Blog

Od smartfonów i laptopów po systemy infrastruktury krytycznej – oprogramowanie odgrywa kluczową rolę w naszym codziennym życiu. Jednak to uzależnienie niesie ze sobą poważne wyzwania i obawy.

Już dwanaście lat temu Marc Andreessen, znany i ceniony inwestor z Doliny Krzemowej, opublikował na łamach dziennika „The Wall Street Journal” artykuł „Why Software Is Eating The World”, co można przetłumaczyć jako „dlaczego oprogramowanie zjada świat”.

Autor w artykule pokazał rosnącą rolę aplikacji w wielu sektorach gospodarki – motoryzacji, rolnictwie, finansach, przemyśle wydobywczym, rozrywce, sieciach handlowych, czy obronie narodowej. Proces ten cały czas postępuje z korzyścią dla gospodarki. Niestety, w życiu nie ma nic za darmo.

Zarządzanie niezliczoną ilością aplikacji coraz częściej przerasta zarówno właścicieli firm, jak i gospodarstwa domowe, a jednym z największych wyzwań jest aktualizacja oprogramowania. Proces ten wymaga od użytkownika proaktywnej polityki bezpieczeństwa, polegającej na identyfikowaniu luk w zabezpieczeniach, zanim zrobi to haker. O ile duże koncerny mają zasoby do prowadzenia takich działań, o tyle małe przedsiębiorstwa, bądź użytkownicy domowi skazani są jedynie na informacje o aktualizacjach przychodzących od producentów.

Czasami bywa to trudny proces, o czym można było się przekonać w drugiej połowie lipca, kiedy błędy w aktualizacji oprogramowania CrowdStrike wyłączyły 8,5 miliona urządzeń z systemem Windows. Wielka awaria sparaliżowała pracę banków, linii lotniczych, portów morskich, czy placówek medycznych. Działania przeciwne, czyli unikanie aktualizacji, również mogą być brzemienne w skutkach, czego najlepszym przykładem jest atak ransomware Wanna Cry z maja 2017 roku. Jego rezultatem było zainfekowanie ponad 300 tysięcy komputerów w 99 krajach. Wówczas napastnicy wykorzystali lukę w zabezpieczeniach Microsoftu. Inny spektakularny przykład wiąże się z naruszeniem danych Equifax i miał miejsce również w 2017 roku. Firma nie załatała luki w zabezpieczeniach serwera, w rezultacie czego napastnicy zyskali dostęp do 147 milionów osób, a ugoda z poszkodowanymi kosztowała Equifax 425 milionów dolarów. Z kolei atak na łańcuch dostaw SolarWinds w 2020 roku wykorzystał lukę w szeroko rozpowszechnionym oprogramowaniu, narażając na szwank agencje rządowe i prywatne firmy.

Cyberprzestępcy bardzo często wykorzystują znane luki do ataków, a szczególnie lubują się tym gangi ransomware. Z analiz przeprowadzonych przez Ponemon Institute wynika, iż 60 procent naruszeń danych jest pokłosiem niezałatanych luk w zabezpieczeniach.

•  Luki występujące w oprogramowaniu mogą prowadzić do nieautoryzowanego dostępu, naruszeń danych, a nawet unieruchomienia całego systemu IT. Niestety, takie podatności nie są rzadkością, a częstość ich występowania stale rośnie. Nie można ich bagatelizować, bowiem bardzo często pełnią one funkcję furtki dla hakerów. Można się tutaj posłużyć analogią związaną z ochroną domu. Nawet najlepszej klasy zamki i nad wyraz solidne drzwi oraz mocne ściany niewiele pomogą, jeśli tylne wejście pozostanie niestrzeżone. W przypadku systemów informatycznych taką rolę odgrywają właśnie luki w zabezpieczeniach oraz błędne konfiguracje. – tłumaczy Michał Łabęcki, Marketing Manager G DATA Software.

