Oczyszczalnia ścieków w Ministerstwie Sprawiedliwości czyli jak nie stawiać honeypotów

dodał 23 lipca 2016 o 21:13 w kategorii Wpadki  z tagami: • • •
Oczyszczalnia ścieków w Ministerstwie Sprawiedliwości czyli jak nie stawiać honeypotów

W internecie można znaleźć wszystko – w tym także wystawione na widok publiczny systemy oczyszczalni ścieków ulokowanych w sieciach wielu polskich ministerstw, uniwersytetów, urzędów centralnych i wojewódzkich. Skąd się tam wzięły?

Jeden z naszych Czytelników pragnący zachować anonimowość przesłał nam ciekawą informację. Natrafił on w internecie na ślady 168 absolutnie identycznych systemów SCADA opisanych jako oczyszczalnia ścieków Czajka. Co ciekawe, wszystkie te systemy zlokalizowane są wyłącznie w sieciach należących do kluczowych polskich firm i instytucji. Aby wyjaśnić tę historię zaczniemy od krótkiego opisu czym jest honeypot.

Garnek miodu czekający na Kubusia

Honeypot (nie próbujemy nawet tłumaczyć, chyba że macie dobre propozycje) to serwer (fizyczny lub wirtualny) który udaje coś, czym nie jest. Może wyglądać jak niezałatana popularna usługa, domowy ruter z dziurami, baza danych ze słabym hasłem, zestaw ważnych plików o ciekawych nazwach – lub serwer SCADA dużej polskiej oczyszczalni ścieków. Celem honeypota jest wprowadzenie w błąd atakującego, przechwycenie i zarejestrowanie jego próby ataku i zebranie w ten sposób informacji na temat adresów atakujących, ich zachowania oraz używanych metod ataków.

Jak zatem pewnie rozumiecie, celem honeypota jest za wszelką cenę nie zostanie zidentyfikowanym jako honeypot, ponieważ wtedy traci swoją funkcję i możliwość osiągnięcia zamierzonego rezultatu. Czy da się jednak zachować fakt bycia honeypotem w tajemnicy jeśli w 5 sekund można ustalić, że identycznych serwerów SCADA oczyszczalni ścieków Czajka jest w sieci co najmniej 167?

To ja, oczyszczalnia ścieków, przysięgam

Wpisanie w popularną wyszukiwarkę usług udostępnionych w internecie słowa Czajka lub odpowiedniego ciasteczka lub numeru seryjnego 6ES7 216-2AD23-0XB0 zaowocuje podaniem przez wyszukiwarkę 168 różnych adresów.

Wyniki wyszukiwania

Wyniki wyszukiwania

Wynik wyszukiwania

Wynik wyszukiwania

W wersji darmowej, po rejestracji, możemy obejrzeć próbkę 50 z nich. Instytucje i firmy, w których znajdują się identycznie skonfigurowane serwery to między innymi Ministerstwa Sprawiedliwości, Rozwoju Regionalnego, Finansów, Spraw Wewnętrznych, Kultury i Dziedzictwa Narodowego oraz Cyfryzacji, urzędy takie jak NIK, NFZ czy UKE, urzędy wojewódzkie, politechniki, Ośrodek Studiów Wschodnich, Senat a także firmy takie jak PGNiG, EnergiaPro, Tauron czy PGE Dystrybucja. Krótko mówiąc – lista życzeń obcych wywiadów. Każda z tych instytucji czy firm dysponuje w swojej sieci oczyszczalnią ścieków Czajka, której strona WWW wygląda następująco:

Strona oczyszczalni

Strona oczyszczalni

Czy to tak powinno wyglądać?

Stawianie honeypotów to sprawdzona strategia pozwalająca na łatwiejszą identyfikację ataków i atakujących. Dobrze o obronie polskich sieci rządowych świadczy fakt, że honeypoty są i jest ich całkiem sporo – to, co pokazuje Shodan, to bez wątpienia jedynie wycinek większej całości a rozproszenie serwerów po instytucjach i firmach pokazuje, że temat potraktowano całkiem poważnie. Mamy także ułamek nadziei, że opisywana powyżej sieć honeypotów została stworzona specjalnie w taki sposób by zrealizować specyficzny cel, którego nie znamy i pewnie nigdy nie poznamy. Jeśli tak jednak nie było, to wdrożenie honeypotu SCADA z identyczną konfiguracją każdej instancji nie jest dobrym pomysłem. Każdy z honeypotów jest identyczny co do joty, identyczny mają także teoretycznie unikatowy numer seryjny. Z tego powodu ich wdrożenie w takiej konfiguracji ma sens tylko wobec najgłupszych atakujących – a sądząc po miejscach, w których się znajdują, osoby je atakujące zapewne dysponują wystarczającym poziomem doświadczenia by natychmiast zorientować się, że coś śmierdzi.

Co ciekawe, na ślad tych polskich honeypotów trafił w grudniu 2015 niezależny badacz który opisał swoje znalezisko na blogu. Słyszeliśmy, że jego wpis został zauważony i dotarł w Polsce do właściwych osób. Mimo tego nie zmieniono konfiguracji urządzeń. Próbowaliśmy się dowiedzieć czegoś więcej, jednak sprawa jest owiana szczelną mgłą tajemnicy – może kiedyś, gdy ktoś zaangażowany w ich powstanie napisze swoje  pamiętniki, poznamy historię za nimi stojącą.

Podobne wpisy