Aktualności

Wraz z zakupem nowego auta, zwłaszcza wyższego segmentu zyskujemy niekiedy nie tylko rozbudowany system elektroniki, ale również swoiste centrum zarządzania samochodem.
Dzięki temu na przykład za pomocą smartfona jesteśmy w stanie dostosować temperaturę wnętrza zanim jeszcze do niego wsiądziemy. Możemy również uzyskać wiele informacji o stanie samochodu, liczbie przejechanych kilometrów, czy ostatnio pokonanej trasie z wykorzystaniem GPS. Parując urządzenie bluetooth z autem możemy o wiele łatwiej nawiązywać połączenia, odczytywać SMS, czy na nie odpisywać. Czy jednak tak duże nagromadzenie elektroniki nie wpływa negatywnie na przetwarzanie naszych danych? Czy auta mogą stać się celem hakerów?
Branża motoryzacyjna osiągnęła ważny kamień milowy w 2020 roku: ponad połowa samochodów sprzedawanych na całym świecie była standardowo wyposażona w łączność z Internetem. Nowoczesne pojazdy zaczęły przypominać mobilne superkomputery, z których każdy zawiera miliony linijek kodu i może przetwarzać ogromne ilości danych.
Branża motoryzacyjna podwaja ilość danych, aby poprawić wrażenia z jazdy i zarabiać na informacjach. Ale ta hiperłączność wiąże się ze znacznym ryzykiem. Na początku roku 2021 dwóch badaczy zaprezentowało, jak Tesla – i prawdopodobnie inne samochody – mogą zostać zhakowane zdalnie, bez interakcji użytkownika, za pomocą drona.

Strach pomyśleć co mogłoby się stać gdyby nie były to wyłącznie testy.
Największe domniemane zagrożenia bezpieczeństwa dla przemysłu motoryzacyjnego to:

Kradzież samochodu
Informacje o użytkowniku pozyskane w wyniku naruszenia danych
Zdalna manipulacja lub kontrola pracy samochodu, która zagraża bezpieczeństwu fizycznemu kierowców, pasażerów i innych osób na drodze

Mając na uwadze powyższe, chcieliśmy zbadać niektóre z największych wyzwań związanych z bezpieczeństwem, przed którymi stoją producenci samochodów w dającej się przewidzieć przyszłości.
Ryzyko łańcucha dostaw
Hakerzy zwracają uwagę na samochody z dostępem do Internetu. Mają wiele punktów wejścia, więc istnieje kilka sposobów na czerpanie korzyści z ataków. Od 2016 r. liczba cyberataków na pojazdy połączone z internetem wzrosła o prawie 100% rocznie.
Kradzież i zdalny rozruch o wiele prostsze
Jednym z celów wprowadzania lepszej technologii do samochodów jest uczynienie ich wygodniejszymi i bezpieczniejszymi przed kradzieżą. Przykładem jest przejście z kluczy fizycznych na karty, które wykorzystują nadajnik radiowy krótkiego zasięgu. Jednak dzisiaj wystarczy para gadżetów radiowych za 11 dolarów, aby zhakować kartę i ukraść samochód. Zdalny rozruch to kolejna funkcja, która jest coraz częściej wykorzystywana przez złodziei samochodów.
Hakowanie systemów bezpieczeństwa w podłączonych samochodach i dostępność tanich urządzeń do kradzieży, nawet tych wykonanych przy użyciu starych Nintendo Game Boys , oznacza, że ​​złodzieje mogą uzyskać dostęp do niemal każdego podłączonego samochodu, jaki tylko chcą. 
Naruszenia danych
Dzięki rozwoju technologii nowoczesne pojazdy mogą zbierać więcej danych osobowych o swoich użytkownikach – to nie tylko ułatwienie, ale również niebezpieczeństwo. Były dyrektor generalny Intela, Brian Krzanich, przewiduje że tylko jeden autonomiczny samochód zużyje 4000 GB danych dziennie. 
Niestety, różne tryby łączności takie jak:

Pojazd do sieci (V2N)
Pojazd do infrastruktury (V2I)
Pojazd do pojazdu (V2V)
Pojazd do chmury (V2C)
Pojazd do pieszego (V2P)
Pojazd do urządzenia (V2D)
Pojazd do sieci (V2G)

oraz przechowywanie informacji w niezabezpieczonych repozytoriach, to duża szansa na ich wykradzenie. Na przykład śledztwo Washington Post ujawniło, ile danych osobowych można wydobyć z używanego komputera informacyjno-rozrywkowego z Chevrolet. Ponieważ coraz więcej modeli jest dostarczanych z łącznością 4G lub 5G, hakerzy nie potrzebują nawet fizycznego dostępu do pojazdu, aby go infiltrować i wydobyć prywatne informacje.
 
Samochody wykonujące niepożądane czynności
Utopijna możliwość odebrania kontroli kierowcy przeniosła się z filmów akcji do świata rzeczywistego. Jednym z najbardziej znanych przykładów było to, że badacze włamywali się i wyłączali skrzynię biegów w Jeepie Cherokee, gdy jechał on na autostradzie z prędkością 70 mil na godzinę. To ostatecznie doprowadziło do tego, że Chrysler wycofał 1,4 miliona pojazdów. 
Zdalne przejmowanie funkcji systemu jest poważnym problemem dla pojazdów autonomicznych. Naukowcy wykazali, w jaki sposób zaawansowane systemy wspomagania jazdy (ADAS) w Tesli Model X mogą zostać oszukane, aby zmienić kierunek jazdy. By pojazdy podłączone do sieci osiągnęły swój pełny potencjał, producenci samochodów muszą przekonać organy regulacyjne i klientów, że są naprawdę bezpieczne.
Połączone aplikacje samochodowe
Aplikacje mobilne zastępujące karty to kolejny znaczący postęp, którego zaczynamy być świadkiem. Obecnie te aplikacje mogą wykonywać proste funkcje, takie jak odblokowywanie samochodu, po zaawansowane czynności, takie jak samodzielne parkowanie lub wzywanie samochodu. Wszystkie te funkcje wymagają przechowywania i przekazywania poufnych informacji z poziomu aplikacji. Dlatego zabezpieczenie danych w spoczynku i w ruchu ma kluczowe znaczenie dla zdobycia zaufania klientów.
Aby tak się stało, twórcy aplikacji muszą nadać najwyższy priorytet cyberbezpieczeństwu połączonego samochodu. Ale to nie jest takie proste, jak się wydaje. Posiadanie wystarczająco dużego wewnętrznego zespołu ds. bezpieczeństwa, aby utrzymać bezpieczeństwo aplikacji na wymaganym poziomie, może nie zawsze być realną opcją dla producentów samochodów.
Aplikacje są już trzecim najpopularniejszym wektorem ataków wykorzystywanym do infiltracji podłączonych samochodów. Wraz z rosnącą liczbą kradzieży aplikacje samochodowe mogą stać się jeszcze większym i lukratywnym celem.
Droga przed nami: lepsze bezpieczeństwo nowoczesnych, smart samochodów
Wzmocnienie cyberbezpieczeństwa samochodów połączonych do sieci i zabezpieczenie powiązanych aplikacji motoryzacyjnych przed włamaniem wymaga wielu technik blokowania i udaremniania wysiłków hakerów.
Firma Zimperium dysponuje narzędziami pozwalającymi chronić nie tylko wielkie koncerny, kody źródłowe i zaawansowane aplikacje, ale także nasze mobilne urządzenia wykorzystywane w różnego rodzaju organizacjach.
Zimperium oferuje jedyną ochronę w czasie rzeczywistym na urządzeniu opartą na uczeniu maszynowym. Rozwiązania Zimperium chronią mobilne punkty końcowe i aplikacje przeciwko atakom na urządzenia, sieć, phishing i złośliwe aplikacje.
Zimperium zapewnia jedyne rozwiązania MTD (Mobile Threat Defense), które:

zapewniają ochronę przed atakami rozpoznanych i nierozpoznanych urządzeń, sieci, złośliwych aplikacji i phishingiem;
bazują na systemach Android, iOS i Chromebook;
mogą być zarządzane z każdego systemu chmurowego i on-prem;
posiadają certyfikację FedRAMP “Authority to Operate”;
mogą chronić prywatność bez wysyłania żadnych danych umożliwiających identyfikację użytkownika;

Jeśli chcesz dowiedzieć się więcej o rozwiązaniach Zimperium skontaktuj się z nami.

W dobie pandemii i coraz popularniejszej pracy hybrydowej, firmy z sektora SMB (Small and Medium Business) muszą szybko przystosować się do nowej sytuacji. Postępująca transformacja cyfrowa pociąga za sobą szereg wyzwań, ale i otwiera zupełne nowe możliwości rozwoju. Microsoft Teams Essentials to odpowiedź na tę sytuację.
Teams Essentials – Dedykowana oferta dla małych i średnich firm

W odpowiedzi na potrzeby małych i średnich przedsiębiorstw Microsoft przygotował nowy produkt w swojej ofercie. Microsoft Teams Essentials to nowa licencja standalone dla Microsoft Teams skierowana do firm korzystających ze spotkań online, które nie są jeszcze gotowe na całkowitą migrację do chmury Microsoft. Dostęp do Teams Essentials wygląda bardzo korzystnie cenowo, można powiedzieć wręcz, że jest skrojony na miarę SMB. To co może przyciągnąć właścicieli tych firm, to fakt, że nie trzeba mieć wykupionego całego pakietu Microsoft 365. Wystarczy mieć pakiet Teams Essentials żeby używać opcji spotkań w ramach Microsoft Teams.
Otrzymuj powiadomienia Teams na każdym mailu
Nie wszystkie firmy są gotowe na przejście o poziom wyżej z rozwiązaniami pocztowymi. Korzystając z obecnego adresu mailowego pracownicy mogą otrzymywać powiadomienia z Teams i kalendarza. Cała firma może otrzymywać informacje o zbliżającym się spotkaniu, a organizator ma podgląd kto zaakceptował zaproszenie, a kto jeszcze się waha. Pozostając przy istniejącej już poczcie można podnieść produktywność i współpracę wewnątrz organizacji poprzez opcje Teams.
Pracuj zespołowo i produktywnie

Dzięki możliwościom Teams Essentials możesz przeprowadzać spotkania dla swoich pracowników i klientów. Współpraca w trybie pracy zdalnej lub hybrydowej jest niezwykle istotna, więc warto ją uskuteczniać w najlepszy możliwy sposób. Podczas spotkań możesz prezentować nawet dla kilkuset osób. Każdy użytkownik może dzielić się swoimi projektami w ramach współdzielonego miejsca na dysku. Nagrywane spotkania możesz później udostępniać uczestnikom. Te i inne opcje w ramach licencji Teams Essential pomogą Twojej firmie zrobić pierwszy krok do transformacji cyfrowej.
W ramach Teams Essentials klienci otrzymują szereg opcji, które są dostępne w Microsoft Teams:
– organizacja spotkań online do 300 uczestników
– 10 GB współdzielonego miejsca na dysku
– możliwość integracji z kalendarzem Google
– nagrywanie spotkań
– czat i udostępnianie ekranu
– dostęp do aplikacji mobilnej
– integracja z ponad 800 aplikacjami
– i wiele więcej …
Wszystko to sprawia, że każda, nawet mała organizacja będzie miała szansę na produktywne spotkania w rozsądnej cenie. Poniżej przedstawiamy porównanie pakietów Microsoft Teams.
[caption id="attachment_2025" align="aligncenter" width="556"] Powyższy cennik może się zmienić.[/caption]
 
Zachęcamy do kontaktu, gdyby któraś z opcji była interesująca dla Twojej organizacji.

Darktrace regularnie odnotowuje zwiększoną liczbę cyberataków typu ransomware podczas świąt, weekendów oraz poza regularnymi godzinami pracy. Są one wówczas znacznie trudniejsze do wykrycia, a co za tym idzie mogą przynieść proporcjonalnie więcej szkód, z uwagi na brak natychmiastowej reakcji zespołu odpowiedzialnego za wykrywanie i procesowanie incydentów bezpieczeństwa.
Powyższe okoliczności powodują, że zagrożenia oraz ataki mogą zostać przeprowadzone praktycznie niezauważalnie. Organizacja pozbawiona autonomicznych systemów wykrywających zagrożenia w czasie rzeczywistym narażona jest w znacznie większym stopniu na niespodziewany atak, jak i również naprawy szkód przez niego wyrządzonych.
Ransomware: Niechciany prezent pod choinkę
Jednym z najczęstszych zagrożeń występujących poza godzinami pracy jest Ransomware. W poniższym przykładzie Darktrace został poinformowany o ataku Ransomware w sieci klienta. Incydent miał miejsce w Wigilię poza godzinami pracy, kiedy większość pracowników była offline w swoich domach.
[caption id="attachment_2005" align="aligncenter" width="967"] Rysunek 1. Oś czasu przedstawiająca Wigilijny atak Ransomware[/caption]
Atak zaczął się rozprzestrzeniać od jednego niepozornego komputera, zainfekowanego w tygodniu poprzedzającym szyfrowanie. Komputer ten był wykorzystany jako wektor i dzięki niemu złośliwy program zdobył dostęp do dwóch kontrolerów domen:

serwerów używanych do weryfikacji użytkowników,
autentykacji żądań wewnątrz sieci.

Następnie oba serwery wykonały nietypowe połączenie C2 (Command and Control) do endpointa powiązanego z Ransomware. Następnie zagrożenie przeszło w stan ukrycia.
Warto zaznaczyć, że już na tym etapie DarkTrace wykrył i zaalarmował zespół bezpieczeństwa. Niestety z uwagi na okres świąteczny zespół bezpieczeństwa nie był w stanie zareagować na czas. Bez produktu Antigena Network oraz Proactive Threat Notifications (PTNs) zagrożenie nieprzerwanie przybierało na sile.
24 grudnia Ransomware ponownie się aktywował. Wykorzystując swoje zdobyte uprawnienia rozesłał po urządzeniach wewnątrz firmy skompromitowane pliki wykonywalne. W tym momencie wcześniej zdefiniowane przez atakującego dane organizacji zostały wysłane na zewnętrzną lokalizację w chmurze, z której od razu został pobrany Ransomware.
Cyber-atak mający miejsce podczas świąt od razu zyskuję na przewadze wykorzystując przerwane łańcuchy komunikacji z zespołami bezpieczeństwa w organizacji ofiary. Kto więc powinien się tym zająć?  Jak powinna wyglądać dostępność osób z tego działu? Czy istnieją inne, specjalne procedury dotyczące ataków poza godzinami pracy?
Gdy takie pytania pojawiają się niespodziewanie podczas dni wolnych od pracy, znalezienie odpowiedzi staje się zaskakująco trudne. W momencie, kiedy znamy na nie odpowiedź, najczęściej jest już za późno – szkody zostały już poczynione.
Po opanowaniu ataku pojawiają się także kolejne wyzwania związane z oceną zagrożenia: zespół bezpieczeństwa będzie musiał przeprowadzić śledztwo i w pierwszej kolejności dowiedzieć się co się wydarzyło i jakie będą konsekwencje ataku. W przypadku gdy ciężko jest zmobilizować rozproszony personel oraz gdy zewnętrzne usługi bezpieczeństwa są na wagę złota, proces ten staje się zadaniem żmudnym. Dodatkowo kluczowe informacje jak również dowody mogą bezpowrotnie przepaść. Doprowadza to do sytuacji, gdy firma pozostaje podatna na podobne ataki w przyszłości.
Czekając na sobotę – przykład ataku ransomware
Święta bez wątpienia zwiększają podatność firm na ataki zarówno pod kątem logistycznym, jak i ludzkim. Często jednak nie bierze się pod uwagę podobnych przestojów spowodowanych atakami tego samego typu mającymi miejsce przez cały rok – pod koniec każdego tygodnia. Skala jest mniejsza, jednak nie zmienia to faktu, że incydenty tego typu nie powinny być ignorowane. W ostatnich miesiącach Darktrace zaobserwował ogromny wzrost tego typu weekendowych ataków.
[caption id="attachment_2006" align="aligncenter" width="326"] Rysunek 2. Diagram słów kluczowych, które zaobserwował Darktrace analizując ataki przypadające na „po godzinach”.[/caption]
Powyższy problem dotyczy innego ataku Ransomware, który uderzył w organizację hotelarską mającą swoją siedzibę w Wielkiej Brytanii. Kiedy jeden z użytkowników sieci nieświadomie otworzył wiadomość email zawierającą szkodliwą zawartość jego urządzenie zostało zainfekowane. Infekcja wykorzystywała clear text password exploit aby – wykorzystując istniejące poświadczenia – uzyskać nieautoryzowany dostęp do czterech innych urządzeń w sieci, w tym dwóch kluczowych serwerów.
To właśnie te serwery posłużyły atakującym do wysyłania spamu oraz dalszego infekowania pozostałych maszyn w sieci. Przez następne tygodnie, podczas weekendów zainfekowane urządzenia wykonywały mnóstwo połączeń do endpointów powiązanych z XINOF Ransomware.
Przykład ten pokazuje dobitnie, jak infekcje przeprowadzane poza regularnymi godzinami pracy mogą pochodzić z każdej strony. Warto również zwrócić uwagę jak czynnik ludzki – w tym przypadku niezastosowanie się do protokołów bezpieczeństwa przez osobę z zewnątrz organizacji – doprowadziły do rozprzestrzenienia zagrożenia oraz jego późniejszego ukrycia przed powrotem zespołu bezpieczeństwa w poniedziałek.
W przypadku naruszeń bezpieczeństwa, które i tak mogą zająć miesiące zanim zostaną wykryte i zaadresowane nowoczesne zagrożenia korzystają z każdego sposobu, aby jeszcze bardziej wydłużyć czas wykrycia. Pierwszym naturalnym krokiem powinno być poprawienie detekcji oraz sposobu reagowania na tego typu weekendowe zagrożenia. Taki rodzaj zabezpieczeń można będzie przełożyć na dłuższe świąteczne okresy – nie jest to jednak rozwiązanie trwałe – do tego potrzebne jest proaktywne podejście.
Rozwiązanie, które nigdy nie śpi – odpowiedź na ransomware
W powyższym przykładzie, Autonomiczna Odpowiedź (Autonomous Response) na zagrożenie była możliwa na każdym etapie ataku – niestety nie była aktywna.

