Saate toovad teieni SMIT ja TEHIK. SMIT. Päästame elusid IT -ga. TEHIK -u aeg kulub sellele, et ülejäänud Eesti saaks aega kokku hoida.
Head saatekuulajad, rõõm on tõdeda, et järjekordselt on jõudnud kätte üks tore reedene päev, mis toob meie suudele laiad naeratused, sest töönädal on lõppemas. Ja mille muuga oma töönädala i -le punkt panna, kui siis kriitilise intsidendi podcast 'iga. Tänases saates uurime lähemalt, mida üks kriitiline intsident endast üldse kujutab ja ma ei räägi siinjuures siis meie saatest, vaid reaalsest sellisest küberturbealasest kriitilisest intsidendist. Saates on külas Riigi Infosüsteemi Ameti intsidentide käsitlemise osakonna juht Tõnu Tammer. Tere!
Ja mina olen saatejuht Ronald Liive. Ja enne kui me lähme küsimuste juurde, siis ütlen härra ka, et nagu te kuulsite, see ametinimetus ja asutuse nimetus pikk ja lohisev ehk siis lü, lühidalt oleks CERT -EE juht. Tõnu, ma küsin alustuseks, kui palju kriitilisi intsidente on näiteks eelmisel nädalal esinenud CERT -is, millega te olete kokku puutunud?
Kui mälu mind ei peta, siis eelmine nädal meil ei olnud õnneks ühtegi kriitilist intsidenti, millega me oleks pidanud kokku puutuma. Küll aga saime me hulgaliselt taaskord teateid erinevate õngitsuste kohta, mida tuleb sihuke, noh, kümneid kuus, mingi hetk ma kiirelt tegin, kalkulatsiooni oli äkki umbes kakskümmend viis tükki kuus, nii et noh, neid on vaat et varsti iga päev, eks ole. Ja ja need on valdavad, mis hetkel nagu tooni annavad.
Aga need kakskümmend viis on intsidendid, mitte just kriitilised?
Need on meie kategoorias on nad intsidendid, me eristame kahte asja, me eristame intsidenti ja me eristame sündmust. Ja, ja kui sündmus on noh, piltlikult öeldes intsident, millel mõju ei ole, ehk et noh, et, et kas ta üldse on intsident, aga ta on sündmus, siis õngitsuse lehed on meie jaoks kindlasti mõjuga intsident. Ja selgitan ka tausta, väga lihtne, et me ju ei tea, kui mitu inimest oma andmed kogemata õngitsuslehele jäi andis. Aga kui me vaatame sellist statistikat ja, ja ka mõningaid teste, mida me oleme ise teinud muidugi kooskõlastatult, siis liiga tihti inimesed üngitsuslehel oma andmeid jätavad. Ja see on see tõsiasi, miks me mõistlikult eeldades, vaadates hulka, me näeme, et, et, et sellistel asjadel ikkagi mõju on.
Lähme nüüd natukene rohkem algusse tagasi. Millega see CERT üldse siis tegeleb? Teie olete, kuulute Riia alla, aga te olete ikkagi Riia sees natukene mingit sellist, omal käel saate ka midagi teha või Riia ütleb kõik ette?
Ei, ma isegi võib -olla päris selliselt ei kategoriseeriks, et me oleme Riigi Infosüsteemi Ameti ja Küberturvalisuse Keskuse osakond, noh, operatiivosakond, kes siis tegeleb kõige vahetumalt Eesti küberruumis erinevate intsidentidega. On need, needsamad minu poolt juba mainitud õngitsuslehed, kus siis, kui inimesed annavad teada, et, et näed, et nad märkasid, me kontrollime üle. Kui tõepoolest see lehekülg on püsti, anname endast parima, et, et see lehekülg kas internetist eemaldada või virtuaalselt eemaldada. Näiteks kasvõi see, et, et, et kui sa õngitsuslehele klikid, brauser läbi Google Safebrausingu juba hoiatab punaselt, et kuule, et, et siin on midagi pahatahtlikku. Noh, meie jaoks on see juba töövõit, kui me oleme selle lehega niinimetatud virtuaalselt eemaldanud, et kasutajat ikkagi hoiatatakse paksult ja rasvaselt, et, et siin võib oma rahast või, või andmetest ilma jääda. Siis, mida me veel teeme? Me aitame ja nõustame kindlasti neid isikuid ja ettevõtteid, kellel on mõni intsident juhtunud. Ettevõtete puhul on tihti selleks kas siis lunavara, ründed, eraisikute puhul just needsamad õngitsuslehed, et, et, et aitame nii, kuidas oskame. Ja, ja olles ka sihuke riiklik kontaktpunkt, on meil mõnevõrra võib -olla selliseid suhteid, partnersuhteid ka rahvusvaheliste ettevõtetega lihtsam ehitada. Tänu millele siis noh, kui meie teavitame, siis seda võetakse juba selliselt, et keegi on valideerinud ära, et noh, ma ei tea, näiteks geenius .ee leht, et see ei ole õngitsusleht või noh, ühesõnaga ei ole, ei ole heatahtlik, vaid on õngitsusleht ehk et, et tavainimene võib ju nendesse filtritesse ükskõik mida sisse panna, eks ole, et, et seda vaadatakse hoopis teistmoodi kui siis, kui ta tuleb ikkagi riiklikust kanalist.
Ehk mõnes mõttes te olete selline kaitsja nii -öelda, et tulete mängu siis, kui kübermaailmas on midagi halvasti läinud. Ja kas te tulete mängu siis, kui on juba halvasti läinud või te teete ennetavalt siis ka midagi?
Noh, nagu nimi ütleb, siis klassikalises võtmes me tuleme mängu siis, kui asjad on halvasti läinud. Aga nagu ma tavatsen ise välja tuua, et, et päästeamet, jah, peaks tulema appi siis, kui on tulekahju tekkinud. Aga kui me vaatame, siis täna päästeamet keskendub hästi palju ennetusele. Ja meil samamoodi, et, et kõige parem küberrünnak meie vaatest on luhtunud küberrünnak. Sellepärast, et Eesti inimeste suhtes on kellegi kurjad kavatsused jäänud realiseerimata. Ja noh, üks koht, kus me saame kindlasti aidata Eesti inimestel oma ja ettevõtetel samamoodi oma ründepinda vähendada, on kasutades kasvõi meie äppi, mis siis on kasutatav nii nutiseadmetes kui seda annab ka teistesse kohtadesse panna. VVV, RIAE, kaldkriips, TNS, selle kohta saab igaüks lugeda. Kõik needsamad õngitsuslehed, kui meile teada antakse, me paneme süsteemi sisse loetud minutite pärast. Kõigile neile, kes süsteemi kasutavad, see lehekülg lihtsalt enam ei avane. Ja, ja, ja see on kõige parem viis, kuidas me saame läbi oma tegevuse tegelikult väärtust luua Eesti inimestele.
