Bezplatný vstup na akci pro novináře a novinářky zajistilo AEC, organizátor akce, kterému tímto děkujeme.
Po dvacáté sedmé se v Praze dne 28. února 2019 odehrála konference zaměřená na bezpečnost a zainteresované odborné publikum z organizací a korporací ze soukromé i státní sféry. Většina přednášek se odehrála v češtině, někteří řečníci – tentokrát se bohužel nenašla ani jedna řečnice – však nepocházeli výlučně z Česka či Slovenska. Konference Security přesahuje hranice tuzemska.
Čeština nepřestavuje výraznou překážku minimálně pro návštěvníky a návštěvnice ze Slovenska, jichž se nedostavilo málo. Vidět to bylo zejména na vyhlášení tomboly během pozdního odpoledne na samém chvostu akce. Tombola lákala na ceny v hodnotě 100 tisíc korun, představovala ovšem pouhé zpestření.
Účastníky a účastnice firma AEC, organizátor akce, jako vždy primárně upoutala nabytým programem rozděleným do dvou přednáškových sálů, kde jste si podle svých preferencí a zaměření mohli vybrat mezi vymezenými bloky. Přednášek proběhlo dvaadvacet, navíc se po každém ze čtyř bloků odehrála krátká panelová diskuze přítomných expertů. Konference tedy byla vydatná, hlavní program trval od devíti hodin dopoledne do zhruba páté odpolední.
Bezpečnost od rána do večera
Tzv. technický sál nabídl spíše vývojářsky orientovaný program, manažerský sál byl zase zaměřený na řízení a správu. Při troše štěstí jste nepřišli o žádnou pro vás zajímavou přednášku – lze předpokládat, že se potřebujte vzdělávat jen v jednom z nastavených směrů. Kdo přece nějakou přednášku zmeškal, jako obvykle se dočká zpřístupnění záznamů na webu (konferencesecurity.cz), k němuž dojde do měsíce od konání akce.
Úvodní slovo šéfa AEC jste mohli v jednom sále sledovat živě, ve druhém skrze projekciKonferenci úvodním slovem zahájil Tomáš Strýček, výkonný ředitel AEC. Dobrou náladu chvíli po něm podpořila Adéla Haníková, která odstartovala hackerskou soutěž probíhající po dobu konání hlavního programu konference. Soutěž byla dalším zpestřením a současně možností, jak vyhrát nějaké ceny. Sloužila ale i jako určitá vstupní možnost, jak se propracovat do bezpečnostního týmu AEC. Takže zafungovala dvojí motivace.
V sálech účastnicím a účastníkům konference nic nechybělo, byly vybavené zásuvkami, vodu nebo psacími potřebami. Tyto propriety byly s ohledem na košatý program nezbytné. Totéž platí pro setkávací prostor v atriu, kde navíc nechyběly kávovary, chlebíčky a zákusky a kde měl každý možnost se setkávat s ostatními, navazovat kontakty a navštěvovat vystavovatele (a jejich workshopy) v podobě výrobců různých bezpečnostních řešení nebo souvisejících služeb.
O tom ostatně konference jsou a publikum se zde opravdu propojovalo a přecházelo do živých debat. V minulém roce akci navštívilo kolem šesti stovek lidí, letos by účast měla být podobná.
Nejdůležitější témata (nejen) konference Security 2019
Jaká byla letošní poselství? Projděme si nejdůležitější sdělení.
Ransomware? Dnes letí těžba kryptoměn
Obecně vzato bylo vidět, že rok je v oblasti zabezpečení dlouhá a doba. Zatímco před rokem se ještě hodně řešil ransomware, od té doby vyrostly útoky, jejichž záměrem je na zacíleném zařízení těžit kryptoměny. Na rozdíl od ransomwaru totiž představují stabilní výdělek, jak poznamenal David Pecl z AEC. Na vzestupu je rovněž tzv. fileless malware, který existuje pouze v paměti – klasické antiviry přitom vždycky primárně kontrolovaly soubory na úložišti. Tito záškodníci by už v tomto roce mohli tvořit 35 % z veškerého objemu malwaru.