Luka luce nierówna

Luki mogą występować w różnych postaciach – jako błędy kodowania w oprogramowaniu, błędne konfiguracje w urządzeniach sieciowych lub przestarzałe protokoły bezpieczeństwa. Te słabości tworzą wektory ataków i punkty wejścia dla atakujących, pozwalające im ominąć środki bezpieczeństwa i uruchomić złośliwe działania. Hakerzy bardzo często wykorzystują nieznane podatności (tzw. zero-day), czyli błędy w oprogramowaniu, o których producent nie ma pojęcia. Napastnicy poszukują również luk z udostępnionymi przez dostawcę poprawkami. Z reguły fala ataków rozpoczyna się kilkanaście dni po ujawnieniu przez dostawcę informacji o wprowadzeniu aktualizacji. Dzieje się tak, ponieważ wielu użytkowników komputerów bądź smartfonów ignoruje komunikaty wzywające do uaktualnienia oprogramowania.

Nie wszystkie luki są sobie równe, dlatego ważna jest ich ocena, obejmująca takie czynniki, jak

łatwość eksploatacji, potencjalny wpływ na środowisko i istnienie exploitów roboczych. W dużych i średnich organizacjach skanowanie środowiska IT pod kątem luk występujących w zabezpieczeniach często skutkuje wykryciem setek podatności. Ich jednorazowe usunięcie jest nierealne, ponieważ firmy znajdują się pod ciągłą presją aktualizacji i ulepszania aplikacji, środowisk sieciowych itp. Dlatego zespoły IT muszą ustalić priorytety i zająć się w pierwszej kolejności najgroźniejszymi podatnościami. Większość firm bazuje na znanym i sprawdzonym standardzie branżowym CVSS (Common Vulnerability Scoring System), który ocenia w skali 1-10 luki w kontekście zagrożenia, jakie one ze sobą niosą. Przy czym najniższe wartości 1-3,9 oznaczają niewielką szkodliwość, zaś od 9 do 10 luki krytyczne.

– Krajobraz cyberzagrożeń cały czas ewoluuje. Dlatego też działy IT muszą cały czas monitorować systemy pod kątem analizy zagrożeń, a także występowania luk w zabezpieczeniach. Natomiast użytkownicy indywidualni powinni śledzić informacje od dostawców oprogramowania i na bieżąco dokonywać aktualizacji, bowiem nawet kilkudniowa zwłoka może przynieść poważne konsekwencje w postaci utraty ważnych danych lub awarii komputera. – podsumowuje Michał Łabęcki.

———-

www.GDATA.pl

Przeglądarka internetowa jest wszechobecnym narzędziem, a co za tym idzie jednym z najbardziej popularnych wektorów ataków dla hakerów. Niestety, internauci zazwyczaj nie zdają sobie z tego sprawy.

W dynamicznie zmieniającym się krajobrazie pełnym innowacyjnych technologii, takich jak sztuczna inteligencja, przetwarzanie w środowisku chmurowym, automatyzacja, zapomina się o roli, jaką spełniają przeglądarki internetowe. Tymczasem to one prowadzą nas do wyszukiwarek, stron internetowych, sklepów online i mediów społecznościowych. Nie bez przyczyny często mówi się o nich jako oknie na świat. Niemniej specjaliści ds. cyberbezpieczeństwa patrzą na przeglądarki bardziej chłodnym okiem i ostrzegają, że każda sesja internetowa jest trochę jak stąpanie po polu minowym. Cyberprzestępcy nie próżnują i za pośrednictwem przeglądarek próbują osiągnąć swoje niecne cele.

• Przeglądarka internetowa przez lata była wykorzystywana do ataków wymierzonych w użytkowników indywidualnych. To się nie zmieniło, aczkolwiek od czasu pandemii i wzrostu popularności pracy hybrydowej, stała się dla hakerów również furtką do przedsiębiorstw. Dzieje się tak, ponieważ wielu pracowników korzysta z własnych komputerów, a także profili osobistych w przeglądarkach internetowych, które nie podlegają firmowej kontroli bezpieczeństwa – wyjaśnia Michał Łabęcki z G DATA Software.