Ma tahtsin ka natuke selle äpi kohta küsida, olles sellest kirjutanud artikleid ja siis kuulates nii -öelda lugejate tagasisidet, siis väga palju räägitakse ikkagi seda, et kui sa kasutad seda äppi, sa annad nii -öelda oma vabaduse käest ära. Et et see Riigi Infosüsteemi Amet nüüd näeb, milliseid veebilehti ma külastan, milliseid äppe ma kasutan ja siis seeläbi noh, esiteks on see, keegi saab kuskil luua mingisuguse profiili, saab koguda ka minu kohta mingit materjali, mida siis ära kasutada näiteks, et teha mulle halba, millised need teie kommentaarid oleks selle jaoks.
See on väga aus küsimus ja see on üks peamisi küsimusi, mida pahatihti küsitakse. Üldse mitte selles mõttes, et küsimus oleks paha, aga, aga noh, see näitab inimeste sellist teadlikkust oma andmete kaitsel. Olles riigiamet, lähtudes küberturvalisuse seadusest, seal on väga selgelt välja toodud, mille jaoks me erinevaid andmeid võime kasutada. Inimeste järele nuhkimine, noh, võta või jäta, seda seal ei ole, vähemalt mitte Riigi Infosüsteemi Ameti puhul. Teiseks, mis on oluline ära märkida, et, et selle rakenduse kasutamisel me ei nõua autentimist. Ehk et me tegelikult ei tea, kas seda rakendust kasutab Tõnu või Tiina. Ja, ja, ja kolmandana, et, et kui me mõtleme, et, et hea küll, et me kasutame midagi muud, siis printsiibis samasuguseid andmeid jagab mistahes teise teenuse kasutaja samamoodi. Meie tagame selle, et, et kasutades seda nutiseadmes, andmed on krüpteeritud kogu kanali ulatuses. Nad on turvalised, sealt inimesed saavad väga selget väärtust. Noh, nii nagu ma mainisin, et, et, et kui, kui õngitsusleht meile teatavaks saab, me saame selle ligipääsu piirata. Seal on igal ajahetkel vähemalt kolm miljonit ajas automaatselt uuenevat reeglit. Viimati, kui kolleegid vaatasid, oli umbes kuue miljoni reegli kanti, pluss, pluss tasulised andmeallikad, ehk et tegelikult on sinna sisse pandud hästi suur hulk tööd ja raha selleks, et inimestele väärtust luua. Tasulisi andmeid me ei saa muud muul juhul jagada, aga me saame oma teenuse teha kättesaadavaks. Nii et kui me vaatame, kui me vaatame seda potentsiaalset riski, et noh, et mis siis on nagu, mida ma ära annan, siis minu vastuargument on see, et need andmed jagatakse nagunii kellegagi, kellel ei ole selliseid seadusest tulenevaid piiranguid, mida ta nende andmetega võib teha. Ja see väärtus, mida inimene siis vastu saab, ilmselt nii kõrge tasemega ei ole.
Jaanipäev on juba peetud ehk siis enam ei saa oma sugulastele rääkida, et kuulge, et ole hea, mine tõmba see äpp endale alla. Lihtsustatult öelduna saab siis jõuluprae kõrval oma vanaemale öelda, et kui sa ei taha, et keegi saaks kuidagi sinu andmeid röövida, varastada, siis tõmba see äpp alla ja kõik on väga palju turvalisem.
Äpp tuleb alla tõmmata ja see äpp tuleb ka aktiveerida, et ta päris lihtsalt alla tõmmatuna tööle ei hakka. Ja see aktiveerimisjuhend on ka seal olemas. Nagu ma ütlesin, et vee -vee -riia -ee kaldkriips -t -ness. Nüüd, kui ma väidan, et sikutades selle äpi, sa võid edaspidi igal ettejuhtuval lingil klikkida, sa ei pea ise üldse mõtlema, siis ma petaks kuulajat. Et nii ta kahjuks ei ole. Ükski kaitsemeede ei ole lõpuni efektiivne sada protsenti. Küll aga küberturvalisuses neid meetmeid ehitatakse nagu sibul on niisugune kihiti, eks ole. Et kui üks kiht ei pea, äkki meil on järgmine kiht, mis midagi vähendab. Ja, ja, ja kogu fookus on sellel, et, et, et vähendada tõenäosust, et see ründaja on edukas. Täpselt samamoodi, kui meile tuleb teavitus uue õngitsuse kohta, ega siis süsteemidel võtab ka tibakene aega, et, et, et see pahatahtlik signatuur jõuaks kõikidesse andmetesse. Ehk et noh, küsimus on, et kas äpi kasutaja parajasti sel hetkel, kui andmebaasid uuenevad, sel hetkel tal avaneb. Aga kohe, kui andmebaasid on ära uuenenud, loetud minutite pärast, ta enam ei avane. Nüüd see tähendab seda, et, et ründajal see ajaaken, et ta oleks potentsiaalselt edukas, on lihtsalt sedavõrd palju väiksem. Eesti inimestel see kindlus, et noh, tõenäoliselt riik on teadlik ja piirab selliseid pahatahtlikke asju, taaskord on olemas.
Mina olen iPhone 'i kasutaja, nagu ma näen, siis kõrvalistuja samuti õunalogoga telefon laua peal ja juba päris mitu aastat on seal iOS -is selline loogika, et kui sa ei ole seda äppi mõnda aega avanud, siis ta justkui nagu kustub ära nende aktiivsete äppide alt, mis sul telefonis on. Kas selle RIA TNS -i äpi puhul, et kui ma ühe korra tõmban, aktiveerin ta ära ja nüüd ma avastan siis kuu või kaks hiljem, et ta on justkui nagu ära kustunud, aga ta on mul telefonis alles, kas ta reaalselt taustal ikkagi toimib ja töötab või ma peakski iga natukese aja tagant lihtsalt selle äpi korraks lahti tegema?
