Anatomie potenciální oblasti útoku v moderní době

Ve většině organizací je e-mail klíčovou součástí každodenního provozu. Bohužel zůstává nejčastějším vektorem útoku. Zjistilo se, že 35 % případů ransomwaru v roce 2022 zahrnovalo použití e-mailu.⁴ Útočníci provádějí víc e-mailových útoků než kdykoli předtím – v roce 2022 vzrostla míra phishingových útoků ve srovnání s rokem 2021 o 61 %^.5

Útočníci dnes k provádění phishingových útoků taky běžně využívají legitimní zdroje. Pro uživatele je tak ještě obtížněji rozlišit mezi skutečnými a škodlivými e-maily, což zvyšuje pravděpodobnost, že hrozba proklouzne. Jedním z příkladů tohoto trendu jsou phishingové útoky se souhlasem, při nichž aktéři zneužívají legitimní poskytovatele cloudových služeb, aby uživatele přiměli k udělení oprávnění k přístupu k důvěrným údajům.

Bez možnosti dát e-mailové signály do souvislosti s širšími incidenty a vizualizovat tak útoky může trvat dlouho, než se aktéra hrozby, který získal přístup prostřednictvím e-mailu, podaří odhalit. A v té chvíli už se nemusí podařit zabránit škodám. Medián doby, za kterou se útočník dostane k soukromým datům organizace, je pouhých 72 minut.⁶ To může na podnikové úrovni vést k závažným ztrátám. Podle odhadů způsobilo ohrožení zabezpečení firemních e-mailů (BEC) v roce 2021 ztráty ve výši 2,4 miliardy dolarů.⁷

V dnešním světě, kde cloudové prostředí hraje tak velkou roli, je zabezpečení přístupu důležitější než kdy předtím. Zajištění hlubokých znalostí o identitách v celé organizaci – včetně oprávnění uživatelských účtů, identit úloh a jejich potenciálních zranitelných míst – je proto zejména s rostoucí četností a kreativitou útoků zásadní.

Množství útoků na hesla se v roce 2022 zvýšilo na hodnotu na 921 útoků každou sekundu, což představuje 74% nárůst oproti roku 2021.⁸ V Microsoftu jsme taky zaznamenali, že aktéři hrozeb jsou při obcházení vícefaktorového ověřování (MFA) stále kreativnější, a aby získali přístup k datům organizací, používají techniky jako phishingové útoky typu adversary-in-the-middle a zneužití tokenů. Díky phishingovým sadám je pro aktéry hrozeb krádež přihlašovacích údajů ještě snazší. Jednotka společnosti Microsoft pro boj s digitální kriminalitou zaznamenala v uplynulém roce nárůst sofistikovanosti phishingových sad a současně s tím velmi nízké vstupní bariéry – jeden prodejce nabízí phishingové sady za pouhých 6 USD denně.⁹

Ochrana prostoru, ve kterém mohou probíhat útoky na identity, zahrnuje víc než jen zabezpečení uživatelských účtů – spadá do ní i přístup ke cloudu i identity pracovní zátěže. Kompromitované přihlašovací údaje mohou být mocným nástrojem, jehož prostřednictvím dokážou aktéři hrozeb v cloudové infrastruktuře organizace páchat obrovské škody.

Vzhledem k velkému počtu zařízení v dnešním hybridním prostředí je zabezpečení koncových bodů stále náročnější. Nezměnilo se ale to, že zabezpečení koncových bodů – hlavně nespravovaných zařízení – je pro dobré zabezpečení klíčové, protože i jediný úspěšný útok stačí k tomu, aby aktéři hrozby získali vstup do organizace.

