Znalazłeś pendrive w biurze. Ciekawość może poczekać

Pendrive leży przy drukarce, w sali konferencyjnej albo na firmowym parkingu. Najbardziej naturalny odruch brzmi: „podłączę na chwilę i sprawdzę, czy w plikach jest nazwisko właściciela”. To życzliwy zamiar, ale nieznane urządzenie nie staje się bezpieczne tylko dlatego, że wygląda zwyczajnie.

Nośnik może być rzeczywiście zgubą współpracownika. Może też zawierać zainfekowany plik, być pozostawiony celowo albo pochodzić z komputera, którego stan jest nieznany. Nie trzeba rozstrzygać, który scenariusz jest prawdziwy. Wystarczy nie przenosić ryzyka na własny komputer.

Nie podłączaj go „tylko na sekundę”

Nie wkładaj znalezionego nośnika do laptopa służbowego, prywatnego ani komputera w recepcji. Nie otwieraj plików, nie próbuj uruchamiać skanera antywirusowego i nie zabieraj pendrive’a do domu. Bezpieczna analiza nie polega na wybraniu komputera, którego mniej szkoda.

Zapisz lub zapamiętaj miejsce i przybliżony czas znalezienia. Następnie przekaż nośnik do IT, zespołu bezpieczeństwa, ochrony budynku albo osoby wskazanej w procedurze firmy. Jeżeli organizacja nie ma takiej ścieżki, zgłoś go przełożonemu i ustalcie jedno miejsce przechowywania nieznanych urządzeń.

Nie publikuj zdjęcia pendrive’a wraz ze szczegółami na publicznym kanale. Osoba, która chce przekonująco udawać właściciela, nie powinna dostać od Ciebie wszystkich informacji potrzebnych do opisania „swojej” zguby.

A jeśli ktoś mówi, że pendrive jest jego?

Oddanie nośnika właściwej osobie też wymaga rozsądku. Zamiast podpowiadać odpowiedzi, poproś o opis wyglądu, miejsca utraty i — jeśli to firmowy nośnik — oznaczenia ewidencyjnego. Przekazanie powinno przejść przez recepcję, ochronę lub IT, a nie odbywać się anonimowo na korytarzu.

Jeżeli właściciel potwierdzi, że na urządzeniu były dane służbowe, firma powinna ocenić nie tylko ryzyko zainfekowania komputerów. Utrata nośnika może oznaczać również dostęp osoby postronnej do zapisanych informacji. Znalezienie pendrive’a nie mówi, czy ktoś wcześniej skopiował jego zawartość.

Pendrive od klienta albo z konferencji nadal wymaga zasad

Znane pochodzenie zmniejsza niepewność, lecz nie zastępuje procesu. Nowy nośnik rozdawany na wydarzeniu, pliki przekazane przez klienta czy sprzęt serwisanta mogą być całkowicie legalne, a mimo to nie powinny trafiać prosto do komputera z dostępem do wrażliwych danych.

Firma może określić, czy nośniki USB są dozwolone, kto może ich używać i gdzie odbywa się kontrola plików. Przy wymianie dokumentów zwykle wygodniejszy jest zatwierdzony kanał chmurowy. Gdy urządzenia wymienne są potrzebne, warto używać wydanych przez organizację, szyfrowanych nośników i ograniczać ich użycie do konkretnego celu.

Jeśli pendrive został już podłączony

Nie próbuj zacierać pomyłki. Odłącz nośnik bez przeglądania kolejnych plików i od razu skontaktuj się z IT lub bezpieczeństwem. Powiedz:

• do którego komputera został podłączony;
• o której mniej więcej godzinie;
• czy system otworzył okno, plik lub uruchomił program;
• co zrobiłeś później;
• gdzie znajduje się nośnik.

Nie wyłączaj komputera ani nie kasuj plików na własną rękę, chyba że osoba prowadząca incydent wyda taką instrukcję. Zespół może potrzebować odizolować urządzenie od sieci, zachować ślady i sprawdzić, co faktycznie się wydarzyło. Samo podłączenie nie jest dowodem infekcji, lecz brak szybkiego zgłoszenia utrudnia uczciwą ocenę.

Dobra procedura usuwa pokusę improwizacji

Pracownik powinien wiedzieć, komu oddać znalezione urządzenie, a osoba przyjmująca — jak je opisać i zabezpieczyć. Warto też ustalić, że nieznane nośniki nie są testowane na zwykłych komputerach. Jeżeli firma dopuszcza ich analizę, powinna robić to wyznaczona osoba w kontrolowanym środowisku.

Najważniejsza zasada mieści się w jednym zdaniu: nieznanego urządzenia nie podłączamy po to, żeby ustalić, czy jest bezpieczne.

Źródło i granica naszych wniosków

Amerykańska CISA w materiale „The Risks of Using Portable Devices” zaleca, aby nigdy nie podłączać znalezionego nośnika do komputera i przekazać go personelowi bezpieczeństwa lub IT. Źródło potwierdza podstawową reakcję oraz ryzyka związane z urządzeniami przenośnymi.

Sposób przyjmowania zguby, ograniczanie informacji o jej wyglądzie i kultura zgłaszania bez obwiniania są rekomendacjami Breachroad. Historyczny przykład tego, jak nośnik wymienny może przekroczyć pozornie szczelną granicę, opisujemy w artykule o Stuxnecie. Praktyczne zachowania zespołu można przećwiczyć podczas szkoleń z cyberbezpieczeństwa Breachroad.