See äpp on ainult äpp nii palju, et, et, et mida ta teeb, ta aktiveerib juba sellesse samasse Apple 'i seadmesse sisseehitatud funktsionaalsuse. Ehk et, et meie, me ei lisa siia copy -ka eestki funktsionaalsust, vaid me kasutame seda, mida Apple on sisse ehitanud samamoodi ka Androidi puhul. Ja, ja me lihtsalt ütleme sellele funktsionaalsusele, et, et näed, et selle teenuse asukoht asub siin, sa saad valida, et, et millise protokolliga sa suhelda tahad ja see, seda tulebki ekstra aktiveerida süsteemi sätete alt. Ja, ja noh, selles mõttes ta on mõneti võib -olla tiba keerukam aktiveerimise mõttes. Aga, aga ta on jällegi, ma ei taha öelda halvasti, aga, aga ta on lollikindlam. Sest et, et noh, ma olen ka aeg -ajalt kuulnud, et näed, et, et äpil ei ole tulnud ühtegi update 'i juba pikka aega, eks ole. Et, et noh, sest meil see teenuse asukoht on jäänud samaks. Teenus sisemiselt uueneb, meil ei ole mõtet riigi raha panna sinna, et teha näiliselt update äppi poodi olukorras, kus meil ei ole sisulist vajadust, sest kogu sisuline töö tehakse ära tegelikult kõhus. Ja, ja kui teenuse asukoht olemuselt ei muutu, siis ei ole ka äppi vaja uuendada.
Ehk kuigi lõppkasutajaks tema justkui näiliselt tõmbab äpi alla äpipoest, siis reaalsuses toimub lihtsalt telefonisätetes, nii -öelda tehakse muudatus ja kõik järgnevad nii -öelda muudatused, mida tavaliselt me oleme näinud äppide uuenduste näol, te teete juba taustal ära ja niimoodi, et inimene ise ei saa aru, et seal on juba toimunud muudatus.
No kogu see sisu tehakse ära meie süsteemides, kus me hoiame siis tõesti seda infot nende lehekülgede või, või, või internetiaadresside kohta, mis siis on kas tunnusega pahavara. On nad siis juhtserverit, saab sealt pahavara alla laadida, on ta kompromiteeritud pahavara poolt või siis õngitsus. Et, et, et need on need kaks kategooriat asju, kus tõkestades liiklust, mõistlikult võib eeldada, et, et kasutaja selle üle ei nurise. Ja kui me vaatame, noh, igal süsteemil aeg -ajalt ikka juhtub, et, et midagi läheb, noh, filtrisse võib -olla valesti. Siis kui vaadata, kui vähe me saame tagasisidet täpselt sellesama kohta, et, et kuule, näed, midagi on, tõkestatakse, mida ei peaks. Neid on üksikuid kordi aastas. Et noh, selles mõttes mõeldes, mõeldes selle kasutusmahu peale, siis ma ütleks, et see mehhanism on meil täna üsna hästi nagu tööle saadud.
Mul tähendab, ma ei taha sinna äppijuttu väga kinni jääda, sellest ühest varasemast vastusest jäi mulle kõrvu, et et teie päev, teie tööpäev on olnud edukas siis, kui küberrünnak on luhtunud. Aga kui palju selliseid intsidente või küberrünnakuid on siis olnud, ütleme eelmisel nädalal, eelmisel kuul, sel aastal, mille puhul CERT -EE töötajad saavad öelda, et lipp püsti, meie tegime head tööd, vot hoidsime nüüd selle ära.
Jällegi hea küsimus, mida küsida, üldsegi mitte nii lihtne küsimus, millele nagu üheselt ja selgelt vastust anda, et, et oletame, et, et sa saad selle õngitsuslehe omale telefoni SMS -iga. Sa klikid, äppi ei ole, see leht sul avaneb. Nüüd see, kui sul on äpp ja see leht ei avane, on küsimus, et kas meil on see rünnak ära hoitud või mitte, eks ole. Olukorras, kus me tegelikult ei tea, et, et kui sa oleksid selle lehekülje saanud lahti, aga sa ei oleks näinud kohe, et, et kuule, et see on mingi õngitsus, pannud lihtsalt kinni, kustutanud sõnumi ära ja sellega olekski tegevus lõppenud, eks ole. Et, et, et seda üks -ühest seost kindlasti noh, niimoodi öelda oleks meile valdne, aga kõik need kohad, kus me vaatame neid tõkestusi, siis me näeme, et, et, et neid on iga päev ja neid ei ole mitte kümneid, sadu, vaid on pigem tuhandeid. Ja ja siinkord ütleme, et osaliselt on süüdi ka see metoodika, mis natukene nagu seda paati kõigutab. Ja siin on süüdi või noh, kas süüdi, aga, aga põhjuseks on interneti toimimisloogika. Ehk et kui sa tahad minna Geeniuse kodulehele, siis tõenäoliselt sinu nutiseade või arvuti jätab selle nime ja IP aadressi vahelise seose meelde tunniks ajaks. Ja seda nimetatakse puhverdamiseks. Nüüd juhul, kui me ütleme, et, et, et tegelikult mingisuguse lõngitsuslehel aadressi ei ole, ehk et me ei võimalda sul sinna ligi saada, siis see on niinimetatud negatiivne vastus, ka seda vastust puhverdatakse, aga seda puhverdatakse maksimaalselt minutiks ajaks. Mis tähendab, et noh, potentsiaalselt, kui sul on seal näiteks, oletame, et sul on Androidi telefon, sul on seal mõni pahatahtlik äpp, mille sa ei ole saanud Google 'i äpi poest, vaid, vaid oled kuskilt mujalt omale telefoni sikutanud, mis tegelikult teeb midagi natuke rohkemat, kui ta välja lubab. Ja, ja meie rakendus seda tõkestab, siis ta käib iga minuti tagant käib, üritab nime lahendada. Ja kuna teda käib rohkem, olenevalt oma metoodikast, siis ta tõuseb paraku nagu kõrgemale välja. Et ainukene, mida me saame vaadata tõepoolest mahtude pinnal, on üritada saada aru, et, et, et kui laialt üks või teine küberoht Eesti küberruumis levib.
