Identitet er den nye slagmark

En mand og en kvinde sidder ved et bord og bruger en bærbar computer.

Cyber Signals, 1. udgave: Få indsigt i fremkommende cybertrusler, og hvilke trin du skal tage for at beskytte din organisation bedre.

Der er et farligt misforhold mellem de fleste organisationers sikkerhedsprotokoller og de trusler, de står over for. Selvom personer med ondsindede hensigter forsøger at tvinge sig adgang til netværk, er deres foretrukne taktik mere simpel: at gætte svage login-adgangskoder. Grundlæggende foranstaltninger som multifaktorgodkendelse er effektive mod 98 procent af angrebene, men kun 20 procent af organisationerne anvender dem helt (Microsoft-rapport over digitalt forsvar, 2021).

I 1. udgave kan du læse om aktuelle sikkerhedstendenser og anbefalinger fra Microsofts forskere og eksperter:

Hvem er afhængige af adgangskode- og identitetsbaserede angreb.
Hvad man kan gøre for at modvirke angreb, herunder slutpunkts-, mail- og identitetsstrategier.
Hvornår man skal prioritere forskellige sikkerhedsforanstaltninger.
Hvor ransomware-stammer kommer ind og spredes i netværk, og hvordan man stopper dem.
Hvorfor identitetsbeskyttelse stadig er den største grund til bekymring – men også den største mulighed for at forbedre din sikkerhed.

Nation-stat-aktører fordobler indsatsen for at få fat i identitetsbyggeklodser

Der er en stigning i cyberangreb fra nation-stat-aktører. På trods af deres enorme ressourcer er disse modstandere ofte afhængige af enkle taktikker for at stjæle adgangskoder, der er nemme at gætte. På den måde kan de hurtigt og nemt få adgang til kundekonti. I tilfælde af virksomhedsangreb giver indtrængen i en organisations netværk nation-stat-aktører mulighed for at få fodfæste, som de kan bruge til at bevæge sig enten vertikalt, på tværs af lignende brugere og ressourcer, eller horisontalt, hvor de får adgang til mere værdifulde legitimationsoplysninger og ressourcer.

Spydphishing, social engineering-angreb og storstilede adgangskodesprays er grundlæggende taktikker, som nation-stat-aktører bruger til at stjæle eller gætte adgangskoder. Microsoft får indsigt i personer med ondsindede hensigters håndværk og succeser ved at observere, hvilke taktikker og teknikker de investerer i og har succes med. Hvis brugeroplysninger administreres dårligt eller efterlades sårbare uden vigtige sikkerhedsforanstaltninger som multifaktorgodkendelse og funktioner uden adgangskode, vil nation-stater fortsætte med at bruge de samme enkle taktikker.

Behovet for at gennemtvinge ibrugtagning af multifaktorgodkendelse eller være uden adgangskode kan ikke siges nok, fordi enkelheden og de lave omkostninger ved identitetsfokuserede angreb gør dem nemme og effektive for aktørerne. Selvom multifaktorgodkendelse ikke er det eneste værktøj til identitets- og adgangsadministration som organisationer bør bruge, kan det være et effektivt middel til at afværge angreb.

Misbrug af legitimationsoplysninger er en fast bestanddel af NOBELIUM, en nation-stat-modstander med forbindelse til Rusland. Men andre modstandere, såsom DEV 0343, der er knyttet til Iran, bruger også adgangskode-sprays. Aktivitet fra DEV-0343 er blevet observeret i forsvarsvirksomheder, der producerer militære radarer, droneteknologi, satellitsystemer og kommunikationssystemer til nødberedskab. Yderligere aktiviteter har været rettet mod regionale havne i Den Persiske Golf og flere søfarts- og godstransportvirksomheder med forretningsfokus i Mellemøsten.

Fordeling af identitetsbaserede cyberangreb initieret af Iran

De lande, som Iran rettede flest angreb mod mellem juli 2020 og juni 2021, var USA (49 %), Israel (24 %) og Saudi-Arabien (15 %). Få mere at vide om dette billede på side 4 i den komplette rapport

Organisationen bør:

Aktivér multifaktorgodkendelse: Det reducerer risikoen for, at adgangskoder havner i de forkerte hænder. Endnu bedre er det at fjerne adgangskoder helt ved at bruge multifaktorgodkendelse uden adgangskoder.