Rozszerzenia niczym koń trojański

Użytkownicy przeglądarek chętnie korzystają z różnego rodzaju wtyczek i rozszerzeń, aby poprawić bezpieczeństwo, blokować reklamy, bądź po prostu zwiększyć komfort surfowania w sieci. Zasadniczy problem polega na tym, że dodatki najczęściej tworzą osoby niezależne od twórców przeglądarek. W związku z tym bardzo trudno jest się rozeznać, co jest bezpieczne, a co nie. Niestety, dodatki będące zagrożeniem dla bezpieczeństwa danych i naruszające prywatność użytkowników, pojawiają się permanentnie. Jak wynika z danych raportu „Browser Security Annual Report 2024” opracowanego przez Layer X, aż 33 procent wszystkich dodatków do przeglądarek zagraża bezpieczeństwu internauty, zaś 1 procent stanowią złośliwe rozszerzenia.

Najlepszą metodą, aby zapobiec pobieraniu niebezpiecznych dodatków, jest mieszanka kontroli technologicznej i społecznej. Z jednej strony należy ograniczyć do niezbędnego minimum instalowanie rozszerzeń, tym bardziej że ich wartość rzadko przekracza szkody wywołane przez ewentualny cyberatak, zaś z drugiej zastosować narzędzia służące do sprawdzania rozszerzenia lub wtyczek. Takie rozwiązania oferują między innymi programy antywirusowe, na przykład G DATA, które posiadają rozszerzenia ochrony dla przeglądarek internetowych Mozilla Firefox, Microsoft Edge i Google Chrome.

Groźne są nie tylko rozszerzenia

Cyberprzestępcy nie ograniczają swoich działań wyłącznie do dystrybucji złośliwych rozszerzeń, bądź poszukiwania w nich luk. Inną często zastawioną przez nich pułapką jest tak zwane „zatruwanie DNS”. Domain Name System (DNS) to usługa zapewniająca powiązanie domeny z adresem IP danego serwera. Internauta, aby uzyskać dostęp do danej strony internetowej, nie musi znać jej dokładnego adresu IP. Oszuści fałszują rekordy DNS, aby przekierować użytkownika z legalnej strony internetowej na fałszywą, która przechwytuje dane logowania, kradnie dane osobowe lub przesyła poprzez przeglądarkę złośliwy ładunek do urządzenia końcowego. Tego rodzaju ataki często kończą się sukcesem, bowiem witryny spreparowane przez napastników do złudzenia przypominają legalne serwisy.

– Ta pułapka jest niebezpieczna, aczkolwiek wpadają w nią zazwyczaj nieostrożni internauci. Można jej uniknąć, jeśli nie kilka się podejrzanych adresów URL, ani nie pobiera podejrzanych załączników. Warto też zwrócić uwagę czy na początku adresu znajduje się skrót HTTPS, a ostatnia litera „S” oznacza, że witryna jest zabezpieczona przez certyfikat SSL. – doradza Michał Łabęcki.

Bardzo podstępną metodą ataku na strony internetowe jest Cross-Site Scripting (XSS). Cyberprzestępca umieszcza na bezpiecznej witrynie złośliwy skrypt, często w postaci JavaScript, HTML lub Visual Basic Script. Na przykład zainfekowana strona internetowa może przesłać do przeglądarki skrypt wykradający dane użytkownika. Przeglądarka uruchamia złośliwy kod, ponieważ zakłada, iż pochodzi on z zaufanego źródła. Zapobieganie tego rodzaju atakom jest wyjątkowo trudne. Jedną z metod jest analiza kodu pobieranej strony w celu sprawdzenia, czy nie zawiera niepasującego skryptu. Jednak to zadanie, z którym poradzą sobie jedynie bardziej zaawansowani technologicznie internauci. Pewnego rodzaju pocieszeniem pozostaje fakt, iż najpopularniejsze przeglądarki posiadają wbudowane funkcje bezpieczeństwa wykrywające i blokujące niektóre rodzaje ataków XSS.

Co z tą prywatnością?

