A modern támadási felületek anatómiája

A legtöbb szervezet esetében az e-mail alapvető része a mindennapi üzleti műveleteknek. Sajnos az e-mail még mindig az egyik legnagyobb fenyegetési vektor. 2022-ben a zsarolóvírusos események 35%-a az e-mail-használatot érintette.⁴ A támadók minden eddiginél több e-mailes támadást hajtanak végre – 2022-ben az adathalász-támadások aránya 61%-kal nőtt a 2021. évhez képest^.5

A támadók mostanában rendszerint hasznosítanak törvényes erőforrásokat is az adathalász-támadások végrehajtásához. Így a felhasználóknak még nehezebb különbséget tenni egy valódi és egy rosszindulatú e-mail között, ami miatt egy fenyegetés nagyobb valószínűséggel kerüli el a figyelmet. A hozzájárulásos adathalász támadások kiváló példái ennek a folyamatnak, ahol a fenyegető szereplők visszaélnek a szabályszerűen működő felhőszolgáltatókkal, átverve a felhasználókat, hogy adjanak hozzáférést a bizalmas adataikhoz.

Ha a fenyegetések megjelenítése érdekében nem vagyunk képesek szélesebb eseményként tekinteni az e-mailes jelekre, sokkal hosszabb időbe telik észlelni azt a fenyegető szereplőt, akinek sikerült e-mailen keresztül behatolni. És ekkor már túl késő lehet, hogy megakadályozzuk a kárt. Egy támadónak átlagosan csupán 72 percre van szüksége ahhoz, hogy hozzáférjen a szervezet bizalmas adataihoz.⁶ Vállalati szinten ez súlyos veszteségeket okozhat. Az üzleti levelezés fertőzöttségéből eredő korrigált veszteség 2021-ben a becslések szerint 2,4 milliárd USD összeget tett ki.⁷

A mai, felhőalapú világban a hozzáférés védelme sokkal fontosabb, mint eddig bármikor. Ennek megfelelően alapvető fontosságú alaposan megismerni azt, hogy milyen a szervezeten belüli identitás – beleértve a felhasználói fiókkal kapcsolatos engedélyeket, a felhasználói azonosítókat, valamint azok esetleges sebezhetőségét  –, különösen, hogy a támadások gyakorisága és kreativitása emelkedik.

A jelszavakat érő támadások becsült száma 2022-ben elérte a másodpercenkénti 921-et – ami 2021-hez képest 74%-os emelkedést jelent.⁸ A Microsoftnál azt is megfigyeltük, hogy a fenyegető szereplők egyre kreatívabbak a többtényezős hitelesítés (MFA) kijátszásában, miközben olyan technikákat alkalmaznak, mint pl. középső ellenfél adathalász-támadás és a token jogtalan felhasználása annak érdekében, hogy hozzáférjenek a szervezet adataihoz. Az adathalászkészletek még könnyebbé tették a fenyegető szereplőknek a hitelesítő adatok megszerzését. A Microsoft digitális bűncselekményekkel foglalkozó részlege az elmúlt évben megfigyelte az adathalászkészletek finomodását és a rendkívül alacsony belépési korlátokat – az egyik adathalászkészleteket forgalmazó eladó mindössze napi 6 USD összegért árulta ezeket.⁹

Az identitástámadási felület kezelése több, mint a felhasználói fiók védelme – érinti ugyanis a felhő hozzáféréseit, valamint a számításifeladat-identitásokat. A feltört hitelesítő adatok erős eszközt jelentenek a fenyegető szereplőknek, amellyel káoszt okozhatnak a szervezet felhőinfrastruktúrájában.

A mai hibrid környezetben található és a végpontokat biztosító eszközök puszta száma is egyre nagyobb kihívást képvisel. Az nem változott, hogy az erőteljes biztonsági állapot szempontjából kritikus a végpontok biztosítása – különösen nem felügyelt eszközök esetén –, hiszen a fenyegető szereplők már egyetlen fertőzéssel is behatolhatnak a szervezetébe.

