Co się stało?
Według doniesień obecnie prowadzone są ataki na instalacje Microsoft Sharepoint. Jak podano, dotyczy to około 1300 instancji Sharepoint, które uznaje się za podatne na ataki. Ataki te mają już aktywnie miejsce, co oznacza, że atakujący nie tylko teoretycznie, ale praktycznie próbują skompromitować podatne systemy.
Konkretne szczegóły techniczne dotyczące podstawowej podatności, np. rodzaju luki czy oficjalnego numeru CVE, nie zostały podane w dostępnym materiale źródłowym. Brakuje również informacji, które konkretnie wersje Sharepoint są zagrożone oraz czy Microsoft już udostępnił odpowiednią poprawkę. Te szczegóły nie są jeszcze znane na podstawie dostępnych informacji.
Szczegóły
Z dostępnych informacji wynika, że liczba podatnych na atak instancji szacowana jest na ok. 1300. Wskazuje to na przeprowadzenie automatycznego skanowania internetu w poszukiwaniu podatnych systemów, co jest typowe w przypadku krytycznych luk w powszechnie stosowanym oprogramowaniu serwerowym. Sharepoint jest wykorzystywany przez wiele firm i organizacji jako centralna platforma do zarządzania dokumentami, komunikacji wewnętrznej i współpracy.
Ponieważ materiał źródłowy nie zawiera dalszych szczegółów technicznych dotyczących wektora ataku, stopnia wykorzystania podatności czy branż, których to dotyczy, czytelnicy powinni przy ocenie sytuacji korzystać z oficjalnych wskazówek bezpieczeństwa Microsoft oraz komunikatów instytucji odpowiedzialnych za bezpieczeństwo IT, takich jak niemiecki BSI, aby zweryfikować aktualny stan sprawy.
Ocena sytuacji
Serwery Sharepoint, z uwagi na swoją rolę jako centralne miejsce przechowywania danych i platforma współpracy, są atrakcyjnym celem dla atakujących. Jeśli dojdzie do skompromitowania systemu, atakujący mogą potencjalnie uzyskać dostęp do wrażliwych danych firmowych, rozprzestrzeniać się w sieci lub instalować dodatkowe złośliwe oprogramowanie. Zwłaszcza w przypadku lokalnych (on-premises) instancji Sharepoint, dostępnych bezpośrednio z internetu, ryzyko wzrasta, jeśli znane podatności nie są zamykane w odpowiednim czasie.
Dla branży bezpieczeństwa, a w szczególności dla operatorów fizycznych i cyfrowych systemów ochrony, taki incydent jest przypomnieniem, że bezpieczeństwo IT i technika ochrony fizycznej coraz bardziej się przenikają. Systemy kontroli dostępu, rozwiązania do monitoringu wideo oraz systemy alarmowe są dziś często połączone w sieć i zarządzane poprzez centralne struktury serwerowe – częściowo również za pomocą platform takich jak Sharepoint. Podatność w takiej centralnej platformie może więc mieć pośredni wpływ także na podłączoną infrastrukturę bezpieczeństwa.
Wskazówki praktyczne
- Operatorzy serwerów Sharepoint powinni niezwłocznie sprawdzić, czy ich instancje są dostępne z internetu oraz czy zainstalowano aktualne aktualizacje bezpieczeństwa od Microsoft.
- Osoby odpowiedzialne za IT powinny zapoznać się z oficjalnymi wskazówkami bezpieczeństwa Microsoft oraz ostrzeżeniami krajowych instytucji ds. cyberbezpieczeństwa, aby zrozumieć dokładny zakres podatności.
- Firmy wykorzystujące Sharepoint do zarządzania danymi związanymi z bezpieczeństwem – np. protokołami dostępu, planami alarmowymi czy dokumentacją systemów kontroli dostępu – powinny szczególnie krytycznie zweryfikować dostęp do tych systemów i, jeśli konieczne, tymczasowo go ograniczyć.
- Podstawowa segmentacja sieci, oddzielająca krytyczne systemy bezpieczeństwa takie jak instalacje alarmowe, monitoring wideo czy kontrolę dostępu od ogólnych systemów biurowych IT, zmniejsza ryzyko rozprzestrzenienia się ataku w przypadku skompromitowania.
- Regularne tworzenie kopii zapasowych oraz sprawny plan działania w sytuacjach kryzysowych pomagają szybko reagować w razie potrzeby, nawet jeśli centralne systemy, takie jak Sharepoint, tymczasowo nie działają.
Perspektywy
Ponieważ według materiału źródłowego ataki są już aktywnie prowadzone, należy liczyć się z dalszymi doniesieniami, a także możliwymi oficjalnymi oświadczeniami ze strony Microsoft. Firmy, których to dotyczy, powinny uważnie śledzić rozwój sytuacji i reagować niezwłocznie, gdy pojawią się dalsze szczegóły lub poprawki. Dla całej branży bezpieczeństwa incydent ten podkreśla konieczność holistycznego podejścia do bezpieczeństwa IT i fizycznych środków ochrony – od klasycznych systemów alarmowych, poprzez kontrolę dostępu, aż po specjalne rozwiązania, takie jak sejfy wrzutowe czy zabezpieczone skrzynki ofiarne w budynkach publicznych. W tym kontekście na znaczeniu zyskują również koncepcje takie jak centralny Wardhub do monitorowania i zarządzania połączonymi komponentami bezpieczeństwa, ponieważ mogą one pomóc zredukować powierzchnię ataku i szybciej reagować w sytuacjach kryzysowych.