Organizacemi stále častěji používaná zásada „přines si svoje zařízení“ vede k velkému rozšíření nespravovaných zařízení. Důsledkem je, že potenciální oblast útoku koncových bodů je větší a více vystavená útokům. V průměru je v podnicích 3 500 připojených zařízení, která nejsou chráněna agentem EDR.¹¹

Nespravovaná zařízení (která patří do „stínového IT“) jsou pro aktéry hrozeb obzvláště atraktivní, protože bezpečnostní týmy nemají dostatečný přehled potřebný k jejich zabezpečení. V Microsoftu jsme zjistili, že u uživatelů nespravovaného zařízení je pravděpodobnost nakažení o 71 % vyšší.¹² Protože se nespravovaná zařízení připojují k firemním sítím, představují pro útočníky taky příležitost k širším útokům na servery a další infrastrukturu.

Nespravované servery jsou taky potenciálními vektory pro útok na koncové body. V roce 2021 zaznamenalo bezpečnostní oddělení Microsoftu útok, při kterém útočník využil nezáplatovaného serveru a při procházení adresářů objevil složku s hesly poskytující přístup k přihlašovacím údajům.

Jedním z nejvíce přehlížených vektorů útoků na koncové body je internet věcí (IoT), který zahrnuje miliardy velkých i malých zařízení. Zabezpečení internetu věcí se týká fyzických zařízení, která se připojují k síti a vyměňují si s ní data, jako jsou směrovače, tiskárny, kamery a další podobná zařízení. Může taky zahrnovat provozní zařízení a senzory (provozní technologie nebo „PT“), například inteligentní zařízení na výrobních linkách.

S rostoucím počtem zařízení internetu věcí roste i počet zranitelných míst. IDC předpovídá, že do roku 2025 bude v podnikovém a spotřebitelském prostředí 41 miliard zařízení internetu věcí.¹⁵ Vzhledem k tomu, že mnoho organizací posiluje směrovače a sítě, aby ztížilo jejich prolomení ze strany aktérů hrozeb, stávají se zařízení IoT snadnějším a lákavějším cílem. Často se setkáváme s tím, že aktéři hrozeb zneužívají zranitelných míst k tomu, aby zařízení IoT proměnili v proxy servery, a takto kompromitované zařízení používají jako vstupní bránu do sítě. Jakmile útočník získá přístup k zařízení internetu věcí, může sledovat síťový provoz a hledat další nechráněná zařízení, přesunout se do dalších částí cílové infrastruktury nebo provést průzkum a naplánovat rozsáhlé útoky na citlivé vybavení a zařízení. V jedné studii 35 % bezpečnostních odborníků uvedlo, že v posledních dvou letech bylo k širšímu útoku na jejich organizaci použito právě zařízení internetu věcí.¹⁶

Internet věcí je pro organizace z hlediska viditelnosti bohužel často „černou skříňkou“ a velká část z nich postrádá bezpečnostní opatření vhodná pro internet věcí. 60 % pracovníků zabývajících se bezpečností uvedlo, že zabezpečení zařízení internetu věcí a provozních technologií patří k nejméně zabezpečeným oblastem jejich infrastruktury IT a PT.¹⁷

Externí potenciální oblast útoku organizace dnes zahrnuje více cloudů, složité digitální dodavatelské řetězce a rozsáhlé ekosystémy třetích stran. Internet je dnes součástí sítě a navzdory jeho téměř nezměrné velikosti musí bezpečnostní týmy chránit přítomnost svojí organizace na internetu ve stejné míře jako všechno, co se nachází za jejich branami firewall. A vzhledem k tomu, že stále více organizací přijímá principy nulové důvěry (Zero Trust), stala se ochrana interních i externích potenciálních oblastí útoku výzvou přímo úměrnou komplexitě celého internetu.