Antigena Email mogłaby stłumić atak w zarodku, dzięki poddaniu kwarantannie wiadomości z podejrzanym załącznikiem, jeszcze zanim spenetrowałaby ona sieć organizacji.
W przypadku przeniknięcia do organizacji, kluczowe serwery nie zostałyby naruszone dzięki zidentyfikowaniu złośliwej aktywności. Ruch wykorzystujący zebrane hasła zostałby zatrzymany, aż do momentu weryfikacji przez zespół bezpieczeństwa.
Na sam koniec połączenia z podejrzanymi stronami zawierającymi ładunek XINOF zostałyby zablokowane, zapobiegając tym samym dalszym szkodom.

W przeciwieństwie do człowieka, Sztuczna Inteligencja (AI) nigdy nie śpi i nigdy nie ma wolnego. Sztuczna Inteligencja pracuje przez całą dobę wykrywając wszystkie zagrożenia w ich początkowym stadium. Takie działanie zapobiega dalszej eskalacji, jednocześnie dając drogocenny czas zespołom bezpieczeństwa do reakcji oraz pracy nad samym źródłem zagrożenia.
Jeśli zespół bezpieczeństwa potrzebuje dodatkowej pary oczu rozszerzającej ich pole widzenia i pozwalające na złagodzenie ataków – można do tego celu wykorzystać usługę Proactive Threat Notification. Usługa ta po wykryciu zagrożenia przesyła je bezpośrednio do Security Operation Centre po stronie Darktrace, gdzie zostanie zbadane przez eksperta do spraw cyber-bezpieczeństwa. Usługa Darktrace PTN SOC wykorzystuje podejście follow-the-sun, co oznacza, że organizacje chronione są przez całą dobę.
Czas to pieniądz
Powyższe case studies mają za zadanie być przestrogą i przypominać o konieczności ochrony przez całą dobę, siedem dni w tygodniu. Specjaliści do spraw bezpieczeństwa stale podwyższają swoje umiejętności w walce z cyber-zagrożeniami. Walka toczy się po obu stronach – zagrożenia także ewoluują stale adaptując się do zmieniającego się świata i wykorzystują każdą możliwość, która daje im przewagę podczas ataku.
Teraz, bardziej niż kiedykolwiek staje się jasne, że autonomiczna detekcja korzystająca ze Sztucznej Inteligencji jest jedynym rozwiązaniem, które może wyeliminować czynnik czasu podczas ataku – reagując na zagrożenie błyskawicznie. Nawet gdy biuro jest zamknięte, komputery wyłączone i nie ma nikogo – organizacja pozostaje chroniona.
Przetestuj bezpłatnie rozwiązanie Darktrace Zarejestruj się.
 

Reagowanie na incydenty bezpieczeństwa, czyli jak wdrożyć systemy klasy SIEM i SOAR?
W dzisiejszych czasach każda organizacja mierzy się z wyzwaniem zapewnienia bezpieczeństwa informacji, przede wszystkim w zakresie poufności, dostępności oraz integralności danych i systemów, które zapewniają możliwość świadczenia usług biznesowych, czy też kluczowych. Co więcej część organizacji jest zobligowana do przestrzegania regulacji i zaleceń wynikających z rodzaju świadczonych usług np. wytyczne Komisji Nadzoru Finansowego dla spółek finansowych oraz ustawy o krajowym systemie cyberbezpieczeństwa dla operatorów usług kluczowych.
Każda z wymieniowych wcześniej regulacji, zakłada konieczność monitorowania i raportowania incydentów bezpieczeństwa. Dla organizacji, których regulacje nie dotyczą, monitorowanie incydentów jest równie ważne m.in. z uwagi na możliwość świadczenia usług biznesowych czy też utrzymania wysokiego poziomu zadowolenia i zaufania klientów.
Zbudowanie procesu monitorowania i reagowania na incydenty bezpieczeństwa jest zagadnieniem złożonym, do którego należy się odpowiednio przygotować i realizować krok po kroku. Niestety nie ma złotego środka w postaci rozwiązania technologicznego, które pozwoli na kompleksowe uruchomienie procesu.
Należy również pamiętać, że cały proces to nie tylko technologia, ale również kwestie organizacyjne np. polityka i procedury bezpieczeństwa, jak również ludzie, czyli odpowiednio zwymiarowany zespół, składających się ze specjalistów i ekspertów o odpowiednich kompetencjach. W opracowaniu skupię się przede wszystkim na rozwiązaniach technologicznych.
W ramach przygotowania do wdrożenia procesu można posiłkować się modelem dojrzałości monitorowania i reagowania na incydenty bezpieczeństwa.

 
Jak przygotować się do wdrożenia procesu w oparciu o technologię?
Pierwszym krokiem przygotowania się do wdrożenia procesu monitorowania i reagowania na incydenty bezpieczeństwa w kontekście technologicznym jest analiza środowiska IT w zakresie:

Wykorzystywanych rozwiązań bezpieczeństwa
Usług podstawowych np. serwer poczty
Systemów świadczących najważniejsze usługi biznesowe
Systemów wspierających

Idealna sytuacja, która jednak wymaga znaczącego nakładu pracy, to inwentaryzacja wszystkich zasobów IT w organizacji, co pozwala na przygotowanie się do pierwszego etapu, czyli wdrożenia rozwiązania zapewniającego widoczność zdarzeń bezpieczeństwa.
Na podstawie przeprowadzonych analiz możemy wyspecyfikować nie tylko obszary, które powinniśmy i możemy objąć monitorowaniem, ale również obszary, w których występują braki technologiczne czy funkcjonalne, które należy uzupełnić.
Analiza stanu obecnego infrastruktury oraz rozwiązań bezpieczeństwa pozwoli na opracowanie docelowych funkcjonalności rozwiązań log management, SIEM i SOAR, które będą możliwe do implementacji. Przykładowo brak rozwiązania klasy EDR uniemożliwi wykrywanie zdarzeń dotyczących uruchamiania podejrzanych plików czy procesów na stacjach roboczych.
Widoczność zdarzeń bezpieczeństwa
Widoczność zdarzeń bezpieczeństwa jest kluczowym elementem całego procesu. Nie można w efektywny sposób wdrożyć procesu, jeśli nie mamy odpowiedniej widoczności tego, co dzieje się w naszej infrastrukturze.
Jako pierwszy element modelu powinien zostać wdrożony system klasy zarządzania zdarzeniami (log management). Technologia będzie pobierać lub odbierać zdarzenia z monitorowanych systemów (źródeł danych) i przechowywać je przez określony czas, dając możliwość analizy zdarzeń, jak również wykonywania szczegółowych analiz czy raportowania na potrzeby zgodności.
Analizując rozwiązania dostępne na rynku warto rozważyć Producentów, którzy dostarczają zarówno rozwiązania log management jak i rozwiązania SIEM. Zapewnienie homogenicznych rozwiązań od jednego Producenta, w przyszłości może zaoszczędzić czas niezbędny do wdrożenia kolejnych rozwiązań technologicznych, w kolejnych krokach modelu dojrzałości. Dotyczy to przede wszystkim sposobu normalizacji zdarzeń, który jest odmienny dla różnych systemów log management i SIEM.
Podczas wyboru rozwiązania należy zwrócić uwagę w szczególności na:

Stopień kompresji zdarzeń przy ich długoterminowym przechowywaniu.
Funkcjonalność konfiguracji różnych okresów przechowywania zdarzeń dla poszczególnych rodzajów systemów/zdarzeń.
Stopnień skomplikowania funkcjonalności podłączania źródeł logów.
Stopień skomplikowania przygotowywania dedykowanych reguł normalizujących zdarzenia.
Sposób przekazywania zdarzeń do zewnętrznych systemów SIEM oraz SOAR.

Na podstawie zdarzeń zebranych w systemach zarządzania logami można wykonać analizę tego, co dzieje się w naszej infrastrukturze, a przede wszystkim potwierdzić możliwość realizacji docelowych funkcjonalności SIEM i SOAR w ramach rozwoju modelu dojrzałości.
Z dobrych praktyk wynika, że z modułu zarządzania logami do modułu SIEM powinno trafiać maksymalnie 50%, a zwykle ok. 30% zebranych zdarzeń, które będą wykorzystane dalej do monitorowania incydentów bezpieczeństwa w czasie zbliżonym do rzeczywistego. Z tego wynika, że wdrożenie odrębnego modułu zarządzania logami oraz odrębnego modułu SIEM pozwoli na znaczne zoptymalizowanie budżetu niezbędnego na licencje oraz zasoby sprzętowe czy też wirtualne. Należy mieć na uwadze, że koszt modułu zarządzania logami jest znacznie niższy niż koszt wdrożenia systemów SIEM.
Monitorowanie reaktywne incydentów bezpieczeństwa
Na potrzeby przejścia do kolejnego punktu modelu dojrzałości niezbędne jest wdrożenie systemu klasy SIEM w podstawowej funkcjonalności. Zakres wdrożenia jak również funkcjonalności analityczne, które będą implementowane w ramach etapu, mamy już określone w poprzednim etapie, dzięki wykonanej analizie zarówno infrastruktury, jak i zdarzeń bezpieczeństwa.
Monitorowanie reaktywne z wykorzystaniem systemu klasy SIEM polega na reagowaniu na incydenty bezpieczeństwa w momencie ich wykrycia przez silnik korelacyjny. Jednak jest to monitorowanie post factum i w obecnym etapie polega na wykonywaniu analiz już zaistniałych incydentów bezpieczeństwa.
Etap dotyczy nie tylko wdrożenia samej technologii, ale również edukacji zespołów w ramach wdrożonego rozwiązania. Poznawanie funkcjonalności i zasady działania pozwala użytkownikom na znalezienie dodatkowych sposobów wykorzystania systemu. Co więcej budowanie kompetencji operatorów, analityków i osób odpowiedzialnych za bezpieczeństwo organizacji pozwala na rozpoczęcie procesu monitorowania incydentów bezpieczeństwa. Osoby odpowiedzialne za proces mają okazję poznać specyfikę incydentów, a co za tym idzie konkretnych zagrożeń i ataków, z którymi boryka się organizacja.
Monitorowanie proaktywne incydentów bezpieczeństwa
Monitorowanie proaktywne z wykorzystaniem systemu SIEM to przesunięcie ciężaru działania z wykrywania zaistniałych incydentów bezpieczeństwa na monitorowanie potencjalnie niestandardowego i groźnego zachowania infrastruktury IT.
Z pomocą przychodzi szereg funkcjonalności udostępnionych przez producentów poszczególnych rozwiązań SIEM np.:

Integracja rozwiązań z feedami IoC, IoA oraz Threat Intelligence.
Badanie zachowania użytkowników wewnętrznych i zewnętrznych z wykorzystaniem modułów klasy user behavior analytics.
Moduły wykorzystujące machine learning i artificial intelligence do badania anomalii w infrastrukturze.

Wspomniane funkcjonalności w znakomity sposób zwiększają widoczność zdarzeń bezpieczeństwa w organizacji w bardzo szerokim zakresie. Monitorowanie proaktywne wykorzystuje przede wszystkim dynamiczne elementy i funkcjonalności, a nie bazuje już tylko na zebranych zdarzeniach i ich statycznej analizie.
Większość systemów SIEM posiada wbudowany moduł do obsługi incydentów bezpieczeństwa. Zazwyczaj działa on świetnie w obrębie danego systemu jednak posiada ograniczenia w możliwości integracji z innymi systemami, zarówno na potrzeby wykonania akcji, jak i procesowania incydentów w systemach zewnętrznych. Incydenty mogą być wzbogacane o dodatkowe informacje pochodzące ze zdarzeń ze źródeł danych, które są podłączone do SIEM. Wykonanie akcji np. blokowanie użytkownika, jest teoretycznie możliwe, ale wymaga prac developerskich. Sytuacja wygląda podobnie jeśli chodzi o możliwość współpracy pracowników zespołów bezpieczeństwa. Każdy członek zespołu musi mieć skonfigurowane odpowiednie uprawnienia w głównej konsoli systemu SIEM.
Automatyzacja
Ostatnim etapem dojrzałości modelu monitorowania i reagowania na incydenty bezpieczeństwa jest wdrożenie systemu klasy Security Orchestration Automation and Response. Systemy SOAR to uniwersalne platformy, które zapewniają jeden punkt wspólny pracy dla zespołów cyberbezpieczeństwa przy obsłudze incydentów bezpieczeństwa.
Najważniejszą zaletą systemów SOAR jest możliwość automatyzacji częściowej lub całościowej procesu obsługi incydentu bezpieczeństwa w ramach tzw. Playbooka czyli przepływów procesu. W znaczący sposób wpływa to na wzrost efektywności procesu, co skutkuje znaczącym spadkiem kosztów obsługi procesu
Docelowo system klasy SOAR powinien być wdrożony na bazie funkcjonalności, które zostały określone w poprzednich etapach modelu i rozwijać je do wysokiego poziomu dojrzałości. Przy procesie specyfikacji wspomnianych funkcjonalności należy wziąć pod uwagę następujące kwestie:

Jakie mogą być źródła informacji o danym incydencie. Jaki system oprócz SIEM może wzbogacić analizowany incydent?
Jakie integracje z zewnętrznymi systemami powinny zostać wykorzystane?
Czy system SOAR ma wykonywać akcje na innych systemach np. automatyczne blokowanie użytkownika?

Dojrzały model monitorowania i reagowania na incydenty bezpieczeństwa nie będzie oczywiście opierał się jedynie na rozwiązaniu SIEM. Tak naprawdę źródłem incydentu może być dowolny system np. EDR, czy też system backupowy. Podobnie akcją SOAR-a nie musi być tylko akcja związana z cyberbezpieczeństwem.
Dla lepszego zobrazowania podejścia do wykorzystania systemu SOAR w organizacji w bogatym zakresie, który wykorzysta wzbogacanie incydentów i wykonywanie akcji, przedstawię przykładowe playbooki: 1. 
1. Wielokrotne nieudane logowania

Zdarzenie ze SIEM uruchamia playbook.
Z Active Directory pobierane są informacje o użytkowniku – wzbogacanie incydentu.
Playbook automatycznie wysyła do użytkownika wiadomość e-mail z pytaniem, czy jest świadom zaistniałego zdarzenia i czy potwierdza ten fakt.
Jeśli użytkownik potwierdzi fakt, playbook zostaje zamknięty.
Jeśli użytkownik nie potwierdzi faktu konto użytkownika jest blokowane w Active Directory i powiadamiany jest przełożony pracownika, za pomocą wiadomości e-mail.
Priorytet incydentu jest ustawiany na wysoki.

2. Zarządzanie kontem pracownika na wypowiedzeniu

System SOAR otrzymuje informację z systemu kadrowego o pracowniku, który kończy współpracę z firmą w konkretnym terminie. Uruchamiany jest playbook, który ustawia harmonogram uruchomienia kolejnego playbooka na podstawie terminu przesłanego przez system kadrowy.
W podanym terminie uruchamiany jest playbook, który wykonuje akcje w postaci blokowania użytkownika w Active Directory, innych usługach, do których pracownik miał dostęp oraz blokuje kartę pracownika, za pomocą której wchodził on do firmy.

Przygotowane w poprzednich etapach funkcjonalności, szczególnie w etapie monitorowania proaktywnego, dobrze jest zaimplementować w SOAR, dodając procedury automatyzujące częściowo lub całościowo ich obsługę.
Efektem dojrzałego procesu monitorowania i reagowania na incydenty bezpieczeństwa jest kompleksowo wdrożony system zarządzania logami, wykrywania podejrzanych zdarzeń i anomalii, jak również system obsługi incydentów. Punktem obsługi incydentów i pracy użytkowników będzie konsola systemu SOAR, jako najwyższa warstwa procesu.
Co dalej?
Trzeba mieć na uwadze, że osiągnięcie dojrzałości procesu monitorowania i reagowania na incydenty bezpieczeństwa nie sprawia, że organizacja jest w 100% zdolna do przeciwdziałania wszystkim zagrożeniom. W sieci praktycznie codziennie pojawiają się nowe zagrożenia i ataki, często zero-day lub APT, co wymusza ciągłe doskonalenie procesu. Dlatego ważne jest, aby w sposób cykliczny przeglądać proces i dostosowywać go do obecnych warunków.
Podsumowanie
Zastosowanie modelu dojrzałości procesu monitorowania i reagowania na incydenty bezpieczeństwa ma wiele zalet. Przede wszystkim umożliwia przygotowanie roadmapy, na podstawie której proces będzie wdrażany od początku lub od momentu, w którym znajduje się obecnie w organizacji. Model daje możliwość zaplanowania nie tylko działań, ale też docelowej funkcjonalności inicjalnej, bazującej na wykonanej w fazie przygotowawczej analizie. Jest to niezwykle ważne, gdyż pozwala na określenie kryteriów sukcesu dla każdego etapu.
Wykorzystanie etapów modelu pozwala na zwiększenie efektywności budowania całego procesu, co w efekcie przekłada się na oszczędność czasu podczas wdrożeń. Podział modelu na poszczególne fazy sprzyja również rozwojowi pracowników, którzy sukcesywnie nabywają wiedzę i kompetencje, wraz z rozwojem procesu.
 
Jesteś zainteresowany naszym wsparciem w obszarze Cyber Security? Napisz do nas, wypełniając formularz kontaktowy poniżej.

