Identiteetti on uusi taistelukenttä

Valtioiden tukemien toimijoiden kyberhyökkäykset ovat nousussa. Laajoista resursseistaan huolimatta hyökkääjät usein käyttävät yksinkertaisia taktiikoita helposti arvattavien salasanojen varastamiseksi. Näin toimimalla he saavat nopean ja helpon pääsyn asiakkaiden tileihin. Yrityksiin kohdistuvissa hyökkäyksissä organisaation verkkoon tunkeutuminen antaa valtion tukemille toimijoille jalansijan, jonka avulla he voivat liikkua pystysuuntaisesti samankaltaisissa käyttäjissä ja resursseissa tai vaakasuuntaisesti hankkimalla arvokkaampien tunnistetietojen ja resurssien käyttöoikeuden.

Kohdennettu verkkourkinta, käyttäjän manipulointihyökkäykset ja suuren mittakaavan salasanahyökkäykset ovat valtion tukemien toimijoiden perustaktiikoita, joilla pyritään varastamaan tai arvaamaan salasanoja. Microsoft saa tietoja hyökkääjien taidoista ja onnistumisista havainnoimalla, mitä taktiikoita ja tekniikoita he käyttävät onnistuneesti. Jos käyttäjän tunnistetietoja hallitaan huonosti tai ne jätetään haavoittuvaisiksi ilman olennaisia suojaustoimia, kuten monimenetelmäistä todentamista (MFS) ja salasanattomia ominaisuuksia, valtioiden tukemat toimijat tulevat käyttämään samoja helppoja taktiikoita.

Tarvetta pakottaa MFS-käyttöönotto tai omaksua salasanattomuus ei voi korostaa liikaa, koska identiteettipohjaisten hyökkäysten yksinkertaisuus ja edullisuus tekee niistä toimijoille käteviä ja tehokkaita. Vaikka MFA ei ole ainoa käyttäjätietojen ja käyttöoikeuksien hallintatyökalu, jota organisaatioiden tulisi käyttää, se pidättelee hyökkäyksiä tehokkaasti.

Tunnistetietojen hyväksikäyttö on NOBELIUMin, Venäjään yhdistetyn valtion tukeman toimijan, toimintamalli. Salasanahyökkäyksiin luottavat kuitenkin myös muut hyökkääjät, kuten Iraniin yhdistetty DEV 0343. DEV-0343:n toimintaa on havaittu erilaisissa puolustusalan yrityksissä, joissa valmistetaan armeijatason tutkia, lennokkiteknologiaa, satelliittijärjestelmiä ja hätäpalveluiden viestintäjärjestelmiä. Toimintaa on kohdistettu myös alueellisiin satamiin Persianlahdella sekä useisiin Lähi-idän markkinoilla toimiviin laiva- ja rahtiliikenteen yrityksiin.

Monimenetelmäisen todentamisen käyttöönotto: Näin lievennetään riskiä siitä, että salasanat päätyvät vääriin käsiin. Vieläkin parempi olisi, jos salasanoista hankkiuduttaisiin täysin eroon salasanattoman MFA:n avulla.

Tilien etuoikeuksien valvonta: Etuoikeutetun käytön tilit muuttuvat kaappauksen yhteydessä tehokkaaksi aseeksi, jolla hyökkääjät pääsevät käyttämään verkkoja ja resursseja vieläkin laajemmin. Suojaustiimien tulee valvoa tilien oikeuksia säännöllisesti ja käyttää periaatetta vähäisimmistä oikeuksista, joilla työntekijät saavat tehtävänsä hoidettua.

Tarkista, vahvista ja valvo kaikkia vuokralaisen järjestelmänvalvojatilejä: Suojaustiimien tulee tarkistaa perusteellisesti kaikki delegoituihin järjestelmänvalvojan oikeuksiin liittyvät vuokralaisen järjestelmänvalvojakäyttäjät tai -tilit varmistaakseen käyttäjien ja toimintojen aitouden. Käyttämättömät delegoidut järjestelmänvalvojan oikeudet tulee sitten poistaa käytöstä tai poistaa kokonaan.

