Η διαχείριση ταυτοτήτων είναι το νέο πεδίο μάχης

Ένας άνδρας και μια γυναίκα κάθονται σε ένα τραπέζι χρησιμοποιώντας έναν φορητό υπολογιστή.

Cyber Signals Τεύχος 1: Αποκτήστε γνώσεις σχετικά με τις εξελισσόμενες απειλές στον κυβερνοχώρο και τα μέτρα που πρέπει να λάβετε για την καλύτερη προστασία του οργανισμού σας.

Υπάρχει μια επικίνδυνη αναντιστοιχία μεταξύ των πρωτοκόλλων ασφαλείας των περισσότερων οργανισμών και των απειλών που αντιμετωπίζουν. Ενώ οι εισβολείς προσπαθούν να εισέλθουν με τη βία στα δίκτυα, η προτιμώμενη τακτική τους είναι απλούστερη: να μαντεύουν αδύναμους κωδικούς πρόσβασης. Τα βασικά μέτρα, όπως ο έλεγχος ταυτότητας πολλαπλών παραγόντων, είναι αποτελεσματικά έναντι του 98% των επιθέσεων, αλλά μόνο το 20% των οργανισμών τα χρησιμοποιεί πλήρως (Αναφορά ψηφιακής ασφάλειας της Microsoft, 2021).

Στο τεύχος 1, θα μάθετε για τις τρέχουσες τάσεις ασφαλείας και τις συστάσεις από ερευνητές και εμπειρογνώμονες της Microsoft, όπως:

Ποιος  βασίζεται σε επιθέσεις με βάση τον κωδικό πρόσβασης και την ταυτότητα.
Τι  πρέπει να κάνετε για να αντιμετωπίσετε τις επιθέσεις, συμπεριλαμβανομένων των στρατηγικών για το τελικό σημείο, το email και την ταυτότητα.
Πότε  να ιεραρχείτε διαφορετικά μέτρα ασφαλείας.
Από πού  εισέρχονται και εξαπλώνονται τα διάφορα στελέχη ransomware στα δίκτυα και πώς μπορείτε να τα σταματήσετε.
Γιατί  η προστασία της ταυτότητας παραμένει ο μεγαλύτερος λόγος ανησυχίας—αλλά και η μεγαλύτερη ευκαιρία για να βελτιώσετε την ασφάλειά σας.

Οι εθνικοί-κρατικοί δράστες διπλασιάζουν τις προσπάθειές τους να αρπάξουν απλά τα δομικά στοιχεία της ταυτότητας

Οι επιθέσεις στον κυβερνοχώρο από εθνικούς-κρατικούς φορείς αυξάνονται. Παρά τους τεράστιους πόρους τους, αυτοί οι αντίπαλοι συχνά βασίζονται σε απλές τακτικές για να κλέβουν κωδικούς πρόσβασης που μαντεύονται εύκολα. Με τον τρόπο αυτό, μπορούν να αποκτήσουν γρήγορη και εύκολη πρόσβαση σε λογαριασμούς πελατών. Στην περίπτωση των επιθέσεων σε επιχειρήσεις, η διείσδυση στο δίκτυο ενός οργανισμού επιτρέπει σε εθνικούς-κρατικούς φορείς να αποκτήσουν ένα έρεισμα που μπορούν να χρησιμοποιήσουν για να κινηθούν είτε κάθετα, σε παρόμοιους χρήστες και πόρους, είτε οριζόντια, αποκτώντας πρόσβαση σε πιο πολύτιμα διαπιστευτήρια και πόρους.

Το εστιασμένο ηλεκτρονικό "ψάρεμα", οι επιθέσεις κοινωνικής μηχανικής και οι  μεγάλης κλίμακας εξαντλητικές δοκιμές κωδικού σε πολλούς λογαριασμούς είναι βασικές τακτικές που χρησιμοποιούνται από εθνικούς-κρατικούς φορείς για να κλέψουν ή να μαντέψουν κωδικούς πρόσβασης. Η Microsoft αποκτά γνώση της τεχνικής και των επιτυχιών των εισβολέων, παρατηρώντας σε ποιες τακτικές και τεχνικές επενδύουν και με ποιες επιτυγχάνουν. Εάν η διαχείριση των διαπιστευτηρίων των χρηστών είναι ανεπαρκής ή αν παραμένουν ευάλωτα χωρίς κρίσιμες διασφαλίσεις, όπως ο έλεγχος ταυτότητας πολλών παραγόντων (MFA) και οι λειτουργίες χωρίς κωδικό πρόσβασης, τα εθνικά κράτη θα συνεχίσουν να χρησιμοποιούν τις ίδιες απλές τακτικές.