Jednym z największych zmartwień internautów jest utrata anonimowości w sieci. Konsumenci uskarżają się na marketerów, śledzących niemal ich każdy krok w Internecie, zaś dziennikarze, czy aktywiści narzekają na inwigilację ze strony organów rządowych. Tego typu przykłady można mnożyć. Nie bez przyczyny rośnie zainteresowanie tak zwanymi przeglądarkami zorientowanymi na prywatność. Eksperci zaliczają do tej grupy narzędzi zarówno powszechnie znaną Mozillę, jak i mniej popularne Brave, DuckDuckGo, Firefox, Ghostery, czy Tor. Wymienione przeglądarki nie udostępniają historii przeglądania stronom trzecim, takim jak na przykład reklamodawcy, i ograniczają do minimum zbieranie danych użytkownika. Są one przyjazne dla użytkowników, aczkolwiek zdarzają się sytuacje, że strony internetowe nie ładują się lub nie działają prawidłowo. Może to być spowodowane tym, że przeglądarka blokuje trackery i pliki cookie ze względu na ich zbyt dużą agresywność lub z powodu błędu programistycznego. Innym mankamentem wynikającym z używania tych narzędzi jest utrata personalizacji internetowej. W praktyce oznacza to, że reklamy wyświetlane użytkownikowi mogą być nieadekwatne do jego potrzeb i zainteresowania. Użytkownicy powinni mieć też świadomość, że nie wszystkie przeglądarki zapewniają ponadprzeciętną prywatność oferują ten sam poziom domyślnej ochrony i mogą zawierać luki w ich zabezpieczeniach.

—–

www.GDATA.pl

Od 1 sierpnia przedsiębiorstwa produkcyjne mogą wnioskować do PARP (Polskiej Agencji Rozwoju Przedsiębiorczości) o dofinansowanie na rozwój działalności. Podstawowy warunek to prowadzenie działalności na terenie makroregionu Polski Wschodniej, czyli z siedzibą albo oddziałem w jednym z województw: lubelskie, podkarpackie, podlaskie, świętokrzyskie, warmińsko-mazurskie albo mazowieckie (bez Warszawy i otaczających ją powiatów). To już drugie rozdanie środków unijnych w ramach konkursu „Automatyzacja i robotyzacja MŚP”.

Wsparcie jest skierowane do sektora MŚP (małych i średnich przedsiębiorstw), czyli do firm zatrudniających mniej, niż 250 pracowników. Muszą one prowadzić działalność na terenie makroregionu Polski Wschodniej, co oznacza siedzibę albo oddział na tym obszarze. Realizacja projektu (czyli np. instalacja maszyn i urządzeń) również musi odbywać się we wskazanych województwach.

Kolejnym warunkiem jest działalność w branży produkcyjnej, co wynika bezpośrednio z założeń programu wspierającego transformację w kierunku Przemysłu 4.0. Celem planowanych inwestycji musi być automatyzacja i robotyzacja przedsiębiorstwa. Zmiany mogą objąć procesy bezpośrednio związane z produkcją, w tym: magazynowanie surowców, transport wewnętrzny, taki jak zaopatrzenie linii produkcyjnej, kontrolę jakości czy pakowanie.

Jakie inwestycje można sfinansować?

Wsparcie dla pojedynczej firmy może wynieść od 200 tys. do 3 mln zł i musi zostać przeznaczone na transformację firmy w kierunku Przemysłu 4.0. Co to oznacza dla konkretnego przedsiębiorstwa, określa audyt technologiczny poprzedzający realizację projektu. Stanowi on diagnozę obecnej sytuacji, w tym dojrzałości cyfrowej firmy oraz plan automatyzacji i robotyzacji firmy. Taki audyt może być wykonany przez Huby Innowacji Cyfrowych lub inne podmioty posiadające doświadczenie w obszarze audytów technologicznych i diagnozy cyfrowej przedsiębiorstwa.

Jeżeli projekt otrzyma pozytywną opinię, koszty audytu podlegają dofinansowaniu, podobnie jak koszty innych usług doradczych niezbędnych do przeprowadzenia transformacji. Z dotacji można sfinansować przede wszystkim wydatki inwestycyjne – środki trwałe i wartości niematerialne i prawne, takie jak licencje. Tu warto zaznaczyć, że nabywane w ramach dotacji oprogramowanie powinno bezpośrednio wspierać automatyzację i robotyzację. Przykładem mogą być systemy informatyczne służące optymalizacji produkcji, takie jak Comarch ERP XL i Comarch IoT MES.

