211service.com
Jeszcze raz do wyłomu: co trzeba, aby pokonać cyberataków
We współpracy z Hewlett Packard Enterprise i FireEye
Wyobraź sobie: jest wieczór przed wielkim świętem. Rodzina i przyjaciele przychodzą do Twojego domu, aby cieszyć się relaksującym posiłkiem i czasem poza biurem.
Ale nie wszyscy robią sobie przerwę.
W środku nocy dzwoni telefon. W pracy jest sytuacja awaryjna — naruszenie sieci. Otrzymywałem telefony w najbardziej nieodpowiednich momentach – mówi Marshall Heilman, wiceprezes i dyrektor wykonawczy ds. reagowania na incydenty i operacji czerwonego zespołu w firmie Mandiant zajmującej się cyberbezpieczeństwem, należącej do firmy FireEye. W 2014 roku otrzymałem telefon tuż przed Świętem Dziękczynienia. Musiałem pomóc firmie, która została uderzona przez zaawansowanego napastnika, i było to poważne, wspomina Heilman, dodając, że jego zespół walczył z kolejnym wyłomem w Wigilię 2015 roku. Członkowie zespołu również mają wiele historii na temat, na przykład Heilman, będąc tak zajętym w święta, że pracownicy pracowali, próbując jednocześnie nabić indyka, mówi: Hakerzy podchodzą do świąt strategicznie. W tamtych czasach kompromitują organizacje, ponieważ wtedy spodziewają się, że obrona zostanie zniesiona.
Ale jak Heilman wie aż za dobrze, hakerzy nie muszą czekać do świąt, aby zaskoczyć swoje cele. Organizacje każdej wielkości są narażone na naruszenia przez cały rok.
Był czas, kiedy eksperci ds. cyberbezpieczeństwa używali analogii do zamku, aby opisać takie ataki – w których wrogowie przekraczają fosę, wspinają się po murze i wkradają się niezauważeni przez rycerzy. Ale Chris Leach, główny technolog w Hewlett Packard Enterprise (HPE) Security Services, nazywa tę perspektywę przestarzałą. Starsza taktyka polegająca na tym, że rycerze pilnują obwodu, nie jest najlepszym wykorzystaniem zasobów. Ze względu na zmieniające się zagrożenia i sposoby dostania się zakamuflowanych żołnierzy, musimy szybciej wykrywać intruzów, zanim mogą znaleźć klejnoty koronne.
Andrzej Kawalec, dyrektor ds. technologii w HPE Security Services, również dostrzega ewolucję w cyberbezpieczeństwie. Dziś jest ogromna asymetria w możliwościach atakujących i obrońców – mówi. Większość organizacji opiera się dziś na murach i fosach z przeszłości, myśląc, że bronią się przed katapultami i armatami, podczas gdy atakujący zamiast tego używają dronów i wysoce ukierunkowanej technologii ukrywania się. Zauważa, że w dzisiejszych cyfrowych przedsiębiorstwach pracownicy i klienci często znajdują się poza murami firmy — na przykład w kawiarniach i przestrzeniach współpracy bez silnej ochrony obwodowej. Tymczasem, jak Raport HPE na temat ryzyka cybernetycznego 2016 stwierdza, że 86 procent organizacji nie ma obecnie odpowiednich możliwości w zakresie cyberbezpieczeństwa.
Wideo: Anatomia ataku
Miesiące w środku
Jak długo przeciwnicy spędzają w obwodzie, zanim zostaną wykryci? W 2015 r. mediana liczby dni wyniosła 146, zgodnie z Raport M-Trendy 2016 przez Mandianta. Chociaż większość ataków nie zamieni się w poważne naruszenia, ciągłe zagrożenia cyberbezpieczeństwa są w dzisiejszych czasach faktem, mówi Heilman. Mówi, że skuteczny atakujący może uzyskać dostęp do sieci w ciągu tygodnia, a nawet w ciągu kilku dni. „Więc jeśli nie możesz zapobiec atakowi — jeśli wiesz, że napastnik wejdzie bez względu na wszystko — chcesz go jak najszybciej wykryć, a następnie zareagować. Kawalec z HPE zgadza się. „Ludzie potrzebują solidnego partnera ds. bezpieczeństwa lub grupy partnerów, którzy rozumieją, jak reagować w czasie rzeczywistym”, mówi.
