekiem poza dniem szkoleniowym. Wspomniałem o laboratoriach, wspomniałem też o tym, że praktyka jest kluczowa. Tu polecam wam, coś innego niż robienie własnego laboratorium, chociaż jest to super. To też polecam, jeżeli macie więcej czasu, jesteście uparci i nie przeszkadza wam to, że może się wam coś zepsuć i potem musicie sami to naprawiać i grzebać w logach. Jest to bardzo pouczająca sprawa. Natomiast niektórych może to zniechęcić. Polecam takie platformy jak Hack the Box czy Try Hack Me − w szczególności Try Hack Me. Polecam je ze względu na to, że macie tam wirtualne laboratoria zaczynając od pytań i odpowiedzi, które musicie zdobyć podczas trwania takich kursów − one są w języku angielskim, są od bardzo podstawowych poziomów po bardziej zaawansowane − po drodze są tam takie ścieżki zdobywania achievementów co też jest motywujące. Jest to w języku angielskim i nie kosztuje miliona monet, bo tam jest chyba jakieś 40-50 zł miesięcznie, więc w cenie dwóch kebabów (przeliczając na studenckie) jesteście w stanie uczyć się cały miesiąc, co jest całkiem fajne. Strony internetowe − wspominałem wam o CVE Database, jeżeli chodzi o konkretne podatności. Są też strony takie jak od OWASP, HackerOne, Pentester.land. To są strony, dzięki którym możemy być na bieżąco z nowinkami z branży czy po prostu przeczytać coś interesującego i a nuż, widelec przyda się wam to w niedalekiej przeszłości. Teraz czas na odpowiedź na pytanie, jak się uczyć. Tu będą trzy rzeczy, z czego trzecia sprawi, że jeżeli zaczniecie ją robić, to o wiele szybciej zdobędziecie pracę w cyberbezpieczeństwie, będzie wam o wiele łatwiej. W każdej z tych rzeczy potrzebna jest systematyczność – „Consistency is the key”. Systematyczność zjada talent na śniadanie. I pamiętacie, że do pewnego poziomu tego cyberbezpieczeństwa − może niektórzy się ze mną nie zgodzą, trudno − naprawdę nie potrzebujecie jakiegoś talentu albo nie wiadomo jakiego zrozumienia pewnych zaawansowanych rzeczy. Nie, po prostu jest tego całkiem sporo na początku. To jest taka piramida. Tam wyżej jest specjalizacja i tej wiedzy jest coraz mniej i jest ona coraz bardziej specjalistyczna. Na początku jest jej dużo − więc potrzebne jest to, żebyście uczyli się systematycznie. Jedną rzeczą, która jest super, jest tworzenie i opisywanie własnego laboratorium. Tak jak mówiłem − to jest dla tych, którzy są uparci. Natomiast eksperymentowanie z różnymi narzędziami i technikami, jest to coś, co jest po prostu game-changerem, bo możecie zrobić coś w praktyce. Ważne jest jeszcze udokumentowanie tego. Dlaczego mówię tyle o tej dokumentacji? Ponieważ zdajcie sobie sprawę z tego, że efektem końcowym w większości działań w cyberbezpieczeństwie nie jest samo w sobie działanie techniczne, tylko raport. Jak jestem pentesterem, klient nie płaci mi za to, że przetestowałem mu aplikację webową. On płaci za raport. Dzięki czemu ma on sklasyfikowane błędy, wie, co ma dalej zrobić, wie, ile tego jest itd. Jednak ten kwit na samym końcu jest tak naprawdę produktem. Kolejna rzecz to Hackatony i Bug Bounties − bierzcie udział we wszystkich konkursach, we wszystkich możliwościach posłuchania jakichś prelekcji, żebyście nasiąkali tą wiedzą, bo mówi się, że w 10% uczymy się tego, co przeczytamy. Jak to zobaczymy i porozmawiamy, to skacze się już do ponad 50%. A jakbyśmy mieli ochotę kogoś nauczyć, to jest już 90%. Stąd znowu mówię o dokumentowaniu − to jest ta trzecia rzecz − dokumentowanie pracy własnej. Jest taki hasztag, którego niektórzy nie lubią, a niektórzy go uwielbiają. Ja widzę bardzo dobre wyniki wśród moich studentów i wśród innych osób – na LinkedIn to jest tak zwane #100DaysChallenge. Codziennie piszecie, czego nauczyliście się z dziedziny cyberbezpieczeństwa. Jeżeli jest to jakieś przerobienie pokoju na Try Hack Me − napisz o tym post. Czy ktokolwiek to przeczyta? Nieważne. Czy ktokolwiek wyciągnie z tego jakąś wartość? Nieważne. Wszystko jedno, czy będziecie chcieli to robić na jakimś blogu, czy na jakimś YouTube, czy gdzieś indziej (ale do tego jeszcze przejdę). Chodzi o to, że jeżeli ktoś zobaczy jeden post w waszych zainteresowaniach, to powie OK, coś zobaczył, napisał, luz. Jak zobaczy 10, to pomyśli, kurde, chyba go to jednak interesuje. Jak zobaczy 100 postów z rzędu, to już nie jest to przypadek, że gościu się tym fascynuje. Aby mieć dobre potwierdzenie czegoś takiego, polecam wam przesłuchać wywiadu Macieja Kofela z Bartłomiejem Adamskim − Adamski CTF do znalezienia na YouTube. Świetna historia − podczas pandemii chłopak, który nie miał nic wspólnego z bezpieczeństwem, zaczął nagrywać filmy o tym jak rozwiązuje pokoje na Try Hack Me, w takiej właśnie formie, na surowo, bez żadnych upiększaczy, Jak nagrał 100 takich pokojów, to po pierwsze on się całkiem nieźle nauczył, po drugie − jak to wygląda w CV. Jak macie gościa, który zrobił coś takiego, dokumentuje to, że umie coś takiego zrobić, to już nikt was nie pomyli i nie powie, że wy nie jesteście pasjonatami. Musicie też wiedzieć, że jeżeli ktoś ma wam dać szansę, gdy nie macie jakiegoś dużego doświadczenia zawodowego, albo jest ten problem początkującego − no jak mam zdobyć doświadczenie zawodowe, skoro nikt mnie nie chce przyjąć na pierwszej pracy − to musicie mieć to doświadczenie, które sami sobie zrobiliście. Nawet podczas takiej dokumentacji pracy to świetnie wygląda. Nie myślcie o tym, żeby to np. jakkolwiek spieniężyć, czy cokolwiek − to ma być wasza wizytówka w przyszłości. Być może tylko do zdobycia tej pierwszej pracy, ale to jest naprawdę game changer. Zachęcam was, żebyście mnie zaznaczali na LinkedInie. Będę wszystko serduszkował, udostępniał, pomagał, ale odpowiadał też na pytania. Ta dokumentacja pracy własnej to jest naprawdę coś, co zmienia wszystko.