 
Jeżeli ktoś z was miał styczność z przedstawicielami Microsoft i brał udział w rozmowach o przyswojeniu Microsoft Teams w organizacji – na pewno spotkał się z określeniem change management – zarządzanie zmianą. Pytanie brzmi natomiast – co to dokładnie jest? Artykułów w internecie na ten temat jest sporo i ciągle przybywa (wraz z popularyzacją tego określenia), ale często zaczynają one od części mocno teoretycznej, albo zbyt praktycznej. W tym, stosunkowo krótkim, artykule, chciałbym pokazać tzw. ‘core’ (podstawy) zarządzania zmianą, omówić jego połączenie właśnie z produktami Microsoft i w końcu odpowiedzieć na pytanie – czy bez tego da się w organizacji zaadoptować np. Microsoft Teams?
No dobra – zarządzanie zmianą… Skąd to?
Zacznę od nieco innej strony – kojarzycie pewnie zarządzanie projektami, co? Jest to podejście, które już na stałe przyjęło się w niemal każdej organizacji. Po pierwsze: istnieje “projekt” – przykładowo chcemy coś zbudować. W tym projekcie dysponujemy zasobami – ludźmi, materiałami itd. Następnie pod uwagę bierzemy dostępność tych zasobów, różne ceny etc. Na koniec zwracamy uwagę na etapy – jak budujemy dom, to nie zaczniemy od dachu 😊
Żeby miało to ręce i nogi – powstaje plan, którego staramy się trzymać i (mamy szczerą nadzieję) wszystko gra!
No i tutaj pojawia się właśnie nasz change management, jako uzupełnienie tradycyjnego modelu prowadzenia projektów. Zobaczcie – dostajecie licencję Microsoft Teams jako nowego narzędzia do komunikacji. Od strony IT – przypisujemy te licencje do użytkowników i instalujemy oprogramowanie (MOCNO spłycając proces :D). Czy to oznacza, że następnego dnia nasza efektywność w organizacji skoczy o 40%?
Aby tak faktycznie było, nasi użytkownicy muszą wiedzieć jak się poruszać w nowym środowisku, po co ono jest itp. itd. Nawiążę do tradycyjnego powiedzenia, że jak dacie człowiekowi rybę to nie będzie głodny do końca dnia, ale jak mu dacie wędkę, to nie będzie głodny do końca życia.
Osobiście się z tym nie zgadzam, bo wychodzimy z założenia (często mylnego), że nasz gość będzie umiał tą wędką się posługiwać, a nie np. rzucać nią w ryby z nadzieją, że trafi…
A co w momencie, kiedy tutaj mówimy o bardziej skomplikowanej „wędce”, jak np. Microsoft Teams?
Metodologia Prosci i model ADKAR
Właśnie ze względu na wcześniejszy scenariusz, do wdrażania nowych technologii, procesów itp. powinniśmy rozważyć zarządzanie zmianą (a najlepiej uwzględnić, a nie ‘rozważyć’ 😉). Czyli konkretnie – powinniśmy uwzględnić LUDZI.
Metodologia, która jest polecana przez Microsoft (i przeze mnie, z racji na mój certyfikat 😉) to Prosci – skalowalne podejście, wypracowane na podstawie ponad 20 lat badań.
Ja dzisiaj chciałbym wam przekazać drobny wycinek jakim jest model ADKAR. Jest to jedna z podstaw całego zarządzania zmianą, akronim, którego każda litera oznacza kolejny ‘etap’ wymagany do prawidłowego wdrożenia i zaadaptowania zmian.
Po kolei – pierwsza A to Awareness, czyli świadomość. Będę cały czas posługiwał się tymi naszymi nieszczęsnymi Teamsami jako przykład 😊

 
Co mamy na myśli, mówiąc o świadomości – chodzi de facto o to, aby nasi użytkownicy wiedzieli, dlaczego w ogóle te Teamsy wprowadzamy. Co to w ogóle za apka (‘tims? A na co to komu?), dlaczego nagle mamy z niej korzystać (‘przecież nasze obecne gadu-gadu świetnie działa!’), skąd potrzeba do zmiany?
Możemy o to zadbać na szereg różnych sposobów – odpowiednia informacja przesłana do wszystkich, wsparcie ze strony menadżerów średniego szczebla, organizowanie sesji pytań i zgłaszania wątpliwości od strony waszych użytkowników.
ALE – to nie wystarczy. Nawet jeżeli ktoś mnie przekona, że mój wypracowany sposób działania MOŻNA usprawnić i dlatego wpada coś nowego, to wcale nie znaczy, że ja teraz będę chciał to zrobić. Pojawia nam się druga literka, czyli D – Desire (chęć).

Musimy zachęcić naszych użytkowników do tejże zmiany, do spróbowania nowej technologii. Może marchewką – np. gamifikacją, albo jakimiś nagrodami czy przywilejami, raczej stroni się od metody ‘kija’ 😉 Pokazując, że z wykorzystaniem nowego podejścia uciążliwe zadania nagle stają się banalnie proste, nasi użytkownicy sami będą chcieli tego spróbować!
I tutaj pojawiają się kolejne dwie literki – K i drugie A. K odnosi się do Knowledge (wiedza), jak możemy się zmienić. Przykładowo – mamy tutaj taką jedną fajną aplikację Microsoft Teams, gdzie, jeżeli zaczniecie wymieniać się danymi w ramach zespołu, to tworzycie wspólne repozytorium na pliki, w ogóle to możecie pracować i edytować te pliki naraz w kilka osób, a każda zmiana jest zapisywana w historii wersji.
Wiedza natomiast nie wystarcza, bo potrzebne są jeszcze umiejętności – stąd A od Ability. Nasi pracownicy muszą wiedzieć jak wykorzystać tą aplikację, jak zaadoptować procesy, jak zmienić swoje przyzwyczajenia.
I wydaje mi się, że jedna z najważniejszych literek na sam koniec – R od Reinforcement (wzmocnienie, wsparcie, utrzymanie). Zmiana jest procesem – dlatego na bieżąco musimy naszym użytkownikom pomagać, rozwijać, wspierać w całym procesie. Pojawiają się nowi pracownicy, nowe aplikacje etc. – trzeba to uwzględnić 😊 Ważne, aby nie stracić zapału na początku!

Hardening, czy może po polsku „utwardzanie” (szczerze mówiąc wolę angielską nazwę), to w skrócie zwiększenie odporności danego systemu na włamania poprzez jego rekonfigurację. Utwardzać można zarówno systemy jak i urządzenia sieciowe, bazy danych, usługi czy stacje robocze.
Hardening – Od czego zacząć?
Oczywiście od planu. Warto zastanowić się jakie systemy chcemy hardenować, w jakiej kolejności i kiedy. Hardening zawsze dobrze jest rozpocząć od analizy ryzyka – odpowiedzmy tu sobie na pytania: które systemy są najbardziej narażone na włamania? Które systemy są kluczowe z punktu widzenia procesów biznesowych? Które systemy, w przypadku utraty integralności i dostępności niosłyby za sobą największe straty?
Potrzeba hardeningu może także wynikać z przebytego audytu zewnętrznego/wewnętrznego czy testów penetracyjnych, które wykazały istniejące podatności. Możemy mieć też potrzebę bycia zgodnymi z pewnymi standardami – dla przykładu, aby zachować zgodność z PCI-DSS musimy przeprowadzać okresowe skanowanie podatności i mitygować te, które są o wysokim priorytecie.
Jakie systemy utwardzać?
Najlepiej te, które są najbardziej krytyczne i narażone na włamania. Takimi systemami bez wątpienia są systemy, aplikacje i urządzenia, które są dostępne z Internetu. Atakujący z całego świata bez ustanku skanują Internet w poszukiwaniu udostępnionych usług. Nie muszą nawet robić tego sami – w Internecie dostępne są na bieżąco aktualizowane bazy danych, zawierające informacje na temat publicznych usług wystawionych do Internetu. Poniżej znajduje się jedna z takich usług – Shodan.

Proste zapytanie, pokazane poniżej, pozwoli nam wyszukać wszystkie usługi SSH dostępne w Polsce. I to nie tylko na domyślnym porcie 22. Muszę tutaj rozczarować fanów tzw. głębokiego ukrycia, a więc ukrywania usług na portach innych niż domyślne – wystawienie usługi na nietypowym porcie nie zabezpieczy nas przed znalezieniem naszej usługi. Jeśli atakujący jest uparty może to co najwyżej opóźnić trochę jego działania.
[caption id="attachment_1988" align="aligncenter" width="604"] Widok z konsoli shodan.io – liczba znalezionych usług SSH wystawionych do Internetu w Polsce[/caption]
 
Oprócz systemów wystawionych do Internetu warto brać także pod uwagę systemy krytyczne dla biznesu oraz te, które przechowują dane wrażliwe. Nie chcemy przecież, żeby atakujący przełamał zabezpieczenia bazy danych zawierających dane kadrowe naszych pracowników albo dostał się do systemu CRM, przechowującego dane wszystkich naszych klientów. Pamiętajmy, że atakujący może próbować uzyskać do takich systemów dostęp również z wewnątrz sieci. Jeśli jest to ktoś spoza naszej organizacji może użyć do tego stacji pośredniej (np. takiej wystawionej do Internetu, w przypadku nieprawidłowo wdrożonej segmentacji) albo stacji naszego nieświadomego pracownika – w końcu stacje użytkowników są jednym z najczęstszych źródeł ataku na organizację. Ponadto nasz pracownik może także działać świadomie na naszą szkodę – motywacja może być różna – od niezadowolenia z pracy do chęci zarobku kosztem naszej firmy.
Plan hardeningu
Nasze działania powinniśmy zaplanować. Mając już wstępną listę systemów, które warto zabezpieczyć możemy zrobić ich inwentaryzację i zaplanować ścieżkę aktualizacji. Dla przykładu mając serwer z Centos łatwiej zrobić nam będzie aktualizację do najnowszej wersji Centosa zamiast do Ubuntu. Dobrze byłoby przy tym zastanowić się, czy nasze działania nie spowodują niekompatybilności z istniejącymi usługami, które na danym hoście działają. Być może aktualizując system do najnowszej wersji sprawimy, że jakaś ważna usługa przestanie działać, bo np. jest dawno nie wspierana i nie jest z tą wersją kompatybilna.
Biorąc to pod uwagę możemy stworzyć sobie prosty arkusz, który pomoże nam zaplanować nasze prace. Poniżej znajduje się przykład takiego arkuszu.

Jest to oczywiście przykład, który zawiera bardzo podstawowe informacje i dla każdej organizacji taki arkusz może wyglądać inaczej i zawierać więcej istotnych parametrów.
Aktualizacje systemowe i oprogramowania
Każda organizacja powinna mieć tzw. politykę aktualizacji, która określa w jaki sposób realizowane jest aktualizowanie oprogramowania do nowszych wersji. Jeśli natomiast takiej polityki nie ma, lub nie jest ona przestrzegana może się zdarzyć, że mamy w swoim środowisku oprogramowanie, które jest nieaktualne i, w związku z tym, może posiadać podatności. Dlatego też myśląc o hardeningu powinniśmy wziąć pod uwagę aktualizację systemu operacyjnego do najnowszych, stabilnych wersji. To samo dotyczy usług i oprogramowania.
Oczywiście zanim przystąpimy do aktualizacji upewnijmy się, że nowe wersje będą ze sobą kompatybilne i po aktualizacji nie spowodujemy niedostępności jakichś krytycznych usług. Możemy zacząć od aktualizacji środowiska testowego, o ile takie środowisko posiadamy a dopiero później przejść do produkcji. Innym ze sposobów zabezpieczenia się przed taką ewentualnością jest wykonanie wcześniej kopii zapasowej a dopiero potem rozpoczęcie procesu aktualizacji. W razie problemów zawsze możemy wtedy odtworzyć system w oryginalnej formie i ustalić powód niedostępności po aktualizacji.
Wyłączenie zbędnych usług
Dzięki wyłączeniu zbędnych usług działających w systemie operacyjnym lub urządzeniu sieciowym efektywnie redukujemy ich powierzchnię ataku. Jeśli na przykład mamy serwer pocztowy Linux, na którym ktoś, z niewiadomych przyczyn, zainstalował kiedyś usługę NFS, pewnie powinniśmy ją odinstalować. O jedną usługę mniej do zabezpieczania, aktualizowania i utrzymywania. Dodatkową zaletą jest pozytywny wpływ na wydajność, bo te bardziej zaawansowane usługi potrafią czasami zajmować sporo miejsca w RAM i niepotrzebnie wykorzystywać cykle procesora.
Zablokowanie nieużywanych portów
Jeśli mamy jakieś usługi, których nie możemy wyłączyć może chociaż możemy zablokować do nich dostęp? Niektóre usługi są niezbędne dla prawidłowego działania systemu operacyjnego, ale niekoniecznie muszą być wystawione do sieci. Blokując do nich dostęp na zaporze sieciowej upewniamy się, że nie zostaną one wykorzystane do tzw. przemieszczania poziomego (Lateral Movement), a więc propagacji atakującego po naszej sieci.
Alternatywnie, jeśli usługa potrzebna jest tylko dla lokalnej aplikacji, możemy skonfigurować ją tak, żeby nasłuchiwała jedynie na lokalnym interfejsie loopback.
Jeśli chcemy sprawdzić jakie usługi nasłuchują na naszym systemie zarówno w systemach Linux jak i Windows możemy do tego użyć komendy „netstat”.
Odinstalowanie zbędnych programów
Niektóre programy mogą posiadać własne podatności, które pozwolą atakującemu przełamać zabezpieczenia danego hosta. Dobrym przykładem są tu stacje robocze. Zastanówmy się czy nadal potrzebujemy na stacjach roboczych zainstalowanego Flasha, skoro już od dawna jest on nie wspierany przez producenta i nie są do niego wydawane żadne aktualizacje zabezpieczeń a każdy szanujący się producent oprogramowania już dawno powinien zrezygnować z jego wsparcia.
Wyłączenie zbędnych protokołów
Protokoły sieciowe również mogą posiadać podatności. Ma to szczególne znaczenie w przypadku sprzętu sieciowego, ale może też dotyczyć serwerów czy stacji roboczych. Dla przykładu, szukając po słowie kluczowym „IPv6” na stronie MITRE możemy znaleźć sporo podatności występujących w implementacji tego protokołu. Czy rzeczywiście potrzebujemy wsparcia IPv6? Aktualnie adaptacja tego protokołu nie jest jeszcze powszechna, szczególnie w sieci LAN. Jeśli nie pracujemy jako ISP (Internet Service Provider) prawdopodobnie nie mamy potrzeby jego wspierania, tym samym, jeśli wyłączymy jego wsparcie na Access Pointach Wifi zabezpieczymy się przed znanymi i jeszcze nieznanymi podatnościami w implementacji danego vendora.
Zmiana domyślnych poświadczeń
Często urządzenia czy oprogramowanie, które kupujemy trafia do nas z zestawem domyślnych poświadczeń. Ma to szczególne znaczenie w przypadku sprzętu IoT, które czasami nie mają przypisanego swojego administratora w organizacji. Czasami też osoba, która nimi zarządza nie jest świadoma zagrożeń związanych z tymi urządzeniami. Warto jest więc upewnić się, że nasze usługi i urządzenia mają zmienione poświadczenia na inne niż domyślne. Listę przykładowych domyślnych poświadczeń możecie znaleźć poniżej.

Jeśli urządzeń mamy dużo najlepiej jest przeszukać je w poszukiwaniu domyślnych poświadczeń w sposób automatyczny. Możemy w tym celu skorzystać z darmowych dostępnych narzędzi, którymi przeskanujemy sieć i spróbujemy zalogować się do znalezionych usług domyślnymi poświadczeniami (przykładowy opis) albo możemy skorzystać z profesjonalnych, płatnych rozwiązań. Jednym z rozwiązań, które potrafi przeprowadzić taką ocenę jest Forescout, którego oferujemy w ramach naszego portfolio rozwiązań bezpieczeństwa.
Ochrona danych w spoczynku i w transmisji
Warto zadbać także o ochronę danych, zarówno w spoczynku jak i w locie. Jeśli w ramach komunikacji wysyłane są dane wrażliwe zawsze wykorzystujmy protokoły szyfrowane, co zapewni nam tajność przesyłanych danych w przypadku ich podsłuchania przez osoby niepowołane. Zamiast http używajmy HTTPS, zamiast telnetu SSH, zamiast FTP użyjmy FTPS/SFTP.
Co do danych w spoczynku szczególne znaczenie ma zabezpieczenie laptopów i innych urządzeń mobilnych. To one najbardziej narażone są na kradzież czy zgubę, zadbajmy więc o to, żeby dane przechowywane na nich były szyfrowane i to najlepiej metodą Full Disk Encryption. W środowiskach Windows najlepiej sprawdzi się tutaj wbudowany BitLocker, natomiast na systemach Linux można użyć LUKS a dla Mac OS mamy FileVault.
Skąd brać wskazówki na temat utwardzania systemów?
W dzisiejszych czasach ciężko jest być ekspertem od wszystkich systemów operacyjnych, usług, baz danych, wszystkich vendorów sieciowych i chmur obliczeniowych. Tego jest po prostu za dużo. 😊 Na szczęście nie musimy być ekspertem od wszystkiego, żeby zwiększyć poziom bezpieczeństwa naszej organizacji, niezależnie od tego z jakich rozwiązań korzysta.
Naprzeciw temu wyzwaniu wychodzą autorzy publikacji w CIS (Center of Internet Security). Udostępniają oni świetne dokumenty, zwane „CIS Benchmark”, które w prosty sposób opisują jak krok po kroku możemy przeprowadzić hardening danego rozwiązania.
Dokumenty podzielone są per system operacyjny, per usługa, per dana baza danych i pisane są przez ekspertów w swojej dziedzinie. Są łatwe do zrozumienia a każdy rozdział zawiera listę opisującą istotne ustawienia, które warto zmienić w danym systemie operacyjnym np. Windows Server 2016 czy Red Hat Linux w wersji 6. „Benchmarki” dostępne są do pobrania. Do pobrania wymagana jest jednak rejestracja. Dokumenty są dosyć obszerne (na przykład wskazówki dotyczące Windows Server potrafią mieć ponad 1000 stron), ale często są podzielone w taki sposób, żeby łatwo można było wybrać poszczególne podrozdziały, które mają znaczenie w naszej organizacji.
[caption id="attachment_1990" align="aligncenter" width="437"] Przykładowy fragment dokumentu CIS Benchmark dla Exchange 2016[/caption]
 
