Co po cyberataku? Nowe Centrum powstaje w NASK

W maju tego roku NASK oficjalnie ogłosił uzyskanie decyzji o pozwoleniu na budowę CCN. To kamień milowy projektu i kolejny etap innowacyjnego przedsięwzięcia. Jego celem jest wsparcie państwa i kluczowych sektorów gospodarki w zakresie budowania odporności na cyberzagrożenia i zwiększenie zdolności do skutecznego reagowania na incydenty. CCN będzie kluczowym elementem cybertarczy, która pomoże chronić najważniejsze instytucje w kraju oraz samych obywateli.

Dane cenniejsze niż złoto

Co dla cyberprzestępców jest cenniejsze niż pieniądze? Nasze dane osobowe. Gdy cyfrowi oszuści je zdobędą, mogą ukraść tożsamość, zaciągnąć pożyczki i wyłudzać pieniądze na różne sposoby. Dlatego cyberataki nie dotyczą już wyłącznie zhakowania konta bankowego – mówimy o zupełnie innej skali. Coraz częściej celem przestępców internetowych są ogromne bazy danych, które zawierają wrażliwe informacje, np. numer PESEL czy historię medyczną.

Kiedy cyberprzestępcy przeprowadzają atak na jakąś instytucję, szyfrują dane i żądają okupu w zamian za ich odzyskanie. I wtedy wkracza CERT Polska – zespół działający w ramach NASK. Analitycy podejmują działania często już kilka minut po ataku, żeby odzyskać dane. Są one potrzebne nie tylko do przywrócenia funkcjonowania organizacji, lecz także do lepszego zrozumienia przebiegu ataku.

– Dane mogą zawierać istotne informacje dotyczące przestępstwa. Mogą ułatwić odtworzenie przebiegu incydentu oraz ustalenie jego przyczyny i skali. Warto mieć na uwadze, że ślady cyfrowe często są traktowane jak poszlaki w prowadzonym postępowaniu i należy je prawidłowo zabezpieczyć – przypomina Maciej Siciarek, dyrektor pionu CSIRT w NASK.

Głównym zadaniem Krajowego Centrum Odzyskiwania Danych będzie wsparcie procesu reagowania na incydenty właśnie poprzez odzyskiwanie danych, ich analizę oraz pomoc w przywracaniu ciągłości działania.

Liczy się każda sekunda

W reakcji na każdy incydent czas ma kluczowe znaczenie. Niezbędne jest szybkie działanie i niezwłoczny dostęp do uszkodzonych urządzeń czy nośników. Transport do zewnętrznego laboratorium często jest bardzo trudny lub wręcz niemożliwy.

Dlatego Krajowe Centrum Odzyskiwania Danych będzie dysponować mobilnym zapleczem. Będzie to specjalnie przystosowany pojazd, wyposażony w sprzęt umożliwiający prowadzenie prac bezpośrednio w organizacji dotkniętej incydentem. Eksperci będą mogli dotrzeć na miejsce i rozpocząć działania tam, gdzie doszło do ataku.

Cyberprzestępcy też są widoczni

W internecie nic nie ginie. Nawet niewielkie działania cyberprzestępców przeprowadzających atak zostawiają po sobie cyfrowe ślady w postaci danych. Także te dane będzie analizować KCOD, budowane w ramach CCN.

Jak przypomina Maciej Siciarek, moment wykrycia cyberataku to tak naprawdę dopiero początek często długiej i trudnej walki o przywrócenie ciągłości działania przedsiębiorstwa czy instytucji.

– Proces ten wymaga współpracy wielu zespołów, w tym odpowiedzialnych za cyberbezpieczeństwo oraz kadry zarządzającej. Wśród najważniejszych wyzwań jest zatrzymanie zagrożenia, ustalenie, które systemy zostały dotknięte atakiem i dokonanie oceny, jakie dane zostały utracone, uszkodzone lub stały się niedostępne, a także jakie ślady zostawili po sobie cyberprzestępcy – mówi dyrektor pionu CSIRT NASK.

Analitycy, którzy będą pracować w KCOD, wykorzystają doświadczenie zdobyte podczas wsparcia udzielanego podmiotom, które zostały dotknięte cyberatakiem.

Choć każdy incydent wygląda inaczej, to można znaleźć pewne elementy wspólne. Szczegółowa analiza przypadków obsługiwanych do tej pory przez ekspertów NASK pozwala wyciągnąć wnioski, które będą podstawą do stworzenia odpowiednich instrukcji działania.