Kas muidu praegu tänasel päeval need põhilised põhiline temaatika, millega CERT -EE tegeleb, ongi noh kõik see, mida te praegu justkui olete küll maininud, aga mitte see, mis toimus meil aastal kaks tuhat seitse, see pronksaegne suur selline küberintsident, küberrünnak, mis tõmbas terve Eesti riigi maha või siis me ise tõmbasime, kui korrektne olla. Ja sellised tegelikult eelmise aasta kevadel olid ka selliseid väga palju selliseid intsidente just, aga nüüd viimase ütleme siis pooleteise aasta jooksul nagu väga midagi enam kuulda ei ole olnud. Kas praegu ongi siis need õngitsuskirjad ja siis need tegevjuhi pettused, et need on päevast päeva, aga selline muu selline, mis võiks kuskile märulifilmi sobida, et seda enam ei ole?
On ikka. Et meie idanaabri sellised meelestatult idanaabrit toetavad isikud, kes valdavalt on siin erinevaid teedosse teinud, alates siis eelmise aasta kevadest, ei ole meil radarilt mitte kuskile ära kadunud. Nad olid, nad tulid radarile eelmise aasta aprilli keskel, kohe vahetult peale kõige suurema küberõppuse Lock Shields lõppemist. Erinevate vahedega on nad meil radaril olnud kuni tänaseni. Jah, ma möönan, et sellel aastal on neid meie küberruumi suunal toimetamas olnud näha vähem. Kui võib -olla teiste sihtmärkide suunas ma ei tahaks spekuleerida või noh uhkustada, et, et näed, et noh, ma ei tea, et nad kardavad või, või mis iganes, et, et noh, päeva lõpuks iga ründaja peab oma sellise plaani tegema ise, et, et kus ta ikkagi on edukas. Aga mul on hea meel näha, kui, kui kuskil foorumites jälle kirjutatakse, et, et neid, neid eestlaseid ei ole mõtet torkida, sellepärast et nad, paganad, hammustavad vastu, et noh, üks näide, kus me selliste suurte rahvusvaheliste ettevõtetega koostööd teeme, on seesama õngitsuslehed, aga teine on pahavara. Et, et, et kõik see pahavara, mille me kätte saame, mida meile saadetakse, noh, mis, mis levib Eestis, me täpselt samamoodi saadame selle edasi kohe, kui meie süsteemid tuvastavad, et tõepoolest see on paha. Ja võib juhtuda, et, et, et näiteks ühe tootja teadmusbaas juba seda sisaldab, aga teise tootja seadmusbaas ei sisalda. Ja mis me teeme? Me viime nad ühele tasemele. Päeva lõpuks meil suurt eelistust ei ole, et kas sina, Roland, kasutad oma nutiseadme kaitseks antiviirust A või antiviirust B. Aga meil on oluline see, et, et need tooted, mis Eestis nagu mõistlikult palju turuosa omavad, et need oleksid teadlikud. Võimalikult ruttu Eestis levivatest ohtudest ja üks, üks suurtootja eelmise aasta suvel andis tagasisidet, et see selline koostöö, alates siis noh, ütleme, et nad vaatasid kaks tuhat kakskümmend üks algust kuni siis kakskümmend kaks suvi, poolteist aastat. Kuuskümmend protsenti pahavara faile, mida me saatsime edasi, meie olime nendel esimene allikas. Et, et kas see tähendab jällegi, et nad mujalt ei oleks seda kätte saanud? Noh, päris suure tõenäosusega ühel hetkel oleks. Aga see, et, et meie tegime oma tööd selliselt on, on minu jaoks see väärtuse loomine Eesti inimestele, sest et nende seadmetesse see teadmus, et see on paha, jõudis meie tegevuse tõttu rutem. Mis tähendab seda, et, et nende seadmed selle tõttu olid ka rutem kaitstud ja jah, meie ei pane ju oma noh, ütleme riigi sellist kätt seadmesse. Ei, vastupidi, me jagame tootjatega, neil on olemas nii capacity kui capability, et noh, võimekus mõlemat pidi süsteeme ja, ja asju analüüsida ja, ja signatuuri genereerida ja päeva lõpuks selle eest inimesed ka neile raha maksavad.
Need DDoS -id, mis käisid läbi, kas nende puhul, kui see Kremli -meelne nii -öelda häkirühmitus selle korda saadab, jah, meil Eestis siin on riigivõrgu näitel on DDoS -kaitse olemas, kas seal ongi ainult kaitse, mida CERT rakendab, või te olete ka need, kes siis vastu ründavad neid?
Meie ei tegele mitte ühelgi juhul ründega, et, et siin võib -olla oleks hea jällegi kuulajat harida, et, et ÜRO sellised kokkulepitud normid sätestavad, et CERT -id on nõndanimetatud lahinguvälja punane rist. Ehk et neid tüüpe rünnata ei tohi, aga samas nemad kandes seda punast risti saadavad ka kõikidele teistele sõnumi, et nemad selle lipu all ei ründa. Ja täpselt samamoodi on meiega, et, et, et kõik meie tegevused on eranditult kaitsetegevused, meie ühtegi vastast ei ründa, et noh, et kui sa mõtled just nagu selle peale, et näed, et siin on võib -olla see juhtserver, kus seda DDoS -i tehakse. DDoS -ime selle maha, et et noh siis nad ei saa ju rünnata, eks ole. Et mõttena võib -olla tundub esialgu hea mõte, aga me oleme näinud, kus sarnane asi on praktikas juhtunud natuke teistpidi. Ja nimelt juhtus selline asi, et et ilmselt see serveriteenuse pakkuja, keda siis venemeelsed häkkerid kasutasid, ühel hetkel pani teenuse kinni. Ja see, kuidas need klientrakendused edasi käitusid, nad jäid ründama viimati kättesaadud sihtmärki, mis tolleks hetkeks õnneks või kahjuks oli Eesti sihtmärgid. Ja see teedoss suri hästi -hästi vaikselt. See läks enam kui kuu aega aega, kuniks kõik need bot 'id, mis siis sellelt juhtserverilt oma info kätte saanud oli ja kuna juhtserverit enam ei olnud, siis noh, see viimane target list oli neil ainukene või kõige ajakohasem. Siis kuniks seda bot 'i või, või, või seadet ei olnud restarditud, siis senimaani ta ründas edasi. Mis tähendas jällegi seda, et seda oli õudselt lihtne kaitsta, sest et ta ei muutunud enam, ta jäi staatiliseks. Et noh, see IP aadress, kust see bot tuleb ja liiklus, kuhu pihta ta tuleb, noh, see on teedos. Kuna sul uusi bot 'e taha ei tule ja, ja potentsiaalselt need vaikselt ära kukuvad, noh siis, siis, aga, aga me vaatasime just seda, et, et kaua võtab aega, et, et, et võib -olla. sellised aktivistid siis uue klientrakenduse võtaks, kus on see uue juhtserveri info sisse kirjutatud, oma süsteemid ära uuendaks. See asi suri umbes kuu aega, nii et, et ega alati seal vasturünne ei, ei ole ka see kõige parem meetod.