Oczywiście warto tutaj zauważyć, że zazwyczaj nie mamy potrzeby wprowadzać wszystkich wskazanych w tych dokumentach ustawień. Zalecenia są podzielone na kategorie istotności a także opisany jest potencjalny wpływ zastosowania danego ustawienia. Możemy więc podjąć świadomą decyzję czy daną zmianę powinniśmy wprowadzić czy nie.
Mimo, że dokumenty napisane zostały w ten sposób, żeby zrozumieć je mógł każdy specjalista bezpieczeństwa, niekoniecznie ekspert w danym systemie, na pewno powinniśmy wprowadzać opisane tam zmiany po konsultacji z lokalnym specjalistą odpowiedzialnym za dane zagadnienie w naszej organizacji. Niektóre ustawienia mogą mieć wpływ na powiązane usługi i lepiej jest dmuchać na zimne zamiast później tłumaczyć się z awarii 😊 Oczywiście przed takimi sytuacjami powinien chronić nas dobrze prowadzony proces Zarządzania Zmianą (Change Control), ale zdaję sobie sprawę, że nie każda organizacja taki proces stosuje.
Co prawda zalecenia CIS Benchmark to najlepsze praktyki i z punktu widzenia bezpieczeństwa najlepiej byłoby wdrożyć je wszystkie, ale na koniec i tak musimy patrzeć na nie przez pryzmat naszych potrzeb, polityk i procedur w naszej organizacji.
Automatyzacja procesu sprawdzania zgodności z dobrymi praktykami
Jeśli chcemy zaoszczędzić czas i szybko chcemy sprawdzić czy nasze środowisko jest zgodne z dobrymi praktykami opisanymi w CIS Benchmark może ten proces zautomatyzować.
Z pomocą przychodzi nam tutaj protokół SCAP (Security Content Automation Protocol), który pozwala na automatyczne skanowanie systemów w poszukiwaniu ustawień niezgodnych z dobrymi praktykami. Na stronie projektu OpenSCAP można pobrać narzędzia, które pozwolą nam wykonać takie skanowanie zarówno na maszynie lokalnej jak i na maszynie zdalnej, na przykład wykorzystując SCAP Workbench. W oparciu o analizę możemy później wprowadzić odpowiednie zmiany, żeby zwiększyć poziom bezpieczeństwa naszego serwera czy stacji roboczej.
[caption id="attachment_1991" align="aligncenter" width="494"] Narzędzie SCAP Workbench pozwala nam przeskanować lokalną lub zdalną maszynę pod względem zgodności z dobrymi praktykami[/caption]
 
 
Samo narzędzie jednak nie wystarczy – do skutecznej oceny stanu zgodności z dobrymi praktykami potrzebujemy też definicji reguł w formacie SCAP. Tu możemy wykorzystać na przykład darmowe repozytorium udostępnione przez NIST.
Alternatywnie swoją wersję narzędzia wraz z gotowymi regułami oferuje sama organizacja CIS – dostępna zarówno w wersji darmowej jak i płatnej CIS CAT Lite/Pro. Polecam wypróbować i sprawdzić na ile nasza stacja robocza zgodna jest z najlepszymi praktykami. Po weryfikacji otrzymujemy przejrzysty raport w HTML pokazujący wyniki naszego testu.
[caption id="attachment_1992" align="aligncenter" width="605"] Przykładowy wynik sprawdzenia stacji roboczej Windows narzędziem CIS CAT Lite[/caption]
 
Bezpieczeństwo w chmurze
Jeśli korzystamy z usług chmurowych często producenci tych środowisk udostępniają nam gotowe narzędzia automatyzujące proces „utwardzania” naszych usług, zarówno, jeśli chodzi o rozwiązania IaaS, PaaS jak i SaaS. Dla przykładu takim rozwiązaniem dla chmury Azure jest „Security Center”. Dla uzyskania wszystkich korzyści musimy posiadać wersję płatną, ale już w bezpłatnej może ona dać nam sporo wskazówek na temat tego jak zabezpieczyć nasze środowisko.
[caption id="attachment_1993" align="aligncenter" width="605"] Rekomendacje Azure Security Center[/caption]
Oczywiście Security Center ma dużo więcej możliwości, ale nie jest to tematem tego artykułu.
Utworzenie wzorca
Żeby zapewnić skalowalność naszego przedsięwzięcia dobrze jest zredukować powtarzalne procesy. Dla przykładu, jeśli planujemy utwardzić kilkanaście czy kilkadziesiąt systemów typu Centos dobrze jest zacząć od stworzenia maszyny wzorcowej. Stwórzmy jeden podstawowy obraz maszyny w postaci utwardzonej z wyłączonymi niepotrzebnymi usługami, bez zbędnych aplikacji, niepotrzebnie otwartych portów i z bezpieczną konfiguracją. Potem dla każdego nowego systemu nie musimy zaczynać od nowa a wystarczy skorzystać z istniejącego obrazu. Na tej samej zasadzie można stworzyć baseline konfiguracji urządzeń sieciowych.
Jeśli chodzi o środowiska chmurowe, często dostępne są już gotowe, utwardzone obrazy maszyn wirtualnych. Dla przykładu gotowe maszyny zgodnie z wytycznymi CIS (CIS hardened images) możemy znaleźć w poniższej tabeli.
[caption id="attachment_1994" align="aligncenter" width="605"] Gotowe obrazy maszyn wirtualnych, stworzone przez CIS[/caption]
 
Podsumowanie
Hardening, czy po polsku „utwardzanie” systemów, to proces długotrwały i wymagający dużo pracy, do którego powinniśmy podejść ostrożnie. Najlepiej byłoby, gdyby był wykonywany przez dział bezpieczeństwa w bliskiej kooperacji z działem IT oraz przy wsparciu zarządu. To w jakim stopniu utwardzimy systemy powinno wynikać z naszych potrzeb, polityk i aktualnych priorytetów. W trakcie realizacji dobrze jest postępować zgodnie z procesem Zarządzania Zmianą, który zapewni nam, że odpowiednie osoby zostaną poinformowane o zmianie i że proces w razie wystąpienia awarii będzie możliwy do odwrócenia.
Mam nadzieję, że tym artykułem przybliżyłem w skrócie na czym może polegać hardening. Jeśli potrzebujesz pomocy w realizacji podobnego przedsięwzięcia nie wahaj się skorzystać z doświadczenia profesjonalistów, jakimi są Integrity Partners.
Skontaktuj się z nami!

Tym razem nieco inna strona szeroko pojętego ‘Modern Workplace’, czyli nowoczesnego miejsca pracy – urządzenia Microsoft Surface!
Microsoft kilka lat temu rozszerzył swoje portfolio o urządzenia pod całkiem miłą nazwą Surface (ang. powierzchnia), a tak naprawdę to jedno urządzenie – Surface Pro (wtedy ciut inna nazwa, ale do złudzenia przypomina właśnie tą wersję). Z czasem, tak samo jak sytuacja wygląda z chmurą 😉, ta rodzina się rozrosła i teraz urządzeń z rodziny Surface jest już… no właśnie – ile?
Chciałbym wam dzisiaj pokazać, jak wygląda sytuacja giganta z Redmond na tym polu – jakie są urządzenia, jakie mają specyfikacje, do jakich odbiorców są adresowane. Zwracam uwagę, że skupiam się dzisiaj na urządzeniach dla biznesu.
A, no i jeszcze jedno… Prywatnie używam Surface Pro od paru lat, więc będę starał się być jak najbardziej obiektywny, ale sami wiecie 😉

Microsoft Surface Pro 7+ – po co zmieniać zwycięską formułę?

Flagowy sprzęt, który nie zmienił się znacząco od pierwszej jego iteracji. W tym momencie mamy już 8 wersję (nie wiedzieć czemu zamiast Surface Pro 8 otrzymaliśmy Surface Pro 7+…), która od poprzednika różni się nowszym procesorem (11 generacja Intela), a także wersją z LTE.
Czysto subiektywnie – mój faworyt, sam korzystam prywatnie (również służbowo) od kilku już lat i co mogę powiedzieć – zdecydowanie polecam! Rewelacyjna mobilność (można schować bez problemu do każdej większej torby, wielkość kartki A4), lekkie urządzenie, które może pracować aż w 4 trybach pracy (dzięki ekranowi dotykowemu i odpinanej klawiaturze).
Dla kogo? Dla wszystkich! Jest to (obok Surface Laptop, o którym za chwile) najbardziej uniwersalne urządzenie. Przeszkodą, jak i zaletą, może być rozmiar ekranu – 12.3 cala.
No i specyfikacja też w sumie pokrywa całe spektrum wymagań – najbardziej ‘biedna’ wersja posiada procesor i3, 8GB Ramu (nawet wersji z 4gb już nie ma <3) i dysk 128gb. Realistycznie polecam patrzeć w stronę wersji z i5 oraz 16gb Ramu. Dla najbardziej wymagających jest i7 z aktywnym chłodzeniem (które niestety też skutkuje nieco ‘bogatszymi’ doznaniami akustycznymi z pracy urządzenia), 32gb Ramu i 1TB dyskiem (niestety brakuje mi wersji z i7, 32gb RAMu i dyskiem duuużo mniejszym).
Ważna sprawa – decydując się na wersję z wbudowanym modemem LTE tracimy nieco elastyczności – tylko i5, 8/16 gb RAMu i dyski 128/256gb.
I najważniejsze – jest też dostępny cały czarny!

Microsoft Surface Laptop 4 – czyli klasyczne laptopy, ale premium

Od momentu pojawienia się laptopów, od razu pojawiło się grono użytkowników, którzy przesiedli się z wersji Pro – jednak co klasyczny design, to klasyczny design 🙂 W tym momencie na rynku (od tego roku) dostępna jest wersja z numerkiem 4 – ale względem poprzednika wygląd niemal się nie zmienił.
W przeciwieństwie do Surface Pro – tutaj mamy dostępne dwa rozmiary ekranu i samego urządzenia – z przekątną 13.5 cala oraz 15 cali. Klawiatury też są w różnym wykończeniu – albo piękny metal, albo kiziasta alcantara!
Nowością na pewno będą wersje z procesorami AMD – konkretnie R5se i R7se. Obok nich dostępne tradycyjne Intele i5/i7 (11 generacja, zwróćcie uwagę, że brakuje i3!).
Konkretną różnicą względem Pro jest też dłuższy czas na baterii – każde urządzenie ma ponad 15h, ale przykładowo wersja 13.5” z procesorem AMD i 8gb ramu potrafi wytrzymać ponad 19h! Czekam, aż producenci będą chwalić się całodobowymi bateriami 😉
Surface Laptop jest uniwersalnych urządzeniem, które śmiało może służyć za narzędzie pracy każdemu użytkownikowi biurowemu. Jest też chyba najpopularniejszą obecnie platformą – przynajmniej z mojego doświadczenia i opinii (i zamówień :D) klientów.

Surface Book 3 – kombajn, najmocniejszy mobilny komputer wśród Surface’ów!

Taki Surface Laptop, ale z konkretną mocą obliczeniową! No i cięższy i mniej poręczny przez to ☹I podobnie jak laptop, również ma wersje z 13.5” i 15” ekranem.
Z drugiej strony odnajdziemy w nim nieco Surface Pro, ponieważ ekran można… odłączyć! Podstawka (czyli klawiatura) zawiera drugą baterię i kartę graficzną, ale ekran sam spokojnie może służyć jak ‘standalone’ – i nagle nieco bardziej praktyczne to nasze narzędzie 😊
Wspomniałem już o tym, ale jest to najmocniejszy sprzęt w stajni – oprócz najsłabszej wersji z grafiką Iris Plus (tylko jedna specyfikacja), reszta prezentuje sobą konkrety – GTX 1650/1660 lub wersje z kartami AMD – Quadro RTX 3000. Nie muszę wspominać, że znajdziecie tutaj do 32gb RAMu i głównie procesory i7 😉
Target to użytkownicy, którzy potrzebują mocy obliczeniowej – graficy, analitycy danych, wszystkie zawody, gdzie potrzeba konkretnych „bebechów”.

Go 2 oraz Laptop Go – czyli ‘maluchy’ od Microsoft, z niższym progiem wejścia

Na zdjęciu co prawda jest Laptop Go obok Surface Pro X (o nim za chwile), ale modele nie różnią się mocno od siebie.
Czym są wersje Go? Coś jakbyśmy wzięli tradycyjne modele i je dodatkowo odchudzili, pomniejszyli i jeszcze bardziej skupili się na mobilności. No i bardzo ważne – są sporo tańsze od ‘większych’ braci!
W parze z powyższym oczywiście idzie też specyfikacja, która odstaje od poprzedników – Surface Go posiada procesory Pentium Gold lub m3, 4/8GB RAM i dysk do 128 GB (jest też wersja z LTE!). Jego odpowiednik wśród laptopów posiada wersje z procesorem i5, 8/16 GB RAM i ekran 12.45”.
Są też specjalne wersje laptopów dedykowane dla sektora edukacyjnego 🙂
Trochę też zdradza to target – w dużej mierze jest to sektor edukacji, ale również pracownicy, na których głównym wymaganiem jest mobilność. Sprzęty są jeszcze mniejsze, lżejsze, a jednocześnie posiadają specyfikacje, która udźwignie aplikacje pakietu Office bez większego wysiłku.
Co ciekawe – mimo swoich rozmiarów i wagi, nadal potrafią działać przez cały dzień bez ładowania (laptop do 13h, Surface Go do 10h)!

Pro X – awangarda, w znajomym wydaniu

 
A to chyba najbardziej ciekawa pozycja – i jak widzicie po zdjęciu, nie ze względu na design.
Surface Pro X wygląda bardzo podobnie do wersji Pro czy Surface Go (też jest nieco większy niż tradycyjny Pro, bo przekątna to 13”), ale różni się tym co w środku – nie znajdziecie tam tradycyjnych procesorów Intela czy AMD w architekturze x86, ale specjalne, stworzone przez Microsoft we współpracy z Qualcomm’em, procesory SQ1 i SQ2, oparte o ARM64!
Nie zamierzam wchodzić w szczegóły różnicy między tymi procesorami (sporo można by o tym pisać), ale w skrócie powiem, że ARM jest dedykowany dla aplikacji ze sklepu Microsoft (coś jak apki mobilne). ALE nie oznacza to, że nie jest w stanie odpalić tradycyjnych aplikacji – pomaga w tym emulacja 😊
No i klawiatura, która zawiera w sobie… rysik! Oprócz tego, użytkownicy na pewno docenią szybki czas ładowania (w 1h nawet do 90% baterii).
No i dochodzimy do pytania dla kogo jest to sprzęt – i zdecydowanie powiem, że nie dla każdego 😊 Jest to chyba najbardziej unikalne narzędzie w ofercie na ten moment, ale przyznam, że jak tak nad tym się zastanowić – to wychodzi na to, że w sumie to każdy może być odbiorcą! Dlaczego? Większość z nas korzysta z przeglądarki, aplikacji office, OneDrive, jakiś readerów PDF, może VPNa i aplikacji LOB (Line-of-business, czyli w sumie wewnętrzne aplikacje w firmie 😊). A w tym wszystkim Surface Pro X się sprawdzi – dorzucając fajną baterię, LTE, szybkie ładowanie i dotykowy ekran! Microsoft wspomina, że ich celem są tzw. ‘nomadic workers’ – ciągle w ruchu, niezależni od lokacji.
Jeżeli potrzebujesz mocniejszych sprzętów, chcesz obrabiać grafikę czy bawić się CADem – raczej patrz w stronę innych urządzeń!

Największą nowością zapowiedzianą na tegorocznym Microsoft Inspire jest zaprezentowanie nowej usługi Windows 365, która już (od 2 sierpnia 2021) jest dostępna w sprzedaży.
Windows 365 to nic innego jak DaaS – czyli system operacyjny jako usługa. Z tym, że nie tylko OS – tak naprawdę pod spodem kryje się wirtualizacja, którą możecie kojarzyć z Windows Virtual Desktop czy Azure Virtual Desktop – bo właśnie o te usługi jest oparta omawiana nowość.
No to o co dokładnie chodzi?
 
Czyli że jak Office jest w chmurze, to teraz Windows też?

 
Upraszczając – tak. Wspominałem dopiero co o Azure/Windows Virtual Desktop – usługach, dzięki którym można odpalić maszynę wirtualną w Azure, odpowiednio ją skonfigurować (jaka pojemność dysku, RAM, ile procesorów), dobrać system operacyjny (Windows 10 Enterprise przykładowo), a w końcu – zainstalować aplikacje i przekazać do użytku użytkownikowi/użytkownikom.
Różnica polega na tym, że Windows 365 jest mocno uproszczony – wybieramy interesującą nas konfigurację (RAM, procesor, dysk), czy chcemy Windows 10 czy 11 (jak już będzie dostępny), przypisujemy użytkownikowi i… no i tyle.
 
No to jakie są tego korzyści i dla kogo to jest?
Najważniejsza rzecz – wasi użytkownicy dostają kalkę benefitów z Office 365, ale tym razem w kontekście całego systemu operacyjnego.
Uzyskują dostęp do swojego pulpitu z każdego urządzenia (wsparcie dla Windowsów, macOS, iOS, Android czy Linux!), dokładnie w takim stanie w jakim go zostawili (otwarte aplikacje, zakładki etc.), no i w końcu – dostajecie pełną elastyczność w dostosowaniu mocy obliczeniowej!
W tym momencie, w większości organizacji, panuje ok. 3-letni cykl życia urządzeń. W dużej mierze wynika to z ograniczeń właśnie sprzętowych – zaczyna brakować RAMu, trochę przycina itd. Teraz wasz użytkownik musi zacząć korzystać z PowerBI do zaawansowanej analizy i jego PC nie wystarczy? Po prostu podbijacie mu parametry maszyny!
No i w końcu – wszystko jest zcentralizowane. Korzystając z Microsoft Endpoint Managera (Microsoft Intune) wasze chmurowe Windowsy pojawiają się obok fizycznych maszyn i podlegają tym samym politykom, ustawieniom itd.
Mało tego – w końcu można wymusić pełne MFA (uwierzytelnianie wieloskładnikowe) przy logowaniu do systemu!
Od strony bezpieczeństwa ja bym wskazał jeszcze jedną ważną rzecz – ochrona danych. Zobaczcie, że w tym momencie dane idą z urządzeniem – zabezpieczamy je bitlockerem jak i często szeregiem rozwiązań lokalnego DLP, aby przypadkiem nic nigdzie nie uciekło. Korzystając z Windows 365 dane zostają w chmurze i nic nie zostaje na lokalnym dysku!
Ważna rzecz – aplikacje, które działają na Windowsie 7/8.1/10 również będą działać na Windows 365!
Dla kogo najlepiej sprawdzi się powyższe? Ciężko mi jednoznacznie wskazać konkretne działy czy branże, bo wydaje mi się, że każdy może odnaleźć tam coś przydatnego. Ogólnie rozwiązanie jest dla organizacji każdej wielkości, która potrzebuje elastycznego modelu pracy, szczególnie w przypadku posiadania pracowników pierwszej linii czy mocno rozproszonych.
 
