zgłoszenie do CERT

Zgłoszenie do CERT informuje krajowy zespół reagowania na incydenty o wykrytym zagrożeniu.

Zgłoszenie do CERT – czym jest i czemu służy

Zgłoszenie do CERT jest uporządkowaną informacją o podejrzanym zdarzeniu związanym z bezpieczeństwem cyfrowym. Trafia do zespołu reagowania na incydenty, który może analizować charakter zagrożenia, porównywać je z innymi przypadkami oraz przekazywać ostrzeżenia osobom i instytucjom, których może dotyczyć podobny problem. W praktyce zgłoszenie nie musi oznaczać, że doszło już do potwierdzonego włamania. Wystarczającym powodem może być podejrzenie przejęcia konta, nietypowa wiadomość nakłaniająca do podania danych, złośliwy plik, próba wyłudzenia informacji albo zachowanie komputera wskazujące na działanie szkodliwego programu.

Termin CERT odnosi się do zespołów zajmujących się przyjmowaniem informacji o incydentach, ich oceną i koordynowaniem reakcji. W zależności od rodzaju sprawy zgłoszenie może być kierowane do właściwego krajowego zespołu, zespołu obsługującego określoną branżę albo operatora usługi, w której wystąpiło zdarzenie. Nie zastępuje ono zawiadomienia odpowiednich organów, jeżeli doszło do kradzieży, oszustwa, szantażu lub innego czynu wymagającego formalnego postępowania.

Największą wartość ma zgłoszenie rzeczowe, oparte na zachowanych dowodach. Nie trzeba samodzielnie rozstrzygać, jaki mechanizm został użyty. Wystarczy dokładnie opisać, co zaobserwowano, kiedy się wydarzyło, z jakiego urządzenia lub konta korzystano i jakie działania podjęto po zauważeniu problemu.

Zgłoszenie do CERT w kontekście technicznym i na tle innych reakcji

Warto odróżnić zgłoszenie do CERT od kilku podobnych działań. Informacja przesłana do zespołu reagowania służy przede wszystkim przekazaniu wiedzy o incydencie i uruchomieniu analizy. Kontakt z bankiem lub dostawcą płatności ma na celu zabezpieczenie środków i zablokowanie podejrzanych operacji. Zgłoszenie operatorowi poczty, serwisu społecznościowego lub sklepu internetowego może doprowadzić do zablokowania konta, usunięcia fałszywej strony albo zatrzymania dalszej dystrybucji wiadomości. Zawiadomienie organów ścigania służy natomiast formalnemu udokumentowaniu podejrzenia popełnienia przestępstwa.

Różnica dotyczy również rodzaju materiału technicznego. Przy zgłoszeniu do CERT przydatne bywają pełne nagłówki wiadomości e-mail, adres strony internetowej, nazwa pliku, treść komunikatu, data i godzina zdarzenia, komunikaty programu ochronnego, zrzuty ekranu oraz opis zachowania urządzenia. Przydatne są także informacje o tym, czy podano hasło, otwarto załącznik, uruchomiono instalator, wykonano przelew lub zatwierdzono logowanie. Takie dane pozwalają lepiej ocenić, czy chodzi o próbę wyłudzenia, infekcję, podszywanie się pod inną osobę, nieuprawniony dostęp czy naruszenie dostępności usługi.

W przypadku podejrzenia infekcji należy zachować rozsądną kolejność działań. Jeżeli urządzenie nadal wykonuje nietypowe operacje, może zostać odłączone od sieci, o ile nie utrudni to ważnej pracy lub zabezpieczenia dowodów. Nie należy pochopnie usuwać wiadomości, formatować dysku ani kasować podejrzanych plików. Z drugiej strony nie powinno się wielokrotnie uruchamiać nieznanego programu tylko po to, aby sprawdzić, co zrobi. Zgromadzenie informacji przed zmianami w systemie często ułatwia późniejszą ocenę.

Zgłoszenie do CERT a typowe problemy użytkowników

Częstym powodem zgłoszenia jest wiadomość podszywająca się pod bank, firmę dostawczą, urząd, sklep lub usługę internetową. Może zawierać link prowadzący do strony łudząco podobnej do prawdziwej witryny. Sama wiadomość nie zawsze oznacza, że konto zostało przejęte, ale podanie danych na fałszywej stronie zwiększa ryzyko ich wykorzystania. W takim przypadku należy zachować wiadomość w oryginalnej formie, nie odpowiadać na nią i nie klikać ponownie w zawarty odnośnik.

Innym problemem jest nagłe pojawienie się nieznanych logowań, zmian ustawień konta, nowych reguł przekierowania poczty albo komunikatów o resetowaniu hasła, którego nikt nie zamawiał. Takie sygnały mogą wskazywać na próbę przejęcia dostępu. W pierwszej kolejności powinno się skorzystać z niezależnie otwartej strony danej usługi, zmienić hasło na unikalne, zakończyć aktywne sesje i włączyć dodatkowe potwierdzanie logowania, jeśli jest dostępne. Następnie można przygotować zgłoszenie do CERT wraz z informacją o zauważonych zmianach.

