Provjera ranjivosti

Nacionalni CERT nudi punopravnim ustanovama članicama CARNET-a uslugu Provjere ranjivosti (Vulnerability Scanning) računala i drugih uređaja spojenih na internet. Rezultat te provjere sadržava listu pronađenih sigurnosnih problema i upute za njihovo rješavanje koji korisnicima mogu pomoći pri uspješnijemu održavanju njihovih mreža.

Usluga je besplatna za ustanove koje su punopravne članice CARNET-a. Korisnici mogu provjeriti je li ta usluga dostupna i u njihovoj ustanovi na popisu punopravnih članica CARNET mreže. 

Ustanove mogu postati korisnici usluge Provjere ranjivosti ako zadovoljavaju sljedeće preduvjete:

• ustanova je spojena na CARNET mrežu stalnom vezom
• računalno-komunikacijski uređaji koji se provjeravaju tom uslugom moraju biti dostupni putem CARNET mreže računalima Nacionalnoga CERT-a s kojih se obavlja testiranje
• ustanova ima imenovanoga CARNET sistem inženjera, odnosno administratora resursa s kojim se dogovaraju tehnički detalji oko usluge i koji je ovlašten za preuzimanje rezultata provjere ranjivosti
• javni dio PGP ključa ovlaštene osobe objavljen je na poslužitelju javnih ključeva 
• ako zakonski zastupnik ustanove (dekan ili ravnatelj) želi drugu osobu imenovati ovlaštenom za kontakt u vezi s dogovorima o detaljima usluge i preuzimanju rezultata, potrebno je Nacionalnomu CERT-u dostaviti ovjerenu izjavu o imenovanju, za koju se obrazac može pronaći ovdje
• ako prethodno imenovana ovlaštena osoba promjeni PGP ključ s pomoću kojega se odvija sigurna komunikacija s Nacionalnim CERT-om, potrebno je dostaviti ovjerenu izjavu o promjeni ključa, za koju se obrazac može pronaći ovdje.

Punopravna ustanova članica CARNET-a može zatražiti uslugu Provjere ranjivosti putem obrazaca.

Obrasce potpisuje zakonski predstavnik ustanove (dekan ili ravnatelj), te ih ovjerava pečatom ustanove.

Popunjeni i ovjereni obrasci šalju se poštom na:

Hrvatska akademska i istraživačka mreža – CARNET (za Provjeru ranjivosti)
Josipa Marohnića 5
10000 Zagreb

Računalno-sigurnosne incidente možete prijaviti na incident@cert.hr.
Za ostale upitemožete koristiti e-adresu ncert@cert.hr.

Web poslužitelj: http://www.cert.hr

PGP javni ključ:

• Nacionalni CERT podržava upotrebu PGP kriptografskoga sustava. Javni ključ s potpisom moguće je pronaći na svim većim poslužiteljima za razmjenu PGP ključeva ili ovdje.
• KeyID: 0xFCA254BB   Fingerprint: E54B B60A C4D1 45E7 0FF4 CC5B E35C DB85 FCA2 54BB

Vremenska zona:

• UTC + 0100 – CET (srednjoeuropska vremenska zona)
• UTC + 0200 – ljetno računanje vremena (zadnja nedjelja u ožujku – zadnja nedjelja u listopadu)

Tehničke karakteristike usluge

• za provjeru ranjivosti koristi se alat Nessus
• provjere se obavljaju uvijek i samo s određenih računala s istim IP adresama
• provjere se mogu obavljati jednokratno ili periodično i isključivo na zahtjev ustanove članice
• ne provjerava se otpornost mreže na DoS napade (Denial of Service) radi minimalna utjecanja provjere na normalan rad mreže i računala.

Dokument – Metodologija provjere ranjivosti

Distribucija rezultata usluge

• rezultati provjere bit će dostupni samo ovlaštenim osobama s ustanove članice CARNET-a i ovlaštenim osobama Nacionalnoga CERT-a
• distribucija rezultata provjere ranjivosti obavlja se isključivo e-poštom uz korištenje PGP-a za kriptiranje rezultata (više informacija o PGP-u može se pronaći ovdje)
• rezultati provjere bit će pohranjeni i dostavljeni ovlaštenoj osobi s ustanove e-poštom, šifrirani njezinim javnim PGP ključem, javnim PGP ključem usluge Provjere ranjivosti i potpisani privatnim PGP ključem usluge Provjere ranjivosti
• javni PGP ključ usluge Provjere ranjivosti dostupan je ovdje.

Dokument – Uputa za tumačenje izvještaja provjere ranjivosti (Nessus v5.2.7).

Provjera ranjivosti za vlasnike internetskih usluga

Nacionalni CERT nudi uslugu automatske provjere ranjivosti vlasnicima internetskih usluga u Republici Hrvatskoj koji posjeduju svoju poslužiteljsku i mrežnu infrastrukturu. Usluga provjere ranjivosti nije predviđena za CARNET-ove ustanove članice ili tijela državne uprave.

Moguće je izabrati između dviju različitih vrsta provjere ranjivosti:

• testiranje servisa na UNIX, Linux, Windows i Cisco platformama pomoću alata OpenVAS
• testiranje mrežne ranjivosti pomoću alata Nikto i Skipfish.

Zahtjevi za provjeru ranjivosti zaprimaju se na stranici CERT.hr.

Sve ostale informacije možete potražiti i na stranici Provjera ranjivosti.