Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa wydał rekomendację dotyczącą utrzymywania i konfiguracji urządzeń znajdujących się na styku sieci wewnętrznych z internetem. Dokument wskazuje działania, które podmioty krajowego systemu cyberbezpieczeństwa powinny wdrożyć, aby ograniczyć ryzyko przejęcia routerów, zapór sieciowych, koncentratorów VPN oraz innych urządzeń brzegowych.
Rekomendacja nr 2026/67a/6 została wydana 21 lipca 2026 roku na podstawie art. 67a ustawy o krajowym systemie cyberbezpieczeństwa. Jej adresatami są podmioty należące do KSC, jednak przedstawione w niej zasady mogą stanowić punkt odniesienia również dla operatorów telekomunikacyjnych oraz pozostałych organizacji zarządzających rozbudowaną infrastrukturą sieciową.
Jak wskazuje Ministerstwo Cyfryzacji, urządzenia brzegowe należą do najczęstszych celów cyberataków. Są one pierwszym punktem kontaktu infrastruktury organizacji z siecią zewnętrzną, dlatego ich przejęcie może umożliwić atakującym ominięcie części zabezpieczeń, uzyskanie dostępu do kolejnych systemów oraz prowadzenie działań wewnątrz sieci.
Skutkiem udanego ataku może być nie tylko wyciek danych, ale również zakłócenie funkcjonowania kluczowych systemów, utrata kontroli nad ruchem sieciowym czy przerwa w świadczeniu usług. W przypadku operatorów telekomunikacyjnych takie zdarzenie może mieć bezpośredni wpływ na dostępność usług dla abonentów oraz ciągłość działania obsługiwanych przedsiębiorstw i instytucji publicznych.
Najpierw pełna wiedza o urządzeniach
Jednym z podstawowych zaleceń jest prowadzenie aktualnego spisu urządzeń brzegowych. Powinien on obejmować informacje o rodzaju sprzętu, wersjach wykorzystywanego oprogramowania, połączeniach wewnętrznych i zewnętrznych oraz usługach i portach udostępnionych publicznie w internecie.
Sama inwentaryzacja nie powinna być jednorazowym działaniem. Rekomendowane są jej cykliczne przeglądy, regularne aktualizowanie oprogramowania oraz przygotowanie procedur wymiany urządzeń, które nie są już rozwijane lub utraciły wsparcie producenta.
Pełnomocnik zwraca również uwagę na sposób przywracania infrastruktury po incydencie. Zamiast automatycznego odtwarzania całej wcześniejszej konfiguracji zalecane jest przygotowanie jej na nowo z wykorzystaniem wyłącznie zweryfikowanych i niezbędnych elementów. Należy także sprawdzić, czy na urządzeniu nie pozostawiono nieautoryzowanych kont, oraz ponownie zainstalować firmware pobrany bezpośrednio od producenta.
Panel administracyjny nie powinien być dostępny z internetu
Duża część rekomendacji dotyczy ograniczenia dostępu do funkcji administracyjnych. Panele zarządzania urządzeniami brzegowymi nie powinny być dostępne bezpośrednio z publicznej sieci. Możliwość zdalnego łączenia się z urządzeniem należy ograniczyć do niezbędnego minimum.
Jeżeli zdalny dostęp jest konieczny, powinien odbywać się za pośrednictwem sieci VPN zabezpieczonej uwierzytelnianiem wieloskładnikowym. Dostęp do panelu zarządzania powinien być dodatkowo ograniczony do zaufanych, dedykowanych adresów IP.
Dokument przypomina także o konieczności stosowania unikalnych i bezpiecznych haseł dla każdego urządzenia. Uwierzytelnianie wieloskładnikowe powinno zostać uruchomione we wszystkich usługach i systemach, które oferują taką możliwość.
Segmentacja i kontrola ruchu między systemami
Istotnym elementem ochrony pozostaje segmentacja sieci według funkcji biznesowych oraz krytyczności poszczególnych systemów. Ruch przekraczający granice wydzielonych segmentów powinien być monitorowany i filtrowany.
Takie podejście ogranicza możliwość swobodnego przemieszczania się atakującego po infrastrukturze po przejęciu pojedynczego urządzenia lub konta. Pozwala również oddzielić systemy administracyjne i krytyczne od sieci przeznaczonych do obsługi mniej wrażliwych usług.
Administratorzy powinni dodatkowo sprawdzić, w jaki sposób hasła są przechowywane w plikach konfiguracyjnych urządzeń. Zastosowane mechanizmy powinny uniemożliwiać ich łatwe odzyskanie w przypadku przejęcia kopii konfiguracji.
Logi poza urządzeniem i regularne kopie zapasowe
Rekomendacja przewiduje również regularny przegląd kont użytkowników, ich uprawnień oraz alarmów generowanych przez systemy bezpieczeństwa. Szczegółowemu logowaniu powinny podlegać między innymi próby logowania użytkowników, połączenia VPN oraz zmiany w konfiguracji.
Logi nie powinny pozostawać wyłącznie na monitorowanym urządzeniu. Zalecane jest ich przekazywanie do oddzielnego, dedykowanego systemu, co zmniejsza ryzyko utraty lub usunięcia zapisów przez atakującego.
Organizacje powinny również regularnie sprawdzać publicznie dostępne usługi i zasoby, weryfikować reguły dostępu oraz analizować logi pod kątem awarii, nietypowej aktywności i innych anomalii. Niezbędne jest także wykonywanie kopii zapasowych konfiguracji oraz praktyczne testowanie procedur odtworzeniowych.
Nie tylko bezpieczeństwo logiczne
Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa zwraca uwagę również na fizyczną ochronę infrastruktury. Urządzenia brzegowe powinny być instalowane w zamkniętych i monitorowanych szafach rack, znajdujących się w pomieszczeniach z ograniczonym dostępem.
Rekomendowane jest także stosowanie redundantnych zasilaczy i systemów podtrzymywania napięcia. Awaria energetyczna lub fizyczny dostęp nieuprawnionej osoby mogą bowiem wywołać skutki podobne do incydentu przeprowadzonego zdalnie.
Rekomendacja jako praktyczna lista kontrolna
Dokument przygotowany przez Ministerstwo Cyfryzacji we współpracy z CSIRT NASK, CSIRT GOV oraz CSIRT MON porządkuje podstawowe zasady ochrony urządzeń brzegowych. Znaczna część zaleceń nie wymaga wdrażania nowych, zaawansowanych systemów bezpieczeństwa, lecz konsekwentnego stosowania właściwych procedur administracyjnych.
Dla operatorów telekomunikacyjnych rekomendacja może być przede wszystkim okazją do ponownego sprawdzenia, które urządzenia są dostępne z internetu, czy wszystkie posiadają aktualne wsparcie producenta oraz czy zdalny dostęp administracyjny został odpowiednio ograniczony i zabezpieczony.
Regularna inwentaryzacja, aktualizacje, segmentacja sieci, centralne gromadzenie logów i testowanie odtwarzania infrastruktury nie gwarantują całkowitego wyeliminowania cyberataków. Mogą jednak znacząco ograniczyć prawdopodobieństwo skutecznego przejęcia urządzeń oraz skalę konsekwencji ewentualnego incydentu.
Cały dokument dostępny jest na stronie Ministerstwa Cyfryzacji.
Czytaj także:
