- Email: biuro@kicb.pl
- Rondo Organizacji Narodów Zjednoczonych 1, 00-124 Warszawa
Urządzenia brzegowe – routery, firewalle, bramy VPN, od lat są pierwszym punktem styku organizacji ze światem zewnętrznym. Niestety, są też ulubionym celem cyberprzestępców. Udany atak na „brzeg” to nie tylko utrata kontroli nad jednym punktem – to otwarcie drzwi do całej infrastruktury i ryzyko paraliżu biznesowego.
W odpowiedzi na te zagrożenia, 21 lipca 2026 roku Pełnomocnik Rządu ds. Cyberbezpieczeństwa wydal Rekomendację 2026/67a/6 (sygn. DC.WAC.5555.50.2026). Dokument powstał we współpracy z kluczowymi zespołami reagowania: CSIRT NASK, CSIRT GOV oraz CSIRT MON. Co to oznacza dla zespołów IT i Security w praktyce? Przeanalizowaliśmy ten dokument i wybraliśmy najważniejsze wnioski operacyjne. Oto 5 filarów, na których musisz oprzeć bezpieczeństwo swojego „brzegu”.
Podstawą skutecznej ochrony jest precyzyjny wgląd w stan posiadania. Rekomendacja wyraźnie wskazuje, że okazjonalny przegląd sprzętu to za mało – inwentaryzacja musi stać się procesem ciągłym. Spis nie może ograniczać się do nazwy modelu. Musi zawierać wersje firmware’u, mapę połączeń (sieć wewnętrzna vs. zewnętrzna) oraz listę publicznie wystawionych usług i portów.
Urządzenia, które utraciły wsparcie producenta nie otrzymują poprawek, więc powinny natychmiast trafić do procedury wymiany. Jeśli dojdzie do ataku, stawianie urządzenia na nowo „ze starej kopii 1:1” to błąd. Rekomendacja nakazuje:
– budować nową konfigurację od zera, przenosząc tylko niezbędne reguły
– czyścić konta użytkowników z nieautoryzowanych wpisów
– wgrywać czysty firmware pobrany bezpośrednio ze strony producenta.
To najmocniejszy i najbardziej bezkompromisowy punkt nowych wytycznych – panele administracyjne urządzeń brzegowych nie mogą być bezpośrednio widoczne w internecie. Nie ograniczamy dostępu do panelu admina z sieci publicznej – całkowicie go wyłączamy.
Jak zatem zarządzać sprzętem zdalnie?
Szyfrowany tunel – dostęp do zarządzania dopuszczalny jest wyłącznie przez VPN z wymuszonym uwierzytelnianiem wieloskładnikowym (MFA).
Whitelisting IP – panel powinien reagować wyłącznie na zapytania ze wskazanych, bezpiecznych adresów z wewnętrznej sieci.
Koniec ze wspólnymi hasłami – każde urządzenie w organizacji musi posiadać unikalne, skomplikowane hasło.
Rekomendacja pełnomocnika rządu kładzie duży nacisk na wzmacnianie samej konfiguracji i ograniczenie możliwości tzw. ruchu bocznego po ewentualnym przełamaniu pierwszej linii obrony. Istotna jest także segmentacja sieci – architektura nie może być „płaska”. Dostęp między strefami o różnym poziomie krytyczności musi być filtrowany i stale monitorowany.
Pliki konfiguracyjne urządzeń często zawierają zaszyfrowane lub zhaszowane dane dostępowe. Rekomendacja wymaga stosowania silnych funkcji haszujących. Dlaczego? Jeśli kopia zapasowa konfiguracji wpadnie w niepowołane ręce, atakujący nie może być w stanie łatwo odczytać z niej haseł.
Nawet najlepsze tarcze mogą zawieść. Kluczem do ograniczenia strat jest szybka detekcja. W obszarze monitoringu wytyczne wskazują konkretne obowiązki, takie jak:
Centralizacja logów – logi z urządzeń brzegowych muszą być przesyłane na zewnętrzny serwer logów (np. SIEM). Dzięki temu atakujący nie będzie mógł ich skasować bezpośrednio na przejętym routerze, by zatrzeć ślady. Bezwzględnemu audytowi podlegają: udane i nieudane próby logowania, nawiązywane sesje VPN oraz wszelkie zmiany w konfiguracji.
Przegląd kont i reguł – należy cyklicznie sprawdzać, czy uprawnienia użytkowników nie są nadmiarowe oraz czy reguły na firewallu pokrywają się z aktualną dokumentacją.
Testowanie backupów – samo robienie kopii zapasowej to połowa sukcesu. Rekomendacja nakazuje regularne testowanie procedury odzyskiwania systemu z backupu.
Ostatnia sekcja przypomina o absolutnych podstawach, o których łatwo zapomnieć w świecie chmury i wirtualizacji. Sprzęt brzegowy to fizyczne urządzenia, które wymagają odpowiedniego środowiska:
– sprzęt musi znajdować się w zamkniętych, monitorowanych szafach rackowych w pomieszczeniach z autoryzacją wejścia. Rekomendacja to kompleksowy dokument, w którym ilość zaleceń jest raczej spora, dlatego zamiast wdrażać wszystko na raz, zacznij od zadania sobie jednego, prostego pytania – czy Twój panel zarządzania któregokolwiek z routerów lub firewalli jest dzisiaj otwarty na świat bez VPN i MFA? Jeśli odpowiedź brzmi „tak” lub „nie wiem” powinien to być dla ciebie znak ostrzegawczy.
– ciągłość zasilania – wymagane są redundantne zasilacze oraz sprawny system podtrzymania napięcia (UPS), chroniący przed niekontrolowanymi restartami i uszkodzeniem bazy konfiguracji.
Z pełną treścią Rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa nr 2026/67a/6 z dnia 21 lipca 2026 r. (DC.WAC.5555.50.2026) można zapoznać się pod linkiem:
Rekomendacja – czytaj
Najnowsze komentarze