Η ανάγκη να επιβληθεί η υιοθέτηση MFA ή η κατάργηση του κωδικού πρόσβασης δεν μπορεί να υπερτονιστεί, επειδή η απλότητα και το χαμηλό κόστος των επιθέσεων με επίκεντρο την ταυτότητα τις καθιστούν βολικές και αποτελεσματικές για τους δράστες. Αν και ο MFA δεν είναι το μόνο εργαλείο διαχείρισης ταυτότητας και πρόσβασης που πρέπει να χρησιμοποιούν οι οργανισμοί, μπορεί να αποτελέσει ισχυρό αποτρεπτικό παράγοντα για τις επιθέσεις.

Η κατάχρηση των διαπιστευτηρίων αποτελεί πάγιο στοιχείο του NOBELIUM, ενός εθνικού κράτους-αντίπαλου που συνδέεται με τη Ρωσία. Ωστόσο, άλλοι αντίπαλοι, όπως το DEV 0343 που συνδέεται με το Ιράν βασίζονται επίσης σε εξαντλητικές δοκιμές κωδικού σε πολλούς λογαριασμούς. Δραστηριότητα από το DEV-0343 έχει παρατηρηθεί σε αμυντικές εταιρείες που παράγουν ραντάρ στρατιωτικού επιπέδου, τεχνολογία μη επανδρωμένων αεροσκαφών, δορυφορικά συστήματα και συστήματα επικοινωνίας έκτακτης ανάγκης. Περαιτέρω δραστηριότητα στόχευσε περιφερειακούς λιμένες εισόδου στον Περσικό Κόλπο, καθώς και διάφορες εταιρείες θαλάσσιων μεταφορών και μεταφοράς φορτίων με επιχειρηματική εστίαση στη Μέση Ανατολή.

Κατανομή των επιθέσεων στον κυβερνοχώρο με βάση την ταυτότητα που πραγματοποιήθηκαν από το Ιράν

Οι χώρες που δέχτηκαν τις περισσότερες επιθέσεις στον κυβερνοχώρο από το Ιράν μεταξύ Ιουλίου 2020 και Ιουνίου 2021 ήταν οι Ηνωμένες Πολιτείες (49%), το Ισραήλ (24%) και η Σαουδική Αραβία (15%). Μάθετε περισσότερα για αυτή την εικόνα στη σελίδα 4 της πλήρους έκθεσης

Ο οργανισμός θα πρέπει να κάνει τα εξής:

Ενεργοποίηση ελέγχου ταυτότητας πολλών παραγόντων: Με αυτόν τον τρόπο, μειώνετε τον κίνδυνο οι κωδικοί πρόσβασης να πέσουν σε λάθος χέρια. Ακόμα καλύτερα, καταργήστε εντελώς τους κωδικούς πρόσβασης, χρησιμοποιώντας MFA χωρίς κωδικό πρόσβασης.

