shadow IT

Shadow IT to sprzęt, oprogramowanie i usługi, których pracownicy używają do celów służbowych bez wiedzy i zgody działu IT. Brytyjskie NCSC definiuje je jako nieznane zasoby wykorzystywane w organizacji do celów biznesowych, pozostające poza formalnym zarządzaniem ^[1]. Polskie teksty branżowe opisują je podobnie: jako korzystanie przez pracowników z systemów, urządzeń, oprogramowania, aplikacji i usług bez wyraźnej zgody działu IT ^[5]. Shadow IT rzadko wynika ze złej woli, ale poszerza powierzchnię ataku o elementy, których nikt nie aktualizuje ani nie monitoruje.

Jak powstaje

NCSC podkreśla, że shadow IT rzadko jest wynikiem złych intencji ^[1]. Zwykle to obejście przeszkody w codziennej pracy. Wśród typowych powodów NCSC wymienia brak miejsca na dane, brak możliwości udostępnienia plików partnerowi zewnętrznemu, brak zatwierdzonego narzędzia do wideokonferencji lub komunikatora, powolny albo nieskuteczny proces zamawiania usług oraz brak świadomości, że prywatne urządzenia i usługi wnoszą ryzyko ^[1].

Mechanizm jest powtarzalny. Pracownik ma zadanie, oficjalna ścieżka jest zbyt wolna, więc zakłada darmowe konto w chmurze albo stawia własny serwis. Działa to od razu, a o istnieniu nowego zasobu dział IT się nie dowiaduje. Schemat poniżej pokazuje tę drogę.

RYS. 1Jak zasób wchodzi w cień

Odmiany

NCSC dzieli shadow IT na urządzenia i usługi chmurowe ^[1]. Bitdefender dodaje przykłady z codzienności zespołów: niezatwierdzone narzędzia do zarządzania projektami, prywatne komunikatory w pracy zdalnej, telefony i tablety bez nadzoru organizacji ^[5].

Szczególną podgrupą jest shadow AI, czyli używanie niezatwierdzonych narzędzi sztucznej inteligencji; NCSC wymienia takie narzędzia wprost wśród usług chmurowych shadow IT ^[1]. Pokrewne jest też BYOD, z tą różnicą, że BYOD to prywatne urządzenia używane za zgodą i według zasad firmy.

W WordPressie

W świecie WordPressa shadow IT ma zwykle postać zapomnianej instalacji. Dział marketingu zamawia stronę promocyjną u freelancera, ktoś stawia kopię roboczą na subdomenie, a po zakończeniu kampanii nikt jej nie wyłącza. Instalacja zostaje w sieci z wtyczkami z dnia wdrożenia.

Dokumentacja WordPressa ostrzega, że starsze wersje nie są utrzymywane i nie dostają poprawek bezpieczeństwa ^[4]. Dodaje, że gdy w WordPressie zostanie wykryta podatność i ukaże się nowa wersja, informacje potrzebne do jej wykorzystania są niemal na pewno publicznie dostępne ^[4]. Nieaktualizowana instalacja, o której nikt nie wie, jest więc łatwym celem. Każda kolejna publiczna podatność we wtyczce dotyczy jej tak samo jak głównej strony, tyle że nikt nie wgra łatki.

Typowe przypadki to:

• środowisko testowe (staging) z kopią produkcyjnej bazy, w tym kontami użytkowników i zamówieniami;
• porzucone wtyczki na stronie, której właściciel odszedł z firmy;
• rekord DNS wskazujący na wygasły hosting, co otwiera drogę do subdomain takeover;
• konto administratora freelancera, którego nikt nie usunął.

Dokumentacja zaleca regularne kopie zapasowe, w tym bazy danych ^[4]. W przypadku shadow IT zwykle ich nie ma, bo nikt nie wie, że zasób wymaga ochrony.

Zagrożenia i skutki

NCSC wskazuje trzy grupy skutków ^[1]. Po pierwsze, organizacja nie może zapewnić kopii zapasowych danych, które trzyma na nieznanych zasobach, co zwiększa straty po ataku ransomware ^[1]. Po drugie, nie można zakładać, że na takim zasobie działają zapora, antywirus i uwierzytelnianie wieloskładnikowe (MFA) ^[1]. Po trzecie, organizacja traci obraz tego, co w ogóle ma chronić ^[1].

Bitdefender wylicza podobne ryzyka: niezałatane oprogramowanie podatne na złośliwe oprogramowanie, słabą kontrolę dostępu do wrażliwych danych, utratę danych z braku kopii, niezgodność z przepisami oraz koszty zdublowanych aplikacji ^[5]. Jeśli w cieniu trafiają dane osobowe, prywatne konto w chmurze może stać się źródłem wycieku danych i naruszenia ochrony danych osobowych, które administrator musi obsłużyć według RODO.

Jak się bronić

Podstawą jest inwentarz. Kontrola 1 CIS nakazuje aktywnie zarządzać wszystkimi zasobami przedsiębiorstwa, także zdalnymi i chmurowymi, aby wykrywać zasoby nieautoryzowane i niezarządzane i je usuwać albo porządkować ^[2]. Kontrola 2 CIS robi to samo dla oprogramowania: tylko autoryzowane programy mają być instalowane i uruchamiane, a nieautoryzowane mają być wykrywane i blokowane ^[3].

NCSC zaleca kilka metod wykrywania ^[1]:

• aktualny rejestr oczekiwanych zasobów, z którym porównuje się stan faktyczny ^[1];
• skanowanie sieci wewnętrznej w poszukiwaniu nieznanych urządzeń ^[1];
• brokery dostępu do chmury (CASB), które na podstawie ruchu sieciowego wykrywają niezatwierdzone usługi ^[1];
• kontrolę dostępu do sieci opartą na certyfikatach, na przykład 802.1X lub WPA2/WPA3 Enterprise ^[1].

Równie ważna jest strona organizacyjna. NCSC radzi skracać procedury zatwierdzania, by pracownicy mieli szybką legalną drogę ^[1]. Zaleca też podejście bez obwiniania: karanie osób, które sięgnęły po shadow IT, sprawia, że ich koledzy przestają zgłaszać własne nieoficjalne praktyki ^[1]. Uzupełnieniem są polityka bezpieczeństwa z jasną listą dozwolonych narzędzi i szkolenia pracowników.

W przypadku stron WWW praktycznym krokiem jest spis wszystkich domen i subdomen organizacji, porównany z listą instalacji WordPressa objętych aktualizacjami i kopiami. Pomaga w tym zarządzanie powierzchnią ataku (attack surface management), które szuka zasobów widocznych z internetu, zanim znajdzie je atakujący.