A külső támadási felületek anatómiája

A legtöbb kibertámadás forrása a hálózattól kilométerekre található, a hackertámadások során pedig leggyakrabban a webalkalmazások alkotta vektorkategóriát használják ki. Sajnos a legtöbb szervezet nincs teljes kép birtokában az internetes eszközeiket tekintve, és arról sem tud mindent, hogy ezek az eszközök hogyan kapcsolódnak a globális támadási felülethez. A láthatóság hiányához három jelentős tényező járul hozzá: az árnyékinformatika, az egyesülések és felvásárlások és a digitális ellátási láncok.

Árnyékinformatika

Ha az IT-részleg nem tud lépést tartani az üzleti követelményekkel, a vállalkozás máshol keres támogatást az új webes eszközök fejlesztéséhez és üzembe helyezéséhez. A biztonsági csapat gyakran nincs tisztában ezekkel az árnyékinformatikai tevékenységekkel, ami oda vezet, hogy nem tudja az elkészült eszközöket a biztonsági programja keretébe helyezni. A felügyelet nélküli vagy árva eszközök idővel teherré válhatnak a szervezet támadási felületén.

Mára megszokottá vált a tűzfalon kívüli digitális eszközöknek ez a gyors elburjánzása. Az új RiskIQ-ügyfeleknek jellemzően körülbelül 30%-kal több eszközük van, mint gondolták volna, a RiskIQ pedig perceként 15 lejárt szolgáltatást (amelyek esetében fennáll az altartomány átvételének veszélye) és 143 nyitott portot észlel.²

Egyesülések és felvásárlások

A mindennapi működés és a kritikus üzleti kezdeményezések, például az egyesülések és felvásárlások, a stratégiai partnerségek és a feladatok kiszervezése is hozzájárul a külső támadási felületek kialakulásához és növekedéséhez. Mára a globális ügyletek kevesebb mint 10%-a esetében járnak el kellő gondossággal a kiberbiztonsággal kapcsolatban.

Számos oka lehet annak, hogy a szervezetek miért nem rendelkeznek teljes rálátással a potenciális kiberkockázatokra a kellő gondosságot igénylő folyamatok során. Az egyik az általuk felvásárolt cég digitális jelenlétének puszta méretében keresendő. Nem ritka, hogy egy nagyobb szervezet több ezer – vagy akár több tízezer – aktív webhellyel és más, nyilvánosan elérhető eszközzel rendelkezik. Habár a felvásárolandó cég IT- és biztonsági csapata nyilvántartást vezet a webhelyeken megtalálható eszközökről, ez szinte minden esetben csupán részleges rálátást ad a valóságra. Minél kevésbé központosítottak egy szervezet IT-tevékenységei, annál hiányosabbak ezek az ismeretek.

Ellátási láncok

A nagyvállalatok egyre jobban függnek a modern ellátási láncot alkotó digitális szövetségektől. Habár ezek a függőségek elengedhetetlenek a 21. századi működéshez, rendszerezetlen, réteges és rendkívül bonyolult külső kapcsolatrendszert eredményeznek, amelyben a kapcsolatok nagy része kívül esik a biztonsági és kockázatkezelési csapatok hatáskörén, így ők nem tudják ellátni ezeknek a proaktív védelmét. Ennek következtében hatalmas kihívássá válik a kockázatot jelentő, sérülékeny digitális eszközök azonosítása.

Ezeknek a függőségeknek a hiányos ismerete és láthatósága oda vezetett, hogy a külső támadások mára a fenyegető szereplők egyik leggyakoribb és leghatékonyabb vektorává vált. A támadásoknak egy jelentős része manapság a digitális ellátási láncon keresztül érkezik. Manapság az IT-szakértők 70%-a számol be arról, hogy közepes vagy magas szinten függnek olyan külső entitásoktól, amelyek harmadik, negyedik vagy ötödik félt is magukban foglalhatnak.⁹ Ugyanakkor a szervezetek 53%-a tapasztalt már legalább egy olyan, adatokkal való visszaélést, amelyet egy harmadik fél idézett elő.¹⁰

Habár az ellátási láncokat érő nagyobb mértékű támadások gyakoribbak, a szervezeteknek a kisebbekkel is napi szinten foglalkozniuk kell. A bankkártyákkal való digitális visszaélést („skimming”) lehetővé tevő kártevők – ilyen például a Magecart – a külső e-kereskedelmi beépülő modulokat támadják. 2022 februárjában a RiskIQ azt találta, hogy a Magecart nevű kártevő több mint 300 tartományt támadott meg.¹¹

A mai globális internetes támadási felület jelentős átalakuláson ment keresztül, és most már egy olyan dinamikus, mindent felölelő és teljes mértékben egymásba fonódó szálakból álló ökoszisztéma, amelynek mindannyian a részei vagyunk. Ha van internetes jelenléte, az azt jelenti, hogy mindenki mással kölcsönös kapcsolatban áll, még azokkal is, akik kárt akarnak okozni Önnek. Ezért a veszélyforrás-infrastruktúra nyomon követése éppolyan fontos, mint a saját infrastruktúráé.

A különböző fenyegető csoportok újrahasznosítják és megosztják az infrastruktúrát – az IP-címeket, a tartományokat és a tanúsítványokat –, és nyílt forráskódú eszközöket, például kártevőket, adathalászati készleteket és C2-összetevőket használnak annak érdekében, hogy elkerüljék az egyszerű beazonosításukat, miközben az egyedi igényeknek megfelelően tökéletesítik és javítják őket.

Nap mint nap több mint 560 000 új kártevőt észlelnek, a kiberbűnözők feketepiacán meghirdetett adathalászati készletek száma pedig egyenesen megduplázódott 2018 és 2019 között. 2020-ban az észlelt kártevővariánsok száma 74%-kal emelkedett.¹⁴ A RiskIQ manapság 49 percenként észlel egy-egy Cobalt Strike C2-kiszolgálót.