NÚKIB - Národní úřad pro kybernetickou a informační bezpečnost

1. Národní koordinační centrum výzkumu a vývoje má vlastní web

   Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) představuje projekt NCC-CZ (Czechia Cybersecurity Coordination Centre) zaměřený na zajištění vzniku a fungování Národního koordinačního centra výzkumu a vývoje v oblasti kybernetické bezpečnosti (NKC). Projekt, který je plánován jako dvouletý, je spolufinancován z programu Evropské unie s názvem Digitální Evropa a odstartoval na začátku listopadu 2023. NÚKIB nyní spustil k projektu také webové stránky nkc.nukib.cz.

2. O aktuálních výzvách na poli kybernetické bezpečnosti diskutovali odborníci v Brně

   Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) uspořádal ve středu 15. listopadu 2023 v Brně již sedmé jednání Platformy pro výzkum a vývoj v oblasti kybernetické a informační bezpečnosti (dále jen Platforma). Setkání se konalo v sídle CyberSecurity Hub, spoluorganizátora akce. Mezi účastníky byli nejen zástupci státního a soukromého sektoru, ale také akademické obce. Akce dlouhodobě nabízí především prostor k diskusi a networkingu mezi různorodými aktéry, kteří se věnují kybernetické bezpečnosti.

3. Zástupce NÚKIB jednal v Singapuru s odborníky ze státní, soukromé i akademické sféry

   Ve dnech 17. až 20. října 2023 byl Tomáš Martynek z Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB) součástí české delegace vedené náměstkem ministra zahraničních věcí České republiky (MZV) Jiřím Kozákem, která se v Singapuru setkala se zástupci tamní státní, soukromé i akademické oblasti. Svou účastí podpořila delegace také český stánek na největším asijském veletrhu orientovaném na oblast kyberbezpečnosti GovWare, který proběhl v rámci Singapore International Cyber Week. Cílem cesty byla především výměna zkušeností a navázání kontaktů a případné spolupráce mezi českými a singapurskými subjekty.

4. Česká republika se připojila k prohlášení proti platbám výkupného při ransomwarových útocích

   Náměstek ředitele pro řízení Sekce strategických agend a spolupráce Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB) Pavel Štěpáník a Cyber Attachée pro spolupráci s USA a Kanadou Berta Jarošová zastupovali Českou republiku na třetím ročníku International Counter Ransomware Summit, který ve Washingtonu organizovala Anne Neuberger, National Deputy Security Advisor pro kybernetickou bezpečnost a přelomové technologie.

5. Kybernetické incidenty pohledem NÚKIB - říjen 2023

   Vydali jsme přehled Kybernetických incidentů pohledem NÚKIB za říjen 2023.

6. Upozorňujeme na zranitelnost CVE-2023-20273 v Cisco IOS XE (CVSS 7.2)

   Národní úřad pro kybernetickou a informační bezpečnost upozorňuje na zranitelnost CVE-2023-20273, která se týká webového rozhraní operačního systému Cisco IOS XE. Tato zranitelnost umožňuje útočníkovi ve spojení s kritickou zranitelností CVE-2023-20198 vytvořit na napadeném zařízení účet s oprávněním "level 15" a následně zvýšit oprávnění na úroveň "root". S tímto vysokým oprávněním může nadále instalovat na zařízení vlastní kód.

7. Upozorňujeme na kritickou zranitelnost CVE-2023-20198 v Cisco IOS XE (CVSS 10.0)

   Národní úřad pro kybernetickou a informační bezpečnost upozorňuje na kritickou zranitelnost CVE-2023-20198, která se týká webového rozhraní operačního systému Cisco IOS XE. Tato zranitelnost umožňuje útočníkovi vytvořit na napadeném zařízení uživatelský účet s úrovní oprávnění "level 15" a tak získat tak kontrolu nad napadenýmdaným zařízením. 