Myślę, że ten sposób zadziała w każdej branży. To nie musi być cyberbezpieczeństwo − to może być wszystko to, co robicie. Jeżeli będziecie informować o tym i pokazywać, jak się uczycie, to na pewno będzie to super rozwiązanie. Zgodzisz się ze mną?

Tak, bo ja to wziąłem do swojej branży, żeby dać jakieś konkretne przykłady. Natomiast jakby to rozłożyć na czynniki pierwsze, to np. gdy widzisz, że ktoś napisał 100 postów o np. gotowaniu kapusty – czy nie uznasz go, za jakiegoś kapuścianego freaka i jeżeli będziesz miał z tym związany biznes, to nie zaprosisz go?

Zdecydowanie tak.

OK, to wiemy, jak to zrobić, żeby wejść do branży związanej z cyberbezpieczeństwem. Chciałbym cię zapytać o osobę, z którą zazwyczaj walczy cyberbezpieczeństwo, czyli mam tu na myśli hakera? Powiedzmy w ogóle kim jest haker i o co w ogóle chodzi z tymi kapeluszami?

Haker jest to teraz słowo, które trochę straciło na znaczeniu, bo pierwotne znaczenie słowa haker to była osoba, która posiada bardzo zaawansowane, wręcz eksperckie umiejętności komputerowe, czy umiejętności związane z sieciami, systemami czy programowaniem. Teraz wzięliśmy to słowo, gdzie nie dodajemy tej nazwy kapelusza i zazwyczaj ono kojarzy nam się z przestępcami i mam nadzieję, że to jeszcze kiedyś odczarujemy. Natomiast haker jest takim stwierdzeniem, które ma dodać prestiżu − tak, jakbyśmy powiedzieli, że ktoś jest guru w informatyce wtedy możemy nazwać go hakerem. Klasyfikujemy ich, nie wiem skąd w sumie to się wzięło, po kolorach kapeluszy i mamy tak zwanych White Hat Hackers − białe kapelusze. To są hakerzy etyczni, czyli osoby, które pracują zgodnie z prawem i z zasadami etyki. Oni celują głównie w to, żeby odkrywać luki związane z bezpieczeństwem, identyfikować je, zgłaszać je, tak, żeby producenci oprogramowania mogli je załatać, zanim zostaną wykorzystane w sposób niewłaściwy albo szkodzący. Black Hat Haker − czarne kapelusze: skoro white to byli ci dobrzy hakerzy, to czarni są tymi złymi. To są ci wszyscy ludzie, którzy wykorzystują swoją wiedzę związaną z bezpieczeństwem, z systemami i nie tylko, po to, żeby komuś zaszkodzić tak po prostu for fun, albo żeby po prostu zdobyć jakieś swoje korzyści majątkowe, takie czy inne. Mamy jeszcze Grey Hat Hackers, czyli tacy aktywiści albo osoby, które w RPG-ach nazwalibyśmy nawet chaotyczni dobrzy albo chaotyczni neutralni − balansują oni między działaniami etycznymi a nieetycznymi. Generalnie działają zgodnie z tym, co podpowiada im ich własna etyka. Mogą działać bez zgody właściciela systemów. Zazwyczaj nie mają złych intencji, ale znowu − jak oni to potem wykorzystają? Zazwyczaj nie wykorzystują luk do celów przestępczych, ale napiszą, że mają taką lukę i chcieliby dostać jakieś pieniądze itd., więc to jest takie połączenie. Natomiast moim zdaniem powinniśmy wrócić do tego, że o kimś, kto jest hakerem mówimy z dumą chociaż nie wiem, czy to w tej chwili będzie możliwe.

Rozumiem, że nie chodzi o to, że haker to ktoś zły.