Määritä ja pakota suojauksen perustaso riskien pienentämiseksi: Valtioiden tukemat toimijat ovat pitkäjänteisiä, ja heillä on tarvittavat varat, tahtotila ja mittakaava uusien hyökkäysstrategioiden ja -tekniikoiden kehittämiseen. Jokainen resurssien puutteen tai byrokratian vuoksi lykätty verkon vahvistamishanke hyödyttää heitä. Suojaustiimien tulisi priorisoida Zero Trust -suojausmallin mukaisten käytäntöjen, kuten MFA:n ja salasanattomien päivitysten, toteuttaminen. Toimet voi aloittaa etuoikeutetuista tileistä nopean suojauksen saamiseksi ja laajentaa sitten vaiheittain ja jatkuvasti.

Hallitseva narratiivi vaikuttaa olevan, että puolustajien kyvyt ylittäviä uusia kiristysohjelmauhkia on valtava määrä. Microsoftin analyysi osoittaa tämän kuitenkin vääräksi. On olemassa myös käsitys, että tietyt kiristysohjelmaryhmät muodostavat yhtenäisen kokonaisuuden, mikä ei myöskään pidä paikkaansa. Olemassa on kyberrikollisten talousjärjestelmä, jossa eri toimijat kaupallistetuissa hyökkäysketjuissa tekevät tietoisia päätöksiä. Heitä ohjaa talousmalli, jossa tuotto maksimoidaan sen perusteella, miten heistä kukin hyödyntää tietoa, jota he pääsevät käyttämään. Alla oleva kaavio näyttää, miten eri ryhmät hyötyvät useista kyberhyökkäysstrategioista ja tietovuodoista saaduista tiedoista.

Sen ymmärtäminen, että kiristysohjelma menestyy oletusarvoisten tai vaarantuneiden tunnistetietojen ansiosta: Tästä syystä suojaustiimien tulisi tehostaa suojaustoimia, kuten salasanattoman MFA:n toteuttamista kaikille käyttäjätileille sekä johtajien, järjestelmänvalvojien ja muiden etuoikeutettujen roolien priorisointia.

Paljastavien poikkeamien havaitseminen ajoissa: Aikaiset kirjautumiset, tiedostojen liike ja muut kiristysohjelmia syöttävät toiminnot voivat vaikuttaa tavanomaisilta. Tästä huolimatta tiimien on valvottava poikkeamia ja toimittava niiden suhteen nopeasti.

Kiristysohjelmiin vastaamisen suunnitelman luominen ja palautusharjoitusten pitäminen: Elämme pilvipalvelussa synkronoinnin ja jakamisen aikakaudella, mutta tietojen kopiot ovat eri asia kuin kokonaiset IT-järjestelmät ja tietokannat. Tiimien tulee visualisoida ja harjoitella, miltä täysi palauttaminen näyttää.

Hälytysten hallinta ja nopea lieventäminen: Vaikka kaikki pelkäävät kiristysohjelmahyökkäyksiä, suojaustiimien ensisijaisen fokuksen tulisi olla sellaisten heikkojen suojausmääritysten vahvistamisessa, jotka sallivat hyökkäyksen tapahtumisen. Heidän tulisi hallita suojausmäärityksiä siten, että hälytyksiin ja tunnistamisiin reagoidaan kunnolla.

Päätepisteuhat:
Microsoft Defender for Endpoint esti yli 9,6 miljardia yritysten ja kuluttajien asiakaslaitteisiin kohdistunutta haittaohjelmauhkaa tammi-joulukuussa 2021.

Sähköpostiuhat:
Microsoft Defender for Office 365 esti yli 35,7 miljardia yritysten ja kuluttajien asiakaskoneisiin kohdistunutta tietojenkalastelu- ja muuta haitallista sähköpostia tammi-joulukuussa 2021.

Identiteettiuhat:
Microsoft (Azure Active Directory) havaitsi ja esti yli 25,6 miljardia yritystä kaapata yritysten asiakastilejä varastettujen salasanojen väsytystaktiikalla tammi-joulukuussa 2021.