Identiteten är det nya slagfältet

En man och en kvinna sitter vid ett bord med en bärbar dator.

Cyber Signals, utgåva 1: Få insikter om framväxande cyberhot och vilka steg du kan vidta för att bli bättre på att skydda din organisation.

Det finns en farlig obalans mellan de flesta organisationers säkerhetsprotokoll och de hot de står inför. Även om angripare kan försöka tvinga sig in i nätverk, så föredrar de en enklare taktik – nämligen att gissa svaga inloggningslösenord. Grundläggande åtgärder som multifaktorautentisering är effektiva mot 98 % av attackerna, men bara 20 procent av organisationerna använder dem fullt ut (Microsofts rapport om digitalt försvar, 2021).

I nummer 1 får du lära dig mer om aktuella säkerhetstrender och rekommendationer från Microsofts forskare och experter, däribland:

Vem  förlitar sig på lösenords- och identitetsbaserade attacker.
Vad man ska göra för att motverka attacker – strategier för slutpunkter, e-post och identitet inberäknat.
När  man ska prioritera olika säkerhetsåtgärder.
Var  utpressningstrojanerna tränger in och förökar sig i nätverken, och hur de kan stoppas.
Varför  identitetsskydd förblir det största orosmolnet – men även utgör den största möjligheten när det gäller att förbättra säkerheten.

Nationella statsaktörer fördubblar sina ansträngningar för så att de enkelt kan lägga beslag på identitetsbyggstenar

Cyberattacker från nationella statsaktörer tilltar. Trots sina enorma resurser förlitar sig dessa brottslingar ofta på enkla taktiker för att stjäla lösenord som är lätta att gissa sig till. Genom att göra detta kan de få snabb och enkel tillgång till kundkonton. När det gäller företagsattacker kan de nationella statsaktörerna, genom att penetrera en organisations nätverk, få ett fotfäste med vars hjälp de kan röra sig antingen vertikalt, bland liknande användare och resurser, eller horisontellt för att få tillgång till mer värdefulla referenser och resurser.

Nätfiske, attacker med social manipulering och storskaliga lösenordsattacker är vanliga taktiker som nationella statsaktörer använder sig av för att stjäla eller gissa sig till lösenord. Microsoft skaffar sig insikt i angriparnas hantverk och framgångar genom att observera vilka taktiker och tekniker de investerar i och lyckas med. Om användaruppgifter hanteras dåligt eller lämnas sårbara utan att några viktiga säkerhetsåtgärder vidtas, som exempelvis multifaktorautentisering (MFA) eller lösenordsfri autentisering, så kommer de nationella statsaktörerna att fortsätta använda samma enkla taktik.

Behovet av att genomdriva införande av multifaktorautentisering eller lösenordsfri autentisering kan inte nog betonas, eftersom de identitetsfokuserade attackernas enkelhet och låga kostnader gör dem enkla och effektiva verktyg för angriparna. Även om multifaktorautentisering inte är det enda verktyget för identitets- och åtkomsthantering som organisationer bör använda, så utgör det ett kraftfullt avskräckningsmedel mot attacker.

Att missbruka autentiseringsuppgifter är en del av NOBELIUM, en nationell statsaktör med kopplingar till Ryssland. Andra cyberbrottslingar, som Iran-länkade DEV 0343, förlitar sig även på lösenordsattacker. Aktivitet från DEV-0343 har observerats inom försvarsindustrin, bl.a. hos företag som producerar militära radarsystem, drönarteknik, satellitsystem och kommunikationssystem för nödsituationer. Andra aktiviteter har haft fokus på regionala infartshamnar i Persiska viken och flera sjö- och lasttransportföretag med affärsfokus i Mellanöstern.

Uppdelning av identitetsbaserade cyberattacker som initierats av Iran

De länder som Iran hade mest fokus på mellan juli 2020 och juni 2021 var USA (49 %), Israel (24 %) och Saudiarabien (15 %). Läs mer om den här bilden på sidan 4 i den fullständiga rapporten

Organisationer bör:

Aktivera multifaktorautentisering: Genom att göra detta minskar du risken att dina lösenord hamnar i fel händer. Ett ännu bättre alternativ är att eliminera lösenord helt och hållet genom att använda lösenordsfri multifaktorautentisering.

