Najsłabsze ogniwo to człowiek? To wymówka, nie diagnoza

Na każdej konferencji o cyberbezpieczeństwie ktoś w końcu powie to zdanie. Najsłabszym ogniwem jest człowiek. Sala kiwa głowami, bo brzmi mądrze i jest statystycznie prawdziwe. Większość włamań rzeczywiście zaczyna się od kliknięcia, od podanego hasła, od telefonu, w którym ktoś podał się za kogoś innego.

Problem polega na tym, że to zdanie odpowiada na inne pytanie, niż wszyscy myślą. Mówi, którędy napastnik wszedł. Nie mówi, dlaczego udało mu się dojść do końca. A to druga część decyduje o tym, czy incydent kosztuje firmę dwie godziny pracy administratora, czy trzy tygodnie przestoju i zgłoszenie do organu nadzorczego.

Wektor wejścia to nie przyczyna źródłowa

Wyobraź sobie włamanie do biurowca. Ktoś podszył się pod kuriera i recepcja wpuściła go do środka. To fakt. Ale raport z tego zdarzenia, który kończy się na zdaniu „recepcjonistka wpuściła obcą osobę", pomija wszystko, co istotne: że drzwi do serwerowni były otwarte, że klucze do kasy leżały w niezamkniętej szufladzie, że monitoring nagrywał w pętli trzygodzinnej, a ochrona zauważyła coś dopiero po trzech dniach.

W sieciach komputerowych jest dokładnie tak samo. Kliknięcie w link daje napastnikowi jedną stację roboczą jednego pracownika. To wszystko. Żeby z tej stacji dotrzeć do kontrolera domeny, do skrzynek zarządu i do bazy klientów, musi minąć kilkanaście kolejnych kroków, i każdy z nich jest decyzją projektową, którą podjął ktoś w dziale IT albo w zarządzie:

• konto użytkownika ma stałe uprawnienia administratora lokalnego,

• administrator domeny loguje się na zwykłych stacjach roboczych,

• sieć nie jest podzielona, więc z księgowości widać serwery produkcyjne,

• hasła serwisowe nie były rotowane od lat,

• nikt nie monitoruje ruchu bocznego, bo nie ma z czego,

• drugi składnik uwierzytelnienia to SMS albo powiadomienie push, które da się zmęczyć.

Żadna z tych rzeczy nie jest winą osoby, która kliknęła. Wszystkie są tańsze do naprawienia przed incydentem niż po nim. I żadna nie mieści się w zdaniu „najsłabszym ogniwem jest człowiek".

Trzy dni w środku i ani jednego alarmu

Najciekawsze świadectwa w tej sprawie nie pochodzą z raportów firm sprzedających szkolenia, tylko od ludzi, którzy zawodowo włamują się do polskich firm za ich zgodą. W anonimowym wywiadzie opublikowanym jako spowiedź etycznego hakera tester penetracyjny z czternastoletnim stażem mówi, że w ośmiu na dziesięć zleceń wchodzi przez człowieka, nie przez lukę w kodzie. To zdanie jest cytowane przez branżę jako dowód, że trzeba szkolić pracowników.

Tyle że w tym samym wywiadzie pada opis konkretnego zlecenia: wejście pierwszego dnia przez podatność w aplikacji webowej znanej od lat, stamtąd dojście do kontrolera domeny, pełny dostęp do skrzynek zarządu, systemu kadrowego i bazy klientów — i trzy dni spędzone wewnątrz sieci bez jednego alarmu.

Prawdziwym ustaleniem nie jest to, że ktoś kliknął. Prawdziwym ustaleniem jest to, że przez siedemdziesiąt dwie godziny nikt nie zauważył obcego w sercu infrastruktury. Pierwsze da się opisać jako błąd pracownika. Drugie da się opisać wyłącznie jako błąd organizacji.

Podobnie wygląda historia recepcjonistki, która przez telefon podała hasło do panelu administracyjnego rzekomemu serwisantowi centrali. Cztery minuty. Ale to nie jest opowieść o naiwności. To opowieść o firmie, w której konto recepcji miało dostęp do resetu hasła w panelu administracyjnym, i w której żadna procedura nigdy nie powiedziała tej osobie prostej rzeczy: serwisant nigdy nie pyta o hasło.

