NCSC w publikacji z 29 lipca wskazuje, że wiele urządzeń sieciowych nadal utrudnia badanie kompromitacji. Dla osób kupujących i utrzymujących firewall płynie z tego konkretne zadanie: możliwość zebrania wiarygodnych dowodów po włamaniu powinna stać się kryterium wyboru urządzenia oraz jego odbioru.

Czy podpisalibyśmy odbiór firewalla, gdyby odpowiedź na pytanie „jak zbierzemy z niego dane po włamaniu?” nadal brzmiała „ustalimy później”? To pytanie umieśćmy na początku rozmowy o zakupie. Punktem odniesienia jest opublikowany 29 lipca materiał NCSC o możliwościach badania urządzeń sieciowych. Z perspektywy kupującego proponujemy potraktować dostępność danych śledczych jako wymaganie do sprawdzenia przed zatwierdzeniem odbioru. Poprośmy dostawcę o opis sposobu pozyskania danych, a zespół utrzymania o wskazanie, jak zweryfikuje odpowiedź. Jeżeli któregoś elementu nie da się potwierdzić, zapiszmy brak ustalenia w protokole. Nie zastępujmy go domysłem, że potrzebne informacje uda się uzyskać dopiero wtedy, gdy zajdzie taka potrzeba.

Wymaganie powinno obejmować więcej niż logi

Według NCSC opisane wymagania obejmują telemetrię, logi, stan konfiguracji oraz pozyskiwanie danych z pamięci i nośników. Tę listę przyjmijmy za zakres pytań do dostawcy. Każdą pozycję oceńmy osobno: jakie dane będzie można uzyskać z oferowanego urządzenia i jak dostawca wykaże to podczas odbioru?

W specyfikacji zakupu unikajmy ogólnego pola „obsługa analizy incydentów”. Zapiszmy osobne wymagania dotyczące wymienionych rodzajów danych. Przy każdym poprośmy o opis dostępnej funkcji, sposób jej sprawdzenia i wskazanie ograniczeń. Odpowiedź dotyczącą logów przyporządkujmy do logów; nadal oczekujmy ustaleń dotyczących konfiguracji, telemetrii, pamięci i nośników. Nie zakładajmy, że potwierdzenie jednego elementu rozstrzyga wszystkie pozostałe.

Proponowany warunek odbioru powinien dotyczyć możliwości pozyskania danych z konkretnego urządzenia. Poprośmy więc o demonstrację uzgodnionego zakresu i zachowanie jej wyniku. Jeżeli dostawca deklaruje określoną możliwość, wymagajmy powiązania tej deklaracji z czynnością, którą zespół odbierający sprzęt będzie mógł ocenić. Wiarygodność uzyskanego materiału również uczyńmy przedmiotem pytania, zamiast przyjmować ją jako domyślną cechę każdego eksportu.

Możliwość zebrania danych po włamaniu powinna mieć własne miejsce w protokole odbioru firewalla.

Procedurę odbioru sprawdź na danych z urządzenia

NCSC wskazuje trudności w badaniu wielu urządzeń sieciowych, ale fakty przywołane w tej wiadomości nie opisują przebiegu odbioru konkretnego produktu. Nie przypisujmy więc administratorom zaniedbania ani dostawcom niespełnionych obietnic. Potraktujmy ustalenie NCSC jako powód do sprawdzenia własnej procedury zakupowej.

Rozważmy hipotetyczny protokół, w którym przy pozycji „dane do analizy incydentu” wpisano wyłącznie „dostępne”. Podczas przeglądu takiego dokumentu zapytajmy, czego dokładnie dotyczy potwierdzenie. Zażądajmy odniesienia do uzgodnionego zakresu, opisu wykonanej próby oraz miejsca zapisania jej wyniku. Dopiero na tej podstawie oceniajmy spełnienie wymagania. Samo pole w formularzu potraktujmy jako początek weryfikacji.

Do planu odbioru wpiszmy osobę wykonującą sprawdzenie i osobę oceniającą uzyskany materiał. Po próbie odnotujmy, które dane pozyskano, których nie uzyskano oraz co wymaga wyjaśnienia. Jeśli sprawdzenie konfiguracji zakończy się wynikiem pozytywnym, a możliwości pozyskania danych z pamięci pozostaną nieustalone, zachowajmy ten podział w protokole. Nie zamykajmy całego wymagania zbiorczym potwierdzeniem. W dokumentacji utrzymania pozostawmy opis zweryfikowanych czynności, do którego administrator będzie mógł wrócić.