Overvåge kontoens privilegier: Konti med privilegeret adgang kan, hvis de kapres, blive et stærkt våben, som personer med ondsindede hensigter kan bruge til at få større adgang til netværk og ressourcer. Sikkerhedsteams bør ofte revidere adgangsrettigheder og bruge princippet om færreste rettigheder for at give medarbejderne mulighed for at udføre deres arbejde.
Gennemgå, hærde og overvåge alle lejeradministratorkonti:Sikkerhedsteams bør grundigt gennemgå alle lejeradministratorbrugere eller -konti, der er knyttet til delegerede administrative privilegier, for at bekræfte autenticiteten af brugere og aktiviteter. De bør derefter deaktivere eller fjerne alle ubrugte delegerede administrative privilegier.
Etablere og håndhæve en sikkerhedsbaseline for at reducere risikoen: Nation-stater spiller det lange spil og har midlerne, viljen og omfanget til at udvikle nye angrebsstrategier og -teknikker. Ethvert netværksforbedrende initiativ, der forsinkes på grund af båndbredde eller bureaukrati, er til deres fordel. Sikkerhedsteams bør prioritere at implementere nul-tillid-praksisser som multifaktorgodkendelse og opgraderinger til logonuden adgangskode. De kan begynde med privilegerede konti for hurtigt at opnå beskyttelse og derefter udvide i trinvise og kontinuerlige faser.

Ransomware dominerer bevidstheden, men kun nogle få stammer dominerer

Den dominerende fortælling ser ud til at være, at der er et massivt antal nye ransomware-trusler, som overgår forsvarernes kapacitet. Men Microsofts analyse viser, at det ikke er korrekt. Der er også en opfattelse af, at visse ransomware-grupper er en enkelt monolitisk enhed, hvilket heller ikke er korrekt. Det, der findes, er en cyberkriminel økonomi, hvor forskellige aktører i kommercialiserede angrebskæder træffer bevidste valg. De er drevet af en økonomisk model for at maksimere profitten baseret på, hvordan de hver især udnytter den information, de har adgang til. Grafikken nedenfor viser, hvordan forskellige grupper drager fordel af forskellige strategier for cyberangreb og oplysninger fra databrud.

Gennemsnitspriser for forskellige tjenester til cyberkriminalitet

Gennemsnitspriser på tjenester til cyberkriminalitet, der er til salg. Angribere til leje starter fra 250 USD pr. job. Ransomware-kits koster 66 USD eller 30 % af fortjenesten. Kompromitterede enheder starter ved 13 cent pr. pc og 82 cent pr. mobilenhed. Spydphishing til leje koster fra 100 USD til 1.000 USD. Stjålne brugernavne og adgangskoder koster i gennemsnit 97 cent pr. 1000. Få mere at vide om dette billede på side 5 i den fulde rapport

Men uanset hvor meget ransomware, der er derude, eller hvilke stammer, der er tale om, så er der tre indgangsvektorer: RDP (Remote Desktop Protocol) brute force, sårbare internetvendte systemer og phishing. Alle disse vektorer kan afhjælpes med korrekt adgangskodebeskyttelse, identitetsstyring og programopdateringer ud over et omfattende værktøjssæt til sikkerhed og overholdelse af angivne standarder. En type ransomware kan kun blive udbredt, når den får adgang til legitimationsoplysninger og mulighed for at sprede sig. Derfra kan den gøre stor skade, selv hvis det er en kendt stamme.