Pułapka wskaźnika: co naprawdę mierzy symulacja phishingowa

Standardową odpowiedzią na „problem z człowiekiem" jest cykliczna symulacja phishingowa i wskaźnik klikalności, który z kwartału na kwartał ładnie spada. To jeden z czystszych przykładów prawa Goodharta w praktyce korporacyjnej: gdy miara staje się celem, przestaje być dobrą miarą.

Pracownicy nie uczą się rozpoznawać ataku. Uczą się rozpoznawać symulację: tę samą domenę nadawcy, ten sam szablon dostawcy, tę samą porę roku, ten sam ton wiadomości. Klikalność spada, podatność na atak napisany pod konkretną osobę po przeczytaniu jej LinkedIna stoi w miejscu.

Gorszy jest efekt drugiego rzędu. Programy, w których kliknięcie kończy się rozmową z przełożonym albo publiczną statystyką działową, uczą jednej rzeczy: nie przyznawaj się. A zgłoszenie kliknięcia w ciągu minuty jest pojedynczym zachowaniem o największej wartości obronnej, jakie pracownik może wykonać. Różnica między incydentem opanowanym a incydentem katastrofalnym to zwykle nie klik, tylko to, czy ktoś powiedział o nim od razu, czy dopiero po tygodniu. Typowy program szkoleniowy optymalizuje jeden wskaźnik, niszcząc drugi.

Cztery liczby zamiast klikalności

Jeśli chcesz wiedzieć, jak naprawdę stoi organizacja, przestań pytać o procent kliknięć. Zapytaj o to:

1. Wskaźnik zgłoszeń, nie kliknięć. Ile procent odbiorców zgłosiło podejrzaną wiadomość w ciągu pięciu minut? To jedyna liczba z symulacji, która przekłada się na realną odporność.

2. Czas od kliknięcia do alertu. Jeśli nie potrafisz go podać, odpowiedź brzmi: nieskończoność. To był prawdziwy wynik testu opisanego wyżej.

3. Promień rażenia. Weź losową stację roboczą szeregowego pracownika, załóż, że jest przejęta, i policz, do czego napastnik dojdzie w osiem godzin. Ta liczba mówi o Twojej architekturze wszystko.

4. Liczba kont ze stałym podwyższonym uprawnieniem. Nie „ilu mamy administratorów", tylko ile kont ma uprawnienia non stop, a nie na żądanie i na czas.

Piąte pytanie jest jakościowe i najbardziej niewygodne: czy streszczenie zarządcze ostatniego raportu z testu penetracyjnego zostało po debriefingu technicznym złagodzone? Jeśli tak, żadna z powyższych liczb i tak nie trafi tam, gdzie zapadają decyzje.

Projektuj przy założeniu stuprocentowej klikalności

Właściwa postawa jest prosta i niepopularna, bo kosztuje. Załóż, że każdy pracownik kliknie. Że prędzej czy później ktoś poda hasło przez telefon. Że osoba spiesząca się na zebranie nie przeanalizuje nagłówków wiadomości.

Przy tym założeniu pytanie zmienia się z „jak sprawić, żeby nie klikali" na „co się dzieje w mojej sieci po kliknięciu". I nagle na liście zadań pojawiają się rzeczy, które faktycznie zatrzymują atak: uwierzytelnianie odporne na phishing zamiast SMS-a, uprawnienia przyznawane na czas zamiast na stałe, oddzielne konta administracyjne, segmentacja, filtrowanie ruchu wychodzącego, detekcja ruchu bocznego i uczciwie mierzony czas wykrycia. Praktyczne punkty odniesienia dla tych obszarów publikują CERT Polska oraz ENISA, a dla warstwy aplikacyjnej OWASP.

Szkolenia zostają na liście. Ale schodzą z pierwszego miejsca na piąte, gdzie ich miejsce, i zmieniają cel: nie mają zapobiegać kliknięciom, tylko skracać czas do zgłoszenia.

W tym układzie zdanie „najsłabszym ogniwem jest człowiek" przestaje być wygodną tarczą. Organ nadzorczy nie zapyta, ilu pracowników przeszło szkolenie. Zapyta, jakie środki techniczne i organizacyjne zastosowano wobec ryzyka, które było znane.

Człowiek nie jest najsłabszym ogniwem. Człowiek jest najbardziej przewidywalnym elementem systemu — a elementy przewidywalne projektuje się z zapasem, a nie obwinia po fakcie.