Aga kui CERT -EE on ikkagi välja peilinud selle DDoS juht -serveri, kas teie edastate selle info näiteks küberväejuhatusele või CR -14 -le, et nemad võtaksid midagi ette?
Ei. Ei, seda CR -14 kindlasti ei tee ja, ja küberväejuhatus, ma arvan, et, et, et arvestades tänast olukorda ka ei tee, et, et me oleme siiski rahuajal. Või noh, rahuolukorras olev riik, et, et ja nagu ma mainisin, siis, siis selle juhtserveri rünnak ei halva ju TEDOS -i. Vastupidi, mõningatel juhtudel, ma ütlen täitsa siiralt, on mõned augud mõistlik jätta lahti. Just selleks, et me teame, kus meil on auk, me teame kuhumaani ta on lahti ja kui me paneme ta kinni, siis me võime panna kinni lihtsalt selle, et me ise suudame üht või teist asja seirata. Ja vahel on mõistlik mõned asjad jätta lahti, sellepärast et vastasel juhul me lõikaks iseenda võimet küberohte tuvastada.
Korra sai saate alguse mainitud ka koostööd nii -öelda teiste riikide CERT -idega, olles ka aastate jooksul järginud või vaadanud, mida teevad CERT -id Lätis ja Leedus ehk siis CERT -LT ja LV, siis ma olen mõningat nii -öelda erinevust märganud. Et jah, ka CERT -EE ütleb avalikult välja, et mis toimub ja niimoodi, aga mulle on jäänud mulje kõrvalise vaatlejana, et Läti -Leedu on natuke aktiivsemad. Nad lähevad, reaalselt võtavad mõned seadmed, on nad mobiiltelefonid või valvekaamerad ja siis hakkavad uurima, et kuhu nad nii -öelda koju helistavad, mida nad teevad seal taustal, mida see inimene või see kasutaja ise koheselt ei märka ja ei näe. Ja selle põhjal nad on andnud ka välja siis selliseid konkreetseid otsesõnu tehtud soovitusi, öelnud, et palun hoiduge nüüd selle riist või tarkvara kasutamisest. Ma toon mõned näited ka, et olidki Hiina valvekaamerad, Hikvision ja Dauha, ma vabandan kõigi mandariini keele valdajate ees, kui ma selle hääldusega eksisin. Aga meil näiteks Politsei - ja Piirivalveamet kasutab neid valvekaameraid. Miks CERT -EE ei ütle analoogseid asju välja? Te ütlete jah, näe, TikToki kohta te olete aastaid tagasi juba välja öelnud, et kuulge, hoiduge sellest, aga miks te ei ütle nagu rohkem seda ja mitte ainult TikToki puhul, vaid ka teiste asjade puhul?
Jah, kui nüüd tõele au anda, siis me TikToki osas olime pigem ühed esimesed, kes, kes juba aastal kaks tuhat kakskümmend sügis, kui mälu mind ei peta, kui riigi infosüsteemi amet selle, selle sõnumi välja ütles, et, et, et meie meelest ei ole seda mõistlik kasutada ja, ja oma seadmetes on see lausa keelatud. Teistel riikidel võttis sinnamaani lihtsalt aega, et, et järgi jõuda. Siin tuleb aru saada, et see termin CERT on ühetaoline, aga igal riigil on see sisustatud natukene omamoodi. Ja iga riik on ka õiguslikult natukene omamoodi toimiv, et, et kui, kui Eestis me oleme läinud sellist pehmemat teed pidi, et, et meil ei ole võib -olla ülemäära siukseid suuri malakaid, millega siis motiveerida. Mis võib -olla ei ole päris tõsi, kui me vaatame meie lõunanaabreid, kellel on õiguslikult võib -olla natuke teine tööriistakast, kui on meil. Siis, siis noh, see on, ma arvan, ka üks põhjus, miks Eesti on nii küberturvalisuse indeksites kui ka igasugustes Internet of Freedom või Freedom of Internet ja, ja teistes sellistes inimõigusi vaatavates indeksites mõlemal. Võrdväärselt kõrgel kohal, et jah, me tegeleme, me tegeleme, hästi selline, kuidas ma ütlen, sihitult või targeted, aga, aga me ei lähe nagu laia lehtriga lööma. Ja hea näide sellesama TikToki kohta, et, et, et noh, täna me räägime võib -olla TikTokist, homme tuleb mingisugune teine äpp, DocTik, siis tuleb veel mingisugune, et. Et oluline on see, et, et meie vaatest, et kasutajad ise saaks aru, mis need riskid on, et kasutaja oskaks neid riske ise ära tunda, sest noh, päeva lõpuks riik ei jõua. Ja ma loodan, et ei taha ka jõuda sinnamaani, et ta tegelikult iga inimese seadmes sellisel tasemel sees on. Mis puudutab hoiatusteateid, siis eelmise aasta novembris, kui mälu mind ei peta, me andsime välja hoiatuse. Oli selle sama seadmete kohta ka natuke teise nurga alt, et, et nad ei tooda mitte ainult kaameraid, vaid nad toodavad ka neid selliseid keskseadmeid, kuhu saab erinevate kaamerate pildi keskele kokku jooksutada ja seda nagu keskelt salvestada. Ja, ja meil oli info, et, et sedasama keskseid seadmeid, neis on olemas turvanõrkus, seda tootja oli ka avalikult öelnud, kuid meil oli info, et, et seda turvanõrkust kasutatakse ära pahatahtlikult ja me panime ülesse hoiatuse, et, et need inimesed ja organisatsioonid, kes neid seadmeid kasutaks, uuendaks oma seadmed ära.