Licencjonowanie – czarna magia?
O dziwno nie jest aż tak skomplikowane! Po pierwsze musicie wybrać edycję, które dzielą się tak samo jak Microsoft/Office 365, czyli:
Windows 365 Business lub Windows 365 Enterprise
Co ważne – Windows 365 jest licencjonowany per użytkownik! Nie jest na ten moment wspierany scenariusz współdzielonej stacji.
Pierwsza pozycja, Business, posiada podobne ograniczenie jak jej odpowiednik Microsoft 365, czyli maksymalnie 300 licencji na środowisko (tenant) i jest dedykowana dla małych lub/i średnich firm.
Wasz Windows 365 dostępny jest w wielu specyfikacjach (1/2/4/8 procesorów wirtualnych, od 2 do 32gb RAM i od 64 do 512gb miejsca na dane).
Plany i cennik platformy Windows 365

Nazwa/Opis:
Cena Euro netto miesięcznie:

Windows 365 Business 1 vCPU, 2 GB, 64 GB
21,90 €

Windows 365 Business 1 vCPU, 2 GB, 64 GB (with Windows Hybrid Benefit)
18,20 €

Windows 365 Business 2 vCPU, 4 GB, 128 GB
31,90 €

Windows 365 Business 2 vCPU, 4 GB, 128 GB (with Windows Hybrid Benefit)
28,20 €

Windows 365 Business 2 vCPU, 4 GB, 256 GB
40,10 €

Windows 365 Business 2 vCPU, 4 GB, 256 GB (with Windows Hybrid Benefit)
36,40 €

Windows 365 Business 2 vCPU, 4 GB, 64 GB
29,10 €

Windows 365 Business 2 vCPU, 4 GB, 64 GB (with Windows Hybrid Benefit)
25,50 €

Windows 365 Business 2 vCPU, 8 GB, 128 GB
41,00 €

Windows 365 Business 2 vCPU, 8 GB, 128 GB (with Windows Hybrid Benefit)
37,30 €

Windows 365 Business 2 vCPU, 8 GB, 256 GB
49,20 €

Windows 365 Business 2 vCPU, 8 GB, 256 GB (with Windows Hybrid Benefit)
45,50 €

Windows 365 Business 4 vCPU, 16 GB, 128 GB
63,80 €

Windows 365 Business 4 vCPU, 16 GB, 128 GB (with Windows Hybrid Benefit)
60,10 €

Windows 365 Business 4 vCPU, 16 GB, 256 GB
72,00 €

Windows 365 Business 4 vCPU, 16 GB, 256 GB (with Windows Hybrid Benefit)
68,30 €

Windows 365 Business 4 vCPU, 16 GB, 512 GB
95,60 €

Windows 365 Business 4 vCPU, 16 GB, 512 GB (with Windows Hybrid Benefit)
92,00 €

Windows 365 Business 8 vCPU, 32 GB, 128 GB
115,70 €

Windows 365 Business 8 vCPU, 32 GB, 128 GB (with Windows Hybrid Benefit)
112,00 €

Windows 365 Business 8 vCPU, 32 GB, 256 GB
123,90 €

Windows 365 Business 8 vCPU, 32 GB, 256 GB (with Windows Hybrid Benefit)
120,20 €

Windows 365 Business 8 vCPU, 32 GB, 512 GB
147,50 €

Windows 365 Business 8 vCPU, 32 GB, 512 GB (with Windows Hybrid Benefit)
143,90 €

Windows 365 Enterprise 1 vCPU, 2 GB, 64 GB
18,20 €

Windows 365 Enterprise 2 vCPU, 4 GB, 128 GB
28,20 €

Windows 365 Enterprise 2 vCPU, 4 GB, 256 GB
36,40 €

Windows 365 Enterprise 2 vCPU, 4 GB, 64 GB
25,50 €

Windows 365 Enterprise 2 vCPU, 8 GB, 128 GB
37,30 €

Windows 365 Enterprise 2 vCPU, 8 GB, 256 GB
45,50 €

Windows 365 Enterprise 4 vCPU, 16 GB, 128 GB
60,10 €

Windows 365 Enterprise 4 vCPU, 16 GB, 256 GB
68,30 €

Windows 365 Enterprise 4 vCPU, 16 GB, 512 GB
92,00 €

Windows 365 Enterprise 8 vCPU, 32 GB, 128 GB
112,00 €

Windows 365 Enterprise 8 vCPU, 32 GB, 256 GB
120,20 €

Windows 365 Enterprise 8 vCPU, 32 GB, 512 GB
143,90 €

WAŻNE! Dla klientów Windows 365 Business jest dostępny tzw. Windows hybrid benefit. Oznacza to, że jeżeli wasi użytkownicy korzystają z fizycznego komputera z licencją oem Windows 10 – możecie wystąpić o zniżkę do cen z cennika (nawet do 16%).
Dla bardziej wymagających bądź po prostu większych organizacji, przygotowano Windows 365 Enterprise. Nie znajdziecie tutaj limitu użytkowników/licencji, ale dostępne specyfikacje na ten moment są identyczne.
Troszkę inaczej wyglądają wymagania (o których za chwilę napiszę), ponieważ wersja Enterprise wymaga Windows 10 E3/E5 (które jest zawarte w licencjach Microsoft 365 E3 / E5 lub jako standalone).
 
Wymagania dla Windows 365
Licencja i Internet – to takie proste!
Po zakupieniu licencji Windows 365 Business lub Enterprise (pamiętajcie o wymogu Windows 10 E3/E5 dla wersji Enterprise) i przypisaniu ich do użytkowników, tak naprawdę niewiele więcej potrzeba.
Od strony użytkownika – wystarczy jakiekolwiek urządzenie z dostępem do internetu (prędkość łącza, która jest w stanie zapewnić streaming video wystarczy!) np. komputer z Windows 10, wasza komórka z Androidem lub iOS, bądź np. mac.
Tak naprawdę urządzenia będą korzystać albo z aplikacji Microsoft Remote Desktop, albo muszą wspierać przeglądarki z obsługą HTML5.
Nie ma wymogu dot. minimalnej ilości licencji.
 
Podsumowanie
Chciałbym po pierwsze przypomnieć o plusach rozwiązania od strony bezpieczeństwa – MFA przy logowaniu do stacji i dane, które nie zostają na pamięci lokalnej. Dodatkowo, jeżeli korzystacie z Microsoft Defender for Endpoint – jest on w pełni wspierany również z Windows 365.
Dane są szyfrowane, połączenie sieciowe również.
Od strony IT dostajecie proste we wdrożeniu narzędzie, które może być centralnie zarządzane z intune/Endpoint Managerem i posiada sporo dodatków do monitorowania (np. Endpoint Analytics dashboard, który pozwala sprawdzić ‘performance’ maszyn i odpowiednio go modyfikować).
Dla użytkowników to przede wszystkim elastyczność – mają dostęp do swoich danych i aplikacji z każdego miejsca i zastają wszystko w takim samym stanie niezależnie skąd i kiedy się łączą!
W przypadku braku miejsca, wolnego działania etc. – kilkoma kliknięciami możemy zwiększyć moc dostępnych maszyn.
Dostępne są wersje próbne Windows 365, ale na ten moment (początek sierpnia, świeżo po starcie usługi) zostały one wstrzymane, z racji ogromnego zainteresowania. Nadal oczywiście można kupić sobie jedną maszynkę na testy np. na miesiąc.
Windows 365 jest kolejnym krokiem w stronę chmury – tym razem dla rzeczy, która jest nam najbliżej, bo systemu operacyjnego. Nie będę ukrywać, że możliwość trzymania jednego i tego samego pulpitu i aplikacji na wielu urządzeniach dla mnie osobiście brzmi bardzo interesująco. Czekam z niecierpliwością na moją kolej do testów i was zachęcam do tego samego!

 
Skontaktuj się z nami, by przetestować Windows 365!
marketing@integritypartners.pl

Podczas konferencji Ignite firma Microsoft ogłosiła, że usługa Windows Server 2022 jest już  dostępna w trybie przedpremierowym. 

Wersja zapoznawcza systemu Windows Server 2022 to wersja o długim programie wsparcia (LTSC). Jest już dostępna dla uczestników Windows Insider Program, można ją także przetestować na maszynie wirtualnej Azure za pośrednictwem witryny Azure Portal w portalu Azure Marketplace. Ta ostatnia opcja zapewnia ustawienia usługi Azure Security Baseline, które są skonfigurowane domyślnie. 
Ogłoszono również kilka innych wiadomości dotyczących między innymi „ogólnej dostępności” (general availability) konsoli Windows Admin Center w wersji 2103, włącznie z przedpremierowym dostępem do Azure Portal.
Funkcje Windows Server 2022
Windows Server 2022 wprowadza zaawansowane wielowarstwowe zabezpieczenia, hybrydowe połączenia z platformą Azure oraz elastyczną platformę aplikacji. Dzięki tej nowej wersji możesz:

stosować zaawansowaną, wielowarstwową ochronę przed zagrożeniami, łatwo dostępną dzięki serwerowi o zabezpieczonym rdzeniu
zabezpieczyć połączenia z kluczowymi zasobami w organizacji, dzięki najnowszym innowacjom w zakresie bezpieczeństwa sieci
używać ulepszonych narzędzi do zarządzania serwerem hybrydowym w Windows Admin Center
łatwo migrować serwery plików ze środowiska lokalnego na platformę Azure, dzięki nowemu, predefiniowanemu scenariuszowi w Storage Migration Service
usprawnić wdrażanie aplikacji kontenerowych dzięki optymalizacji wielkości ich obrazów (szybsze pobieranie) oraz uproszczonej implementacji reguł sieciowych (network policies)
przyspieszyć modernizację aplikacji .NET dzięki nowemu narzędziu do obsługi kontenerów w Windows Admin Center.

Pomoc techniczna i licencjonowanie systemu Windows Server 2022
Na tę chwilę brakuje nam jeszcze informacji odnośnie szczegółów wsparcia i licencjonowania, których można się spodziewać, gdy Windows Server 2022 osiągnie etap komercyjnego wydania.Oznaczenie LTSC sugeruje, że produkt Windows Server 2022 po swojej premierze, będzie miał 10 lat wsparcia, podzielonego na dwa pięcioletnie okresy (zwane wsparciem „głównym” i „rozszerzonym”). Dziesięć lat wsparcia to standard, którego bieg powinien rozpocząć się w momencie, gdy system Windows Server 2022 LTSC zostanie wypuszczony na rynek.Microsoft ogłosił w zeszłym miesiącu, że planuje zmniejszyć o połowę tradycyjne 10-letnie wsparcie dla kolejnych wersji Windows 10 i Office LTSC. Jednak nic nie powiedziano wtedy o kolejnym produkcie Windows Server LTSC.

Usługi Managed Services zyskują coraz więcej zwolenników. Braki kadrowe wśród ekspertów ds. bezpieczeństwa wymuszają na przedsiębiorcach szukanie wsparcia u zewnętrznych dostawców. Rosnąca liczba i skala ataków, zwiększa świadomość i potrzebę wdrożenia sprawdzonych technologii. A dostępność cenowa usług sprawia, że po Managed Services sięgają już nie tylko wielkie korporacje, lecz głównie właściciele średnich i małych firm.
 

Dlaczego Managed Services? 
Managed Services to nic innego jak obsługa powierzonego przez klienta procesu lub usługi w trybie ciągłym. Przedsiębiorcy coraz chętniej przekazują na zewnątrz kontrolę nad wybranym obszarem. Współpraca w opisanym modelu przenosi bowiem ryzyko i koszty zarządzania systemami IT na zewnętrznego dostawcę. Przyczynia się to do zwiększenia efektywności i jakości procesów oraz znacząco odciąża wewnętrzny dział IT klienta. Firma zyskuje dostęp do najnowszych systemów, rozwiązań i technologii. A dzięki bogatej ofercie usługi zarządzane można dostosować do specyfiki każdej organizacji i dobierać w miarę bieżących potrzeb. 

Usługi zarządzane od Integrity Partners 

Każda organizacja, bez względu na jej wielkość jest odpowiedzialna za bezpieczeństwo danych swoich klientów, zasobów firmy i pracowników. Niestety właściciele małych i średnich firm wciąż mierzą się z szeregiem wyzwań, które determinują efektywność i jakość procesów biznesowych. Borykają się z trudnym wyborem czy inwestować w rozwój, czy w bezpieczeństwo, a na wybór ten wpływają przede wszystkim zasoby finansowe danej organizacji.  
Wychodząc naprzeciw tym problemom Integrity Partners oferuje usługi zarządzane stworzone z myślą o średnich i małych przedsiębiorstwach. Nasze usługi Managed Services oparte są o sprawdzone technologie, które gwarantują bezpieczeństwo na najwyższym poziomie oraz zgodność z obowiązującymi regulacjami. Oferujemy wsparcie naszych najlepszych ekspertów zarówno w procesie wdrożenia, jak i utrzymania usług. Rozliczamy w formie subskrypcji, dzięki czemu przedsiębiorcy mogą lepiej zarządzać swoimi zasobami – inwestować w rozwój i bezpieczeństwo jednocześnie.  

Co wyróżnia Integrity Partners od pozostałych dostawców Managed Services? 

Nasze usługi zarządzane skupiają się przede wszystkim na obszarze bezpieczeństwa. Wyróżnia nas podejście – proponujemy koncepcję warstwowej ochrony organizacji. Na czym to polega? Wspomniane warstwy to nic innego jak krytyczne obszary, które należy chronić. Mówimy tu o: ochronie poczty e-mail, ochronie danych, ochronie aplikacji www i ochronie sieci. Coraz większa świadomość zagrożeń zwraca uwagę na konieczność ochrony tożsamości uprzywilejowanej. Poważnym, choć często bagatelizowanym zagrożeniem są sami pracownicy. Nie bez znaczenia jest więc odpowiednie przygotowanie zespołu na coraz bardziej wyrafinowane ataki phishingowe. Poza oczywistymi działaniami związanymi z ochroną danych nie możemy zapominać o ich bezpiecznym przechowywaniu. Backup, bo o nim mowa przypomniał nam się gorzko w głośnym pożarze serwerowni OVH. Chyba już nikt nie ma złudzeń – backup to konieczność. 

Struktura i wielkość firm są różne. Różny jest zatem zakres i potrzeby związane z bezpieczeństwem. Dlatego propozycja naszych usług zakłada możliwość swobodnego wyboru rozwiązań i dostosowania ich do indywidualnych potrzeb każdej organizacji. Klient decyduje, które obszary chce chronić, my wdrażamy i przejmujemy opiekę nad procesem utrzymania danej usługi. Jest to szczególnie ważne dla przedsiębiorców. Ponieważ korzystając z naszej oferty, mogą się w pełni skoncentrować na swoim biznesie, a bezpieczeństwo zostawić w rękach doświadczonych ekspertów.  

Jeśli zainteresowała Cię oferta naszych usług zarządzanych, poszukujesz nowych technologii lub potrzebujesz eksperckiego wsparcia, napisz do nas: biuro@integritypartners.pl 

02.03.2021 pojawiła się krytyczna podatność dla systemów Microsoft Exchange on-prem.Microsoft wydał tym samym kilka aktualizacji zabezpieczeń, aby wyeliminować luki, które były wykorzystywane w ukierunkowanych atakach.
Luki dotyczą Microsoft Exchange Server. Nie ma to wpływu na Exchange Online.
Wersje, których dotyczy podatność:

Microsoft Exchange Server 2010
Microsoft Exchange Server 2013
Microsoft Exchange Server 2016
Microsoft Exchange Server 2019

Jako Partner Microsoft zalecamy wykonanie niezbędnych aktualizacji i wdrożenie poprawek. Jeżeli potrzebujecie Państwo wsparcia inżynierskiego w szybkim naprawieniu podanej podatności zapraszamy do kontaktu.
Więcej informacji o zdarzeniu znajdą Państwo na blogu Microsoft.

W ostatnich latach coraz więcej organizacji decyduje się na przeniesienie zasobów do chmury publicznej. Czy Ty również zdecydowałeś się na ten krok? Jeśli tak, to wiesz już jakie korzyści niesie za sobą dostęp do zasobów z dowolnego miejsca, urządzenia i w dowolnym czasie. Wygodny i szybki dostęp do danych uwidocznił jednak nowy problem – rosnącą liczbę nadawanych uprawnień.  
W organizacjach korzystających z różnych dostawców chmury publicznej, szybko gromadzące się uprawnienia, stanowią nowe wyzwanie dla bezpieczeństwa. Każdego dostawcę chmury publicznej cechuje konieczność zarządzania wieloma modelami uprawnień.  To niespójne podejście do zarządzania uprawnieniami staje się poważnym zagrożeniem dla wydajności operacyjnej wielu organizacji.  
Jak zmniejszyć ryzyko związane z przejęciem tożsamości uprzywilejowanych w chmurze? 
Załóżmy, że zasoby Twojej firmy hostowane są w różnych chmurach publicznych. Aby ograniczyć ryzyko związane z przejęciem dostępów uprzywilejowanych – najlepszym sposobem będzie wdrożenie zasady najniższych uprawnień. Dlaczego?
Zasada najniższych uprawnień jest jedną z najważniejszych koncepcji bezpieczeństwa infrastruktury chmury. W myśl tej zasady minimalny dostęp powinien być przyznany wszystkim tożsamościom (ludzkim lub nieludzkim) tylko na minimalny, niezbędny do ukończenia zadania czas. To właśnie ta koncepcja ograniczonego dostępu oraz minimalnego czasu jest najczęściej zapominana i najtrudniejsza do wdrożenia w dynamicznym, złożonym środowisku wielochmurowym. 
Co zyskasz dzięki wdrożeniu zasady najniższych uprawnień:  

zmniejszysz potencjalną powierzchnię ataku 
zwiększysz zgodność z przepisami i dobrymi praktykami  
poprawisz higienę nadawania i odbierania uprawnień 
zwiększysz stabilność infrastruktury chmurowej poprzez ograniczenie szkód, które mogą wynikać z eskalacji lub nieautoryzowanego pozyskania poświadczeń. 