Zdarza się również, że komputer zaczyna działać wolniej, pojawiają się nieznane okna, przeglądarka otwiera obce strony albo program ochronny sygnalizuje zagrożenie. Nie każdy taki objaw potwierdza atak, ponieważ przyczyną może być błąd aktualizacji, konflikt oprogramowania lub problem sprzętowy. W zgłoszeniu należy więc unikać kategorycznych stwierdzeń, jeżeli nie ma na nie dowodów. Lepszy jest opis: kiedy pojawił się objaw, co było uruchomione, jakie komunikaty się wyświetliły i czy po ponownym uruchomieniu problem się utrzymał.

Do CERT można zgłaszać także fałszywe strony, kampanie wyłudzające dane, szkodliwe załączniki oraz przypadki rozpowszechniania złośliwego oprogramowania. Warto wskazać, czy zagrożenie nadal jest aktywne i czy inne osoby mogą wejść pod ten sam adres. Jeżeli w sprawę zaangażowane są dane firmowe, należy równolegle powiadomić osobę odpowiedzialną za bezpieczeństwo lub administratora systemu.

Jak przygotować zgłoszenie do CERT i zabezpieczyć informacje

Dobre zgłoszenie do CERT powinno być krótkie, konkretne i możliwe do zweryfikowania. Na początku warto podać rodzaj zdarzenia, na przykład podejrzaną wiadomość, fałszywą stronę, złośliwy plik albo nieznane logowanie. Następnie należy opisać przebieg zdarzenia w kolejności czasowej. Pomocne jest wskazanie, co pojawiło się na ekranie, jakie działanie wykonano oraz jaki był bezpośredni skutek.

• podanie daty i przybliżonej godziny wystąpienia problemu,
• zachowanie adresu strony lub nadawcy wiadomości, bez ponownego otwierania podejrzanego odnośnika,
• dołączenie zrzutu ekranu, jeżeli nie zawiera on haseł, kodów jednorazowych ani innych poufnych danych,
• zachowanie oryginalnej wiadomości wraz z pełnymi nagłówkami, gdy zgłoszenie dotyczy poczty elektronicznej,
• opisanie używanego urządzenia, programu lub usługi bez ujawniania danych logowania,
• wskazanie, czy podano dane, otwarto załącznik, zainstalowano program albo wykonano płatność.

Nie powinno się przesyłać haseł, kodów autoryzacyjnych, kluczy dostępu ani pełnych danych karty płatniczej. Jeżeli w zrzucie ekranu znajdują się takie informacje, należy je zasłonić przed wysłaniem. Plik podejrzewany o szkodliwe działanie nie powinien być uruchamiany w celu dodatkowego sprawdzenia. W razie potrzeby można opisać jego nazwę, lokalizację i sposób otrzymania, a dalszą analizę pozostawić osobom dysponującym odpowiednimi narzędziami.

Ważne jest także zachowanie spójności informacji. Jeżeli wiadomość została przekazana dalej, może utracić część danych technicznych. Lepszym rozwiązaniem jest zapisanie jej w oryginalnej postaci lub skorzystanie z funkcji zgłaszania dostępnej w używanej usłudze. W razie niepewności można przygotować notatkę zawierającą chronologię zdarzeń i listę wykonanych czynności. Ułatwia to ocenę sytuacji oraz ogranicza ryzyko pominięcia istotnego szczegółu.

Kiedy zgłoszenie do CERT wymaga szybkiej konsultacji

Zgłoszenie do CERT powinno zostać rozważone szybko, gdy doszło do podania hasła na podejrzanej stronie, uruchomienia nieznanego załącznika, przejęcia konta, ujawnienia danych osobowych, przekierowania poczty albo pojawienia się objawów sugerujących działanie szkodliwego programu. Szczególnej uwagi wymagają sytuacje, w których to samo zdarzenie może dotyczyć wielu osób, na przykład fałszywa strona rozsyłana w wiadomościach lub zainfekowany plik udostępniony w grupie.

W razie podejrzenia straty finansowej należy niezwłocznie skontaktować się z bankiem lub operatorem płatności, ponieważ zgłoszenie do CERT nie cofa wykonanej transakcji. Gdy mogło dojść do przestępstwa, warto dodatkowo zachować potwierdzenia, korespondencję i dane transakcji na potrzeby formalnego zawiadomienia. Jeżeli urządzenie zawiera ważne dokumenty, a jego zachowanie budzi wątpliwości, można skorzystać z pomocy serwisu komputerowego. W Warszawie wstępną konsultację dotyczącą takiego przypadku może przeprowadzić Warszawskie Pogotowie Komputerowe 24/7, przy czym ostateczna ocena incydentu powinna opierać się na zgromadzonych dowodach i informacji przekazanej właściwemu zespołowi reagowania.

Nie każdy problem wymaga natychmiastowego odłączania urządzenia, ale nie powinno się ignorować powtarzających się ostrzeżeń, nieznanych logowań ani komunikatów o zmianie danych konta. Najważniejsze jest ograniczenie dalszego dostępu, zabezpieczenie dowodów, zmiana ujawnionych haseł z użyciem zaufanego urządzenia oraz przekazanie uporządkowanej informacji do odpowiedniego podmiotu. Dzięki temu zgłoszenie ma większą wartość praktyczną i może pomóc w rozpoznaniu podobnych zagrożeń u innych użytkowników.