Kas te tegite ka nii -öelda sihitult Politsei - ja Piirivalveametile selle sama teavituse või ongi niimoodi, et teie viskate õhku ja siis jääte lootma, et ju keegi märkab seda?
Politsei - ja Piirivalveametiga me oleme sellistest teatud riikidest pärinevate tehnoloogiate osas suhelnud üsna omajagu aega. Ja siin tuleb saada aru riskidest. Üldiselt see ei ole väga, väga teema, millest praktiliselt tahetakse rääkida, sest noh, ta, ta tundub õudselt selline, ma ütleks, kantseliitlik ja, ja raamatu järgi, aga, aga kui me võtame tavalised valvekaamerad, mis siis üle IP -protokolli videot edastavad. Siis kui see on sul piiratud võrgusegmendis, kus ta saabki sinna kesksesse salvestusseadmesse oma videopilti saata, ta internetti ei saa, siis piltlikult öeldes meil on kaamera, millel internetijuhe on välja tõmmatud. Et küsimus on, et, et millist olemuslikku riski siit saab tulla. Saab tulla seadmest, mis ei ole interneti ühendatud, et see on juba hoopis midagi muud, kui näiteks sul on mingisugune inverter kodus, sa tahad seda üle äpi juhtida, noh, tal on vaja interneti ligipääsu või vähemalt ligipääsu M1 -i juurde selleks, et, et sa saaksid jällegi läbi äpi seda juhtida, et, et, et sellised riskid on oluline läbi mõelda ja on oluline ka nendest rääkida, et, et kus, milliseid seadmeid kasutatakse ja millised riskid selles kohas on, kas neid on võimalik vähendada või mitte.
Ma saan aru, et PPA nimel te ei saa siin sõna võtta, aga milline see indikatsioon PPA poolt on olnud, kas nad on oma lähenemist muutmas?
PPA on kindlasti üks selline riigiasutus, kes on oma küberturbe riskidele natuke paremini mõelnud kui võib -olla mõni, mõni teine, et, et, et vaatamata sellele, et, et nii nagu sa mainisid, seal selliseid kaameraid kasutatakse, siis mulle teadaolevalt On need riskid Politsei - ja Piirivalveametis mõistlikult ära juhitud.
Nii et terve CERT -EE ja teie siis CERT -EE juhina saate ka nii -öelda kodanikuna lihtsalt rahulikult magada, hoolimata sellest, et te teate, et PPA kasutab neid Hiinast toodetud valvekaameraid.
Noh, nagu ma ütlesin, siis, siis me peame vaatama Hiina seadmete puhul laiemalt, et, et, et mis on see viis, kust riskid tulla saavad, mis on see viis, kuidas neid riske saaks juhtida selliselt, et noh, et, et nad ei pääseks mõjule. Ja, ja PPA puhul kindlasti ma näen, et, et mõistlikult on lähenetud, aga seda ei pruugi olla igal pool tehtud.
Ma toon veel ühe näite Läti, Läti, Leedu kolleegide pealt, kus lisaks neile Hiina valvekaameratele pöörati ka mõni aeg tagasi tähelepanu Huawei või Huawei, korrektne hääldus, Ja Jaomi telefonidele, kus öeldi ka otse sõnu välja, et nende toodetud telefonid, et nagu hoiduge nende kasutamisest, sest seal on üks, kaks, kolm ja neli, vot need põhjused, miks ta peaks hoiduma. No taaskord, ma ei näe CERT -EE puhul, peale selle TikToki, miks te ei ütle, et kui on nagu seade toodetud Hiina Rahvavabariigis, kui selle riist - või tarkvara tootjaks on üks neist nimetatud ettevõtetest või kes iganes veel, et siis palun tead, hoiduge?
Nagu ma mainisin, siis erinevates riikides on natukene erinev õigussüsteem ja võib -olla ka inimeste ootus. Ja võib -olla seal riigis ongi ootus natuke rohkem, et riik ütleks täpselt ette, mida me peame tegema. Ma olen üsna kindel, et me oleme rääkinud Hiinast lähtuvatest tehnoloogiaohtudest korduvalt. Ma olen üsna kindel samuti, et, et kõik selle podcast 'i kuulajad teavad, et XiaoMid ja, ja Huaweid on Hiinas toodetud. Ja siin ei ole küsimus ainult selles, et ta on toodetud. Ka seesama Apple 'i nutiseade on ju justkui Hiinas toodetud, eks ole. Küsimus on selles, et kui palju seda tootmist on Hiinas, et kas Hiinas on see tehas, mis paneb etteantud tarkvara ja etteantud tükid kokku või tuleb Hiinast kõik, alates disainist kuni, kuni koostööni, eks ole, et, et, et siin on meie vaates väga oluline vahe sees, me oleme nendele riskidele tähelepanu juhtinud. Me ei näe hetkel, et, et riik peaks nagu oluliselt, ma ütleks siis, riivavamaid meetmeid kasutama. Ja, ja kui inimesed teevad selle otsuse, et, et noh, et nad tahavad seda telefoni saada soodsalt, noh, meie vaates see risk on täna pigem väike. See ei tähenda, et seda riski ei ole, aga nagu te näete, siis noh, minu tööandja ei luba sellist, sellist seadet kasutada, nii et, et et me tegelikult ise neid riske täpselt samamoodi juhime.
Kas CERT -EE annab riigiasutustele välja selliseid soovitusi ka, et see seade on okei, see ei ole okei, see on selline enam -vähem?
Kui küsitakse ja seda aeg -ajalt küsitakse just selles võtmes, et, et kas ühe või teise toote või siis tootja puhul on teada mingeid asjaolusid, mis võiks ühe või teise toote välistada. Et et niisama ette ei ole mõtet seda tööd teha, et et see on ikkagi pigem siis, kui mõni riigiasutus tuleb nõu küsima.