Wiemy już jaki wpływ na bezpieczeństwo naszych zasobów z chmurze ma zasada minimalnych uprawnień. Ale w jaki sposób wprowadzić tę zasadę w życie? Rozwiązaniem może być CyberArk Cloud Entitlements Manager. 
Cloud Entitlements Manager opiera się o usługę IAM (Identity & Access Management) do identyfikowania i mapowania uprawnień w chmurze. Ale w odróżnieniu od innych tego typu rozwiązań dodatkowo wykrywa zagrożenia związane z uprawnieniami np. Shadow Admins, które zwykle nie są śledzone przez narzędzia IAM większości dostawców chmurowych. Cloud Entitlements Manager zbiera dane dotyczące wykorzystania wszystkich istniejących uprawnień w rozproszonym środowisku chmurowym. Dzięki temu identyfikuje nadmiernie używane lub nieużywane poświadczenia, które następnie można usunąć, bez wpływu na działanie usług.
https://www.youtube.com/watch?v=d6QAYVB5RdA

Bezpieczne zarządzanie dostępem uprzywilejowanym w chmurze za pomocą CyberArk Cloud Entitlements Manager. 
Cloud Entitlements Manager to rozwiązanie SaaS, które w znaczący sposób zmniejsza ryzyko związane z przejęciem tożsamości uprzywilejowanych, dzięki wykorzystaniu zasady najmniejszych uprawnień. Usługa pozwala na zarządzanie uprawnieniami w chmurach publicznych: Amazon Web Services (AWS), Microsoft Azure, Google Cloud Platform (GCP) i EKS. 
Cloud Entitlements Manager w środowisku chmurowym: 

centralizuje widoczność i kontrolę uprawnień w całej chmurze organizacji 
zapewnia możliwe do wdrożenia środki zaradcze, umożliwiające usunięcie nadmiernych uprawnień 
zbiera dane i za pomocą sztucznej inteligencji dokonuje oceny poziomu zagrożenia w całym rozproszonym środowisku chmurowym
umożliwia ciągłą ocenę poziomu uprawnień i identyfikuje zalecenia dotyczące redukcji ryzyka. 

Dzięki wyjątkowym funkcjom CyberArk Cloud Entitlements Manager zapewni Twojej organizacji:
Zwiększenie bezpieczeństwa, poprzez:

wymuszenie polityki najmniejszych uprawnień 
identyfikację nadmiernie używanych, nieużywanych i ukrytych uprawnień
automatyzację procesu usunięcia uprawnień, co daje możliwość reakcji na potencjalne zagrożenia w czasie rzeczywistym. 

Ciągłą widoczność uprawnień, poprzez: 

zmniejszenie nadmiernie wykorzystywanych, ukrytych, nieużywanych uprawnień w chmurach publicznych AWS, Azure GCP oraz EKS 
kontrolę i widoczność uprawnień w czasie rzeczywistym. 

Kontrolę uprawnień, poprzez: 

budowę i tworzenie uprawnień w chmurze wraz z zasadami dostępu, co pozwala na zmniejszenie ryzyka związanego z nadmiernie wykorzystywanymi uprawnieniami dotyczącymi zarówno zasobów ludzkich jak i infrastruktury. 

Zmniejszenie ryzyka ekspozycji zasobów chmurowych, poprzez: 

ocenę i zmniejszenie ryzyka związanego z nadmiernymi uprawnieniami na wielu platformach chmurowych 
wymuszenie polityki najniższych uprawnień na wielu platformach chmurowych. 

Na tle innych rozwiązań Cloud Entitlements Manager wyróżnia to, że jest to usługa dostarczana w modelu SaaS, co zmniejsza czas oraz koszty operacyjne, wymagane do uruchomienia i obsługi tej platformy. Kolejną cechą wyróżniającą CEM spośród innych rozwiązań jest obsługa wielu platform chmurowych w jednym, centralnym miejscu, co znacznie ułatwia zarządzanie uprawnieniami. Ponad to, mamy zwiększone bezpieczeństwo dostępu do usługi CEM, poprzez możliwość wykorzystania drugiego faktora autentykacji (MFA). Wyjątkowość Cloud Entitlements Manager podkreśla także możliwość implementacji automatycznych i manualnych akcji, polegających na usuwaniu nadmiernie wykorzystywanych uprawnień dotyczących infrastruktury i zasobów ludzkich. 
Podsumowując, zarządzanie bezpieczeństwem organizacji w chmurze niesie ze sobą wiele wyzwań, a jednym z nich jest niewątpliwie zarządzanie dostępem uprzywilejowanym. Dynamiczny charakter infrastruktury chmurowej nie ułatwia zadania. Dzięki takim rozwiązaniom jak Cloud Entitlements Manager jesteśmy jednak w stanie ochronić nasze zasoby, zapobiegać kradzieży danych i zapewnić ciągłość działania usług powołanych w chmurze. 
Jeżeli chcesz dowiedzieć się więcej na temat rozwiązania CyberArk Cloud Entitlements Manager – skontaktuj się z nami. 

Początkowo słowo haker nie miało tak negatywnego znaczenia, jakie znamy dzisiaj. W latach siedemdziesiątych ubiegłego wieku hakera definiowano jako – entuzjastę komputerów. Wspomniany entuzjasta interesował się odkrywaniem szczegółów dotyczących oprogramowania, ich układem i sposobem rozszerzania możliwości tych układów. To „rozszerzanie możliwości” niestety bardzo szybko nabrało całkiem nowego, niebezpiecznego znaczenia.
Wraz z rozwojem sieci komputerowych i Internetu, pasjonaci coraz wnikliwiej przeglądali schematy, funkcję, a wręcz poszczególne linie kodu. Nikt wówczas nie przypuszczał, że to z pozoru niegroźne i bardzo amatorskie wyszukiwanie luk w oprogramowaniu da początek całej gałęzi przemysłu hakerskiego.
Pierwsze wirusy komputerowe służyły do robienia psikusów (np. wyłączały monitor). Z czasem jednak programy takie stały się coraz bardziej groźne, wirus potrafił np. trwale uszkodzić dysk komputera. Na przestrzeni lat psikusy zamieniły się w bardzo niebezpieczne i często opłakane w skutkach profesjonale ataki hakerskie. Dzisiaj wiemy już sporo na temat naszych przeciwników.  Żeby jednak bronić się skuteczniej, warto poznać bliżej współczesnych aktorów rynku cyberNIEbezpieczeństwa.
Ze względu na motywy, którymi się kierują oraz sposób działania aktorów rynku cyberNIEbezpieczeństwa możemy podzielić na kilka grup:

Hakerzy: WhiteHat, BlackHat i Script Kiddies
Haktywiści
Przestępcy
Konkurencja
Pracownicy wewnętrzni

Słysząc termin „haker”, nasze skojarzenia mogą pójść w różne strony. Od siedzących w piwnicach geniuszy (zapewne zza wschodniej granicy), przez sygnalistów z pierwszych stron gazet, walczących o swoje idee, po zamaskowanych przestępców, którzy realizują brudne, korupcyjno-przestępcze interesy. Wreszcie hakerem może okazywać się “zwykły” użytkownik, który wykorzysta swoje uprawnienia do zaszkodzenia organizacji lub nielegalnego wykorzystania danych.  I w każdym z tych skojarzeń możemy odnaleźć ziarno prawdy. Jednak codzienność może okazać się bardziej prozaiczna, a “hakera” możemy odnaleźć bliżej niż nam się wydaje. Jak może on wpłynąć na naszą firmę? Zapraszamy do lektury:
Hakerzy
WhiteHat – od jakiegoś czasu firmy decydują się na zatrudnianie tzw. Ethical hacking – wykwalifikowanych, niezależnych, “etycznych” hakerów, którzy dostają dostęp do zasobów firmowych. WhiteHat zatrudniani są w celu wyszukiwania luk w zabezpieczeniach. Jeśli ich motywy są szczere – pomagają firmom wychwycić słabe punkty w organizacji i podnieść poziom bezpieczeństwa. Bywa, że hakerzy tzw. BlackHat wykorzystują wiedzę zdobytą o firmie dla własnych celów. Zdarzają się przypadki kradzieży danych i szantażu.
Wskazówka! Jeżeli zdecydujesz się na usługi WhiteHat, upewnij się, że Twoje dostępy do kont są dobrze zabezpieczone. Ważna jest systematyczna rotacja haseł oraz odpowiednie zabezpieczenie urządzeń końcowych. Rozwiązaniem doskonale wpisującym się w te potrzeby jest CYBERARK ENDPOINT PRIVILEGE MANAGER (EPM)
Script kiddies (złośliwe dzieciaki) – amatorzy, mniej wykwalifikowani, ale często równie niebezpieczni niszczyciele zabezpieczeń Internetowych. Script kiddies wykorzystują już istniejące, łatwe i dobrze znane techniki i programy do wyszukiwania i wykorzystywania słabych punktów w innych komputerach. Typowy atak script kiddy opiera się na tworzeniu fałszywych witryn internetowych. Nieświadomy zagrożenia użytkownik wprowadza tam swój login, dając w ten sposób atakującemu dostęp do swojego konta. Motywy tej grupy są najczęściej ideowe – z racji na zwykle młody wiek atakujących, ich celem jest bardziej zdobycie popularności wśród rówieśników niż zyski finansowe.
Wskazówka! Każdy użytkownik komputera jest narażony na potencjalne zagrożenia. Ważna jest świadomość tych zagrożeń oraz wiedza jak sobie z nimi radzić. Przydatne mogą być szkolenia Security Awareness – czyli bezpieczeństwo IT dla każdego. Najlepszym rozwiązaniem, które pomoże w edukacji, budowaniu świadomość oraz uodporni Twój zespół na zagrożenia będzie CYBEREADY.
Haktywiści
To użytkownicy sieci, naruszający obowiązujące prawo na podstawie motywacji ideologicznych lub politycznych. Głównym ich celem jest zwrócenie uwagi poprzez rozpowszechnianie treści propagandowych lub szkodzenie organizacjom, z których polityką się nie zgadzają. Tą grupę charakteryzują ataki typu DDoS. Przykładowy atak haktywistów to np. sytuacja, kiedy zbyt wiele osób próbuje wejść na daną stronę www, co w efekcie doprowadza do przeciążenia serwera. Kiedy o ataku robi się głośno, kolejne osoby wchodzą na stronę jeszcze chętniej – nieświadomie wspierając wysiłek atakujących. Haktywiści wykorzystują swoje umiejętności w celu podniesienia świadomości na ich temat oraz popieranych przez nich idei.
Wskazówka! Jeżeli chcesz zapewnić kompleksową ochronę przed utratą danych, atakami DDoS oraz wszelkimi znanymi zagrożeniami warstwy aplikacji sprawdź możliwości rozwiązania BARRACUDA WEB APPLICATION FIREWALL (WAF).
Przestępcy
To zorganizowane grupy przestępcze, nastawione na cel biznesowy. Dla tej grupy najczęstszą motywacją ataku są zyski finansowe. Grupy są zwykle bardzo liczne, świetnie zorganizowane i wykfalifikowane. Dysponują własnymi narzędziami do przeprawienia skutecznego ataku. Specjalizują się w atakach typu atak-as-a-service. Często motywem nie-na-zamówienie jest budowanie botnetów do późniejszych ataków DDoS lub po prostu cryptolockery i wymuszenie okupu.
Wskazówka! Zorganizowane grupy przestępcze to niewątpliwie jeden z najtrudniejszych przeciwników. Dobrze zorganizowane i przeszkolone zespoły hakerów dysponują ogromną wiedzą i zasobami, które zapewniają im dużą skuteczność ataków. W tym przypadku niezbędne będzie narzędzie, które będzie w stanie ubiec plany hakerów. Doskonale sprawdzi się rozwiązanie, które wykrywa, klasyfikuje i wizualizuje potencjalne zagrożenia w oparciu o mechanizmy sztucznej inteligencji – DARKTRACE.
Pracownicy wewnętrzni
To najczęściej byli lub obecni niezadowoleni pracownicy, szukający zemsty na byłym pracodawcy lub korzyści finansowych. To jeden z najbardziej niebezpiecznych typów atakujących. Posiadają personalną motywację i często wyszukują „dziury” w naszym stacku bezpieczeństwa (24/7), podczas gdy firmy bronią się najczęściej aktywnie podczas standardowych godzin pracy pracowników (8/5). Do tej grupy hakerów możemy także zaliczyć osoby, które zatrudniają się celowo w organizacji, by szpiegować i zdobywać informacje, a następnie przekazywać te informacje do współpracujących z nimi grup przestępczych.  
Wskazówka! W celu zabezpieczenia firmy przed wyciekiem danych oraz kontrolę nad tym, jakie treści i do kogo są przekazywane wewnątrz organizacji umożliwi MICROSOFT AIP. Dodatkową ochronę zapewni także rozwiązanie FIDELIS NETWORK. W całodobowej kontroli bezpieczeństwa pomoże ANTIGENA firmy Darktrace, którą można ustawić na automatyczne działanie tylko poza godzinami biurowymi. Natomiast w godzinach biurowych może działać w systemie Human Confirmation.
Konkurencja
Nieczyste zagrania między konkurencyjnymi firmami na rynku nie są nowością. Organizacje od zawsze walczą między sobą o klienta. Są jednak hakerzy, którzy umiejętnie wykorzystują te walkę dla swoich celów.  Znane są przypadki, kiedy to jedna firma wynajmuje hakera lub całą grupę przestępczą w celu pogrążenia konkurencji. Takie ataki mają na celu kompromitacje przeciwnika, osłabienie jego pozycji na rynku i przede wszystkim odebranie klientów.
Wskazówka! W atakach na konkurencję hakerzy najczęściej wykorzystują najbardziej sprawdzone i skuteczne metody. Jak szybko pozbawić firmę dostępu do danych i skompromitować w oczach klientów? Wystarczy dobrze przeprowadzony phishing. Wiadomość e-mail imitująca legalne komunikaty zwabia odbiorcę i wywołuje pożądaną reakcję. W natłoku zadań pracownicy często nie wychwytują podejrzanych treści, klikając w link, padają ofiarą zamierzonych działań przestępcy. Pracownik jest najczęściej tym słabym ogniwem, o który trzeba odpowiednio zadbać. Żeby wzmocnić odporność firmy na phishing i wszystkie inne zagrożenia związane z social engineering, warto skorzystać z autonomicznej platformy szkoleniowej CYBEREADY.
Motywy działania cyberprzestępców są bardzo różne. Atakującymi mogą kierować względy ideowe, finansowe lub polityczne. Bez względu na to, czym kierują się hakerzy – atak na naszą organizację może okazać się katastrofalny w skutkach.  Na rynku istnieje jednak wiele rozwiązań, które pozwalają toczyć codzienną walkę z cyberprzestępczością i co najważniejsze – pozwalają nam wyjść z niej zwycięsko.
W odpowiedzi na powyższe zagrożenia Integrity Partners oferuje wiele sprawdzonych technologii, które idealnie wpisują się w potrzeby bezpieczeństwa każdej firmy. Pomożemy Ci w wyborze właściwego rozwiązania, a nasi eksperci zapewnią kompleksowe konsultacje. Nawet jeśli Twoja firma nie dysponuje ogromnymi zasobami IT – zaproponujemy Ci odpowiednie warstwy ochrony w ramach usług MANAGED SERVICES. Chcesz dowiedzieć się więcej? Napisz do nas

Zapowiadany przez Microsoft „nowy rodzaj doświadczenia dla pracowników” został właśnie ogłoszony przez CEO giganta z Redmond. Platforma Teams zyskuje potężną możliwość rozbudowy doświadczeń pracowników. Posłuchajmy bezpośrednio, co Satya Nadella ma do powiedzenia na temat nowej platformy: Microsoft Viva.

Rozwiązanie Microsoft Viva ma służyć zespołom i pracownikom przez poprawę komfortu pracy w rozproszonych zespołach. W ramach platformy użytkownicy mają otrzymać do dyspozycji 4 moduły:

bank wiedzy, zasilany danymi z całej organizacji (Viva Topics)
statystyki i rekomendacje dotyczące produktywności i zdrowej pracy zdalnej (Viva Insights),
moduły szkoleniowe, korzystające z baz firmowych oraz LinkedIn (Viva Learning),
platformę komunikacji wewnętrznej (Viva Connections).

Wprowadzenie do oferty platformy oferującej kompleksowe usługi wspierające codzienną pracę stanowi odpowiedź na zmiany sposobu pracy. Doświadczenie pracownika (employee experience) jest zwrotem powtarzanym przez wszystkie przypadki, kiedy przywoływane są poszczególne moduły Microsoft Viva. Rosnące rozproszenie zespołów i ewolucja funkcjonowania wewnątrz firm sprawiają, że bezpośredni kontakt z innym pracownikami musi być zastępowany w inny sposób. W ten sposób technologia jest w stanie pomóc w tworzeniu kultury organizacji i pogłębiania tożsamości firm.

Technologicznie, Microsoft Viva opiera się na istniejących możliwościach, drzemiących w Microsoft Teams czy Microsoft 365. W jaki sposób? Dzięki wykorzystaniu doświadczeń z narzędzi Yammer, LinkedIn, czy zewnętrznych producentów, jak Skillsoft, Coursera, PluralSight i edX. Wyzwanie, jakim było zebranie tego w spójną platformę – daje ekscytujący efekt. 

