Cyberbezpieczeństwo w Polsce

Serwisy od lat żądają wielkiej litery, cyfry i znaku specjalnego, a hasła mimo to są odgadywane, bo wymóg składu spełnia się jednym dopisanym znakiem, co CERT Polska widzi w hasłach z dopisaną jedynką. Atakujący nie zgaduje wtedy od zera. Przechodzi po gotowych wzorcach, a wyciekłe hasło sprawdza na kolejnych kontach, więc jedno słabe albo powtórzone hasło otwiera więcej drzwi, niż zwykle się zakłada.

Tekst przekłada to, co o hasłach mówią dziś amerykański standard NIST i CERT Polska, na decyzje osoby prywatnej: od ilu znaków hasło przestaje być łatwym celem, dlaczego reguły składu zawodzą, dlaczego pierwszym wyborem jest hasło wygenerowane w menedżerze haseł i jak ułożyć ciąg do zapamiętania tam, gdzie menedżer nie pomoże. Opisuje też klucze dostępu jako zamiennik hasła oraz to, co zostaje po stronie użytkownika nawet przy dobrym haśle. Zamiast gotowców dostajesz schematy, bo każdy opublikowany przykład trafia do słowników atakujących.

Firma, która układa zasady dla haseł pracowników, szuka w przepisach liczb: ile znaków, jak często zmieniać, czy wymagać cyfr i znaków specjalnych. W NIS2 i w ustawie o krajowym systemie cyberbezpieczeństwa takich liczb nie ma, a CERT Polska zauważa, że wiele organizacji nadal wymusza cykliczną zmianę hasła i znaki specjalne, choć sam ocenia te praktyki jako szkodliwe. Skutek bywa podwójny: pracownicy dostają reguły bez podstawy, a wymóg, który istnieje dla wąskiej grupy dostawców usług cyfrowych, może umknąć.

Artykuł oddziela wymóg od zalecenia i pokazuje je w jednej tabeli: co mówią dyrektywa, ustawa i rozporządzenie wykonawcze, a co rekomenduje CERT Polska, razem z napięciem między okresową zmianą danych uwierzytelniających a zaleceniem, by jej nie wymuszać. Dalej wyjaśnia, po co filtr oparty na znanych hasłach z wycieków i kiedy drugi składnik logowania wynika z przepisów. Do wydruku jest karta dla pracowników na jednej stronie A4, a na końcu opisujemy prace, które firma zamawia u wykonawców.

Dwudniowe warsztaty dystrybutora EMCA w zakopiańskim Hotelu Crocus, trzecia edycja cyklu. Program prowadzą producenci, których rozwiązania EMCA sprzedaje: Progress Flowmon pokazuje wykrywanie anomalii w ruchu sieciowym (NDR) w kontekście wymagań NIS2, Energy Logserver omawia SIEM i SOAR, a Fudo Security zarządzanie dostępem uprzywilejowanym. Pakiet uczestnika obejmuje nocleg, wyżywienie i certyfikat uczestnictwa, a cenę organizator podaje na zapytanie.

Najpopularniejsze hasła w Polsce z analizy wycieków danych CERT Polska - zobacz, jakich kombinacji unikać, i pobierz pełny słownik do audytu haseł w firmie.

Którzy operatorzy blokują strony phishingowe z Listy Ostrzeżeń CERT Polska na mocy porozumienia z UKE, MC i NASK - i czy dotyczy to też Twojego operatora.

Krok po kroku po wycieku danych: najpierw zastrzeż PESEL, potem sprawdź dane w bezpiecznedane.gov.pl i rozpoznaj fałszywe strony udające ten serwis.

Zgłoś phishing bezpośrednio do CERT Polska - podejrzaną stronę internetową przez formularz na incydent.cert.pl, a fałszywą wiadomość SMS pod numer 8080.