Анатомия на повърхността на външна атака

Повечето кибератаки възникват на километри от мрежата; уеб приложенията съставляват категорията вектори, които най-често се използват при нарушения, свързани с хакерски атаки. За съжаление, повечето организации нямат пълна представа за своите интернет активи и за това как тези активи се свързват с глобалната повърхност за атаки. Три съществени фактора, които допринасят за тази липса на видимост, са сенчестите ИТ, сливанията и придобиванията (M&A) и цифровите вериги за доставки.

Сенчести ИТ

Когато ИТ не могат да се справят с бизнес изискванията, бизнесът търси подкрепа за разработване и внедряване на нови уеб активи другаде. Екипът по сигурността често е в неведение относно тези дейности на сенчестите ИТ и в резултат на това не може да включи създадените активи в обхвата на своята програма за сигурност. Неуправляемите и осиротели активи могат да се превърнат в отговорност за повърхността на атака на организацията с течение на времето.

Това бързо разпространение на цифрови активи извън защитната стена вече е норма. Новите клиенти на RiskIQ обикновено откриват приблизително 30 % повече активи, отколкото са смятали, че имат, а RiskIQ открива 15 услуги с изтекъл срок (податливи на превземане на поддомейни) и 143 отворени порта всяка минута.²

Сливания и придобивания

Ежедневните операции и критичните бизнес инициативи, като М&А, стратегически партньорства и аутсорсинг, създават и разширяват повърхностите на външна атака. Днес по-малко от 10 % от сделките в световен мащаб съдържат надлежна проверка на киберсигурността.

Съществуват няколко общи причини, поради които организациите не получават пълна представа за потенциалните киберрискове по време на процеса на надлежна проверка. Първата е самият мащаб на цифровото присъствие на компанията, която придобиват. Не е необичайно за голяма организация да има хиляди – или дори десетки хиляди – активни уебсайтове и други публично изложени активи. Макар че екипите по ИТ и защита в придобиваната компания ще разполагат с регистър на активите на уебсайтовете, той почти винаги е само частична представа за това, което съществува. Колкото по-децентрализирани са ИТ дейностите на една организация, толкова по-значителен е този пропуск.

Вериги за доставки

Предприятието е все по-зависимо от цифровите съюзи, които формират съвременната верига за доставки. Макар че тези зависимости са от съществено значение за работата в 21-ви век, те също така създават претрупана, многопластова и изключително сложна мрежа от взаимоотношения с трети страни, много от които са извън компетенциите на екипите по сигурността и риска, които трябва да ги защитават и предпазват проактивно. В резултат на това бързото идентифициране на уязвими цифрови активи, които сигнализират за риск, е огромно предизвикателство.

Липсата на разбиране и видимост на тези зависимости превърнаха атаките от трети страни в един от най-честите и ефективни вектори за участниците в заплахите. Значителна част от атаките сега преминават през цифровата верига за доставки. Днес 70 % от ИТ специалистите посочват умерено до високо ниво на зависимост от външни субекти, които могат да включват трети, четвърти или пети страни.⁹ В същото време 53% от организациите са преживели поне едно нарушение на сигурността на данните, причинено от трета страна.¹⁰

Докато мащабните атаки по веригата за доставки стават все по-чести, организациите ежедневно се сблъскват с по-малки атаки. Злонамерен софтуер за скимиране на цифрови кредитни карти като Magecart засяга плъгини за електронна търговия на трети страни. През февруари 2022 г. RiskIQ откри повече от 300 домейна, засегнати от зловреден софтуер за скимиране на цифрови кредитни карти Magecart.¹¹

Днешната глобална интернет повърхност на атака се е трансформирала драматично в динамична, всеобхватна и напълно преплетена екосистема, от която всички сме част. Ако имате присъствие в интернет, вие се свързвате с всички останали, включително и с тези, които искат да ви навредят. Поради тази причина проследяването на инфраструктурата на заплахите е също толкова важно, колкото и проследяването на собствената ви инфраструктура.

Различните групи за заплахи ще рециклират и споделят инфраструктура – IP адреси, домейни и сертификати – и ще използват стокови инструменти с отворен код, като зловреден софтуер, фишинг комплекти и C2 компоненти, за да избегнат лесно приписване, като ги настройват и подобряват, за да отговарят на техните уникални нужди.

Всеки ден се откриват повече от 560 000 нови злонамерени програми, а броят на фишинг комплектите, рекламирани на подземните пазари за киберпрестъпления, се е удвоил между 2018 и 2019 г. През 2020 г. броят на откритите варианти на злонамерен софтуер се е увеличил със 74%.¹⁴ RiskIQ вече открива C2 сървър на Cobalt Strike на всеки 49 минути.