W tym miejscu wkraczają FireEye i HPE. Te dwie firmy, które oferują przedsiębiorstwom na całym świecie reagowanie na incydenty, ocenę narażenia i wykrywanie zagrożeń, reagują na tysiące takich naruszeń rocznie.
Kawalec mówi, że istnieje potrzeba prawdziwej nauki i zrozumienia rytmu — sekwencji wydarzeń. Kadencja ta obejmuje badania i rozpoznanie, infiltrację, odkrycie, przechwytywanie i eksfiltrację lub ekstrakcję danych. Kawalec mówi, że najważniejsze jest zrozumienie profilu ryzyka Twojej organizacji: Powinieneś zacząć od prostego pytania: Jakie są Twoje zasoby cyfrowe i jakie są przed nimi cyberzagrożenia? Bez tej odpowiedzi będziesz żałośnie nieprzygotowany do reagowania w czasie rzeczywistym na potencjalnie niszczycielski cyberatak.
Cykl życia ataku
Wyniki ankiety
Wyzwania, zagrożenia, trendy i skutki w zakresie cyberbezpieczeństwa
Wyprodukowane przez MIT Technology Review Custom we współpracy z Hewlett Packard Enterprise Security Services i FireEye Inc.
Niezależnie od tego, czy sprawcą jest haktywista, cyberprzestępca, czy też sponsorowany przez państwo cyberprzestępca, tempo (lub cykl życia ataku ) pozostaje zasadniczo taka sama, mówi Heilman. Praca jego zespołu skłania się ku zaawansowanym trwałym zagrożeniom (APT), czyli sytuacjom, w których sprawcy uzyskują dostęp do sieci i pozostają w niej przez długi czas.
Po zbadaniu systemów i osób atakowanej firmy atakujący podejmują kolejny krok: infiltrują sieć, wykorzystując słabość — w 80 procentach przypadków, wysyłając e-mail typu spear-phishing, mówi Heilman. Poprzez kliknięcie łącza lub otwarcie pliku przez człowieka atakujący może uruchomić własny złośliwy kod, który często tworzy tylne drzwi do sieci. To tworzy przyczółek, z którego napastnicy mogą kontrolować swoje działania w tym środowisku.
Następnie następuje eskalacja uprawnień, wyjaśnia Heilman: Przenoszą prawa, które uzyskali z systemów, które naruszyli, i eskalują je do lokalnego administratora lub głównego administratora, do uprawnień roota lub do czegokolwiek, czego mogą potrzebować, aby uzyskać większy dostęp do systemy i dane”. Często osiąga się to poprzez kradzież danych uwierzytelniających, łamanie haseł lub wykorzystywanie podatnego na ataki oprogramowania.
Gdy atakujący uzyskają prawa administracyjne, osiągnęli status APT. Dokonują rekonesansu, poruszając się w poprzek systemów komputerowych firmy, oceniając to, co widzą, odnotowując role i obowiązki kluczowych osób oraz lokalizację potrzebnych im informacji. Sprawcy często utrzymują obecność lub wytrwałość, instalując wiele tylnych drzwi w całym środowisku. „Wtedy spróbują osiągnąć to, do czego przyszli, czyli często kradną informacje – na przykład własność intelektualną, dane finansowe, szczegóły dotyczące fuzji i przejęć lub informacje umożliwiające identyfikację osób”, mówi Heilman. Po zakończeniu misji atakujący zachowują dostęp tam, gdzie to możliwe, na wypadek gdyby chcieli wrócić.