8. Upozorňujeme na kritické zranitelnosti v knihovnách webových prohlížečů

   Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) upozorňuje na kritické zranitelnosti, které byly objeveny v aplikacích internetových prohlížečů (Chrome, Firefox, Edge a dalších). Pouhým zobrazením upraveného obrázku nebo videa i bez další uživatelské interakce (tzv. zero-click) může dojít ke vzdálenému spuštění cizího kódu (RCE) a ovládnutí aplikace nebo celého systému útočníkem. Zranitelnosti objevené v knihovnách libwebp (sloužící pro zpracování obrazového formátu WebP) a libvpx (sloužící pro zpracování videoformátu VP8) jsou již aktivně zneužívané a pro zranitelnost v knihovně libwebp byl i zveřejněn proof-of-concept (POC) jejího zneužití.

9. Doporučení v oblasti kryptografických prostředků verze 3.0

   Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) vydal aktualizovanou verzi dokumentu obsahující doporučení v oblasti kryptografických prostředků. Podle § 26 písm. d) vyhlášky č. 82/2018 Sb., o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat mají povinné osoby podle zákona č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů povinnost zohlednit tato doporučení vydaná NÚKIB za účelem ochrany aktiv informačního a komunikačního systému.

10. Upozornění na zranitelnost MikroTik RouterOS CVE-2023-30799

    Národní úřad pro kybernetickou a informační bezpečnost upozorňuje na zranitelnost CVE-2023-30799, která se týká operačního systému MikroTik RouterOS. Tato zranitelnost umožňuje uživateli s oprávněním „admin“ eskalovat oprávnění na úroveň „super admin“.

11. Upozorňujeme na zvýšené riziko ransomwarových útoků

    Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) upozorňuje na zvýšené riziko ransomwarových útoků vůči České republice. NÚKIB v posledních týdnech eviduje v českém kyberprostoru zvýšenou aktivitu kyberzločineckých skupin, které při svých útocích využívají tuto techniku.

12. Doporučení k používání protokolu TLP ke sdílení chráněných informací

    Byla vydána aktualizovaná verze příznaků TLP ke sdílení chráněných informací, na základě které upravujeme „Doporučení k používání protokolu TLP“. Do 31. 12. 2022 je vyžadován přestup na novější verzi.

13. NÚKIB a Ministerstvo vnitra vydaly bezpečnostní doporučení pro vývoj otevřeného softwaru

    Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) ve spolupráci s Ministerstvem vnitra (MV) připravil bezpečnostní doporučení pro vývoj otevřeného softwaru. Doporučení je určeno vývojářům a osobám zabývajícím se kybernetickou bezpečností nebo společnostem dodávajícím software. Nenahrazuje požadavky zákona o kybernetické bezpečnosti a není pevně závazné. Je tak na konkrétních organizacích, které části a v jaké míře budou u svých projektů případně využívat.

14. Doporučení pro používání aplikace Signal

    Signal je široce využívaná multiplatformní služba pro bezpečnou šifrovanou komunikaci. Ačkoli jde o poměrně bezpečnou aplikaci, je zapotřebí, aby ji každý uživatel správně nastavil a dodržoval základní bezpečnostní zásady. NÚKIB proto doporučuje všem uživatelům Signalu, aby co nejdříve začali uplatňovat níže uvedená doporučení:

15. Doporučení pro hodnocení důvěryhodnosti dodavatelů technologií do 5G sítí v České republice

    Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) vydal spolu s Ministerstvem průmyslu a obchodu, Ministerstvem zahraničních věcí, Bezpečnostní informační službou, Úřadem pro zahraniční styky a informace a Vojenským zpravodajstvím Doporučení pro hodnocení důvěryhodnosti dodavatelů technologií do 5G sítí v České republice (dále jen „Doporučení“). Význam telekomunikačních sítí nastupujících generací je pro celou společnost mimořádný a omezování bezpečnostních rizik těchto sítí je tedy nezbytné pro vytvoření a udržení odolné infrastruktury České republiky. Cílem Doporučení je nabídnout operátorům, potažmo celému odvětví elektronických komunikací, pohled bezpečnostně relevantních institucí státu na základní východiska posuzování důvěryhodnosti dodavatelů technologií do 5G sítí a navrhnout kritéria, která mohou přispět k výběru důvěryhodných dodavatelů.