Έλεγχος δικαιωμάτων λογαριασμών: Οι λογαριασμοί με προνομιακή πρόσβαση, αν υποκλαπούν, γίνονται ένα ισχυρό όπλο που οι εισβολείς μπορούν να χρησιμοποιήσουν για να αποκτήσουν μεγαλύτερη πρόσβαση σε δίκτυα και πόρους. Οι ομάδες ασφαλείας θα πρέπει να ελέγχουν συχνά τα δικαιώματα πρόσβασης, χρησιμοποιώντας τη χορήγηση σύμφωνα με την αρχή ελάχιστου δικαιώματος, ώστε οι εργαζόμενοι να μπορούν να διεκπεραιώνουν τις εργασίες τους.
Επανεξέταση, θωράκιση και παρακολούθηση όλων των λογαριασμών διαχειριστή μισθωτή: Οι ομάδες ασφαλείας θα πρέπει να επανεξετάζουν διεξοδικά όλους τους χρήστες διαχειριστές του μισθωτή ή τους λογαριασμούς που συνδέονται με εκχωρημένα διοικητικά δικαιώματα για να επαληθεύουν τη γνησιότητα των χρηστών και των δραστηριοτήτων. Στη συνέχεια, θα πρέπει να απενεργοποιήσουν ή να καταργήσουν τυχόν αχρησιμοποίητα εκχωρημένα διοικητικά δικαιώματα.
Καθιέρωση και επιβολή μιας βασικής γραμμής ασφαλείας για τη μείωση του κινδύνου: Οι εθνικοί-κρατικοί παράγοντες απειλής ακολουθούν μακροπρόθεσμη στρατηγική και διαθέτουν τους οικονομικούς πόρους, την αποφασιστικότητα και την κλίμακα που απαιτούνται για την ανάπτυξη νέων στρατηγικών και τεχνικών επιθέσεων. Κάθε πρωτοβουλία ενίσχυσης της ασφάλειας του δικτύου που καθυστερεί λόγω περιορισμένων πόρων ή γραφειοκρατικών διαδικασιών λειτουργεί προς όφελός τους. Οι ομάδες ασφαλείας θα πρέπει να δώσουν προτεραιότητα στην εφαρμογή πρακτικών μηδενικής εμπιστοσύνης, όπως ο έλεγχος ταυτότητας πολλαπλών παραγόντων (MFA) και αναβαθμίσεις χωρίς κωδικό πρόσβασης. Μπορούν να ξεκινήσουν με προνομιούχους λογαριασμούς ώστε να επιτύχουν γρήγορα υψηλότερο επίπεδο προστασίας και, στη συνέχεια, να επεκτείνουν την εφαρμογή σταδιακά, μέσα από διαδοχικές και συνεχείς φάσεις.

Το ransomware φαίνεται να κυριαρχεί στο μυαλό της κοινής γνώμης, αλλά, στην πραγματικότητα, μόνο μερικές παραλλαγές κυριαρχούν

Η κυρίαρχη αφήγηση φαίνεται να είναι ότι υπάρχει τεράστιος αριθμός νέων απειλών ransomware που ξεπερνούν τις δυνατότητες των υπεύθυνων ασφαλείας. Ωστόσο, η ανάλυση της Microsoft δείχνει ότι αυτό είναι λανθασμένο. Υπάρχει επίσης η αντίληψη ότι ορισμένες ομάδες ransomware αποτελούν μια ενιαία μονολιθική οντότητα, η οποία είναι επίσης λανθασμένη. Αυτό που υπάρχει είναι μια οικονομία του εγκλήματος στον κυβερνοχώρο, όπου οι διάφοροι παίκτες σε εμπορευματοποιημένες αλυσίδες επιθέσεων κάνουν συνειδητές επιλογές. Καθοδηγούνται από ένα οικονομικό μοντέλο για τη μεγιστοποίηση του κέρδους με βάση τον τρόπο με τον οποίο ο καθένας εκμεταλλεύεται τις πληροφορίες στις οποίες έχει πρόσβαση. Το παρακάτω γράφημα δείχνει πώς διάφορες ομάδες επωφελούνται από διάφορες στρατηγικές επιθέσεων στον κυβερνοχώρο και πληροφορίες από παραβιάσεις δεδομένων.

Μέσες τιμές για διάφορες υπηρεσίες ηλεκτρονικού εγκλήματος

Μέσες τιμές των προς πώληση υπηρεσιών κυβερνοεγκλήματος. Οι εισβολείς για μίσθωση ξεκινούν από 250 δολάρια ΗΠΑ ανά εργασία. Τα κιτ Ransomware κοστίζουν 66 δολάρια ΗΠΑ ή το 30% του κέρδους. Οι παραβιασμένες συσκευές ξεκινούν από 13 σεντ ανά υπολογιστή και 82 σεντ ανά κινητή συσκευή. Το εστιασμένο ηλεκτρονικό "ψάρεμα" για ενοικίαση κυμαίνεται από 100 έως 1.000 δολάρια ΗΠΑ. Τα κλεμμένα ζεύγη ονόματος χρήστη και κωδικού πρόσβασης ξεκινούν από 97 σεντς ανά 1000 κατά μέσο όρο. Μάθετε περισσότερα για αυτή την εικόνα στη σελίδα 5 της πλήρους έκθεσης