Decyzja zakupowa powinna uwzględniać niewiadome

Dla osoby zatwierdzającej zakup wniosek z publikacji NCSC dotyczy zakresu decyzji. Obok odpowiedzi o dostępności danych śledczych wymagajmy informacji o tym, czego jeszcze nie sprawdzono. W porównaniu ofert użyjmy tego samego zestawu pytań i oczekujmy odpowiedzi odnoszących się do oferowanego urządzenia. Ogólne zapewnienie poprośmy uzupełnić przed oceną oferty.

Przy brakującej odpowiedzi wskażmy osobę odpowiedzialną za jej uzyskanie i termin powrotu do sprawy. Jeżeli zakup ma przejść mimo niewiadomej, przedstawmy ją wprost osobie podejmującej decyzję. Zapiszmy, którego rodzaju danych dotyczy oraz jakie sprawdzenie pozostało do wykonania. Unikajmy automatycznego uznawania nieustalonej możliwości za spełniony warunek.

Przywołane fakty NCSC nie dają podstaw do wyceny takiej weryfikacji ani strat związanych z brakiem danych w konkretnej organizacji. O zakres i koszt prac zapytajmy przy własnym zakupie. Nie obiecujmy określonej oszczędności ani czasu zakończenia przyszłego śledztwa. Kryterium odbioru sformułujmy wokół tego, co można wykazać: dostępności uzgodnionych danych oraz wyniku sprawdzenia sposobu ich pozyskania.

Nieustalona możliwość pozyskania danych powinna pozostać jawną niewiadomą w decyzji o zakupie.

Polski kupujący powinien pytać o własne urządzenie

Dla polskiego odbiorcy proponujemy ten sam punkt wyjścia: listę wymagań NCSC przełóżmy na pytania dotyczące kupowanego albo utrzymywanego firewalla. Fakty będące podstawą tej wiadomości nie określają skali problemu w Polsce. Nie wskazują też polskiej organizacji, której śledztwo utrudnił konkretny sprzęt. Ocenę własnej sytuacji oprzyjmy zatem na odpowiedziach i sprawdzeniu urządzenia.

Przy planowanym zakupie włączmy do przygotowania kryteriów osobę, która będzie utrzymywała firewall. Przy sprzęcie już używanym zacznijmy od przeglądu dostępnej dokumentacji i zapisu dotychczasowych ustaleń. Brak odpowiedzi skierujmy do wyjaśnienia; nie uznawajmy go od razu za dowód braku funkcji. Na tej samej zasadzie unikajmy zapewnienia o gotowości do zebrania danych wyłącznie dlatego, że urządzenie jest już użytkowane. Oczekujmy potwierdzenia odnoszącego się do wskazanego wymagania.

Co z tym zrobić w poniedziałek

Każdy punkt zaplanuj jako osobne zadanie na maksymalnie 30 minut. To przygotowanie weryfikacji możliwości opisanych przez NCSC; wykonanie pełnej próby wymaga osobnego uzgodnienia.

  1. Uzupełnij listę pytań zakupowych. Wybierz jeden planowany zakup firewalla. Dopisz pytania o telemetrię, logi, stan konfiguracji oraz dane z pamięci i nośników. Przy każdej pozycji zostaw miejsce na sposób sprawdzenia i ograniczenia podane przez dostawcę.
  2. Przejrzyj jeden protokół odbioru. Zaznacz, gdzie zapisano wynik sprawdzenia dostępności danych śledczych. Jeśli znajdziesz tylko deklarację, przygotuj prośbę o wskazanie wykonanej próby i jej rezultatu. Brak dokumentu oznacz jako brak ustalenia.
  3. Przygotuj zlecenie weryfikacji. Wskaż wybrane urządzenie, zakres danych i adresata prośby. Poproś o propozycję sposobu sprawdzenia oraz termin odpowiedzi. Ustal, kto oceni wynik i zapisze niewyjaśnione ograniczenia przed decyzją o odbiorze.

Przy zakupie firewalla wymagajmy odpowiedzi na pytanie o dowody dostępne po włamaniu. Publikację NCSC potraktujmy jako podstawę do wpisania tego warunku do oceny oferty i odbioru. Zatwierdzenie urządzenia powinno uwzględniać udokumentowane możliwości oraz jawnie wskazane niewiadome.

Źródła

  1. NCSC: Making forensic observability the norm for network devices, publikacja: 29 lipca 2026 r.

Redakcja cyberinsight.pl.