Tak, właśnie o to chodzi. Haker to jest ten, który ma bardzo wysokie umiejętności, bo z kolei takim określeniem dla osób, które chcą coś nabroić w sieci, ale nie wykorzystują jakichś zaawansowanych umiejętności, czy nie mają wiedzy, są tak zwani script kiddies (dzieci scriptów), o których mówię, że znaleźli coś w internecie, zrobili kopiuj, zrobili wklej i zobaczymy jak to zadziała. Albo zobaczyłem, że ktoś napisał jakiegoś swojego, BOTNET-a, czy jakiś swój malware, ja to przekleiłem, kliknę Enter, zobaczymy co się zdarzy. Każdy z nas kiedyś w IT miał ten etap, kiedy coś wkleił i chciał zobaczyć co się stanie − z różnym skutkiem dla siebie samego, być może, więc takie określenie też jest. Natomiast tak, haker stricte to jest ekspert.

Wspominałeś też o pieniądzach, to może czas porozmawiać też trochę na ich temat, ale nie mówię tu o takim faktycznym wynagrodzeniu na stanowisku, tylko chciałbym, żebyś powiedział nam coś więcej na temat Bug Bounty. Co to jest?

Bug Bounty to jest program, w którym firmy, organizacje oferują nagrody finansowe, tak jak kiedyś np. na Dzikim Zachodzie były nagrody za głowę jakiegoś delikwenta, to te nagrody są za błędy. Jaki to ma cel przede wszystkim? Potrzebujemy punktu widzenia wielu osób, ponieważ bardzo często, i to też nie powiedzieliśmy wcześniej, to teraz powiem, że te błędy w oprogramowaniu, błędy w systemach przecież nie są zaimplementowane specjalnie. One najczęściej dzieją się, bo albo zespół nie przewidział możliwości wykorzystania jakiejś funkcji/funkcjonalności lub po prostu nie miał wiedzy i jest jakiś bug, jakaś nieprawidłowość. Teraz wyrzucamy to w takim programie publicznie, oczywiście rozpisujemy regulamin, za co będziemy płacić, za co nie, jakie są już znalezione bugi itd. i będziemy przyznawać nagrody dla osób, które poświęcą swój czas, a zwłaszcza jeśli znajdą one rzeczywisty problem w naszej aplikacji lub systemie. Zarobki z takiego programu mogą być zróżnicowane od krytyczności luki. Wiadomo im bardziej krytyczna, tym większa nagroda. Jak mamy zdalne przejęcie kontroli nad serwerem czy systemem, to zazwyczaj ta kwota jest najwyższa. Różne firmy mają różne poziomy nagród. Takie duże firmy technologiczne jak Google, Facebook czy Microsoft często mają najwyższe nagrody, bo mają najwyższe budżety. Ich rozwiązania trafiają też do największej liczby osób. Poza tym doświadczenie badacza to jest taka mniej bezpośrednia rzecz, bo wiadomo, że jeżeli osoba jest bardziej doświadczona, to zazwyczaj znajduje większe niuanse, bardziej krytyczne luki, o mniejszej szansie do znalezienia niż np. osoba, która dopiero zaczyna. Jest też jeszcze aktywność i zaangażowanie − im częściej uczestniczymy w takich Bug Bounty, tym nasze zgłoszenia mogą zarobić więcej – jest to trochę taka może nie lojalność, ale docenienie tego, że ktoś skupia się stricte na naszej aplikacji. Przykładowe zarobki z danych, które mam: w 2019 roku Google wypłaciło badaczom ponad sześć i pół miliona dolarów w ramach swojego programu Bug Bounty i ci rekordziści potrafią zarabiać z takich programów setki tysięcy dolarów rocznie.