Moduły będą udostępniane kolejno, a wykorzystanie Microsoft Teams pozwoli na szeroki wgląd w możliwości narzędzi spod znaku Viva. Dlatego zapraszamy do zapoznania się z naszą ofertą szkoleń i wdrożeń oprogramowania Microsoft Teams.

Zapraszamy również na webinarium, w czasie którego Kuba Borkowski omówi możliwości przedłużenia kończących się licencji Teams oraz migracji z kończącego funkcjonowanie Skype for Business: 

Progressive Web App czyli “progresywne aplikacje webowe” to technologia zapoczątkowana w Chrome już w 2017 roku, mało znana i chyba wielu osobom umknęło, że jest to już dostępne w nowym Edge. Pozwala na uruchamianie aplikacji webowych podobnie jak typowe desktopowe aplikacje, ze skrótem na pulpicie, w menu start, a także na liście Dodaj / usuń programy 😊.
Co to nam daje? Aplikacje webowe nie są lubiane przez użytkowników.  Odwieczne pragnienie posiadania swojego „grubego” Office powoduje zażenowanie jak się użytkownik dowiaduje że od teraz będzie pracował w przeglądarce. Plany E1 czy F „przeglądarkowe”, szczególnie mój ulubiony Microsoft 365 F3 nie posiadają licencji na pakiet Office. Jak możemy pomóc użytkownikom?
Pokażmy im PWA!
Kilka rzeczy jednak trzeba wiedzieć.
1. Jakie przeglądarki to obsługują? W sensie ogólnie PWA, natomiast dla np. Outlook Microsoft podaje tylko Edge i Chrome.
2. Jakie aplikacje O365 można „instalować”?
Zasadniczo Outlook i Office (portal Office). Będąc w Word Online też można go zainstalować, ale będzie to konkretny dokument, nie pusty, wynika to z zasady tworzenia plików w OneDrive jako takich.
Można także Admin Portal, Sway, Planner, a nawet LinkedIn :D. Szukajcie a znajdziecie.
Zdecydowanie świetnie sprawdza się Outlook, wszystko dzieje się w ramach jednej aplikacji. Natomiast w aplikacji Office, jeśli chcemy np. utworzyć nowy Dokument, otwiera się standardowa przeglądarka, nie jako PWA.
Korzystanie z PWA jest znacznie wygodniejsze od typowej pracy w przeglądarce. Samo otworzenie aplikacji jest szybsze, no i przełączanie się między aplikacjami (oknami), a nie zakładkami w przeglądarcie jest 100 razy wygodniejsze. 
3. Jak to automatyzować, zarządzać?
Polecam to tylko pokazać, jak każdy może to samodzielnie zainstalować. Google np. dla swojego GSuite dostarcza paczkę do dystrybucji JSON poprzez GPO, natomiast dla aplikacji MS tego jeszcze nie mamy.
Można poczytać artykuły, fora, gdzie ludzie pytają jak to zrobić, niestety na chwilę obecną nie ma żadnego sprawdzonego sposobu.
Należy zwrócić uwagę na przykładową zawartość skrótu takiej aplikacji Outlook – jest bezpośrednio skojarzona z profilem konta zalogowanego w przeglądarce. Co ciekawe, jak profil wylogujemy skróty znikają!
„C:Program Files (x86)GoogleChromeApplicationchrome_proxy.exe” –profile-directory=Default –app-id=faolnafnngnfdaknnbpnkhgohbobgegn
Aplikację oczywiście mamy na Pulpit, Menu Start, a także możemy ją klasycznie odinstalować 😀 (można też z poziomu przeglądarki rzecz jasna).
4. Ciekawostka
W Windows Insider Microsoft automatycznie instaluje skróty PWA :D. Czy będzie poza insiderem, czas pokaże :D. Jeśli ktoś ma więcej informacji w tym temacie będę dźwięczny za info w komentarzu!

Czas na tort Linuxowo Teamsowy z dodatkiem CA

Trochę przewrotnie, ale artykuł dotyczy obszaru który nie działa do końca tak, jak byśmy chcieli. Mam nadzieję komuś zaoszczędzi wpadki na projekcie, czy godzin analizy dlaczego coś się da, albo nie 😊.

Poruszę dwa scenariusze, które często realizuję w pracy z klientami dotykając Dostępu Warunkowego z Azure AD Premium. Mimo że AADP to elementy bezpieczeństwa tożsamości, ten obszar dotyczy konkretnie dostępu do danych.

Załóżmy sobie dwa proste, typowe, a nawet powiem klasyczne scenariusze w których będziemy się poruszali:

1) Organizacja modeluje reguły CA dla każdego scenariusza, urządzenia, aplikacji, sieci, itd., itp., ale… zostawia dziurę, i to jaką! Większość konfiguracji CA, które widziałem nie uwzględniała jednego przypadku – dostęp ze środowiska Linux. I o tym dalej…

2) Organizacja nie jest w powyższego przykładu i dla Linux chce także wprowadzić zasady CA. Ale jakie? A więc takie, aby dołożyć do całości MCAS i zabronić pobierania plików. Praca 100% w chmurze, żadnych danych offline – przecież nie zarządzamy tymi maszynami (w 99,9% przypadków).

No to popatrzmy o co tak naprawdę chodzi. Zacznijmy od przypadku Numer 1.

Kto zetknął się z warunkami (Conditions) w CA, wie że możemy wskazać dla jakich systemów polisy działają, dla jakich nie. A co jeśli te polisy zawsze mają wyjątek? Jak wiecie, na liście systemów nie mamy Linuxów (ale możecie o to grzecznie prosić – Feedback/UserVoice).

Dlatego też, tworząc najwymyślniejsze restrykcje, nie zrobiliśmy nic dla środowiska Linuxowego. (Oj jaka szkoda 😊). Możemy to na szczęście naprawić jedną, zgrabną polisą. W skrócie – Blokuj wszystko, jeśli platforma jest dowolną poza wskazanymi.

I to nam całkowicie załatwia sprawę, zarówno w przeglądarce, w aplikacjach, i dla wszystkich usług M365.

Och jakie proste. Szkoda tylko że większość (może i Ty) klientów u których analizowałem konfigurację CA miała taką prostą dziurkę…

Przypadek No. 2

Tutaj jest nieco trudniej. Mamy stacje Linuxowe, nie zarządzamy nimi, teoretycznie możemy prosić ludzi o korzystanie z Windows do pracy. Ale może jednak się da…

Na Linuxa mamy klienta Teams, bo o tym dzisiaj głównie mowa. Więc zbudujmy sobie klasyczną polisę CA, która jak dla No. 1 będzie działała na „wszystkie niezaznaczone” systemy i ustawmy jak dla innych urządzeń prywatnych – pracujcie, ale tylko w chmurze, w OneDrive, Sharepoint, ale bez zapisywania danych na stację (a bo może i pod KNF podlegamy i nie możemy na to pozwolić?).

Polityki CA – regulujemy czy działają dla przeglądarki, dla klienta desktop, dla innych. Czy to zadziała na Linux?

Oszczędzę wyjaśnień krok po kroku – NIE! Czemu?! Klient „Desktop” Teams dla Linux jest PRZEGLDRAKĄ!!!

Jak to? A no takto. Techniczne, klient Teams na Windows to też przeglądarka 😊.

No więc mamy stuację, przeglądarka jest przeglądarką, klient jest przeglądarką.

No to włączmy polisę, która zabrania pobierania plików. Proszę 😊

Zadziała?? NIE! MS wprost pisze, zasady MCAS i te w CA, działają tylko w klientach webowych. Więc skoro nasz Desktopowy Teams jest webowy to nie zadziała? NIE! I tu pies pogrzebany… Nie zadziała i tyle, pliki można ściągać do woli..

No i co teraz Panie Architekt? Chyba na statusie trzeba ten wątek poruszyć?

Oczywiście jest to element na który należy zwrócić uwagę, ale nie jesteśmy bez wyjścia. Przyglądając się informacjom logowania, widzimy jak wygląda string User Agent

Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) MicrosoftTeams-Insiders/1.3.00.30857 Chrome/80.0.3987.163 Electron/8.5.3 Safari/537.36

MicrosoftTeams-Insiders – I to jest klucz. Jak to wykorzystać aby osiągnąć oczekiwaną konfigurację, czyli zablokować dostęp z „desktopowego” Teams, ale dopuszczając przeglądarkę (z ograniczeniem pobierania)? Nic prostszego, potrzebujemy do tego tortu 2 składników*:

polisą w MCAS zabronić dostępu dla danego User Agent,
polisą w MCAS/polisą CA zabronić pobierania plików w webowym Teams.

* – składniki można mieszać.
Wyglądało by to w MCAS w zasadach dostępu mniej więcej jak na poniższej grafice. Oczywiście polisy MCAS mogą wywołać inne akcje, jak właśnie też pobierania blokowania, czy np. ustawiania klasyfikacji AIP w przypadku pobrania pliku, ale nie o tym dzisiaj 🙂

Zapraszam także do kontaktu z nami, jeśli potrzebujesz wsparcia.

EOP – Exchange Online Protection – zestaw rozwiązań zabezpieczeń poczty dostępny w każdej (każdej!) subskrypcji O365/M365, w której mamy usługę Exchange Online.

Defender for Office 365 – (poprzednio nazywany Office 365 Advanced Threat Protection) – zestaw rozwiązań zabezpieczeń nie tylko poczty, ale także plików w usługach MS Teams i Sharepoint, dostępny w planach E5 (O365 E5, M365 E5, w dodatkach M365 E5 Security oraz jako produkt stand-alone).

Uruchamiając każdy tenant usługi Microsoft, w którym będziemy korzystali z poczty Exchange Online, należy dokonać konfiguracji, a przynajmniej przeglądu i zapoznać się z konfiguracją domyślną usługi EOP.

Uruchamiając tenant z dostępnymi licencjami Defender for Office 365, należy dokonać konfiguracji elementów zaawansowanych. Domyślnie nie są włączone czy przypisane do naszych użytkowników.

Zarówno funkcje dostępne w Defender się zmieniają, jak też zmieniają się czasami wytyczne i dobre praktyki. Jak w tym się nie pogubić, być na bieżąco z najlepszą możliwą konfiguracją, szczególnie dla narzędzi zaawansowanych? Mamy do dyspozycji 3 rozwiązania, popatrzmy co oferują.

1.  Manualny przegląd konfiguracji

Dlaczego nie jest dobry? 😊 Bo jest manualny! I nie pokazuje wszystkiego. Trzeba się „przeklikać” przez każde ustawienie, jeśli mamy kilka polityk np. dla różnych grup pracowników, trzeba to zrobić dla każdej z nich. A dodatkowo, nie wszystkie ustawienia są dostępne w GUI, część należy ustawiać przez Powershell, a jednocześnie nie mamy łatwego odniesienia do dodatkowych informacji.

Na szczęście, wszystko możemy wykonać w jednym portalu – https://protection.office.com/threatpolicy (lub dla samego EOP w portalu ECP Exchange https://outlook.office.com/ecp/).

2. ORCA

Nazwa pochodzi od „Office 365 Advanced Threat Protection Recommended Configuration Analyzer”.

Jest to narzędzie uruchamiane w PowerShell, dające w wyniku, dane wyświetlane w postaci witryny html. Pobieranie narzędzia wykonujemy poprzez Install-Module-Name ORCA, wygenerowanie raportu przez Get-ORCAReport, jednak każdorazowo przed wykonaniem raportu zalecane jest wykonanie aktualizacji modułu przez Update-Module ORCA.

Co dostajemy w rezultacie uruchomienia? Bardzo ładnie przedstawione wyniki skanu naszej konfiguracji wraz z rekomendacjami

Skanowane są ustawienia tenanta, reguł transportowych Exchange, oraz całej konfiguracji EOP z Defender.

Konfiguracja i status

Jak widać, 48 ustawień jest zgodnych z zaleceniami Microsoft, natomiast w 10 możemy coś poprawić, a dla 1 dostaniemy dodatkowe informacje. (Proszę zapamiętać – 48 – 10 – 1).

Dla ustawień, gdzie Micorosft sugeruje weryfikację, czy możliwa jest poprawa, dostaniemy zestaw wartości aktualnych, rekomendowanych, oraz łącza gdzie możemy uzyskać więcej informacji na ten temat.

Ustawienie musimy jednak odnaleźć samodzielnie, nie mamy z tego poziomu możliwości włączenia jakiejś opcji czy zmiany wartości. Ale tu uwaga, mamy rozwiązanie trzecie!

3. Analizator konfiguracji w portalu

Dostępny w portalu Protection (https://protection.office.com/threatpolicy) analizator konfiguracji jest prawie najlepszym rozwiązaniem. Dlaczego? O tym 2 słowa w podsumowaniu.

Daje nam wyniki podobne jak ORCA, jednak widać że zaleceń jest 9 nie 10 (to ten sam tenant). Dodatkowo, należy pamiętać ze Analizator pokazuje domyślnie zalecenia poziomu Standard, natomiast poniższy wynik to zalecenia ścisłe, strict.

Nie jest to „klikalne”, nie rozwinie się nam nic więcej (może w przyszłości będzie jakieś okienko wyskakiwało), więc nie jest łatwo ustalić o jakie konkretnie ustawienie chodzi albo o nim doczytać. Lecz, co jest bardzo fajnego? Jak przewiniemy ekran w prawo, możemy dane ustawienie po prostu włączyć😊

Narzędzie na pewno ma potencjał i nie odradzam go, w żadnym wypadku. W materiale video możecie zobaczyć dokładnie jak to działa.
https://youtu.be/H73d6QedCWE

Podsumowanie

Narzędzie Analizatora na pewno będzie się rozwijało i spełni moje oczekiwania w 100%. Ja jednak osobiście zostaję przy ORCA z kilku powodów:

– bezpośrednie odnośniki do Microosft Docs, gdzie można szczegółowo doczytać o danym ustawieniu, a co za tym idzie wykonujemy zmiany z głową, a nie tylko klikając. Oczywiście znając te wszystkie konfiguracje można sobie znacznie ułatwić pracę wspierając się analizatorem do wprowadzania konfiguracji,

– wylistowane są także funkcje ustawione zgodnie z rekomendacjami,

– plik raportu ORCA „odkłada” się na komputerze. Co prawda analizator ma funkcje historii co jest bardzo przydatne, jednak co plik to plik 😊. Jednocześnie, ORCA ma więcej opcji generowania raportów, np. do CosmosDB, skąd można je zaciągać np. przez PowerBI (więcej o parametryzacji wyników – https://github.com/cammurray/orca#supported-outputs )

– i na koniec – administrując wieloma tenantami można wykonywać skrypt automatycznie dla większej ilości klientów, jednocześnie składując wyniki w jednym miejscu.

Zapraszam także do kontaktu z nami, jeśli potrzebujesz wsparcia.

Każda osoba zajmująca się adopcją Microsoft Teams, czy w ogóle Microsoft 365 mierzy się z jednym wyzwaniem, które nie jest łatwe do przeskoczenia – jak dobrze mierzyć postęp i zmierzyć efektywność (KPI)?

Do tej pory, chyba najczęściej stosowanym rozwiązaniem, było

odpytywanie użytkowników np. poprzez ankiety w Microsoft Forms o ich subiektywną opinie,
dla tych bardziej zaawansowanych i skupionych na procesie adopcji – przeglądanie logów z wykorzystania np. Teams. Największy problem z tym związany – jest to zdecydowanie żmudne i niewdzięczne narzędzie, jeżeli nie posiadamy np. PowerBI.
wbudowane raporty wykorzystania usługi (usage) w PowerBI – to akurat całkiem fajna rzecz.

Wszystko to co powyższe, może być właśnie znacząco rozszerzone dzięki Wskaźnikowi Produktywności (Productivity Score), który właśnie wszedł w GA (global availability – pełne wsparcie i gotowe do wykorzystania produkcyjnego)!

Co to jest Wskaźnik Produktywności (Productivity Score)?

W dużym skrócie – dosyć obszerny raport, który pokazuje na bieżąco jak z Office 365 korzystają nasi użytkownicy. Mamy dostępny podział na komunikację, spotkania i tym podobne. Na podstawie między innymi logów dziennika zdarzeń, otrzymujemy dane, dotyczące poziomu zaawansowania i ogólnej efektywności pracy z wykorzystaniem narzędzi Microsoft 365.

Wszystkie elementy są następnie zsumowane i w efekcie zaprezentowana jest jedna metryka (procentowa), która ma +/- pokazać nam, jak dużo pracy przed nami, albo czy możemy wystąpić o premię z racji dobrze wykonanej pracy 😁

Od razu uprzedzę – możecie kojarzyć rozwiązanie takie jak Workplace Analytics (mimo że do tej pory nie spotkałem się z nim w Polsce) – to nie jest to samo! Productivity Score jest dostępny bez dodatkowych licencji 🙂

No dobra, to co za informacje się tam znajdują?

A trochę tego jest – oprócz ogólnego podsumowania, mamy podział na kilka kategorii.

Komunikacja

Pierwszy kafelek pokazuje informacje o szeroko pojętej komunikacji w organizacji – z czego korzystają użytkownicy (poczta e-mail, Microsoft Teams, Yammer), jak z nich korzystają:

wzmianki,
wiadomości w kanale,
chaty prywatne,
posty

w końcu… – kto dokładnie z tego korzysta (czyli tzw. 'surówka’ – dane z podziałem na osoby i liczby, pokazujące np. ilość wiadomości chat). Pokazywane są szczegółowe dane z ostatnich 28 dni (ogólny wskaźnik zawiera historię aż 180 dni wstecz!).

Spotkania

Drugi dostępny wykres dotyczy spotkań – i osobiście uważam, że są to jedne z bardziej przydatnych informacji w kontekście adopcji.

Po rozwinięciu dostajemy informacje o tym ilu użytkowników ma włączone kamerki, ilu udostępnia ekran, jak długo trwają spotkania itd. Podobnie jak w przypadku komunikacji – dane szczegółowe z ostatnich 28 dni, historycznie z ostatni 180 dni (podsumowanie wyniku).