Ehk siis oma viimaste küsimustega me oleme jõudnud siis sinna, kus erinevalt Läti -Leedu kolleegidest te ei lähe ja ei hakka neid seadmeid ise üle vaatama, kuna sellised ei kuula nagu teie pädevusse.
Ta ei ole meie pädevus ühest küljest, aga teisest küljest. See riistvara otse ei muuda suures plaanis midagi. Küsimus on tarkvaras. Kui me nüüd vaatame selle, noh, ma toon küll Apple 'i seadme näite täna üle, siia tuleb õhtule tarkvara uuendus, siis see on hoopis teine tarkvara. Ja, ja kui me mõtleme, et, et kui palju tuleb uuendusi ja kui pikk ja keerukas on see tagurpidine konna lahkamine või selle nutiseadme lahkamine, siis me elu sees ei jõua nende tegevustega sammu pidada. Ja just sellepärast on teinekord mõistlik neid riske juhtida selliselt, et me lihtsalt teatud tooteid ise ei kasuta.
Kust muidu läheb selline küberturbealane piir, et millega CERT -EE tegeleb ja millega ta ei tegele? Et jah, siin sai mainitud need valvekaamerate teema, nutitelefonid olid, mõned äpid ka, kas see riistatarkvara, mida meil siin näiteks rongides kasutatakse, trammides niimoodi, kas see on ka see, mille pärast te muretsete, et kuidagi neid ei saaks küberrünnata?
Juhul, kui see riist ja tarkvara võrguliiklus käib läbi riigivõrgu, siis, siis me kindlasti seda, seda seirame, kui meile sealt jäävad silma ohud, siis me vaatame sinna sisse süvitsi. Et noh, siin tuleb arvestada, et, et, et ühiskonna ootus on alati kobikas suurem, kui me seda teha suudame. Aga, aga anname endast parima, et, et teha küberkurjategijate elu nii piisavalt ebamugavaks, et Eesti lihtsalt ei ole neile atraktiivne sihtturg.
Küll aga te teete elu siis vastupidiselt mitte ebamugavaks, vaid heaks nende jaoks, kes, kellel on oskuseid ja teadmisi, et kuidas leida mingisuguseid nõrkusi näiteks ja kuidas siis paista nii -öelda positiivsena silma. Ma viitan sellele, et umbes nüüd aasta aega on CERT pakkunud sellist asja nagu bug bounty't. Ma ei teagi, kuidas seda eesti keeles öelda, aga noh, lihtsuselt öelduna ongi siis see, et kui sa leiad mõne CERT -i või siis RIA tehtud lahenduses turvanõrkuse, sa ütled neile ja siis sa saad õlale patsutuse ja öeldakse, et kuule, väga hea oli, et sa võta siit see T -särk ka ja võta kruus ka ja Järgmine tule ka, palun meie juurde, mitte ära mine venelaste või hiinlaste juurde seda infot müüma.
Eesti keeles on selle asja nimi bugi preemia programm. Ma nüüd ei tea, kas see kõlab keeleliselt paremini kui või mitte, aga, aga no vähemalt IT seletav sõnaraamat sellise tõlgenduse annab. Tõepoolest meil on nüüd juba enam kui aasta jooksnud see piloot, et, et kuidas tasustada turvanõrkuste leidjat siis selle turvanõrkuse teatamise eest. Ja päeva lõpuks, kui siin noh, paratamatult tekib see küsimus, et oi, et, et see on ju midagi uut ja, ja siis noh, meie vaatest ei ole siin mitte midagi uut. See on täpselt samasugune turvatestimine, nii nagu asutus, noh, ma loodan, et suhteliselt igapäevaselt ostab sisse turult. Ainukene on erinevus, kui tavapäraselt ostetakse sisse töötund ja öeldakse, näed, siin on mul mingisugune uus tarkvara, palun testige seda, andke raport. Noh, ma ütleme, et panen siia sada töötundi, ma ju ei tea, mis ma leian. Aga ma tean, kui palju mul see kulu on. Siis meie oleme pööranud selle selliselt, et meil ükstaskõik, kui palju sa aega sisse paned. Kui sa leiad midagi, siis sa saad tulemuse eest, mitte tegevuse eest ja see tegevus võib ka lõppeda sellega, et näed, me ei suutnud mitte midagi leida, eks ole. Ega see ei tähenda, et, et, et seal auke ei ole, lihtsalt see, kes vaatas, tema ei suutnud leida, et, et, et selles mõttes, selles mõttes me oleme seda pööranud natuke teistpidi. Ja plaan on, et igal juhul aasta lõpuks me laiendame seda võimalust ka teistele riigiasutustele, kes sellest huvitatud on, et see ei saa kindlasti olema kiire. Ja me kindlasti ei võta sinna programmi neid teenuseid, kus me ise vaadates tuvastame, et siin on puudujääke. Sest ei ole mõtet maksta nende puudujääkide tuvastamise eest, mis on juba meie poolt tuvastatud, et me kindlasti tahame, et, et, et meie poolt tuvastatavad puudujäägid oleks eelnevalt ära parandatud, me vaatame üle, asjad on head ja siis...
See tähendab seda, et kui see läheb nii -öelda laialdaselt kasutusse, siis meil on olemas terve nimekiri teenustest, mis seal on olemas, ja me saame kõrvutada selle nimekirjaga, mida ei ole, ja siis me teame, kõik avalikult teavad, et seal on mingid turvanõrkused sees.
Ei, see päris nii ei, ei ole, et, et, et näiteks need asjad, mis CERT -il endalgi kõhu all jooksevad. Et, et meil on asju, mida me oleme ise teinud ja meil on asju, kus me võtamegi kellegi teise koodi, lihtsalt jooksutame enda juures. Meil ei ole mõtet maksta kellegi teise koodi nõrkuste eest, kui neil on juba näiteks bug bounty olemas. Ehk et, et teha sellist planko järeldust on veidi meelevaldne, et, et siin ikkagi tasuks korra vaadata sisse, et, et kus see on mõistlik ja kus see ei ole.
Aga tegelikult kuigi ma ütlesin, et jah, et saate nii -öelda õla, õlale patsutuse ja T -särgi, siis tegelikult reaalselt te maksategi raha eurosid välja selle eest, kui leitakse mingine haavatavus. Kui palju te olete maksnud neid eurosid suurusjärk?
