Modernin hyökkäyspinnan anatomia

Useimmille organisaatioille sähköposti on olennainen osa päivittäistä liiketoimintaa. Valitettavasti sähköposti on edelleen yksi suurimmista uhkatekijöistä. 35 % kiristysohjelmatapauksista vuonna 2022 liittyi sähköpostin käyttöön.⁴ Hyökkääjät tekevät enemmän sähköpostihyökkäyksiä kuin koskaan aiemmin – vuonna 2022 tietojenkalasteluhyökkäysten määrä kasvoi 61 % vuoteen 2021 verrattuna^.5

Hyökkääjät käyttävät nykyään myös yleisesti laillisia resursseja tietojenkalasteluhyökkäysten toteuttamiseen. Tämä vaikeuttaa entisestään käyttäjien mahdollisuuksia erottaa todelliset sähköpostiviestit haitallisista sähköpostiviesteistä, mikä lisää todennäköisyyttä sille, että uhka livahtaa läpi. Suostumukselliset tietojenkalasteluhyökkäykset ovat yksi esimerkki tästä suuntauksesta. Siinä uhkaavat toimijat käyttävät hyväksi laillisia pilvipalveluntarjoajia huijatakseen käyttäjiä antamaan lupia päästä käsiksi luottamuksellisiin tietoihin.

Jos sähköpostisignaaleja ei pystytä suhteuttamaan laajempiin tapahtumiin hyökkäysten visualisoimiseksi, sähköpostin kautta tunkeutuneen uhkaavan toimijan havaitseminen voi kestää kauan. Ja silloin voi olla jo liian myöhäistä estää vahinkoja. Keskimääräinen aika, jonka hyökkääjä tarvitsee päästäkseen käsiksi organisaation yksityisiin tietoihin, on vain 72 minuuttia.⁶ Tämä voi johtaa vakaviin tappioihin yritystasolla. Yrityssähköpostin vaarantuminen (BEC) aiheutti vuonna 2021 arviolta USD$2.4 mukautetut tappiot.⁷

Nykyisessä pilvipohjaisessa maailmassa pääsyn turvaamisesta on tullut kriittisempää kuin koskaan. Tämän vuoksi on elintärkeää ymmärtää syvällisesti koko organisaation identiteettiä – mukaan lukien käyttäjätilien käyttöoikeudet, kuormitusten käyttäjätiedot ja niiden mahdolliset haavoittuvuudet – erityisesti hyökkäysten yleistyessä ja niiden luovuuden lisääntyessä.

Salasanahyökkäysten määrä nousi arviolta 921 hyökkäykseen joka sekunti vuonna 2022 – 74 prosenttia enemmän kuin vuonna 2021.⁸ Microsoftilla olemme myös nähneet uhkaavien toimijoiden muuttuvan luovemmiksi monimenetelmäisen todentamisen (MFA) kiertämisessä käyttämällä tekniikoita, kuten väliintulotietojenkalasteluhyökkäyksiä ja tunnusten väärinkäyttöä, päästäkseen käsiksi organisaatioiden tietoihin. Tietojenkalastelupakettien avulla uhkaavien toimijoiden on entistä helpompi varastaa kirjautumistietoja. Microsoftin Digital Crimes Unit on havainnut, että tietojenkalastelupakettien kehittyneisyys on lisääntynyt viime vuoden aikana, ja lisäksi aloittamisen esteet ovat hyvin matalat – eräs myyjä tarjoaa tietojenkalastelupaketteja niinkin edullisesti kuin USD$6 päivähintaan.⁹

Identiteettihyökkäyspinnan hallinta on muutakin kuin käyttäjätilien turvaamista. Se kattaa pilvipalvelun käyttöoikeudet sekä kuormitusten käyttäjätiedot. Vaarantuneet kirjautumistiedot voivat olla tehokas työkalu, jota uhkaavat toimijat voivat käyttää tehdessään tuhoa organisaation pilvi-infrastruktuurissa.

Kun otetaan huomioon laitteiden valtava määrä nykypäivän hybridiympäristössä, päätepisteiden suojaamisesta on tullut entistä haastavampaa. Se, mikä ei ole muuttunut, on se, että päätepisteiden (erityisesti hallitsemattomien laitteiden) suojaaminen on kriittisen tärkeää vahvan tietoturvan kannalta, sillä yksikin murto voi antaa uhkaaville toimijoille pääsyn organisaatioon.

