Polşada 10.000-dən çox həssas dövlət qurumu aşkar edilib

İki polşalı təhlükəsizlik tədqiqatçısı ölkələrinin açıq vebini skan edərək 10.000-dən çox həssas qurum aşkar ediblər, bunlara hava limanları, xəstəxanalar və məhkəmələr daxildir. Onlar tapıntılarını Def Con-da təqdim edərək Pad CMS sistemindəki kritik boşluqları açıq şəkildə ortaya qoydular, bu da Polşanı mümkün kiber hücumlara məruz qoyur.

• Polşada 250.000 təhlükəsizlik boşluğu olan veb sayt aşkar edilib, bu da 10.000-dən çox dövlət qurumunu təsir edir.
• Dəstəklənməyən Pad CMS məzmun idarəetmə sistemi 300-dən çox dövlət saytına parolsuz giriş imkanı verdi.
• Tədqiqatçılar Polşanın məhkəmə sisteminin 66%-də boşluqlar aşkar etdilər, bunlara 245 məhkəmə daxildir.

İki polşalı təhlükəsizlik tədqiqatçısı, Robert Kruczek və Kamil Szczurowski, Polşanın açıq vebinin təhlükəsizliyini qiymətləndirmək üçün vətənpərvərlik missiyası həyata keçirdilər. Las Vegasdakı Def Con konfransında, onların skan etməsi 10.000-dən çox həssas dövlət qurumunu aşkar etdiyini açıqladı, 250.000 kritik boşluğu olan veb saytla birlikdə.

Tapıntılar hava limanları, xəstəxanalar və dövlət ofislərini əhatə edir. Cütlük, səhvlərin asanlıqla istismar oluna biləcəyini, lakin provayderlər tərəfindən ciddi qəbul edilmədiyini izah etdi.

Kontekst: Rus hücumları dalğası

Tədqiqat, Polşanın enerji və su provayderlərinə yönəlmiş iddia olunan rus kiber hücumları ilə üzləşdiyi bir vaxtda baş verir. Bu hücumlar, indi sənədləşdirilmiş zəif kiber təhlükəsizlikdən istifadə edir.

Kruczek və Szczurowski, vətənpərvərlik və açıq vebin daha təhlükəsiz olmasını istəyi ilə vəziyyəti anlamağa çalışırdılar. Onların işi, geosiyasi gərginliklərin artdığı bir ölkə üçün narahatedici bir vəziyyəti ortaya qoydu.

Tədqiqatçılar bəzən səhvlərin inanılmaz dərəcədə asanlıqla istismar oluna biləcəyini aşkar etdilər, bu da ictimai xidmətlərin qaçırılma riskini artırır. Bu vəziyyət ölkənin kritik infrastrukturunu təhlükəyə atır.

Pad CMS-də boşluqlar

Polşada məzmunu təşkil etmək və göstərmək üçün geniş istifadə olunan Pad CMS idarəetmə sistemi kritik boşluqların mərkəzi oldu. Proqram "həyat dövrünün sonuna" çatdı və artıq dəstək almır, bu da mühüm yamanları tərk etdi.

Tədqiqatçılar, Pad CMS-də kritik boşluqları aşkar etdilər ki, bu da onlara 300-dən çox açıq veb saytına parolsuz giriş imkanı verdi. İnkişaf etdirici proqramı yaman etmədi, çünki onu saxlamayı dayandırmışdı, bu da istifadəçiləri müdafiəsiz qoydu.

Aşkar edilən digər bir səhv onlara Polşanın məhkəmə sisteminin təxminən üçdə iki hissəsinin, yəni 245 məhkəmənin veb saytlarına giriş imkanı verdi. Bu icazəsiz giriş, hücumçulara hüquqi məlumatları manipulyasiya etmək və ya hüquqi xidmətləri dayandırmaq imkanı verə bilər.

Bu həssas sistemlərin açıq olması, xüsusilə Rusiya ilə kiber münaqişələr kontekstində əhəmiyyətli bir risk yaradır. Hücumçular bu boşluqlardan istifadə edərək ransomware hücumları həyata keçirə və ya həssas məlumatları oğurlaya bilərlər.

Kruczek və Szczurowski tapıntılarını Polşa hökumətinə bir neçə rəsmi kanal vasitəsilə bildirdilər. Onlar çıxışlarında, səylərin dəyərli olduğunu, çünki nəticədə "bir az daha təhlükəsiz olduğumuzu" bildirdilər.

Səlahiyyətlərin və provayderlərin reaksiyası

Tədqiqat, Polşanın dövlət idarəçiliyində təhlükəsizlik mədəniyyətinin olmamasını vurğulayır. Səhv mükafatlandırma proqramlarının və məsuliyyətli açıqlama proseslərinin olmaması, tədqiqatçıları boşluqları konstruktiv şəkildə bildirməkdən çəkindirir.

Tədqiqatçılar, bəzi provayderlərin səhv hesabatlarını "narahatlıqlar" kimi qiymətləndirdiklərini qeyd etdilər, bu da boşluqların ciddiliyi ilə ziddiyyət təşkil edir. Bu davranış, rəqəmsal dövlət xidmətlərindən asılı olan milyonlarla vətəndaşı təhlükəyə atır.