Globální potenciální oblast útoku roste spolu s internetem a rozšiřuje se každým dnem. V Microsoftu jsme zaznamenali důkazy tohoto nárůstu u mnoha typů hrozeb, například u phishingových útoků. V roce 2021 nařídila jednotka Microsoftu pro boj kybernetickými trestnými činy odstranění více než 96 000 jedinečných phishingových adres URL a 7 700 phishingových sad, což vedlo k identifikaci a uzavření více než 2 200 škodlivých e-mailových účtů používaných ke shromažďování ukradených přihlašovacích údajů zákazníků.²⁴

Externí potenciální oblast útoku sahá daleko za hranice vlastních prostředků organizace. Často zahrnuje dodavatele, partnery, nespravovaná osobní zařízení zaměstnanců připojená k firemním sítím nebo majetku a nově získané organizace. Proto je pro zmírnění potenciálních hrozeb zásadní mít přehled o externích vazbách a míře vystavení riziku. Zpráva společnosti Ponemon z roku 2020 odhalila, že 53 % organizací se v posledních dvou letech setkalo alespoň s jedním únikem dat způsobeným třetí stranou, jehož náprava stála v průměru 7,5 milionu dolarů.²⁵

S rostoucím rozsahem infrastruktury, která stojí za kybernetickými útoky, je získání přehledu o infrastruktuře hrozeb a inventarizace prostředků vystavených působení internetu naléhavější než kdykoli předtím. Zjistili jsme, že organizace často jen obtížně chápou míru, do jaké jsou vystaveni externímu působení, což vede ke vzniku významných slepých míst. Existence těchto slepých míst může mít katastrofální následky. V roce 2021 zažilo 61 % podniků útok ransomwaru, který vedl k alespoň částečnému přerušení provozu.²⁶

V Microsoftu často říkáme zákazníkům, aby se při hodnocení stavu zabezpečení dívali na svou organizaci zvenčí. Kromě VAPT (Vulnerability Assessment and Penetration Testing) je důležité získat podrobný přehled o externí potenciální oblasti útoku, abyste mohli identifikovat zranitelná místa v celém prostředí a rozšířeném ekosystému. Kdybyste byli útočníkem, který se snaží dostat dovnitř, čeho byste mohli využít? Základem zabezpečení organizace je pochopení plného rozsahu externí potenciální oblasti útoku.

Jak vám Microsoft může pomoct

Dnešní prostředí hrozeb se neustále mění a organizace potřebují bezpečnostní strategii, která s nimi dokáže držet krok. Zvýšená složitost organizací a jejich expozice spolu s vysokým objemem hrozeb a nízkou vstupní bariérou v ekonomice kybernetické kriminality způsobují, že zabezpečit každý jednotlivý šev uvnitř každé potenciální oblasti útoku a mezi nimi je naléhavější než kdykoli předtím.

Bezpečnostní týmy potřebují k obraně proti dnešním nesčetným a vyvíjejícím se hrozbám výkonnou analýzu hrozeb. Správná analýza hrozeb dává do souvislosti signály z různých míst – poskytuje včasný a relevantní kontext aktuálního útočného chování a trendů, takže bezpečnostní týmy můžou úspěšně identifikovat zranitelná místa, stanovovat priority upozornění a narušit útoky. A pokud k narušení dojde, je analýza hrozeb klíčová pro zabránění dalším škodám a zlepšení obrany v tom smyslu, aby se podobný útok nemohl opakovat. Jednoduše řečeno, organizace, které využívají víc informací z analýzy hrozeb, budou zabezpečenější a úspěšnější.

Společnost Microsoft má bezkonkurenční přehled o vývoji prostředí hrozeb a denně analyzuje 65 bilionů signálů. Díky korelaci těchto signálů v reálném čase napříč potenciálními oblastmi útoku poskytuje analýza hrozeb integrovaná do Zabezpečení od Microsoftu přehled o rozšiřujícím se prostředí, ve kterém má původ ransomware a další hrozby, takže můžete vidět a zastavit více útoků. A díky pokročilým funkcím umělé inteligence, jako je Microsoft Security Copilot, můžete udržet náskok před vyvíjejícími se hrozbami a bránit svoji organizaci strojovou rychlostí – což vašemu bezpečnostnímu týmu umožní zjednodušit složité věci, zachytit to, co ostatním uniká, a ochránit vše.