Kun organisaatiot ovat ottaneet käyttöön BYOD ("Bring Your Own Device") -käytäntöjä, hallitsemattomat laitteet ovat lisääntyneet. Näin ollen päätepisteiden hyökkäyspinta on nyt suurempi ja alttiimpi. Yrityksessä on keskimäärin 3 500 yhdistettyä laitetta, joita ei ole suojattu päätepisteiden tunnistus ja käsittelyjärjestelmällä.¹¹

Hallitsemattomat laitteet (jotka ovat osa varjo-IT-ympäristöä) ovat erityisen houkuttelevia uhkaaville toimijoille, koska tietoturvatiimeillä ei ole tarvittavaa näkyvyyttä niiden suojaamiseen. Microsoft on havainnut, että käyttäjät saavat 71 prosenttia todennäköisemmin tartunnan hallitsemattomalla laitteella.¹² Koska ne ovat yhteydessä yrityksen verkkoihin, hallitsemattomat laitteet tarjoavat hyökkääjille myös mahdollisuuksia laajempiin hyökkäyksiin palvelimia ja muuta infrastruktuuria vastaan.

Hallitsemattomat palvelimet ovat myös potentiaalisia päätepistehyökkäysten kohteita. Vuonna 2021 Microsoft Security havaitsi hyökkäyksen, jossa uhkaava toimija käytti hyväkseen suojaamatonta palvelinta, selasi hakemistoja ja löysi salasanakansion, josta pääsi käsiksi tilitietoihin.

Yksi vähälle huomiolle jääneistä hyökkäysvektoreista on esineiden internet (IoT), johon kuuluu miljardeja pieniä ja suuria laitteita. IoT:n suojaus kattaa fyysiset laitteet, jotka muodostavat yhteyden verkkoon ja vaihtavat tietoja sen avulla. Esimerkiksi reitittimet, tulostimet, kamerat ja muut vastaavat laitteet. Siihen voi kuulua myös toiminnallisia laitteita ja antureita (operatiivinen tekniikka tai "OT"), kuten tuotantolinjojen älykkäät laitteet.

IoT-laitteiden määrän kasvaessa myös haavoittuvuuksien määrä kasvaa. IDC ennustaa, että vuoteen 2025 mennessä yritys- ja kuluttajaympäristöissä on 41 miljardia IoT-laitetta.¹⁵ Koska monet organisaatiot vahvistavat reitittimiä ja verkkoja, jotta uhkaajien olisi vaikeampi murtautua niihin, IoT-laitteista on tulossa helpompi ja houkuttelevampi kohde. Olemme usein nähneet uhkaavien toimijoiden käyttävän haavoittuvuuksia hyväkseen ja tekevän IoT-laitteista välityspalvelimia, eli käyttävän altistunutta laitetta pääsynä verkkoon. Kun uhkaava toimija on päässyt IoT-laitteeseen käsiksi, hän voi seurata verkkoliikennettä muiden suojaamattomien resurssien varalta, siirtyä sivusuunnassa ja tunkeutua kohteensa infrastruktuurin muihin osiin tai tehdä tiedustelua suunnitellakseen laajamittaisia hyökkäyksiä arkaluonteisiin laitteisiin. Eräässä tutkimuksessa 35 prosenttia tietoturva-alan ammattilaisista ilmoitti, että viimeisten kahden vuoden aikana IoT-laitetta on käytetty laajempaan hyökkäykseen heidän organisaatiotaan vastaan.¹⁶

Valitettavasti IoT on usein organisaatioille musta laatikko näkyvyyden kannalta, ja monilta puuttuvat asianmukaiset IoT:n suojaustoimet. 60 prosenttia tietoturva-alan ammattilaisista mainitsi, että IoT:n ja OT:n suojaus on yksi vähiten suojatuista osa-alueista heidän IT- ja OT-infrastruktuurissaan.¹⁷

Tänä päivänä organisaation ulkoinen hyökkäyspinta kattaa useita pilvipalveluja, monimutkaisia digitaalisia toimitusketjuja sekä suuria kolmannen osapuolen ekosysteemejä. Internet on nyt osa verkkoa ja sen lähes käsittämättömästä koosta huolimatta tietoturvaryhmien on puolustettava organisaationsa läsnäoloa internetissä samassa määrin kuin kaikkea palomuurien takana olevaa. Ja kun yhä useammat organisaatiot omaksuvat Zero Trust -suojausmallin periaatteet, sekä sisäisten että ulkoisten hyökkäyspintojen suojaamisesta on tullut internetin laajuinen haaste.