Ahogy a szervezetek alkalmazni kezdték a BYOD („Hozd a saját eszközöd”) irányelvet, a nem felügyelt eszközök megsokszorozódtak. Ennek következtében a végponti támadási felület nagyobb, és nagyobb a kitettsége is. Átlagosan egy vállalatnál 3500 olyan csatlakozó eszköz található, amelyek nem rendelkeznek végponti észlelés- és reagáláskezelői védelemmel.¹¹

A nem felügyelt eszközök (amelyek részei az „árnyékinformatika” területének) különösen csábítók a fenyegető szereplőknek, hiszen a biztonsági csoport nem rendelkezik olyan mértékű rálátással, hogy védhessék azokat. A Microsoftnál megállapítottuk, hogy egy nem felügyelt eszköz esetében 71%-kal nagyobb az esély a felhasználó megfertőződésére.¹² Mivel ezek a vállalati hálózatokhoz csatlakoznak, a nem felügyelt eszközökön keresztül a támadók szélesebb körben támadhatják a szervereket és a többi infrastruktúrát.

A felügyelet nélküli szerverek szintén potenciális vektorai a végponti támadásoknak. 2021-ben a Microsoft Biztonság megfigyelt egy olyan támadást, ahol a fenyegető szereplő kihasználta a nem javított szerver előnyeit, és a könyvtárak között böngészve megtalálta azt a jelszavakat tartalmazó mappát, amely segítségével hozzáférhetett a fiókok hitelesítési adataihoz.

Az egyik leginkább figyelmen kívül hagyott végponti támadási vektor az IoT (eszközök internetes hálózata) – ami több milliárd kisebb és nagyobb eszközt tartalmaz. Az IoT-biztonság érinti a hálózathoz csatlakozó és azzal adatokat cserélő fizikai eszközöket, mint például az útvonalválasztókat, nyomtatókat, kamerákat és egyéb hasonló eszközöket. De ide tartoznak továbbá az operatív eszközök és érzékelők (operatív technológia vagy „OT”), mint például a gyártósorokon található okoseszközök.

Az IoT-eszközök számának növekedésével együtt nő a biztonsági rések száma is. Az IDC előrejelzése szerint 2025-re a vállalati és fogyasztói környezetekben 41 milliárd IoT-eszköz lesz jelen.¹⁵ Mivel a szervezetek jelentős része fokozza az útvonalválasztók és a hálózatok biztonságát, hogy nehezebben törhessék fel őket a fenyegető szereplők, az IoT-eszközök egyre könnyebb és vonzóbb célt képviselnek. Gyakran látjuk, hogy a fenyegető szereplők arra használják a biztonsági réseket, hogy az IoT-eszközöket proxykká alakítsák, aminek során a támadásnak kitett eszközöket kiindulási pontként használják a hálózathoz. Ha a fenyegető szereplőnek sikerült hozzáférni egy IoT-eszközhöz, a hálózati forgalomban meg tudja keresni a nem védett eszközöket, képes oldalirányban mozogni, hogy beszivárogjon a cél infrastruktúrájának más részeibe is, illetve hogy biztonsági réseket keressen, és megtervezze az érzékeny berendezéseket és eszközöket célzó nagy léptékű támadásokat. Az egyik tanulmányban a biztonsági szakértők 35%-a jelentette, hogy az elmúlt 2 év során egy IoT-eszközt használtak egy nagyobb mértékű támadás lebonyolításához a szervezetük ellen.¹⁶

Sajnos az IoT a láthatóság szempontjából gyakran fekete doboz a szervezetek számára, és sokan közülük nem rendelkeznek megfelelő IoT-biztonsági intézkedésekkel. A biztonsági szakemberek 60%-a mondta, hogy az IoT- és OT- biztonság az egyik legkevésbé védett aspektusa az IT- és OT-infrastruktúrájuknak.¹⁷

Napjainkban a szervezet külső támadási felülete több felhőre, az összetett digitális ellátási láncokra és a hatalmas külső ökoszisztémákra is kiterjed. Az Internet mára a hálózat része és a szinte felbecsülhetetlen mérete dacára a biztonsági csapatoknak ugyanolyan mértékben kell gondoskodniuk a szervezetük internetes jelenlétének védelméről, mint a tűzfalaik mögötti eszközeikéről. Ahogyan egyre több szervezet teszi magáévá a Teljes felügyelet alapelveit, a belső és külső támadási felületek védelme internetméretű kihívássá válik.