Granska kontoprivilegier: Konton med privilegierad åtkomst blir, om de kapas, ett kraftfullt vapen som angriparna kan använda när de vill få större tillgång till nätverk och resurser. Säkerhetsteamen bör granska åtkomstprivilegierna ofta, med hjälp av principen om minst privilegierad åtkomst för att de anställda ska få jobbet gjort.
Granska, härda och övervaka alla klientadministratörskonton: Säkerhetsteamen bör noggrant granska alla administratörsanvändare eller konton som är kopplade till delegerade administrativa behörigheter och verifiera användarnas och aktiviteternas äkthet. De bör sedan inaktivera eller ta bort eventuella oanvända delegerade administrativa privilegier.
Minska risken genom att etablera och införa en säkerhetsbaslinje: Nationalstater spelar det långa spelet och har tillräcklig finansiering, vilja och skala för att utveckla nya attackstrategier och -tekniker. Varje nätverkshärdande initiativ som försenats på grund av bandbredd eller byråkrati fungerar till deras fördel. Säkerhetsteamen bör prioritera implementering av Nolltillitslösningar som MFA ochlösenordsfria uppgraderingar. De kan börja med privilegierade konton så att de snabbt kan få skydd och sedan expandera i inkrementella och kontinuerliga faser.

Utpressningstrojaner dominerar inom mindshare, men några få grenar dominerar

Det dominerande narrativet verkar vara att det finns ett enormt antal nya utpressningstrojanshot som överträffar försvararnas kapacitet. Microsofts analys visar dock att detta är fel. Det finns också en uppfattning om att vissa grupper av utpressningstrojaner är en enda monolitisk enhet, vilket också är felaktigt. Det som existerar är en cyberkriminell ekonomi där olika aktörer i kommersiella attackkedjor gör medvetna val. De drivs av en ekonomisk modell som går ut på att maximera vinsten baserat på hur de var och en utnyttjar den information de har tillgång till. I grafiken nedan visas hur olika grupper tjänar på olika cyberattacksstrategier och information från dataintrång.

Genomsnittliga priser för olika cyberbrottstjänster

Genomsnittliga priser för tjänster inom cyberbrott som är till salu. Angripare finns att hyra från USD$250 USD per jobb. Paket med utpressningstrojaner ligger på USD$66 USD eller 30 % av vinsten. Komprometterade enheter kostar från 13 cent per dator och 82 cent per mobil enhet. Nätfiske att hyra kostar från USD$100 USD till USD$1,000 USD. Stulna användarnamn- och lösenordspar kostar i genomsnitt från 97 cent per 1 000. Läs mer om den här bilden på sidan 5 i den fullständiga rapporten

Med det sagt, och oavsett hur mycket utpressningstrojaner som finns där ute, eller vilka påfrestningar som är inblandade, så handlar det egentligen om tre ingångsvektorer: RDP-råstyrkeattacker, sårbara Internetanslutna system och nätfiske. Effekten av alla dessa vektorer kan mildras med ordentligt lösenordsskydd, identitetshantering och programvaruuppdateringar förutom en omfattande uppsättning verktyg för säkerhet och efterlevnad. En utpressningstrojan kan bara nå framgång när den får tillgång till autentiseringsuppgifter och möjligheten att sprida sig. Därifrån, även om det är en känd utpressningstrojan, kan den göra mycket skada.