Globaali hyökkäyspinta kasvaa internetin myötä ja se laajenee joka päivä. Microsoftilla olemme nähneet todisteita tästä lisääntymisestä monenlaisissa uhkatyypeissä, kuten tietojenkalasteluhyökkäyksissä. Vuonna 2021 Microsoftin Digital Crimes Unit poisti yli 96 000 yksilöllistä tietojen kalastelun URL-osoitetta ja 7 700 tietojenkalastelupakettia, mikä johti yli 2 200 haitallisen sähköpostitilin tunnistamiseen ja sulkemiseen. Tilejä käytettiin varastettujen asiakastietojen keräämiseen.²⁴

Ulkoinen hyökkäyspinta ulottuu paljon organisaation omia resursseja laajemmalle. Siihen kuuluvat usein tavarantoimittajat, yhteistyökumppanit, hallitsemattomat työntekijöiden henkilökohtaiset laitteet, jotka on liitetty yrityksen verkkoihin tai resursseihin, sekä juuri hankitut organisaatiot. Näin ollen on ratkaisevan tärkeää olla tietoinen ulkoisista yhteyksistä ja altistumisesta, jotta mahdollisia uhkia voidaan lieventää. Vuonna 2020 julkaistussa Ponemon-raportissa kävi ilmi, että 53 prosenttia organisaatioista oli kokenut vähintään yhden kolmannen osapuolen aiheuttaman tietomurron viimeisten kahden vuoden aikana. Niiden korjaaminen maksoi keskimäärin USD$7.5 miljoonaa dollaria.²⁵

Kyberhyökkäysten taustalla olevan infrastruktuurin lisääntyessä on entistäkin tärkeämpää saada näkyvyyttä uhkainfrastruktuuriin ja inventoida internetissä olevat resurssit. Olemme havainneet, että organisaatioilla on usein vaikeuksia ymmärtää ulkoisen altistumisensa laajuutta, mikä johtaa merkittäviin sokeisiin pisteisiin. Näillä sokeilla pisteillä voi olla tuhoisia seurauksia. Vuonna 2021 61 prosenttia yrityksistä koki kiristysohjelmahyökkäyksen, joka johti ainakin osittaiseen liiketoiminnan keskeytymiseen.²⁶

Microsoftilla kehotamme asiakkaitamme usein tarkastelemaan organisaatiotaan ulkopuolelta sisäänpäin tietoturvatasoa arvioidessa. VAPT:n (haavoittuvuuksien arviointi ja tunkeutumistestaus) lisäksi on tärkeää saada syvällinen näkyvyys ulkoiseen hyökkäyspintaan, jotta voidaan tunnistaa haavoittuvuudet koko ympäristössä ja laajassa ekosysteemissä. Jos olisit hyökkääjä, joka yrittää päästä sisään, mitä voisit hyödyntää? Organisaatiosi ulkoisen hyökkäyspinnan koko laajuuden ymmärtäminen on olennaisen tärkeää sen suojaamiseksi.

Miten Microsoft voi auttaa

Nykypäivän uhkaympäristö muuttuu jatkuvasti, ja organisaatiot tarvitsevat tietoturvastrategian, joka pysyy mukana. Organisaatioiden monimutkaisuuden ja altistumisen lisääntyminen sekä uhkien suuri määrä ja matala kynnys päästä tietoverkkorikollisuuden alalle tekevät entistäkin kiireellisemmäksi jokaisen yksittäisen sauman suojaamisen jokaisen hyökkäyspinnan sisällä ja välillä.

Tietoturvatiimit tarvitsevat tehokasta uhkatietämystä voidakseen puolustautua nykypäivän lukemattomia ja kehittyviä uhkia vastaan. Oikeanlainen uhkatietämys korreloi eri paikoista tulevia signaaleja – se tarjoaa oikea-aikaisen ja merkityksellisen kontekstin nykyisestä hyökkäyskäyttäytymisestä ja trendeistä, jotta tietoturvatiimit voivat onnistuneesti tunnistaa haavoittuvuuksia, priorisoida hälytyksiä ja keskeyttää hyökkäyksiä. Ja jos tietomurto tapahtuu, uhkatietämys on ratkaisevan tärkeää lisävahinkojen estämiseksi ja puolustuksen parantamiseksi, jotta samanlainen hyökkäys ei voi toistua. Yksinkertaisesti sanottuna organisaatiot, jotka hyödyntävät enemmän uhkatietämystä, ovat turvallisempia ja menestyksekkäämpiä.

Microsoftilla on vertaansa vailla oleva näkemys kehittyvästä uhkakuvasta, sillä päivittäin analysoidaan 65 biljoonaa signaalia. Microsoft Security -ratkaisuihin sisäänrakennettu uhkatietämys korreloi näitä signaaleja reaaliaikaisesti eri hyökkäyspinnoilla ja tarjoaa näin tietoa kasvavasta kiristysohjelma- ja uhkaympäristöstä, jotta voit havaita ja pysäyttää enemmän hyökkäyksiä. Kehittyneiden tekoälyominaisuuksien, kuten Microsoft Security Copilotin, avulla voit pysyä kehittyvien uhkien edellä ja puolustaa organisaatiotasi koneen nopeudella, jolloin tietoturvatiimisi pystyy yksinkertaistamaan monimutkaisia asioita, havaitsemaan sen, mikä muilta jää huomaamatta, ja suojaamaan kaiken.