Προσοχή στην υποβολή εταιρικών και υπηρεσιακών αρχείων στο VirusTotal και σε δημόσιες πλατφόρμες ανάλυσης 

Όταν ανεβάζουμε ένα ύποπτο αρχείο σε μια δωρεάν διαδικτυακή υπηρεσία για να ελέγξουμε αν είναι κακόβουλο, υποθέτουμε ότι κάνουμε κάτι ασφαλές… Δεν είναι πάντα. Μια δημόσια πλατφόρμα ανάλυσης είναι εργαλείο ελέγχου, όχι χώρος εμπιστευτικότητας, και η υποβολή ενός αρχείου μπορεί να δημιουργήσει κίνδυνο έκθεσης του περιεχομένου του. 

Από τη στιγμή που επίσημα και εταιρικά έγγραφα οργανισμών, επιχειρήσεων και φορέων της Δημόσιας Διοίκησης, καθώς και αντίγραφα μηνυμάτων εσωτερικής επικοινωνίας, υποβάλλονται για έλεγχο σε πλατφόρμες ανάλυσης και εμπλουτισμού απειλών όπως το VirusTotal (virustotal.com), μπορεί, υπό προϋποθέσεις, τα εν λόγω αρχεία να διαμοιράζονται σε τρίτα μέρη και να εξέρχονται από τον έλεγχο του οργανισμού. 

Μιλάμε για έναν «αθόρυβο κίνδυνο διαρροής». Η έκθεση αυτή δεν προκύπτει μόνο από συνειδητή, χειροκίνητη ανάρτηση αρχείων από χρήστες. Δύναται να συντελείται και αυτόματα, μέσω υποδομών ασφάλειας του οργανισμού, όπως τείχη προστασίας νέας γενιάς (NGFW), λογισμικό προστασίας τερματικών (EDR), mail gateways ή συσκευές απομονωμένης ανάλυσης (sandbox), όταν οι σχετικές λειτουργίες cloud analysis δεν έχουν παραμετροποιηθεί με σαφή πολιτική, έγκριση και περιορισμούς διαμοιρασμού. 

Το VirusTotal, υπηρεσία ιδιοκτησίας της Google, αναλύει αρχεία και URLs μέσω πολλαπλών μηχανών ανίχνευσης. Κάθε υποβαλλόμενο αρχείο ενδέχεται, ανάλογα με τον τρόπο υποβολής και το ισχύον μοντέλο πρόσβασης, να αποθηκεύεται και να καθίσταται διαθέσιμο σε εγγεγραμμένους ερευνητές ή συνδρομητές υπηρεσιών threat intelligence. Στις περιπτώσεις αυτές, ο οργανισμός δεν διατηρεί πρακτικό έλεγχο επί της περαιτέρω διάθεσης του αρχείου. Κατά συνέπεια, η ανάρτηση εταιρικού ή υπηρεσιακού εγγράφου σε δημόσια πλατφόρμα ανάλυσης πρέπει να αντιμετωπίζεται ως πιθανή μη ελεγχόμενη γνωστοποίηση του περιεχομένου του. 

Η Εθνική Αρχή Κυβερνοασφάλειας υπενθυμίζει ότι δεν αναρτώνται στο VirusTotal ή σε οποιαδήποτε άλλη δημόσια ή μη εγκεκριμένη υπηρεσία ανάλυσης: 

• Έγγραφα επίσημης, εταιρικής ή εσωτερικής αλληλογραφίας, ηλεκτρονικά μηνύματα και συνημμένα αρχεία. 

• Εκθέσεις, μελέτες, συμβάσεις, αρχεία έργων ή οποιαδήποτε άλλα εμπιστευτικά και εσωτερικά έγγραφα. 

• Αρχεία που περιέχουν προσωπικά δεδομένα πολιτών, πελατών ή εργαζομένων. 

• Οποιοδήποτε αρχείο προέρχεται από τα παραγωγικά, εταιρικά ή υπηρεσιακά πληροφοριακά συστήματα του οργανισμού. 

Για τον ασφαλή έλεγχο ύποπτων αρχείων, η Εθνική Αρχή Κυβερνοασφάλειας συνιστά: 

• Χρησιμοποιούμε το εγκεκριμένο λογισμικό προστασίας τερματικών (antivirus/EDR) του οργανισμού, με πολιτική που αποτρέπει την αυτόματη υποβολή εταιρικών ή υπηρεσιακών αρχείων σε εξωτερικές υπηρεσίες χωρίς έγκριση. 

• Ελέγχουμε και παραμετροποιούμε τις συσκευές ασφάλειας δικτύου (NGFW, mail gateways, sandbox), ώστε η αυτόματη υποβολή αρχείων σε εξωτερικές ή δημόσιες υπηρεσίες να είναι απενεργοποιημένη ή να περιορίζεται σε εγκεκριμένο, ιδιωτικό περιβάλλον υπό τον έλεγχο του οργανισμού. 

• Υποβάλλουμε στο VirusTotal μόνο την ψηφιακή αποτύπωση του αρχείου (hash SHA-256) και όχι το ίδιο το αρχείο, καθώς το hash δεν αποκαλύπτει το περιεχόμενο. 

• Αξιοποιούμε απομονωμένο περιβάλλον ανάλυσης (sandbox) υπό αποκλειστικό έλεγχο του οργανισμού. 

• Επιλέγουμε εγκεκριμένες ιδιωτικές υπηρεσίες ή περιβάλλοντα ιδιωτικής σάρωσης (private scanning) μόνο μετά από τεχνική, νομική και συμβατική αξιολόγηση που διασφαλίζει ότι τα αρχεία δεν διαμοιράζονται σε τρίτους. 

• Εφαρμόζουμε ετικέτες ευαισθησίας (sensitivity labels), κρυπτογράφηση και πολιτικές αποτροπής διαρροής δεδομένων (Data Loss Prevention – DLP), ώστε ακόμη και σε ακούσια ή αυτόματη διαβίβαση το περιεχόμενο να παραμένει μη προσβάσιμο από τρίτους. 

Σε περίπτωση που έχει ήδη υποβληθεί σε πλατφόρμα ανάλυσης αρχείο που περιέχει ή πιθανολογείται ότι περιέχει προσωπικά, εμπιστευτικά ή επιχειρησιακά ευαίσθητα δεδομένα, το περιστατικό αναφέρεται αμελλητί στην Εθνική Αρχή Κυβερνοασφάλειας, μέσω της ηλεκτρονικής διεύθυνσης incident@cyber.gov.gr, ώστε να αξιολογηθεί ο βαθμός έκθεσης και να ληφθούν τα κατάλληλα μέτρα περιορισμού. 

Το κρίσιμο συμπέρασμα είναι ότι η ανάλυση ύποπτων αρχείων πρέπει να γίνεται χωρίς απώλεια ελέγχου επί των δεδομένων. Η προστασία από κακόβουλο λογισμικό δεν πρέπει να δημιουργεί νέο κίνδυνο έκθεσης πληροφοριών. Ελέγχουμε τις απειλές σε εγκεκριμένο και ελεγχόμενο περιβάλλον, διατηρώντας τα αρχεία και το περιεχόμενό τους υπό τον έλεγχο του οργανισμού.