Wskazówki dotyczące celów: myśl jak źli faceci
Według Heilmana najlepszym sposobem na pokonanie napastników jest przyjęcie ich sposobu myślenia — nie reagowanie na ich kolejne ruchy, ale przewidywanie ich. Musisz także rozpoznać i wykryć nietypowe zachowanie w swojej organizacji.
Kawalec zachęca kierownictwo przedsiębiorstw do zapoznania się z krajobrazami zagrożeń ich firmy. Wiedza o tym, które aktywa są najbardziej krytyczne, a zatem muszą być uważnie chronione, stanowi znaczną przewagę ofensywną w przypadku cyberzagrożeń. „Zrozum, co jest cenne w Twojej organizacji. Kto spróbuje zdobyć te główne atuty? To daje obraz ryzyka, mówi. Następnie zrozum, czy zostałeś skompromitowany i gdzie jesteś narażony”. Wreszcie największy problem: czy wiesz dokładnie, co zrobisz, gdy telefon zadzwoni w przypadku włamania? - pyta Kawalec. To są ważne pytania, na które każdy lider cyberbezpieczeństwa lub dyrektor ds. bezpieczeństwa informacji powinien być w stanie odpowiedzieć w imieniu swojej organizacji — ponieważ jeśli nie mogą, mają kłopoty”.
Podobnie jak w przypadku wielu innych przestępstw, pierwsze 48 godzin po naruszeniu są najbardziej krytyczne. Ale to, jak szybko i jak dobrze organizacja reaguje i odzyskuje, zależy od tego, co zostało zrobione zanim incydent. Twoja początkowa reakcja na sytuacje kryzysowe zależy całkowicie i zasadniczo od pracy, którą wykonałeś kilka miesięcy wcześniej: napisz i zrozum plan reagowania w przypadku naruszenia, określ role i obowiązki zaangażowanych osób, zwłaszcza osób udzielających pierwszej pomocy, a następnie przeszkol ludzi, wyjaśnia Kawalec. Kluczowe są również ćwiczenia: przeprowadzaj scenariusze i przeglądy zespołu czerwonego — lub realistyczne symulacje — i przeprowadź zarząd firmy przez rzeczywiste doświadczenie cyberataku — mówi. W ten sposób, kiedy naprawdę tego doświadczają, nie po raz pierwszy”.
I to nie będzie ostatni raz. Jak wynika z najnowszego raportu HPE Cyber Risk Report, liczba naruszeń wzrosła i chociaż osoby atakujące nadal stosują stosunkowo stare metody skalowania zapór i omijania oprogramowania antywirusowego i innych tradycyjnych zabezpieczeń, stają się one również coraz bardziej wyrafinowane. Dostosowują swoje techniki, aby obejść nowsze technologie cyberbezpieczeństwa. Ponadto opracowują skomplikowane modele biznesowe, w których współpracują przy atakach, i rozszerzają swój zasięg na Internet rzeczy, w tym telefony komórkowe, tablety, usługi w chmurze. To wszystko składa się na ogromne wydatki dla organizacji: Badanie kosztów cyberprzestępczości z 2015 r.: Globalne , przeprowadzone przez Instytut Ponemon i sponsorowane przez HPE, szacuje średni roczny koszt cyberprzestępczości dla 252 firm objętych testami na 7,7 mln USD w ciągu zaledwie jednego roku, przy czym firma badawcza podała, że niektóre z nich straciły nawet 65 mln USD.
Radzenie sobie z coraz bardziej wyrafinowanymi przeciwnikami wymaga odpowiednio wyrafinowanych linii obrony. Mając to na uwadze, HPE opracowało branżowy standard Cyber architektura referencyjna (CRA), który zapewnia klientom plan zaawansowanych usług ochrony przed zagrożeniami i możliwości reagowania na incydenty. Wśród innych funkcji, CRA zawiera najnowsze spostrzeżenia FireEye dotyczące APT, sytuacji, w których atakujący zdobywają silne przyczółki i sieją spustoszenie przez długi czas.
