Céges titkokkal kerülhetnek új gazdához a leselejtezett routerek
Fontos információforrásként szolgálhatnak a kiberbűnözők számára a leselejtezett, használt céges hálózati berendezések, a routerekkel együtt az érzékeny adatok is mehetnek a piacra.
A használtpiacon árult hálózati felszerelések egy része a vállalatok gondatlanságából kifolyólag érzékeny adatokkal szolgálhat a rosszakarók számára, akik akár adott szervezet rendszerébe is megpróbálhatnak bejutni ügyféladatok ellopásának céljából. Az ESET biztonsági kutatói 18 központi routert vásároltak másodkézből az internetről, és úgy találták, hogy a használt berendezések több mint felén hozzáférhetők a hálózati konfigurációs adatok, emellett a korábbi tulajdonos azonosítását segítő információkat is tartalmaznak. Tehát a legtöbb berendezésről nem távolítják el a céges adatokat megfelelően a leszerelés során, így azok külső fél kezébe juthatnak, amennyiben továbbértékesítésre kerülnek a piacon.
Az ESET kutatói négy Cisco (ASA 5500), három Fortinet (Fortigate sorozat) és 11 Juniper Networks (SRX Series Services Gateway) eszközt vásároltak a tesztkörnyezet kialakításához, ebből egy berendezés a beüzemelés előtt használhatatlanná vált, kettő pedig egymást tükrözte, így egy eszköznek számolták az értékelés során. A fennmaradó 16 eszköz közül ötöt "radíroztak le" megfelelően a korábbi tulajdonosok, és két esetben tettek olyan biztonsági intézkedéseket, amelyek megnehezítették az adatok esetleges hozzáférését.
Miért kritikus a Patch & Asset Management a kibervédelemben? (x) Az adatszivárgások jelentős része megakadályozható lenne, ha a szervezetek időben telepítenék a szoftverfrissítéseket.
Vállalati hálózati eszközök esetén a rendszergazdának kell futtatnia a konfiguráció biztonságos törlésére szolgáló parancsokat, amennyiben ezt elmulasztják, a routereken egyes beállítások és információk hozzáférhetők maradnak. A teszt során vizsgált használt routereken hozzáférhetők voltak akár teljes konfigurációs beállítások, illetve olyan adatok, amelyek a tulajdonosról, a hálózat felállításának módjáról és a többi rendszer közötti kapcsolatokról árulkodtak.
A konfigurációs adatokat eláruló kilenc router közül nyolc tartalmazott hitelesítési kulcsokat és kivonatokat. Egyes eszközök megőriztek ügyféladatokat is, amelyek lehetővé tették a harmadik felek hálózathoz való csatlakozását. Az ilyen típusú információkhoz hozzáférő rossz szándékú félnek így egyszerűbb dolga lehet, ha szeretne bejutni adott cég hálózatába.
Az ESET szerint a vállalatoknak ajánlott lenne protokollokat kialakítaniuk a digitális berendezéseik biztonságos megsemmisítésére és leszerelésére adatvédelmi szempontból, lehetőleg külső fél bevonása nélkül, az ajánlás szerint érdemes adott eszközgyártó útmutatásait követni, és megtisztítani a berendezést a potenciálisan érzékeny adatoktól, majd visszaállítani azt a gyári alapértelmezett állapotba.