Title: Základní školení kyberbezpečnosti
Course: CRP-KYBER21 | Institucionální školení > Section: Materály ke studiu a závěrečný test

Úvod ke školení

Primárním cílem institucionálního školení je naplnění zákonem stanoveného rozsahu povinností. Toto školení poskytuje souhrn základních informací a doporučení, které by měly být implementovány nejen tedy dle zákonem stanovených specifik, ale například i na základě interních univerzitních směrnic a obecně zavedených principů a standardů.

Kyberbezpečnostní legislativa

(1) Zákon č. 181/2014 Sb., o kybernetické bezpečnosti;

Podstatou tohoto zákona je nastavit základní úroveň bezpečnostních opatření, do čehož se promítá např. hlášení kybernetických bezpečnostních incidentů či definování činnosti dohledových pracovišť (národní CERT a vládní CERT). Dále poté cílí například na principy ochrany informačního sebeurčení člověka a minimalizaci státního donucení. Zákon tedy definuje základní bezpečnostní standard týkající se kybernetické bezpečnosti.

(2) Vyhláška č. 82/2018 Sb., o kybernetické bezpečnosti;

Cílem této vyhlášky je zapracování Směrnice NIS do českého právního řádu. Sama vyhláška poté upravuje oblasti týkající se například kategorizace bezpečnostních incidentů, dále nastavuje rozsah a obsah bezpečnostních opatření či definuje strukturu bezpečnostní dokumentace. Z pohledu definovaných skupin poté stanovuje povinným osobám (orgán nebo osoba, která je povinna zavést bezpečnostní opatření dle ZoKB) dle § 9 povinnosti v rámci řízení lidských zdrojů. To je mimo jiné i důvod, proč procházíte tímto školením základů kybernetické bezpečnosti.

<school-specific> S ohledem na prostředí Masarykovy univerzity není možné ani opomenout následující směrnici:

(1) Směrnice č. 10/2017, používání informačních technologií;

Směrnice vymezuje základní rámec týkající se práv a povinností uživatelů informačních technologií na Masarykově univerzitě. Obsahem směrnice je tedy nejen definování základních pojmů (bezpečnostní incident, „IT MU“), ale také například vymezení rozsahu nakládání uživatele s technickým a programovým vybavením atd.

Hlášení incidentů

<school-specific>

(1) Pokud jste se stali obětí útoku nebo máte jen podezření, např. že vám do schránky přišel například podvodný e-mail, tak se neváhejte obrátit na kyberbezpečnostní tým Masarykovy univerzity CSIRT-MU.

(2) Nahlásit příslušný incident je možné jednak skrze e-mailovou adresu csirt@muni.cz nebo kontaktní formulář.

(3) Při nahlašování incidentů se vždy v první řadě identifikujte aneb myslete na to, že je nutné uvést jméno, příjmení, UČO.

(4) Definujte problém, tedy zkuste vlastními slovy, ale podrobně popsat, co se stalo nebo právě děje. Každá drobnost dopomůže příslušnému pracovníku k vyřešení potíží, protože situaci lépe pochopí.

(5) Předejte důkazy, což znamená, že pokud vám přišel například podvodný e-mail, tak nezapomeňte na přeposlání příslušného e-mailu ideálně s přílohami, odkazy či hlavičkami. V případě jiných problémů je vhodné dodat například i screenshot obrazovky.

Bezpečná hesla

4.1 Jak vytvořit dobré heslo?

(1) Dobré heslo by mělo být:

▶ Dostatečně dlouhé – obsahovat by mělo minimálně 12 znaků. To stanovují doporučené standardy i vyhláška o kybernetické bezpečnosti.

▶ Využívající více typů znaků – žádoucí je použít různou skupinu znaků, tedy velká a malá písmena, číslice, interpunkce či další speciální znaky (zavináč, čárka, středník, symboly).

▶ Jedinečné – na každý nově založený či již existující účet je nutné použít jiné heslo.