Współpraca nad zawartością

Kolejny świetny raport, pokazujący jak na plikach pracuje się w naszej organizacji. Wszyscy wspólnie powinniśmy powiedzieć 'NIE!’ dla załączników w mailach (chyba, że inteligentne załączniki do OneDrive 😉).

Otrzymujemy informację o tym gdzie znajdują się pliki np. – Microsoft SharePoint/OneDrive,
czy osoby korzystają z załączników fizycznych, czy osadzają linki,
jak wygląda udostępnianie na zewnątrz.

Teamwork – praca zespołowa

Ktoś wspomniał Microsoft Teams? Raport pokazujący pracę zespołową – jak się komunikujemy zespołowo, ile mamy aktywnych kanałów/użytkowników i czy w ogóle z Teams korzystamy.

Ciekawostka – coś nie do końca się udało wszystkie elementy przetłumaczyć na nasz rodzimy język 😉 Zdecydowanie polecam całą usługę w języku angielskim.

Mobilność

Kiedyś odważyłbym się powiedzieć, że bardzo ważny element, ale w momencie jak i tak mamy siedzieć w domu…

Ostatni pulpit w kategorii 'Doświadczenia ludzi’ pokazuje nam mobilność w organizacji

z jakich platform korzystają użytkownicy (aplikacje Windows, web, apki na komórki/tablety), które dominują i – o ironio – ile osób pracuje zdalnie (bezużyteczny wskaźnik obecnie 😄). Ponownie 28 dni wstecz mamy dane szczegółowe, główny wskaźnik pokazuje zmianę na przestrzeni ostatniego pół roku.

Obsługa technologii – 3 dodatkowe raporty

Dostajemy też trochę danych odnośnie samej technologii – jak wygląda jakość łącza, czy nasi użytkownicy mają wspierane wersje oprogramowania i w końcu – jak wydajne są nasze urządzenia. Aby ostatnia ze wspomnianych funkcji działała, trzeba najpierw uruchomić analizę punktów końcowych z poziomu Intune (Endpoint Manager) – też już dostępną w GA.

Specjalny raport – ciągłość biznesowa

I tutaj wielkie wow – ogromny raport, który został przygotowany specjalnie na potrzeby przystosowania pracy podczas pandemii. Myślę, że na temat tego jednego punktu możnaby zrobić osoby artykuł…

Multum przydatnych informacji – jak długo nasi pracownicy współpracują w ciągu tygodnia, w jakich godzinach, czy spotkania są skuteczne (+10 punktów do tego jednego raportu, jak zostanę dodany do kolejnego spotkania, które powinno być mailem to idę na urlop 😐…) i co ważne – dostajemy również informacje jak możemy wpłynąć na poprawę tych wyników.

Polecam artykuł z marca tego roku, który wchodzi w szczegóły pracy zdalnej (link na końcu tego wpisu).

Podsumowanie i jak to włączyć?!

No właśnie, do brzegu, bo trochę się rozpisałem…

Wskaźnik produktywności wyszedł już z fazy preview i jest dostępny dla każdej organizacji korzystającej z subskrypcji Office 365/Microsoft 365. Ale – trzeba go włączyć 😉

Jeden z adminów (nie musi być global, wystarczy nawet raport reader) musi przejść do panelu administracyjnego usługi i w zakładce raporty kliknąć w odpowiednią opcję. Po włączeniu musimy odczekać parę godzin, aby dane zostały zebrane i przedstawione w postaci ładnego raportu. Na szczęście tylko kilka godzin, a nie np. tydzień czy dwa (pozdrawiam trainable classifiers ❤).

Rozwiązanie jest jeszcze świeże i z pewnością będzie rozwijane. Jeżeli prowadzicie adopcję chmury w swojej organizacji (jeżeli nie to jesteście trąba) – jest to świetny dodatek, aby spojrzeć jakie są efekty waszej pracy 😉

Polecam! ✌

Zapraszamy również do kontaktu z nami: Kontakt

__________________________________________________________________________

PS. Obiecane zasoby niżej – link do opisu produktu, dokumentacji oraz fajny artykuł z początku roku o którym wspominałem
https://adoption.microsoft.com/productivity-score/

https://docs.microsoft.com/en-us/microsoft-365/admin/productivity/productivity-score?view=o365-worldwide
https://insights.office.com/workplace-analytics/remote-work-data/

Phishing nie znika – on tylko rośnie!

Kilka słów wstępu dot. naszego głównego bohatera, czyli phishingu – zdawać by się mogło, że wraz z rozwojem technologii, zobaczymy coraz to nowsze rodzaje ataków i zagrożeń. Faktycznie regularnie pojawiają się raporty o nowych wektorach ataku i włamaniach o dotąd niespotykanej skali. Jednak niezmiennie najpopularniejszy jest phishing – najprostsza i, wydawać by się mogło, najmniej skuteczna metoda ataku (nic bardziej mylnego!). Tutaj do gry wchodzi rozwiązanie w ramach pakietu Microsoft Defender for Office 365.

W pierwszym kwartale 2020 zaobserwowano wzrost ataków phishingowych do rozmiarów nienotowanych od 2016 roku [1]!

Żeby podkreślić jeszcze fakt, że to nie jest tylko wyciąganie pojedynczych informacji – 22% wycieków danych wynikało lub zawierało w sobie właśnie ataki phishingowe[2]!

Nie tylko technologia, ale ŚWIADOMOŚĆ

Sama formuła ‘phish’ nie do końca oddaje różnorodność ataków, które za tym się kryją. To trochę tak, jak każdą osobę w IT określić mianem informatyka – programistów, oficerów bezpieczeństwa, architektów etc. Oprócz typowego podmieniania odnośnika lub podszywania się pod inną osobę – zaobserwowano sporo technik nieco bardzie wysublimowanych, a co za tym idzie – trudniejszych do wykrycia.

Przykłady – zyskujący na popularności zombie phishing, gdzie atakujący przejmują konto i następnie wykorzystują stare konwersacje mailowe i odpowiedzi na nie, do których dodają jakiś link phishngowy. Jako potencjalny cel takiego ataku – znamy odbiorcę, znamy temat rozmowy.

Idąc dalej – chyba każdy z nas doświadczył już odnośników skróconych (bitly itd.) czy kierujących na znane serwisy jak np. google drive.

Dlatego właśnie tak ważne jest, aby zadbać o świadomość użytkowników – informować ich o różnych metodach ataku, o tym jak rozpoznawać podrobione wiadomości, co zrobić, kiedy mamy wątpliwości, jak reagować i, co BARDZO ważne (a często zapominane), przekonywać ich do zgłaszania wszelkich prób!

Microsoft Defender for Office 365 – Zrobimy swój własny phishing, z blackjackiem i …

Jak najlepiej budować świadomość użytkowników? Symulacjami!

W ramach Microsoft Defender for Office 365 w planie 2, mamy dostępne bardzo fajne narzędzie jakim jest symulator ataków. W dużym skrócie – dzięki niemu możemy sami tworzyć wiadomości „phishingowe” wysyłane do naszych użytkowników. Dorzucamy tam np. odnośnik do zewnętrznej strony czy pdf z ‘fakturą od dostawcy’ i patrzymy kto to u nas kliknie na taki podrobiony element lub, co chyba gorsze, poda poświadczenia na podrzuconej stronie.

Samo rozwiązanie działa bardzo fajnie, jednak wymaga sporo przygotowania po naszej stronie (mało szablonów) i nie daje wielu możliwości symulacji (tylko dwie opcje – załącznik lub odnośnik). W najbliższym czasie jednak się to zmieni – poznajcie nową odsłonę Attack Simulator!

Rozbudowany symulator ataków w ramach Microsoft Defender for Office 365

Pierwsza wiadomość – dostajemy dużo więcej gotowych szablonów! Spodziewam się, że na początku większość z nich będzie dostępna w języku angielskim, ale (jak Ci którzy korzystają z obecnej formy attack simulator wiedzą) wersja polska z czasem na pewno się pojawi.

Co ważne – możemy planować kampanie w czasie, z podziałem np. na odpowiednie grupy użytkowników czy strefy czasowe.

Microsoft, żeby zapewnić kompletność oferty, podjął współpracę z firmą Terranova Security – odpowiedzialni są oni za część kolejną (post-symulacyjną) czyli wszelkiego rodzaju szkolenia użytkowników. To chyba największa różnica w stosunku do tego co mamy dostępne obecnie (czyli wbudowanej strony z generycznymi informacjami dla tych którzy się ‘złapali’ na symulacje phishu lub alternatywnie możliwość wskazania wew. witryny).

Szkolenia dla użytkowników będą dzielić się na kilka różnych wątków (rozróżnienie różnych ataków, np. malware, phishing, social engineering etc.) i zawierać różne metody przekazu – nagrania wideo, tekst czy odnośniki do zewnętrznych materiałów. Dodatkowo miałem okazję zobaczyć autentyczne przykłady maili wyłudzających dane i ćwiczenia dla użytkownika, który ma wskazać, dlaczego np. dana wiadomość jest podrobiona.

Nie ma niestety informacji o wsparciu dla naszego rodzimego języka polskiego – nie spodziewałbym się dostępności w najbliższym czasie (ale może pozytywnie się zaskoczę 😊).

Ważne do odnotowania – wszystkie powyższe elementy (uczenie, symulacje itd.) oczywiście są mierzalne i posiadają konkretne raportowanie.
Więcej informacji na temat Attack Phishing Simulator znajduje się na stronie Microsoft.

Co, gdzie, kiedy?

Z wersji obecnej symulatora ataków (gdzie możemy uruchamiać kampanie z odnośnikiem lub załącznikiem) możecie korzystać już teraz – wystarczy dodatek Office 365 ATP (lub obecnie Microsoft Defender for Office 365) Plan 2 (lub subskrypcja, która taki plan posiada – Microsoft 365 E5).

[1] Phishing Activity Trends Report, APWG, Q1 2020, Published 11 May 2020

[2] Verizon’s 2020 Data Breach Investigation Report

Od dłuższego czasu rośnie świadomość zarówno organizacji, jak i samych użytkowników w kontekście bezpieczeństwa w Internecie. Niemalże każdy już wie, że oprócz dobrej strony sieci, jest jeszcze ta druga – ukryta, schowana, niewidoczna, w której czyhają na nas ‘jakieś’ niebezpieczeństwa.

Głównym problemem zdaje się być szeroko pojęty phishing, czyli próby wyłudzenia od nas poświadczeń (np. poprzez podszywanie się pod inne osoby/firmy w komunikacji mailowej) – jednak to nie wszystko. Pomijam tutaj tematy rzadkie, takie jak celowany atak na organizacje czy próby przejęcia kontroli nad środowiskiem. Chodzi mi o bardzo gorący temat ostatnich lat – wycieki danych.

Zanim przejdziemy do głównej części – czyli „jak im zapobiec?”, chciałbym jednak spojrzeć od drugiej strony – po co ktoś próbuje NAS atakować? Na co komu moje poświadczenia czy dokumenty?

Informacja to pieniądze, pieniądze to informacja

Sun Tzu w ‘Sztuce wojny’ pisał, że „Kto zna wroga i zna siebie, nie będzie zagrożony choćby i w stu starciach” – rozumiecie, dokąd zmierzam? Informacja handlowa, dane kontrahentów, stan magazynu, kwalifikacje specjalistów, tajemnice przedsiębiorstw – to są bardzo ważne, bardzo wartościowe dane!

O tym, że chcemy je chronić, wie każdy – jednak nie każdy wie, jak to robić. Obaw jest wiele – skala (90% danych na świecie powstało w ciągu ostatnich 2 lat![1]), ataki z zewnątrz, szpiegostwo korporacyjne czy (co chyba najważniejsze) – pomyłki czy celowe, szkodliwe działanie nas samych – użytkowników. I to właśnie tej ostatniej części chcę poświęcić kolejny akapit.

Najsłabsze ogniwo od lat się nie zmienia

Podczas rozmów z przedstawicielami bezpieczeństwa IT w firmach jeden temat jest niezmienny od lat, bez podziału na branże, wielkość czy obowiązujące restrykcje – użytkownik jest najsłabszym ogniwem. Znam historie, gdzie pracownicy (zwykle nieświadomie) niemalże z własnej inicjatywy dają dostęp do swojego konta i danych – przekazują hasła(!) czy, co gorsza, kody weryfikacji wieloskładnikowej (!!!). Dużą rolę odgrywa tutaj świadomość użytkowników, ale też działanie proaktywne – np. szyfrowanie danych (BitLocker dla stacji roboczych, czy Azure Information Protection dla pojedynczych danych) lub/i wykorzystanie DLP (Data Loss Prevention). Chcemy zapewnić bezpieczeństwo, jednocześnie jak najmniej wpływając na produktywność biznesu – z tego też powodu, warto postawić na automatykę.

Microsoft i ochrona danych w organizacji

Po tym przydługim wstępie przejdźmy do konkretów – Microsoft w swojej ofercie ma wiele usług związanych z bezpieczeństwem. Jedną z nich, dostępną już od dłuższego czasu jest Data Loss Prevention – którego zadaniem jest przeciwdziałanie wypływaniu ważnych informacji poza organizację.

Definicja „ważności” różni się pomiędzy organizacjami, ale część pozostaje niezmienna – przykładowo dane osobowe. Dlaczego właśnie dane osobowe są kluczowe dla wszystkich? Odpowiedź tkwi w czterech, magicznych literkach – RODO, czyli rozporządzenie o ochronie danych osobowych, które nakłada kary nawet na poziomie 4% rocznego obrotu (!) dla firm, które tych danych nie będą zabezpieczać w wystarczający sposób[2].

DLP, dostępne w ramach Office 365 działa całkiem sprawnie – jest w stanie wykryć, że dokument Word, mail czy plik PDF zawierają np. numer PESEL czy numer kart kredytowych. Możemy nawet pójść o krok dalej i wykrywać informacje unikalne dla naszej organizacji (np. numer klienta czy faktury).

Do tej pory głównym wyzwaniem jednak była skala – DLP działa przy ochronie danych w chmurze – znajdujących się w mailach, na przestrzeni współdzielonej SharePoint, czy w naszym osobistym repozytorium danych OneDrive. Co w momencie, kiedy użytkownik korzysta z plików lokalnie na stacji roboczej lub wynosi je na fizycznych nośnikach?

Microsoft Endpoint DLP

Pod koniec lipca 2020 Microsoft zapowiedział rozszerzoną wersję swojego mechanizmu DLP – Endpoint DLP. Oprócz ochrony chmury, jesteśmy teraz w stanie kontrolować i przeciwdziałać wyciekom danych na stacjach roboczych. Wymaga to oczywiście zarządzania urządzeniami w organizacji, np. z wykorzystaniem Microsoft Intune.

Endpoint DLP jest natywne dla Windowsa 10 i przeglądarki Microsoft Edge (również najnowszej, świetnej wersji opartej na chromium!) – dzięki czemu wdrożenie jest bardzo szybkie i proste, a użytkownicy po swojej stronie nie muszą NICZEGO konfigurować czy instalować.

W zależności od akcji wykonanej przez pracownika może on zostać poinformowany, że istnieje ryzyko wycieku danych (lub nawet może to zostać odgórnie zablokowane). Przykładowo – jeżeli użytkownik kopiuje dane z pliku Word (których kopiować nie powinien) – dostanie poniższy alert:

Podobnie sytuacja będzie wyglądać, jeżeli spróbuje skopiować nie wycinek, a cały plik do prywatnego (niewspieranego) repozytorium danych w chmurze:

Akcje, które są monitorowane zawierają m.in. drukowanie, kopiowanie wrażliwych plików na nośnik USB, zasób sieciowy, usługę chmurową czy dostęp do danych przez niewspierane aplikacje.

A wszystko to jest dostępne z bardzo bogatymi poglądem dzięki wbudowanemu raportowaniu!

Korzystając z Microsoft Endpoint DLP jesteśmy w stanie zapobiec nieumyślnym wyciekom danych (których jest bardzo dużo!), związanym z pomyleniem odbiorców wiadomości, nadmiernemu kopiowaniu czy drukowaniu, oraz – co może ważniejsze – umyślnemu wyciekowi (pracownik, który odchodzi do innej organizacji często robi sobie ‘kopie zapasową’ materiałów z naszej organizacji).

Wspomnę o jeszcze jednym ważnym beneficie – zgodność z RODO. Dzięki Endpoint DLP jeszcze lepiej chronimy dane osobowe naszych klientów oraz pracowników.

Dostępność Microsoft Endpoint DLP

Usługa jest w tym momencie w tzw. trybie preview – co oznacza, że nie jest jeszcze kompletna i bardzo szybko się rozwija i ewoluuje.

Standardowe DLP jest dostępne od planu Office 365 Enterprise E3 (lub wyższych), natomiast Endpoint DLP wymaga licencji Microsoft 365 E5/A5 bądź też dodatków – Microsoft 365 E5 Compliance lub E5 Information Protection and Governance.

Co dalej?

Microsoft Endpoint DLP To kolejny element kompletnej infrastruktury bezpieczeństwa danych wg. Microsoft, obok Microsoft Information Protection i innych, związanych z zabezpieczeniem tożsamości (np. Identity Protection) czy też naszych urządzeń (Microsoft Defender ATP).

Zachęcamy do testowania tego rozwiązania dla obecnych klientów planów E5, a dla tych z was którzy mają niższe licencje – możemy pomóc uruchomić próbne wersje byście i by mogli spróbować swoich sił z Microsoft Endpoint DLP.

I na sam koniec – 88% organizacji nie ma pewności, że jest w stanie wykryć i zapobiec wyciekowi danych [3] – wspólnie dołóżmy wszelkich starań, aby stać po stronie tych wybranych 12%!

[1] https://techjury.net/blog/big-data-statistics/

[2] https://publicystyka.ngo.pl/kary-za-nieprzestrzeganie-przepisow-rodo

[3] Forrester. Security Concerns, Approaches and Technology Adoption. December 2018