Kartlägga hotaktörerna från initialt intrång till lateral rörelse genom systemet

Hotaktörens väg genom systemet från intrånget genom den första åtkomstpunkten till identitetsstöld och lateral rörelse genom systemet. Spårar vägen mot kontokapande och anskaffande av utpressningstrojansnyttolast. Läs mer om den här bilden på sidan 5 i den fullständiga rapporten

Säkerhetsteamen ska:

Förstå att utpressningstrojaner gynnas av standardautentiseringsuppgifter och komprometterade autentiseringsuppgifter: Därför bör säkerhetsteamen påskynda säkerhetsåtgärder som att implementera lösenordsfri multifaktorautentisering på alla användarkonton och prioritera chefsroller, administratörsroller och andra privilegierade roller.
Identifiera hur man se tecken på avvikelser i tid för att hinna agera: Tidiga inloggningar, filrörelser och andra beteenden som för in utpressningstrojaner kan i förstone se väldigt alldagliga ut. Därför är det viktigt att teamen söker efter tecken på avvikelser och agerar snabbt när avvikelser upptäcks.
Ha en färdig handlingsplan i händelse av en utpressningstrojansattack och genomför återställningsövningar: Vi lever i en tid präglad av molnsynkronisering och delning, men datakopiorna skiljer sig från kompletta IT-system och databaser. Teamen bör visualisera och öva på hur fullständiga återställningar kan se ut.
Hantera varningar och vidta snabba begränsningsåtgärder: Även om alla fruktar attacker med utpressningstrojaner, bör säkerhetsteamens primära fokus ligga på att stärka de svaga säkerhetskonfigurationer som möjliggör lyckade attacker. De bör hantera säkerhetskonfigurationerna så att varningar och identifieringar besvaras korrekt.

En skyddsfördelningskurva som visar hur grundläggande säkerhetshygien bidrar till skydd mot 98 % av attackerna

Skydda dig mot 98 % av angreppen genom att använda program mot skadlig kod, använda åtkomst med lägsta behörighet, multifaktorautentisering, hålla versioner uppdaterade och skydda data. De återstående två procenten av fördelningskurvan omfattar avvikande attacker. Läs mer om den här bilden på sidan 5 i den fullständiga rapporten

Få ytterligare vägledning från Microsofts Principal Threat Intelligence Lead Christopher Glyer om hur du kan skydda din identitet.

Insikter förvärvas och hot blockeras tack vare över 24 biljoner signaler dagligen

Slutpunktshot:

Microsoft Defender för Endpoint blockerade mer än 9,6 miljarder hot med skadlig programvara riktade mot företags- och konsumentenheter från januari till december 2021.

E-posthot:

Microsoft Defender för Office 365 blockerade mer än 35,7 miljarder e-postmeddelanden med nätfiske eller annat skadligt innehåll riktade mot företags- och konsumentenheter från januari till december 2021.

Identitetshot:

Microsoft (Azure Active Directory) identifierade och blockerade mer än 25,6 miljarder försök att kapa företagskundkonton genom råstyrkeattacker med stulna lösenord, från januari till december 2021.

Metod: När det gäller ögonblicksbildsdata tillhandahöll Microsoft-plattformar som Defender och Azure Active Directory anonymiserade data om hotaktivitet, t.ex. råstyrke-inloggningsförsök, nätfiske och e-postmeddelanden med skadligt innehåll riktade mot företag och konsumenter samt attacker med skadlig programvara från januari till december 2021. Ytterligare insikter kommer från de 24 biljoner säkerhetssignaler som tas emot i hela Microsoft varje dag, bland annat från molnet, slutpunkter och den intelligenta nätverksgränsen. Starka autentiseringsdata kombinerar MFA och lösenordsfritt skydd.

Hotlandskap

Ladda ned

Relaterade artiklar

Cyber Signals, utgåva 2: Utpressningsekonomi

Hör om utvecklingen av utpressningstrojaner som en tjänst från experter i frontlinjen. Ta reda på mer om de verktyg, metoder och måltavlor cyberbrottslingarna utnyttjar, med beskrivningar av allt från program och nyttolaster till de aktörer som säljer och köper åtkomst, och få vägledning om hur du kan skydda din organisation.

Mer information

Försvara Ukraina: Tidiga lärdomar av att försvara Ukraina i cyberkriget

De senaste rönen i vårt löpande hotinformationsarbete i kriget mellan Ryssland och Ukraina, och en rad slutsatser från krigets första fyra månader, stärker behovet av löpande och nya investeringar i teknik, data och partnerskap för att stödja myndigheter, företag, icke-statliga organisationer och universitet.