▶ Zapamatovatelné – dobrou volbou je tzv. frázové heslo (např. „trhat.fialky.B00M.dynamitem”), které se skládá z kombinace dobře zapamatovatelných slov. Může se jednat o části básně, scenerie cestou do práce, vzpomínky.

Chci se dozvědět více o heslech!

4.2 Správce hesel

(1) Správce hesel funguje jako databáze hesel, kde jsou jednotlivá hesla šifrovaně ukládána a chráněna. Dokáže také vygenerovat dostatečně silné heslo pro již používané či nově vzniklé online účty. Umožňuje nám bezpečně využívat unikátní hesla tak, abychom si je nemuseli všechna pamatovat.

(2) K šifrované databázi všech hesel (nebo do správce hesel) je možné se přihlásit zadáním jediného hesla, tzv. master hesla, které ovšem musí být dostatečně dlouhé, složité, jedinečné a zapamatovatelné.

4.3 Dvoufaktorové ověřování

(1) Dvoufaktorové ověřování („2FA“) poskytuje pokročilejší vrstvu ochrany, a to ve formě přidání dalšího prvku ověřování totožnosti přihlašujícího. Kromě klasického hesla, které při přihlašování zadáváme, se může jednat např. o potvrzení přihlášení v mobilní aplikaci, zadání jednorázového hesla zaslaného pomocí SMS na mobilní telefon (jako např. v případě elektronického bankovnictví), otisk prstu atp.

(2) Základním pilířem tohoto ověřování je fakt, že přídavný faktor je pro útočníka velmi náročné získat nebo duplikovat, ať už z pohledu limitovaného času nebo osobní vzdálenosti. Útočník se tedy nemůže dostat v přihlašovaní dál, i když by se mu například podařilo zcizit, prolomit nebo uhádnout naše heslo.

(3) Tam, kde je to možné, je vhodné 2FA využívat. Doporučené je jeho využití u zásadních služeb, jako jsou např. e-mailové schránky či správci hesel atp.

Chci se dozvědět více o heslech!

Zabezpečení zařízení

5.1 Zabezpečení zařízení ve fyzickém světě

(1) Zařízení je nutné zamykat v době, kdy není používáno nebo pokud se od něj vzdálíme! Potřeba fyzické ochrany se samozřejmě týká i telefonů či tabletů!

(2) Zařízení, které je využíváno výhradně mou osobou, a to ať již k pracovním nebo soukromým účelům, není doporučeno zapůjčovat jiným osobám.

(3) Není vhodné zapojovat do zařízení (notebooku, PC atp.) např. nalezené USB flash disky, SD karty apod. Tato zařízení mohou být infikována škodlivými programy, které na první pohled nemusí být odhalitelné. Do zařízení není doporučeno zapojovat ani náhodně nalezené kabely, myši atp.

(4) Data uložená na vlastním zařízení, která nesou požadavek na vysoký stupeň ochrany je potřeba šifrovat! Návody, jakým způsobem postupovat v rámci jednotlivých operačních systémů, najdete zde. <school-specific>

5.2 Zabezpečení zařízení v kyberprostoru

(1) Udržujte operační systém a používaný software aktualizovaný, tzn. neodkládejte nabízené aktualizace, nevypínejte automatické aktualizace používaného softwaru a operačního systému atp.

(2) Aplikace stahujte pouze z oficiálních a ověřených zdrojů. Na mobilních zařízeních kontrolujte potřebná oprávnění při instalaci aplikace a povolujte jen ta, která jsou z podstaty funkcí aplikace nutná.

(3) Používejte antimalwarový software (antivirus) a pravidelně jej aktualizujte, resp. neodkládejte ani nepozastavujte jeho automatické aktualizace. Nevypínejte jeho funkce a nepozastavujte jeho činnost.