Pad CMS nümunəsi aktiv dəstəyi olmayan proqram təminatının təhlükələrini nümayiş etdirir. Bir çox dövlət qurumu təhlükəsizlik yeniləmələri almayan köhnəlmiş sistemlərdən asılıdır ki, bu da kibercinayətkarlar üçün arxa qapılar yaradır.

Polşa hökuməti kibertəhlükəsizlik səylərini artırıb, lakin bu tədqiqat göstərir ki, hələ də görüləcək çox iş var. Məsuliyyətli açıqlama siyasətlərinin tətbiqi və proqram təminatının yenilənməsi təcili addımlardır.

Milli təhlükəsizlik üçün təsirlər

Tədqiqat, Polşanın kritik infrastrukturuna qarşı Rusiyaya aid edilən kibertəhlükəsizlik hücumlarının baş verdiyi gərgin bir vaxtda ortaya çıxır. Tapılan zəifliklər dövlət aktorları tərəfindən ölkəni qeyri-sabitləşdirmək üçün istifadə oluna bilər.

Məhkəmələrə, hava limanlarına və xəstəxanalara icazəsiz giriş xidmətlərin dayandırılmasından tutmuş, hüquqi məlumatların manipulyasiyasına qədər bir çox fəsadlara səbəb ola bilər. Risk realdır və yalnız məlumatların ifşası ilə məhdudlaşmır, eyni zamanda dağıdıcı hücumların mümkünlüyünü də əhatə edir.

Tədqiqatçılar, hətta sadə alətlərlə belə, tam sistemlərin təhlükəsizliyini poza biləcəklərini sübut etdilər. Onların Polşa ictimai domeninin sistematik skan edilməsi, oxşar problemləri olan digər ölkələr üçün aydın bir xəbərdarlıqdır.

Səlahiyyətlilərin cavabı rəqəmsal təhlükəsizlikdə etimadı bərpa etmək üçün açar olacaq. Bug bounty proqramlarının yaradılması və aktiv şəkildə saxlanılan proqram təminatına keçid kimi tədbirlər vacibdir.

Kruczek və Szczurowski yalnız problemləri müəyyən etmədi, həm də həllər təqdim etdilər. Onların rəsmi hesabatı səyləri təriflədi, lakin dövlət xidmətlərini qorumaq üçün struktur dəyişikliklərinin lazım olduğunu vurğuladılar.

Qlobal icma üçün dərslər

Polşanın vəziyyəti, kibertəhlükəsizliyin lüks deyil, rəqəmsal dövrdə bir zərurət olduğunu xatırladır. Dövlət qurumları vətəndaşlara qarşı məsuliyyətlərinin bir hissəsi olaraq kibertəhlükəsizliyi prioritetləşdirməlidirlər.

Proqram təminatının saxlanılmaması və hesabat mexanizmlərinin olmaması bir çox ölkədə yaygın problemlərdir. Bu tədqiqat, bir ölkənin təhlükəsizlik mövqeyini qiymətləndirmək və yaxşılaşdırmaq üçün bir model təqdim edir.

Tədqiqatçıların məsuliyyətli açıqlamaları, təhlükəsizlik icmasının ictimai rifaha necə töhfə verə biləcəyinin bir nümunəsidir. Risklərə baxmayaraq, onların işi Polşanın mümkün hücumlara qarşı ifşasını azaltmışdır.

Tövsiyə açıqdır: hökumətlər kibertəhlükəsizliyə investisiya qoymalı, işçilərini təlim etməli və xarici mütəxəssislərlə əməkdaşlığı təşviq etməlidirlər. Yalnız bu yolla kibertəhlükəsizlikdə artan təhdidləri azaltmaq mümkün olacaq.

Kruczek və Szczurowski'nin işi yalnız Polşanı qorumaqla qalmır, eyni zamanda zəif rəqəmsal infrastruktur olan digər ölkələr üçün xəbərdarlıq rolunu oynayır. Təhlükəsizlik davamlı bir səydir və daimi diqqət və uyğun resurslar tələb edir.

Bu məzmun yalnız ümumi məlumat məqsədilə təqdim olunur və maliyyə, investisiya, hüquqi və ya vergi məsləhəti hesab edilməməlidir. Burada qeyd olunan hər hansı tədbir, mükafat, onlayn kampaniya və ya əlaqəli məlumat hər hansı kriptoaktivin alınması, satılması, treydinqi və ya digər əməliyyatların aparılması üçün tövsiyə, təşviq və ya dəvət kimi qiymətləndirilməməlidir. Kriptoaktivlər yüksək dəyişkənliyə malikdir və maliyyə itkisinə səbəb ola bilər. WEEX-in xidmətləri, məhsulları və əlaqəli tədbirlərinin əlçatanlığı regiondan asılı olaraq dəyişə bilər. İştirakınızın yerli qanunvericilik və tənzimləyici tələblərə uyğun olmasını təmin etmək sizin məsuliyyətinizdir.