Kortlægning af trusselsaktører fra første adgang til lateral bevægelse gennem systemet

Sti for trusselsaktørens adfærd, når systemet er blevet brudt, fra det første adgangspunkt til tyveri af legitimationsoplysninger og lateral bevægelse gennem systemet. Sporer vedvarende stier til at fange konti og erhverve ransomware-nyttelast. Få mere at vide om dette billede på side 5 i den fulde rapport

Sikkerhedsteams bør:

Forstå, at ransomware trives med standard- eller kompromitterede legitimationsoplysninger: Derfor bør sikkerhedsteams fremskynde sikkerhedsforanstaltninger som implementering af multifaktorgodkendelse uden adgangskode på alle brugerkonti og prioritering af leder-, administrator- og andre privilegerede roller.
Identificere, hvordan man spotter afslørende uregelmæssigheder i tide til at handle: Tidlige logins, filbevægelser og anden adfærd, der introducerer ransomware, kan virke helt normalt. Ikke desto mindre er teams nødt til at holde øje med uregelmæssigheder og reagere hurtigt på dem.
Have en beredskabsplan for ransomware, og gennemføre øvelser til genoprettelse: Vi lever i en tid med synkronisering og deling i skyen, men datakopier er noget andet end hele it-systemer og databaser. Teams bør visualisere og øve sig i, hvordan en fuld gendannelse ser ud.
Administrere advarsler, og afhjælp dem hurtigt: Selvom alle frygter ransomware-angreb, bør sikkerhedsteamets primære fokus være på at styrke svage sikkerhedskonfigurationer, der gør det muligt for angrebet at lykkes. De bør administrere sikkerhedskonfigurationer, så der reageres korrekt på alarmer og registreringer.

Fordelingskurve for beskyttelse, der viser, hvordan grundlæggende sikkerhedshygiejne beskytter mod 98 % af angrebene

Beskyt mod 98 % af angrebene ved at bruge antimalware, anvende mindst privilegeret adgang, aktivere multifaktorgodkendelse, sørge for at versioner er opdaterede og beskytte data. De resterende 2 % af normalfordelingen omfatter afvigende angreb. Få mere at vide om dette billede på side 5 i den fulde rapport

Få yderligere vejledning fra Microsoft Principal Threat Intelligence Lead Christopher Glyer om, hvordan du sikrer din identitet.

Indsigt opnås, og trusler blokeres ved hjælp af over 24 billioner signaler dagligt

Trusler mod slutpunkter:

Microsoft Defender for Endpoint har blokeret mere end 9,6 milliarder malwaretrusler, som er målrettet virksomheders og forbrugeres enheder, mellem januar og december 2021.

Trusler via mail:

Microsoft Defender for Office 365 blokerede mere end 35,7 milliarder phishing- og andre ondsindede mails rettet mod virksomheder og privatkunder mellem januar og december 2021.

Identitetstrusler:

Microsoft (Azure Active Directory) registrerede og blokerede mere end 25,6 milliarder forsøg på at kapre virksomhedskunders konti ved brute-forcing af stjålne adgangskoder mellem januar og december 2021.

Metodologi: For snapshot-data leverede Microsoft-platforme, herunder Defender og Azure Active Directory, anonymiserede data om trusselsaktivitet, såsom brute force-logonforsøg, phishing og andre ondsindede mails rettet mod virksomheder og forbrugere samt malware-angreb mellem januar og december 2021. Yderligere indsigt indhentes fra de 24 billioner daglige sikkerhedssignaler på tværs af Microsoft, herunder skyen, slutpunkter, og den intelligente kant. Stærke godkendelsesdata kombinerer multifaktorgodkendelse og beskyttelse uden adgangskode.

Trusselslandskab

Download

Relaterede artikler

Cyber Signals, 2. udgave: Afpresningsøkonomi

Hør fra frontlinjeeksperter om udviklingen af ransomware som en service. Fra programmer og nyttedata til adgangsmæglere og samarbejdspartnere – lær om de værktøjer, taktikker og mål, som cyberkriminelle foretrækker, og få hjælp til at beskytte din organisation.

Få mere at vide

Beskyttelse af Ukraine: Tidlige erfaringer fra cyberkrigen

De seneste resultater af vores igangværende efterretningsarbejde om trusler i krigen mellem Rusland og Ukraine og en række konklusioner fra de første fire måneder understreger behovet for løbende og nye investeringer i teknologi, data og partnerskaber for at støtte regeringer, virksomheder, NGO'er og universiteter.