Antiviry nové generace versus klasické antiviry
Ze všech malwarových hrozeb jsou známy zhruba dvě třetiny, tedy jednu třetinu tvoří dosud neznámý malware. Ten se chytá obtížně a žádná magická formule na polapení neexistuje. Stále významnější je detekce v paměti metodou sledování chování kódu. V posledních letech se některé firmy začaly soustředit na vývoj tzv. antivirů nové generace, z poměrně rozsáhlého testování AEC ale vyplývá, že jejich pojetí nedokázalo detekci škodlivého kódu významně zlepšit.
Vedou si podobně jako tradiční antiviry, jež navíc nabízí funkce jako blokování hrozeb na úrovni webu. Klasické antiviry tak nejsou pasé a řešení „nové generace“ je nahradit nedokáží. Jarno Niemalä ze společnosti F-Secure takové rozdělení antivirů kritizuje, považuje ho za nešťastné až umělé. Navíc se mu nezdá nadužívání pojmu umělá inteligence, z něhož se stal spíše marketingový slogan, aniž by bylo jasné, co je tímto pojmem myšleno.
Nejen o Neutrinu promluvili Jakub Souček a Robert Šuman z EsetuUmělá inteligence je specifický nástroj, s nímž stále pracují lidé. Firmy za tento pojem schovávají leccos, spolu se strojovým učením ale nejde o nic převratného, co by obrátilo vývoj antivirů naruby. Jde o důležité technologie, které však bez člověka nejsou příliš platné – tzv. umělá inteligence sama od sebe datům nerozumí. Přednášející proto spíše inklinují k tomu, že podobné technologie tvoří pouze jednu z mnoha součástí ochrany a že ochranu je potřeba pečlivě budovat po vrstvách.
Problémy bankovnictví
Problémy s malwarem pozoruje také bankovní sektor. S rostoucí důležitostí smartphonů vznikají stále sofistikovanější typy malwarů, které útočí poněkud „jemnějším způsobem“. Od snahy hrubou silou prolomit zabezpečení se malwary učí mást lidi třeba phishingem. V tomto problém částečně leží na bedrech operačního systému Android, kde je možné zneužít funkce pro hendikepované k přidání vlastní vrstvy.
Když si otevřete bankovní aplikaci, vykreslí se nad ní nelegitimní přihlašovací stránka. Snadno nabudete dojmu, že jdete do svého bankovnictví, přitom přihlašovací údaje svěřujete útočící třetí osobě. Jenže otevřenost Androidu, který tak má horší pozici než iOS, lze těžko překonat, je to jeho podstata. Před několik měsíci se objevil první problémový malware tohoto druhu v podobě aplikace QRecorder, který škodlivou část kódu získal až po jedné z aktualizací. Budeme si zřejmě muset více dávat pozor na schvalování nových oprávnění a bedlivě sledovat, zda vstupujeme do legitimní aplikace.
Česko o zabezpečení teoretizuje
Hlavní pirát Ivan Bartoš, který byl moderátorem na okamžik vtipně překřtěn na Ondřeje, kritizoval nedostatky koncepce zabezpečení státní správy. Poukázal na to, že političky a politici by podobné konference měli navštěvovat. Možná by pak nad problémy uvažovali ve větší míře. Ve státní sféře podle Bartoše stále do velké míry panuje resortismus. Na koncepci zabezpečení by mohl dohlížet snad NÚKIB, který ale nemůže nic nařizovat, smí jen doporučovat.
Ivan Bartoš se zařadil do bloku o SOCNavíc státním institucím stavuje ruce legislativa v tom, že je problém v otázkách zabezpečení z hlediska investic není snadné dělat více, než co požaduje zákon. Takové investice mohou být zpochybňovány. Současné snahy o zlepšení trpí tím, že si každá instituce problematiku řeší po svém, je proto potřeba zlepšit spolupráci. Bartoš uvedl, že za problémy se zabezpečením infrastruktur a důležitých systémů částečně může nedostatek odborníků a odbornic, což je globální problém.
Nepomáhají ani nízké platy ve státní sféře, především však na nejnižší úrovni ve státní správě koncoví uživatelé a uživatelky nemají vybudovanou správnou bezpečnostní mentalitu a návyky. Česku chybí vize a koordinované snahy o zlepšení situace. Začít bychom mohli osvětovými činnostmi, např. školeními.
Více fotografií najdete ve fotogalerii níže.