Τούτου λεχθέντος, ανεξάρτητα από το πόσα ransomware κυκλοφορούν εκεί έξω ή ποια στελέχη εμπλέκονται, στην πραγματικότητα καταλήγουν σε τρεις φορείς εισόδου: ωμή παραβίαση του πρωτοκόλλου απομακρυσμένης επιφάνειας εργασίας (RDP), ευάλωτα συστήματα που έχουν πρόσβαση στο διαδίκτυο και ηλεκτρονικό "ψάρεμα". Όλοι αυτοί οι φορείς μπορούν να μετριαστούν με την κατάλληλη προστασία κωδικών πρόσβασης, τη διαχείριση ταυτότητας και τις ενημερώσεις λογισμικού, εκτός από ένα ολοκληρωμένο σύνολο εργαλείων ασφάλειας και συμμόρφωσης. Ένας τύπος ransomware μπορεί να γίνει διαδεδομένος μόνο όταν αποκτήσει πρόσβαση σε διαπιστευτήρια και τη δυνατότητα εξάπλωσης. Από εκεί και πέρα, ακόμη και αν πρόκειται για ένα γνωστό στέλεχος, μπορεί να προκαλέσει μεγάλη ζημιά.

Χαρτογράφηση των φορέων απειλών από την αρχική πρόσβαση έως την πλευρική μετακίνηση μέσω του συστήματος

Διαδρομή της συμπεριφοράς του παράγοντα απειλής μόλις παραβιαστεί το σύστημα από το αρχικό σημείο πρόσβασης έως την κλοπή διαπιστευτηρίων και την πλευρική μετακίνηση μέσω του συστήματος. Ακολουθεί επίμονη διαδρομή για τη σύλληψη λογαριασμών και την απόκτηση ωφέλιμου φορτίου ransomware. Μάθετε περισσότερα για αυτή την εικόνα στη σελίδα 5 της πλήρους έκθεσης

Οι ομάδες ασφαλείας πρέπει:

Να κατανοήσουν ότι το ransomware ευδοκιμεί με προεπιλεγμένα ή παραβιασμένα διαπιστευτήρια: Κατά συνέπεια, οι ομάδες ασφαλείας θα πρέπει να επιταχύνουν την εφαρμογή μέτρων διαφύλαξης, όπως η εφαρμογή MFA χωρίς κωδικό πρόσβασης σε όλους τους λογαριασμούς των χρηστών, δίνοντας προτεραιότητα στους λογαριασμούς στελεχών, διαχειριστών και άλλων χρηστών με αυξημένα δικαιώματα.
Να αναγνωρίζουν έγκαιρα τα ενδεικτικά σημάδια ανωμαλιών, ώστε να μπορούν να αναλάβουν άμεσα δράση: Οι πρώιμες συνδέσεις, η μετακίνηση αρχείων και άλλες συμπεριφορές που ευνοούν την εισαγωγή ransomware μπορεί να φαίνονται εκ πρώτης όψεως ασήμαντες. Ωστόσο, οι ομάδες πρέπει να παρακολουθούν αυτές τις ανωμαλίες και να ενεργούν άμεσα για την αντιμετώπισή τους.
Να διαθέτουν ένα σχέδιο αντιμετώπισης περιστατικών ransomware και να διεξάγουν ασκήσεις αποκατάστασης: Ζούμε στην εποχή του συγχρονισμού και της κοινής χρήσης δεδομένων μέσω cloud, όμως τα αντίγραφα δεδομένων δεν είναι το ίδιο πράγμα με ολόκληρα συστήματα πληροφορικής και βάσεις δεδομένων. Οι ομάδες θα πρέπει να οπτικοποιούν και να εξασκούνται στο πώς μοιάζει μια πλήρης αποκατάσταση συστημάτων.
Να διαχειρίζονται τις ειδοποιήσεις και να προχωρούν γρήγορα σε μέτρα άμβλυνσης: Παρότι όλοι φοβούνται τις επιθέσεις ransomware, η βασική προτεραιότητα των ομάδων ασφάλειας θα πρέπει να είναι η ενίσχυση των αδύναμων ρυθμίσεων ασφαλείας οι οποίες επιτρέπουν την επιτυχία της επίθεσης. Πρέπει να διαχειρίζονται τις ρυθμίσεις παραμέτρων ασφαλείας ώστε να υπάρχει σωστή ανταπόκριση σε ειδοποιήσεις και εντοπισμούς.