(4) Doporučeno je při připojení se k počítačové síti využívat tzn. VPN (virtuální privátní síť), která zajišťuje šifrování veškeré komunikace a vysoký stupeň zabezpečení. <school-specific>

(5) Nenavštěvujte stránky, u kterých webový prohlížeč hlásí problém s jejich webovým certifikátem či které komunikují nezašifrovaně (v adresním řádku místo HTTPS naleznete HTTP). Klasickými rysy těchto stránek bývají právě vyskakovací okna typu „Vaše připojení není soukromé“ nebo „Spojení s tímto webem není bezpečné“. Nutné je také kontrolovat, zda není doména v adresním řádku pozměněná.

Chci se dozvědět více o zabezpečení zařízení!

E-mailová komunikace

Odst. 1 Podvržení odesílatele

(1) Podvržení odesílatele má za cíl pomocí podvrženě zaslaných e-mailů působit na příjemce tak, že samotná e-mailová adresa vypadá jako legitimní a důvěryhodná (místo dekan@univerzita.cz přijde e-mail od dekan@universita.cz atp.). Útočník tímto chce získat informace citlivé povahy: osobní a přihlašovací údaje, privátní klíče, obchodní tajemství apod.

(2) Součástí každého i podvrženého e-mailu jsou vedle těla (obsahu zprávy) i tzv. hlavičky. V těchto hlavičkách jsou obsaženy základní informace o daném e-mailu – odesílatel, příjemce, adresa pro zaslání odpovědi, kopie či předmět e-mailu apod. <school-specific>

(3) Útočníky bývá právě nejčastěji zneužito pole „Od“ (From), které obsahuje informaci o odesílateli. Není však výjimkou, že e-mail přijde například i z kompromitovaného účtu či útočník využije jiné domény apod. Důležité je vždy přemýšlet nad kontextem zaslaného e-mailu, zkontrolovat hlavičky a kriticky myslet!

Odst. 2 Podezřelé přílohy

(1) Podezřelé přílohy mohou na první pohled působit dojmem, že se jedná o legitimní soubory nebo dokumenty (PDF, DOC, MP3). Signifikantním rysem je to, že právě název podvržené přílohy má odlišnou příponu – místo „DOC“ nebo „DOCX“ jsou užita jiná písmena, které se neshodují s ikonou. Podezřelé mohou být také komprimované přílohy (RAR, ZIP).

(2) Podezřelou přílohu nejčastěji obdržíme z adres, které vůbec neznáme. Není však výjimkou, že někdy přijdou i ze zdroje, kterému důvěřujeme. Nemůžeme si tedy být jistí, zda například nedošlo k napadení účtu odesílatele útočníkem apod.

(3) Nutné je mít funkční a aktualizovaný antivirový program, přílohu neotvírat a případně využít nástroj pro kontrolu podezřelých souborů.

Odst. 3 Co dělat při podezření na podvržený e-mail?

▶ Není doporučeno klikat na odkazy nebo přílohy vyskytující se v e-mailu!

▶ Nepodléhat nátlaku, který může být v e-mailu kladen (např. končící splatnost faktury)!
Vždy je nutné vše řešit řádně, s klidem a rozmyslem.

▶ Pokud e-mail vybízí k aktivitě, je žádoucí ověření zprávy jinými kanály.
Doporučuje se kontaktovat odesílatele telefonicky nebo přes jinou důvěryhodnou komunikační aplikaci.

▶ Není doporučeno na e-mail odpovídat nebo volat například na telefonní údaje uvedené v něm.

▶ Při sebemenším podezření je nejlepší e-mail přeposlat kyberbezpečnostnímu týmu Masarykovy univerzity. <school-specific>

Chci se dozvědět více o bezpečné komunikaci!

Odst. 4 Šifrování

(1) Pro komunikaci pracovního rázu (posílání např. smluv) je vždy nutné používat nástroje nebo e-mailové klienty, které nabízí a podporuje naše univerzita (např. MS Teams, Thunderbird). Není vhodné posílat např. interní dokumenty jinými kanály! Některé komunikační nástroje mohou totiž posílat zprávy v tzn. plaintextu, což znamená, že všechna komunikace může být po cestě odchycena a přečtena!