A globális támadási felület az internettel együtt nő, és napról napra bővül. A Microsoftnál bizonyítékot találtunk számos fenyegetéstípus számának növekedésére. Ilyenek például az adathalász-támadások is. 2021-ben a Microsoft digitális bűncselekmények részlege irányításával eltávolítottak több mint 96 000 egyedi adathalász-URL-t és 7700 adathalászkészletet, így sikerült azonosítani és lezárni több mint 2200 rosszindulatú e-mail-fiókot, amelyeket az ellopott ügyfél-hitelesítő adatok gyűjtésére használtak.²⁴

A külső támadási felület jóval messzebbre nyúlik, mint a szervezet saját eszközei. Gyakran magában foglalja a vállalat hálózataihoz vagy eszközeihez csatlakozó beszállítókat, partnereket, a nem ellenőrzött személyes munkatársi eszközöket, valamint az újonnan felvett szervezeteket. Éppen ezért elengedhetetlen tisztában lennünk a külső csatlakozásokkal és a kitettséggel, hogy csökkenteni tudjuk az esetleges fenyegetéseket. Egy 2020-as Ponemon-jelentés kimutatta, hogy az elmúlt 2 év során a szervezetek 53%-a legalább egy alkalommal tapasztalt harmadik fél által elkövetett adatokkal való visszaélést, amelynek a helyreállítása átlagosan 7,5 millió USD összeget emésztett fel.²⁵

Ahogy a kibertámadások mögötti infrastruktúra fejlődik, egyre sürgetőbbé válik, hogy láthatóságot nyerjünk a fenyegetést jelentő infrastruktúrába, és leltárba vegyük az internetnek kitett eszközöket. Tapasztaltunk szerint a szervezetek gyakran küszködnek azzal, hogy megértsék a külső kitettségük hatókörét, ami jelentős vakfoltokat eredményez. Ezek a vakfoltok pusztító következményekkel járhatnak. 2021-ben az üzletek 61%-a tapasztalt olyan zsarolóvírusos támadást, amely legalább részben tönkretette az üzleti műveleteket.²⁶

A Microsoftnál gyakran mondjuk az ügyfeleknek, hogy a biztonsági helyzet értékelése során próbálják meg kívülről szemlélni a szervezetüket. A VAPT (Sebezhetőségi értékelés és behatolásvizsgálat) mellett fontos az is, hogy mély láthatóságot érjünk el a külső támadási felületeinkbe, mert így tudjuk azonosítani a környezetünk és a bővített ökoszisztémánk sebezhetőségét. Ha ön lenne egy behatolást próbáló támadó, mit használna? A szervezete külső támadási felületének teljes mértékű megismerése alapvető annak védelméhez.

Miként segíthet Önnek a Microsoft

Ma a fenyegetési helyzet folyamatosan változik, és a szervezet számára elengedhetetlen egy napra készen tartott biztonsági stratégia. A fokozott szervezeti bonyolultság és kitettség, a fenyegetések nagy száma, valamint a kiberbűnözés gazdaságába való egyszerű belépés minden eddiginél sürgetőbbé teszi az egyes, a támadási felületek között és azokon belül elhelyezkedő kapcsolatok védelmét.

A biztonsági csoportoknak erős intelligens veszélyforrás-felderítésre van szükségük, hogy védekezni tudjanak a mai milliárdnyi és még mindig növekvő fenyegetésekkel szemben. A megfelelő intelligens veszélyforrás-felderítés kölcsönhatásban van a különböző helyekről érkező jelzésekkel, és ezáltal biztosítja az adott fenyegetési magatartás és trendek időbeli és megfelelő összefüggéseit, hogy a biztonsági csoport képes legyen sikeresen azonosítani a biztonsági réseket, fontossági sorrendbe állítani a riasztásokat, és megakadályozni a támadásokat. Ha azonban a biztonsági incidens mégis bekövetkezik, a további károk megakadályozásához mindenképp szükséges az intelligens veszélyforrásokat felderíteni, valamint a védelmet fokozni egy hasonló támadás megelőzéséhez. Egyszerűen fogalmazva, azok a szervezetek, amelyek több intelligens veszélyforrás-felderítést alkalmaznak, nagyobb biztonságban vannak és sikeresebbek lesznek.

A Microsoft a naponta elemzett 65 trillió jelzésnek köszönhetően páratlan betekintéssel rendelkezik a fenyegetések fejlődési folyamatába. A támadási felületekről érkező valós idejű jelzésekkel összefüggésben a Microsoft Biztonsági megoldásaiba épített intelligens veszélyforrás-felderítés betekintést enged az egyre növekvő zsarolóvírusos és fenyegetési környezetbe, hogy Ön még több támadást észlelhessen és akadályozhasson meg. Továbbá a fejlett MI-funkciókkal (mint például a Microsoft Biztonsági Copilot) elöl járhat a fenyegetések értékelésében, gépi gyorsasággal védheti meg a szervezetét, így biztonsági csoportja számára egyszerűbbé teheti a bonyolult dolgokat, elkaphatja a mások által elszalasztott fenyegetéseket, és mindent megvédhet.