Wnioski z lipcowej Konferencji TMT "Bezpieczeństwo Informatyczne" oraz z badań przeprowadzonych przez Dział Analiz i Doradztwa BiznesNet.

Nawet 75% instytucji rządowych i dużych firm wykorzystujących najpopularniejsze oprogramowanie WWW może być narażone na całkowitą utratę kontroli nad swoimi stronami i aplikacjami internetowymi. "Problem bezpieczeństwa IT zbyt często jeszcze jest marginalizowany" - ostrzegają eksperci występujący 11 lipca br. w Sali Notowań WGPW, podczas seminarium zorganizowanego przez MCI i BiznesNet - "Bezpieczeństwo Informatyczne".

Aktualność i powagę problemów związanych z informatycznym bezpieczeństwem firm oraz instytucji potwierdza także dział Analiz i Doradztwa BiznesNet, który zajmuje się kształtowaniem przyjaznych biznesowi systemów komunikacji i dysponowania wiedzą. Jak pokazuje praktyka, realizacja każdego tego typu projektu musi uwzględniać czynniki ryzyka związane z podatnością systemów IT na ataki i awarie.

Przeprowadzony przez BiznesNet AiD przy współpracy Warsaw Data Center pomiar pokazuje, że tylko niewielki odsetek serwerów WWW polskich firm i instytucji jest z całą pewnością odporny na zewnętrzny atak.

Zbadano 159 domen gov.pl (serwisy WWW instytucji rządowych) oraz 410 domen firm z listy 500 największych polskich przedsiębiorstw. Badanie miało na celu ocenę stopnia zabezpieczenia polskich systemów IT przed atakami możliwymi dzięki ujawnionej 17 czerwca br. "dziurze" w popularnym serwerze WWW Apache.

Wykryty przez Internet Security Systems (ISS) błąd w serwerze pozwala napastnikowi na przejęcie całkowitej kontroli nad atakowanym urządzeniem lub wykonanie ataku typu "denial of service", równoznacznego z całkowitym sparaliżowaniem serwera. Autorzy i developerzy zagrożonego oprogramowania zareagowali natychmiastowo udostępniając jego poprawioną wersję, ale bezpieczeństwo zależy przecież ostatecznie od administratorów, którzy instalują owe poprawki w swoich systemach IT.

Serwery Apache obsługują ok. 60% domen na całym świecie. Podobny odsetek dla Polski wykazał pomiar przeprowadzony przez BiznesNet AiD. 19 czerwca, dwa dni po ogłoszeniu ostrzeżenia, tylko w stosunku do 3% serwerów Apache obsługujących badane rządowe domeny gov.pl można było mieć pewność, że są odporne na atak. 26 czerwca przeprowadzono podobny pomiar domen należących do największych polskich firm. W tym przypadku odsetek "bezpiecznych" serwerów wynosił 12%.

BiznesNet AiD powtórzył oba pomiary 3 tygodnie po wykryciu "dziury" tj. 9 lipca, tuż przed konferencją "Bezpieczeństwo Informatyczne". Pewność, co do bezpieczeństwa serwerów Apache instytucji rządowych można było mieć w co czwartym przypadku. Dla firm ten odsetek był jeszcze mniejszy bo tylko 21%.

ISS wprowadziło AlertCon - czterostopniową skalę obrazującą ogólny poziom zagrożenia systemów IT. Wkrótce po wykryciu błędu w serwerze Apache ogłoszono AlertCon 3 i utrzymywano go jeszcze przez jakiś czas. Obecnie AlertCon jest na najniższym poziomie nie daje to jednak powodu do optymizmu. Sytuacja zawsze może się powtórzyć...