(2) Šifrování je základem ve správně zabezpečené a nastavené elektronické komunikaci. Funguje tak, že u zpráv, které jsou odesílány dochází k jejich zašifrování pomocí veřejného klíče příjemce, který ji posléze dešifruje svým privátním klíčem. Tím se zařídí, aby zpráva nebyla při své cestě kyberprostorem kýmkoli jiným čitelná – což třeba poskytují nástroje s E2E šifrováním.

Chci se dozvědět více o šifrování!

Sociální inženýrství a hrozby

Phishing

(1) Phishing je podvodná technika, která usiluje o zcizení přihlašovacích jmen, hesel za účelem jejich následného zneužití (výběr hotovosti z konta, neoprávněný přístup k datům atd.).

(2) Phishing bývá odesílán nejčastěji e-mailem, přičemž snahou útočníka je to, aby co nejvíce imitoval důvěryhodného odesílatele – vydává se za pracovníka, autoritu (nadřízeného apod.).

(3) Mezi znaky phishingového e-mailu patří: časový nátlak, urgentní požadavek či příkaz autority k provedení určité činnosti (např. zaplacení faktury či nutná změna přihlašovacích údajů) apod. Varovnými znaky mohou také být neobvyklá adresa či špatná gramatika e-mailu.

(4) Součásti e-mailu může být např: odkaz na podvrženou stránku s přihlašovacím formulářem, kam se zadávají přihlašovací údaje; textový formulář, který je nutné vyplnit a obratem odeslat nebo podvržená příloha obsahující škodlivý software (malware apod.).

Voice phishing = vishing

(1) Vishing je metoda sociálního inženýrství, která funguje na principu podvodného zavolání na soukromé či pracovní číslo uživatele.

(2) Útok využívá momentu překvapení a neznalosti uživatele. Pravděpodobný scénář je, že někdo zavolá v neobvyklou hodinu, často v noci, přičemž se perfektní češtinou a profesionálním tónem představí například jako pracovník banky nebo technické podpory.

(3) Obvykle dojde k přesycení uživatele množstvím informací typu „účet byl napaden“ či „banka zaznamenala neautorizovanou platbu“ atd., přičemž volající naléhá že je nutno obratem jednat.

Chci se ještě lépe bránit sociálnímu inženýrství!

Ransomware

(1) Ransomware je škodlivý software, který má za cíl zašifrovat data, případně zablokovat uživateli přístup k zařízení. K dešifrování dat většinou požaduje zaplacení výkupného v digitálních měnách.

(2) Ransomware je možné stáhnout v nepozornosti například z přílohy v e-mailu nebo při návštěvě napadeného webu či skrze jiný infikovaný stroj v síti.

(3) Jakmile uživatel přílohu spustí, tak dojde k zašifrování dat, přičemž vyskočí požadavek na výkupné. Bez dešifrovacího klíče není možné se k zašifrovaným souborům již dostat, proto je nutné si důležité soubory zálohovat!

Chci vědět více o ransomwaru a obraně proti němu!

Co dělat a nedělat?

(1) Nikdy i přes urgentní naléhavost, která se může ať už v e-mailu (phishing) či hovoru (vishing) vyskytnout, nesdělujte a nikam nezadávejte jakékoli citlivé či osobní údaje (přihlašovací údaje, hesla, piny apod.)!

(2) Vždy je žádoucí si požadavek ověřit jinými kanály – například zavolat na oficiální helpdesk či technickému oddělení apod., zavolat kolegovi nebo nadřízenému, který po nás urgentně požaduje proplatit fakturu atp.

(3) Nezbytné je pravidelně zálohovat soubory a neodkládat jakékoli aktualizace!

(4) Uvažovat kriticky a při sebemenším podezření týkající se možného incidentu se obrátit na kyberbezpečnostní tým Masarykovy univerzity CSIRT-MU! <school-specific>