Zasadniczo CRA to książka kucharska dotycząca cyberbezpieczeństwa, mówi Leach z HPE. „Architektura referencyjna określa, jak powinna wyglądać Twoja organizacja: kluczowe obszary, zakres odpowiedzialności i metryki. Obejmują one część strategiczną — w tym przeprowadzanie prób reagowania wewnątrz firmy — przez ludzi, personel operacyjny, po to, co należy zrobić w przypadku rzeczywistego naruszenia — wyjaśnia.
Architektura obejmuje również konkretne plany zastosowań, syntetyzuje typowe zdarzenia i mapuje je z powrotem do agencji ratingowej, aby sprawdzić, czy odnosi się ona do ryzyka i ryzyka operacyjnego, dodaje Leach. „Dyrektor ds. bezpieczeństwa informacji (CISO) prawdopodobnie zajmuje się ryzykiem tak proaktywnie, jak tylko może. Ale CISO może nie posiadać wszystkich elementów tej architektury referencyjnej i dlatego musi współpracować z innymi, aby uzyskać pełny obraz, mówi. Agencja ratingowa naprawdę jest cennym, kompleksowym przewodnikiem”.
Współpracuj z ekspertami
Statystyki wskazują, że firmy potrzebują pomocy z zewnątrz w zakresie cyberbezpieczeństwa. Tylko 47 procent naruszeń, którymi zajmował się Mandiant w 2015 r., zostało wykrytych wewnętrznie, przez własnych pracowników firmy; w 53% przypadków firmy dowiedziały się o naruszeniach ze źródeł zewnętrznych, takich jak organy ścigania, media, klienci lub dostawcy, a nawet sami napastnicy. Kawalec mówi, że takie zewnętrzne powiadomienie stawia liderów firmy w trudnej, reaktywnej sytuacji. „Oznacza to, że bardzo trudno im zapanować nad sytuacją, dowodzić i kierować odpowiednią reakcją, a także komunikować się z silnej pozycji”, mówi. Muszą skupić się na zrozumieniu i śledzeniu zachowań użytkowników i systemów, a następnie dopasować wzorzec do czegoś, o czym wiedzą, że nie jest właściwe”.
Coraz więcej globalnych firm zwraca się do HPE w celu uzyskania usług naprawczych w zakresie cyberbezpieczeństwa, w oparciu o zaawansowane wykrywanie zagrożeń, inteligencję, metodologie i doświadczenie w reagowaniu na incydenty FireEye. Analitycy zagrożeń HPE-FireEye działają jako rozszerzenie zespołu ds. cyberbezpieczeństwa organizacji, zapewniając wgląd i analizę z pierwszej linii. Oprócz reagowania na incydenty, HPE i FireEye proaktywnie polują na wskaźniki naruszenia bezpieczeństwa w środowiskach swoich klientów.
Dzięki 10 centrom operacji bezpieczeństwa na całym świecie i 5000 specjalistów ds. bezpieczeństwa obsługujących 10 000 klientów, HPE oferuje niezrównany globalny zasięg. Dodatkowo, FireEye posiada sześć globalnych centrów operacyjnych bezpieczeństwa zapewniających ciągłe wykrywanie i reagowanie 4400 klientom. Kawalec mówi, że obie firmy tworzą razem silne partnerstwo w dziedzinie cyberbezpieczeństwa. „Kiedy weźmie się pod uwagę zasoby typowego zespołu ds. bezpieczeństwa w dość dużej organizacji, nawet duże zespoły ds. bezpieczeństwa liczą tylko od 15 do 100 osób. HPE i FireEye są w stanie zaprojektować możliwości cyberbezpieczeństwa dla szerokiej gamy firm. Dlatego ludzie zwracają się do nas o tę pomoc”.
Aby dowiedzieć się więcej o cyberbezpieczeństwie, zapoznaj się w tej witrynie z zasobami HPE-FireEye .