Καμπύλη κατανομής προστασίας που δείχνει πώς η βασική υγιεινή ασφάλειας προστατεύει από το 98% των επιθέσεων

Προστατευτείτε από το 98% των επιθέσεων αξιοποιώντας λογισμικό προστασίας από κακόβουλο λογισμικό, εφαρμόζοντας την αρχή του ελάχιστου δικαιώματος πρόσβασης, ενεργοποιώντας τον έλεγχο ταυτότητας πολλών παραγόντων, διατηρώντας τις εκδόσεις λογισμικού ενημερωμένες και προστατεύοντας τα δεδομένα σας. Το υπόλοιπο 2% της καμπύλης κανονικής κατανομής περιλαμβάνει ακραίες επιθέσεις. Μάθετε περισσότερα για αυτή την εικόνα στη σελίδα 5 της πλήρους έκθεσης

Λάβετε επιπλέον καθοδήγηση από τον Διευθυντή της υπηρεσίας "Πληροφορίες της Microsoft σχετικά με απειλές" Christopher Glyer σχετικά με τον τρόπο προστασίας της ταυτότητας.

Αποκτώνται γνώσεις και αποκλείονται απειλές, χρησιμοποιώντας πάνω από 24 τρισεκατομμύρια σήματα καθημερινά

Απειλές τελικού σημείου:

Το Microsoft Defender για τελικό σημείο απέκλεισε περισσότερες από 9,6 δισεκατομμύρια απειλές κακόβουλου λογισμικού που στόχευαν συσκευές επιχειρήσεων και καταναλωτών από τον Ιανουάριο έως τον Δεκέμβριο του 2021.

Απειλές email:

Το Microsoft Defender για Office 365 απέκλεισε περισσότερα από 35,7 δισεκατομμύρια μηνύματα ηλεκτρονικού "ψαρέματος" και άλλα κακόβουλα μηνύματα e-mail που απευθύνονταν σε εταιρικούς και καταναλωτικούς πελάτες, μεταξύ Ιανουαρίου και Δεκεμβρίου 2021.

Απειλές ταυτότητας:

Η Microsoft (Azure Active Directory) εντόπισε και απέκλεισε περισσότερες από 25,6 δισεκατομμύρια απόπειρες υφαρπαγής λογαριασμών πελατών επιχειρήσεων με την παραβίαση κλεμμένων κωδικών πρόσβασης, από τον Ιανουάριο έως τον Δεκέμβριο του 2021.

Μεθοδολογία: Για δεδομένα στιγμιότυπου, οι πλατφόρμες της Microsoft, συμπεριλαμβανομένων του Defender και του Azure Active Directory, παρείχαν ανωνυμοποιημένα δεδομένα σχετικά με δραστηριότητα απειλών, όπως απόπειρες σύνδεσης με επίθεση αναζήτησης κλειδιού, ηλεκτρονικό "ψάρεμα" και άλλα κακόβουλα μηνύματα ηλεκτρονικού ταχυδρομείου που στόχευαν επιχειρήσεις και καταναλωτές, καθώς και επιθέσεις κακόβουλου λογισμικού, μεταξύ Ιανουαρίου και Δεκεμβρίου 2021. Πρόσθετες πληροφορίες προέρχονται από τα 24 τρισεκατομμύρια καθημερινά σήματα ασφάλειας που συλλέγονται σε όλο το οικοσύστημα της Microsoft, συμπεριλαμβανομένου του cloud, των τελικών σημείων και του έξυπνου άκρου. Τα δεδομένα ισχυρού ελέγχου ταυτότητας συνδυάζουν MFA και προστασία χωρίς κωδικό πρόσβασης.

Τοπίο απειλών στον κυβερνοχώρο

Λήψη

Σχετικά άρθρα

Cyber Signals Τεύχος 2: Η οικονομία του εκβιασμού

Μάθετε από ειδικούς πρώτης γραμμής για την ανάπτυξη του ransomware ως υπηρεσία. Από προγράμματα και ωφέλιμα φορτία έως μεσολαβητές πρόσβασης και συνεργάτες, μάθετε για τα εργαλεία, τις τακτικές και τους στόχους που προτιμούν οι κυβερνοεγκληματίες και λάβετε οδηγίες για την προστασία του οργανισμού σας.

Μάθετε περισσότερα

Η υπεράσπιση της Ουκρανίας: Τα πρώτα διδάγματα από τον κυβερνοπόλεμο

Τα τελευταία ευρήματα των συνεχιζόμενων προσπαθειών μας για την καταγραφή απειλών στον πόλεμο μεταξύ Ρωσίας και Ουκρανίας και μια σειρά συμπερασμάτων από τους πρώτους τέσσερις μήνες ενισχύουν την ανάγκη για συνεχείς και νέες επενδύσεις στην τεχνολογία, τα δεδομένα και τις συνεργασίες για την υποστήριξη κυβερνήσεων, εταιρειών, ΜΚΟ και πανεπιστημίων.