Suurusjärk tänaseks on kusagile kahe tuhande euro kanti, seda ei ole väga palju, need on kõik olnud madala taseme nõrkused. Või siis noh, kui ta ei ole otseselt nagu nõrkus, siis ta on kas, ütleme et, et error või viga äriloogikas, ehk noh, et, et mingi asi, millele me ei suutnud esialgu kohe õigesti mõelda, Tegelikult võib nagu mingil hetkel halvas mõttes saatuslikuks saada, et me peame natuke äriloogikat mõtlema ringi, et noh sellised asjad sul tavapärases turvatestimises mitte kunagi välja ei tule.
See kaks tuhat eurot on per turvanõrkus?
See kaks tuhat eurot on tänaseks olnud äkki kaheksa teavituse peale kokku, et, et nagu ma mainisin, siis noh, madala taseme leiud on, on selline kakssada viiskümmend eurot, noh, see, kus see meie jaoks see alumine ots algab, eks ole.
Kas neid turvanõrkustest on oodatud teavitama kõik inimesed üle terve maailma?
Meil on olemas selleks eraldi programm. Nii nagu riigiasutusele kohane, noh, kõik see, mis kaasneb potentsiaalselt nagu, ütleme, et nõrkuse leidmise, paljastamise tasu ja, ja kõige muuga. Et see on omajagu selline keerukas, mistõttu me oleme sellise teenusepakkujaga nagu Hacker One sõlminud lepingu ja, ja seda teeme nende platvormi kaudu. Ja seal on kirjas mitte ainult see, et me seda teeme, aga seal on kirjas ka tingimused, et, et, et mida tohib teha ja mida ei tohi teha, et, et see, et me ütleme, et tule ja testi. Noh, nii nagu siin ühe varasema näite puhul, et, et, et jah, kui sa leiad turvanõkkuse mõnes riigi infosüsteemi ametiteenuses leiad, okei, võib -olla testid ema, isa, abikaasa, õe, venna andmetega, et noh, et kas ma saan nagu kellegi teiste andmeid ka, eks ole. Et kui sa nüüd tahad nagu kolmsada tuhat korda sama asja korrata, et noh, et, et siis see ilmselgelt enam ei ole vea testimine, vaid see on juba midagi muud.
Ja kuidas, kuna seda kaasust sai korra mainitud, kuidas on selliste isikute puhul, kes on varasemalt nii -öelda saanud hakkama mõne paha teoga ja, aga nüüd peab ennast täiesti ausaks kodanikuks ja ütleb, et aga ma tegelikult tahan nüüd head teha. Kas te siis ütlete talle, et okei, no tule?
Kui ta on programmis olemas, lähtub programmi tingimustest, siis meie vaatame seda natukene jah, teistmoodi, et, et päeva lõpuks ega siis mitte ühelegi inimesele, ükskõik mis on juhtunud, me ei saa elu lõpuni nagu käsi rusikas käia, eks ole, et, et, et. Me oleks eeldanud ka varasemalt, et, et noh, kui inimene nõrkuse leiab, et, et ta annab teada kohe, mitte ei lähe seda väärkasutama, et, et kui sa Roland mäletad, siis kaks tuhat kaheksateist suvel, Vahetult kohe peale seda, kui ma olin CERT -i juhi ametikohale asunud, siis oli Eesti ees üks teine autentimist puudutav turvanõrkus, millest me kirjutasime aastaraamatus aasta hiljem. Siis noh, selle puhul oli väga selge, et, et, et inimene oli enda andmetega testinud, oli testinud oma õega. Peale seda COP COP tuli ilusti Riigi Infosüsteemi Ametisse, ei olnud mitte kordagi seda, et, et me oleks siin näinud pahatahtlikkust. Vastupidi, kiitsime, käisime üle logid, oli päris palju magamata öid, et, et suurt hulka andmeid üle kontrollida ka aastatetaguseid, et veenduda, et, et seda nõrkust ei oleks ära kasutatud. Ja ja noh logidest jooksis väga selge muster välja, et et ainukene, kes seda kasutas, oligi see isik, kes kes meid teavitas.
Küsin lõpetuseks niimoodi, et kas nüüd tänase saate vältel sai räägitud kõigest, mil mida CERT -teeb või on seal veel väga veel väga palju asju, mida CERT -teeb, aga antud podcastis näiteks ei saa avalikult rääkida?
Ma arvan, et kõiki meie tegevusi ühte saatesse kokku võtta, nii et, et.
Ajanappus on üks, aga see, et.
Ega siis päeva lõpuks küsimus ei ole selles, et meil oleks saladusi oma inimeste ees. Küll aga peame me arvestama riskiga, et, et, et seda saadet võivad kuulda ka või kuulata ka need, kellel nii häid kavatsusi meie suhtes ei ole. Nii et noh, paratamatult mõnda asja päris niimoodi kõva häälega me välja öelda ei tahaks.
Kas neid asju on üks -kaks või on neid rohkem, mida te ei saa ja ei taha välja rääkida?
Selleks tuleks hakata kõigepealt lugema, et, et, et palju neid asju üleüldse on ja, ja, ja kuidas täpselt me üht või teist asja teeme, et, et neid kindlasti on.
Suured tänud saatesse tulemast, CERT -EE juht Tõnu Tammer, nii nagu te kuulsite, saime, ma loodan, et me saime ikkagi natukene seda kindlustunnet juurde, et kuidas Eesti on küberkaitstud. Ja ma mainin saate lõpuks ära ka selle, et korra sai siin mainitud küberväe juhatust ja CR neljateistkümnet. Need on ka siis kaks külalist, kes on meil siit saatest läbi käinud, otsige üles kahekümne kolmanda detsembri, eelmise aasta kahekümne kolmanda detsembri kriitiline intsidenti, saate ka sealt kuulata, kuidas siis nemad Eestit küberkaitsevad. Aga suured tänud Tõnu Tammerile ja mina olin saatejuht Ronald Liive ning kohtun teiega juba uuel nädalal.
Saate toovad teieni SMIT ja TEHIK. SMIT. Päästame elusid IT -ga. TEHIK -u aeg kulub sellele. Terele, et ülejäänud Eesti saaks aega kokku hoida.
[ TRANSKRIPTSIOONI LÕPP ]