To ja tylko dodam taką ciekawostkę, słyszałem o tym, ale nie wiem ile w tym prawdy (ale jestem w stanie w to uwierzyć), że z racji tego, że Google ma taki duży program Bug Bounty, to wiele osób czeka na przejęcie firmy przez Google − jest informacja, że Google kupi jakąś firmę, więc takie osoby czekają, aż ta firma będzie kupiona, a potem wiedzą, że tam są luki w aplikacji i zgłaszają ją dopiero wtedy, kiedy Google przejmuje taką aplikację czy taką firmę po to, żeby można było zarobić na znalezieniu błędu, chociaż tamta firma nic takiego nie oferowała, ale było wiadomo, że coś takiego istnieje. Słyszałeś o takim rozwiązaniu?

Nie słyszałem o tym, natomiast jestem w stanie w to uwierzyć ze względu na to, że ci ludzie też chcą po prostu zarobić pieniądze − najnormalniej w świecie, chcą mieć za co żyć i za co działać, więc jeżeli jest taka możliwość, żebym ja poczekał chwilę, bo wiem, że coś takiego się wydarzy, to czemu nie? Tu możemy nawiązać trochę do tej etyczności. Jeżeli mamy tych najbardziej etycznych, to raczej oni to po prostu zgłoszą i jest zgłoszone, naprawiajcie. A ci, którzy będą tacy chaotyczni/neutralni, to oni sobie poczekają, bo chcieliby na tym zarobić − normalna rzecz i prawdopodobnie gdzieś w tej analizie ryzyka Google'a czy innych firm jest to wzięte pod uwagę (w tym momencie raczej Google'a).

OK, dobrze. Co prawda w trakcie całej naszej rozmowy wspominałeś o nich, ale żeby było łatwiej się do nich dostać, to zadam ci jeszcze raz pytanie i fajnie, żebyś mi powiedział, jaką książkę polecisz osobom, które chcą lepiej poznać świat cyberbezpieczeństwa?

Jednej książki nie polecę. To byłoby za mało.

Może być kilka.

1. Jeżeli chodzi o takie, żeby was wprowadzić, żeby zobaczyć, czym to bezpieczeństwo jest tak ogólnie, polecam Wprowadzenie do bezpieczeństwa IT od Sakurka − tom pierwszy. Polecam również ich pierwszą książkę, czyli Bezpieczeństwo aplikacji webowych. Tam stricte skupiają się na webówkach − znowu, to nie jest coś, co wytłumaczy wam wszystko od deski do deski. Jest to raczej cały zbiór case'ów związanych z cyberbezpieczeństwem, tak żeby się tym zaciekawić, sprawdzić to potem, rozszerzyć wiedzę. Jeżeli potrzebujecie książkę o tym, o czym mówiłem, jeżeli chodzi o betonowe podstawy, to polecam wam W drodze do CCNA, która tłumaczy sieci. Jest to również przygotowane do egzaminu od Cisco CCNA, natomiast te materiały z Cisco są dosyć dobrze zrobione.

Jeżeli chodzi o Linuxa, to Linux. Komendy i polecenia Łukasza Sosny. Polecam również swoją książkę Cybersecurity w pytaniach odpowiedziach, gdzie macie przekrój przez wszystkie dziedziny, o których mówię, czyli systemy operacyjne, sieci, web aplikacje, kryptografia i cyberbezpieczeństwo jako takie, gdzie jesteście w stanie sobie sprawdzić, na które rzeczy znacie odpowiedzi, a co jeszcze wymaga, tego żebyście doczytali. Tu też pozwolę sobie na reklamę − niedługo będzie wydana wersja druga, która będzie o wiele bardziej obszerna, o wiele większa i z tej edycji będę już dumny. Mówi się, że „to pierwsze dziecko często bardzo mocno się kocha, ale też popełnia się najwięcej błędów wychowawczych”, tak to też wygląda z tą książką.

Dobrze, to jeszcze ostatnie pytanie na sam koniec − gdzie możemy cię znaleźć w sieci? Jeżeli ktoś chciałby o coś podpytać, dowiedzieć się czegoś więcej albo właśnie skorzystać z twoich produktów, to gdzie może cię szukać?

Oczywiście zapraszam was na Security Bez Tabu, gdzie po prostu dzielę się wiedzą w języku polskim i niedługo też planuję uruchomić angielską wersję, Security Beyond Tabus. Zapraszam was też na kanał na YouTube, na którym udzielam się mniej, ale planuję to zmienić, ale jeżeli prowadzę jakieś live’y, to możecie mnie tam złapać i zawsze zadać pytanie tak jak podczas szkolenia czy kursu. Na securitybeztabu.pl/akademia/ znajdziecie moje szkolenia, gdzie dzielę się wiedzą. Jeżeli chodzi o social media, to możecie mnie znaleźć na LinkedInie. Zapraszam, żebyście mnie zaprosili i zadawali pytania, czy jeżeli zdecydujecie się na #100daysChallenge, to żebyście mnie też oznaczali. Z przyjemnością będę was oznaczać. Chciałbym powiedzieć wam jeszcze taką jedną rzecz na zakończenie, że szykując się do tej rozmowy z Mateuszem dokopałem się do informacji, że według portalu Cyberseek, w cyberbezpieczeństwie w 2023 roku było ponad 1 129 000 osób zatrudnionych globalnie, a ofert pracy, które jeszcze czekają, jest ponad 660 000, więc można powiedzieć, że jedna trzecia rynku w ogóle czeka na zaadresowanie w kontekście globalnym, co daje nam przepotężne liczby. Jeżeli chodzi o samą Polskę i Europę, w Polsce brakuje nam około 50 tysięcy specjalistów do spraw cyberbezpieczeństwa. Jeżeli chodzi o Europę, to te liczby są jeszcze większe, ale w tej chwili nie pamiętam, więc ten rynek jest duży, będzie on się zwiększał, ponieważ jest to dosyć specyficzna branża. Nie oszukujmy się − są tam potrzebne specyficzne wymagania, ale te wymagania są potrzebne w kontekście wiedzy, którą już macie. Tak jak mówiłem wcześniej, nawet jeżeli zajmujemy się hodowlą jedwabników, to gdzieś przechowujemy dane, sprzedajemy komuś ten jedwab, są jakieś transakcje, są nasi klienci, są jakieś inne rzeczy, gdzie musimy się zająć tym bezpieczeństwem informacji czy cyberbezpieczeństwem i w kontekście tego przedsiębiorstwa ta wiedza będzie potrzebna.

A wydaje się, że AI jeszcze bardziej wpłynie na to, że to cyberbezpieczeństwo jeszcze bardziej się rozszerzy, w zasadzie to jest to, o czym też wspominaliśmy.

AI w cyberbezpieczeństwie, w narzędziach bardziej zaawansowanych jest już od dłuższego czasu. To, że ono teraz jest dostępne (w zasadzie to są modele językowe, tak jak ChatGPT) i my tam gadamy z tym czatem i on nam wypluwa jakieś tam rzeczy, bez względu na to, czy to jest właściwe czy nie (to jest inna sprawa) – ale te rzeczy już były w tej branży, w tym AI. To, co się zmieniło, to to, że będzie więcej ataków, bo modele językowe pozwalają na szybszy dostęp do bardziej podstawowej wiedzy.

Ja właśnie mówiłem o AI w tym kontekście − że będzie więcej pracy, bo jest więcej zagrożeń.

Wojtku, podsumowując − bardzo ci dziękuję za tę rozmowę i podzielenie się z nami i słuchaczami swoją wiedzą. Za nami półtorej godziny rozmowy, a to dopiero początek, ale myślę, że taki konkretny początek, więc bardzo dziękuję za ten poświęcony czas. Ja też bardzo dziękuję za zaproszenie. Serdecznie was zapraszam do słuchania podcastu Mateusza i zapraszam też do jakiegoś kontaktu ze mną. Jestem pewien, że z wielką przyjemnością, my jako twórcy internetowi, odpowiemy wam na wszelkie wasze pytania. Tak jest, to jeszcze raz Wojtku, bardzo ci dziękuję, cześć.

Również dziękuję, hej.