PLNOG22 - Krzysztof Rydz & Dominik Sabat - O tym, co CERT Polska wie o Twojej sieci

### Overview Prezentacja przedstawicieli CERT Polska (NASK) na konferencji PLNOG22 poświęcona jest działaniom zespołu na rzecz poprawy bezpieczeństwa polskiego internetu oraz wiedzy, jaką CERT Polska gromadzi na temat zagrożeń występujących w sieciach operatorów. Prelegenci opisali ramy prawne wynikające z Krajowego Systemu Cyberbezpieczeństwa, w ramach których CERT Polska odpowiada za ochronę sektora prywatnego, obywateli, jednostek samorządowych i szpitali (ok. 30 mln użytkowników i 2,5 tys. systemów autonomicznych AS). Przedstawiono również skalę obsługiwanych incydentów oraz zaprezentowano autorską, bezpłatną platformę n6 służącą do agregacji i wymiany informacji o zagrożeniach z właścicielami sieci.

### Key Topics - **Działalność CERT Polska**: Obsługa zgłoszeń (prawie 20 tys. zgłoszeń i 3 tys. obsłużonych incydentów w poprzednim roku), przejmowanie złośliwych domen w rejestrze .pl, współtworzenie serwisu No More Ransom, działalność edukacyjna i wydawanie biuletynu OUCH!. - **Krajowe i międzynarodowe źródła danych**: Udział w projektach prowadzonych przez NASK, w tym utrzymanie sieci honeypotów (około 20 węzłów w 50 krajach, blisko 1000 sensorów) oraz monitorowanie ciemnej przestrzeni adresowej (darknet / network telescope z pokryciem ponad 100 tys. prefiksów /24) wychwytującej m.in. skanowania, błędne konfiguracje i pakiety z ataków SYN flood. - **Kategorie rejestrowanych zagrożeń**: Infekcje złośliwym oprogramowaniem (botnety), serwery dowodzenia (C&C), dystrybucja malware, phishing, podatne lub źle skonfigurowane usługi oraz usługi wykorzystywane do ataków DDoS z amplifikacją. - **Zagrożenia w polskich sieciach w 2018 roku**: Statystyki dotyczące infekcji (m.in. botnety Andromeda, Mirai), spadek aktywności trojanów bankowych, serwisy hostingowe i platformy współdzielenia plików (np. Chomikuj) wykorzystywane do dystrybucji złośliwego oprogramowania. - **Podatności i amplifikacja DDoS**: Pomiary usług podatnych na wykorzystanie we wzmacnianiu ataków DDoS (NTP, DNS, SNMP, Portmapper, SSDP, CharGEN) oraz publicznie dostępnych w Polsce protokołów i paneli (SMB, NetBIOS, Telnet, RDP, sterowniki przemysłowe).

### Technical Details Prelegenci szczegółowo omówili wektory ataków DDoS z odbiciem i wzmocnieniem (amplifikacją), w których spoofowany adres IP ofiary jest wykorzystywany w zapytaniach UDP (np. DNS oferujący wzmocnienie do ok. 179x, SNMP do 5-6x). Omówiono rozkłady widoczności tych usług w polskich sieciach telekomunikacyjnych oraz spadki w wyniku interwencji u operatorów (np. redukcje widoczności SNMP w sieci Multimedia czy Portmappera w UPC).

Kluczowym elementem technicznym prezentacji była platforma **n6**. System ten integruje 104 strumienie danych pochodzące z honeypotów, sinkholingu domen .pl, systemów darknet, spampotów, własnej piaskownicy (sandbox) do długoterminowej analizy złośliwego oprogramowania oraz źródeł zewnętrznych (CSIRT-y narodowe, firmy antywirusowe, źródła publiczne). Dane w n6 są deduplikowane (agregacja powtarzających się połączeń w zliczane zdarzenia), parsowane, wzbogacane (rozwiązywanie domen, dopisywanie numerów AS) i normalizowane do prostego, jednolitego modelu opartego na czasie, miejscu (IP/URL) i typie zagrożenia. Platforma n6 została udostępniona na zasadach open-source na serwisie GitHub.

### Takeaways - Każdy właściciel sieci posiadający co najmniej prefiks /29 lub domeny może bezpłatnie dołączyć do systemu n6 (poprzez kontakt mailowy na cert@cert.pl), aby otrzymywać powiadomienia o zagrożeniach w swoich zasobach. - Dostęp do informacji z n6 realizowany jest za pośrednictwem dedykowanego interfejsu webowego oraz API REST (zwracającego dane m.in. w formatach JSON i CSV), co umożliwia bezpośrednią integrację z systemami SIEM operatora. - Operatorzy i administratorzy powinni aktywnie blokować lub ograniczać publiczną dostępność protokołów podatnych na amplifikację oraz usług administracyjnych i przemysłowych nieprzeznaczonych do wystawiania w publicznym internecie.