O czym trzeba pamiętać na etapie wyboru oprogramowania i jego dostawcy? – Programy unijne premiują innowacyjne rozwiązania automatyzujące procesy w firmie, oparte na analityce biznesowej, sztucznej inteligencji, uczeniu maszynowym, uwzględniające cyberbezpieczeństwo – podpowiada Magdalena Trybus, kierownik ds. finansowania w sektorze Comarch Enterprise Solutions. – Rozwiązania Comarch dla firm produkcyjnych, ale też każdej innej branży, rozwijane są zgodnie z najnowszymi trendami i w pełni wpisują się w te założenia. Przy wyborze dostawcy oprogramowania, warto wziąć pod uwagę, oprócz kwestii cenowych, doświadczenie firmy, wsparcie jakie oferuje na całym etapie wdrożenia i użytkowania oprogramowania oraz gwarancję zgodności z przepisami polskiego prawa – dodaje specjalistka.

Jak wnioskować o dofinansowanie?

Program „Automatyzacja i robotyzacja MŚP” obsługiwany jest przez Polską Agencję Rozwoju Przedsiębiorczości. Wnioski o dofinansowanie można składać do 24 września. Biorąc pod uwagę fakt, że konkurs dotyczy kilku województw, w tym części Mazowsza, gdzie nie ma innych form wsparcia, z pewnością będzie się cieszył dużym zainteresowaniem. Projekty muszą być więc bardzo dobrze przemyślane i przygotowane. Warto zwrócić uwagę na wszystkie punktowane w konkursie kryteria, które będą decydowały o przyznaniu dofinansowania i uwzględnić innowacyjność rozwiązań, które firma planuje wprowadzać.

– Wiemy jak trudne może być odnalezienie się w gąszczu przepisów unijnych, dlatego pomagamy przedsiębiorcom, którzy potrzebują dofinansowania na wdrożenie systemu ERP, IoT czy innych naszych rozwiązań – mówi Magdalena Trybus – Przede wszystkim możemy wesprzeć firmy produkcyjne w przeprowadzaniu audytu dojrzałości cyfrowej. Dopasujemy rozwiązania cyfrowe do potrzeb firmy, uwzględniając jednocześnie założenia programu dotacyjnego.

Czytaj więcej o programie >>>

—–

O Comarch

Comarch został założony w 1993 roku w Krakowie, a od 1999 roku jest notowany na warszawskiej Giełdzie Papierów Wartościowych. Jest jedną z największych firm informatycznych w Europie i prowadzi projekty dla czołowych marek z Polski i świata w najważniejszych sektorach gospodarki m.in.: telekomunikacji, finansach, bankowości i ubezpieczeniach, handlu i usług, infrastruktury IT, administracji publicznej, przemyśle, ochronie zdrowia oraz w sektorze małych i średnich przedsiębiorstw. Z usług Comarch skorzystało kilkadziesiąt tysięcy światowych marek w ponad 100 krajach na 6 kontynentach m.in.: Allianz, Auchan, BNP Paribas Fortis, BP, Carrefour, Heathrow Airport, Heineken, ING czy LG U+, Orange, Telefónica, T-Mobile, Vodafone.

Firma zajmuje wysokie pozycje w rankingach analityków IT m.in.: Gartnera, Truffle 100, TOP 200 „Computerworld”, IDC, Polskiej Akademii Nauk, EU Industrial R&D Investment Scoreboard. Corocznie Comarch inwestuje środki o wartości ok. 15 proc. przychodów w projekty innowacyjne. W 2023 roku nakłady na prace R&D wyniosły ponad 400 mln zł. Obecnie zatrudnia ponad 6400 ekspertów, w ponad 80 biurach w ponad 30 krajach od Australii i Japonii przez Bliski Wschód oraz Europę aż po obie Ameryki.

www.comarch.pl