A port, amelynek megnyitására senki sem emlékezett

Egy budapesti magánklinika videórögzítőjét hat évvel korábban egy technikus szerelte fel, aki nem sokkal utána otthagyta a céget, és a jelenlegi személyzetből senki sem jelentkezett be soha az eszközbe, sőt arról sem tudtak, hogy egyáltalán van beállítható konfigurációja.

Egy ezzel össze nem függő hálózatfejlesztés során az AION mérnökei felfedezték, hogy a rögzítő még mindig egy távoli eléréshez használt portot tett közvetlenül elérhetővé a nyílt internet felől, ezt a beállítást minden bizonnyal az eredeti szerelő kapcsolta be kényelmi okból, majd egyszerűen soha nem kapcsolta ki. A klinikának nem volt módja megállapítani, hogy ezt a rést valaha kihasználták-e, és mivel a rögzítő hónapokra visszamenőleg tárolt felvételeket a kezelőhelyiségekből és egy nyilvántartási folyosóról, a felfedezés olyan kérdéseket vetett fel a betegadatok kitettségéről, amelyeket a klinika igazgatójának korábban nem volt oka feltenni. Azonnali megoldást akart, és biztosítékot arra, hogy ez többé nem fordulhat elő.

Az AION még a felfedezés napján lezárta a nyitott portot, majd a klinika teljes videórendszerét egy elszigetelt, jogosultsághoz kötött hálózati szegmensre helyezte át, amelynek egyáltalán nincs közvetlen internet felé néző útvonala. Az arra jogosult munkatársak távoli hozzáférését titkosított kapcsolaton keresztül, egyedi hitelesítéssel építették újra, és a klinikánál egy dokumentált hálózati rajzot is hagytak, hogy bármelyik jövőbeli technikus pontosan értse, mi micsoda és miért van ott.

Az igazgatónak most először van írásos dokumentációja a klinika hálózati biztonsági állapotáról, amelyre bármely jövőbeli megfelelőségi ellenőrzés során hivatkozhat. Az AION folyamatos szerviz-szerződés keretében a mai napig felügyeli a hálózatot, kifejezetten az ehhez hasonló, régről itt ragadt hibás beállításokra figyelve.