Identitāte ir jaunā cīņas vieta

Valsts izpildorganizāciju kiberuzbrukumu skaits palielinās. Par spīti to plašajiem resursiem, šie pretinieki bieži paļaujas uz vienkāršu taktiku, lai nozagtu viegli uzminamas paroles. To darot, tie var iegūt ātru un vienkāršu piekļuvi klientu kontiem. Uzbrukumu lielam uzņēmumam gadījumā, ielaužoties organizācijas tīklā, valsts izpildorganizācijas var gūt piekļuvi, kas tām ļauj pārvietoties vertikāli, izmantojot līdzīgu lietotāju piekļuvi vai resursus, vai horizontāli, gūstot piekļuvi vērtīgākiem akreditācijas datiem un resursiem.

Mērķēta pikšķerēšana, sociālā inženierijas uzbrukumi un plaša mēroga paroļu šaltis ir valsts izpildorganizācijas pamattaktikas, kas tiek izmantotas, lai nozagtu vai uzminētu paroles. Microsoft gūst ieskatus uzbrucēju tehnikā un sekmēs, novērojot, kādās taktikās un paņēmienos tie investē un ar ko gūst panākumus. Ja lietotāja akreditācijas dati tiek slikti pārvaldīti vai ir atstāti ievainojami bez svarīgiem aizsardzības pasākumiem, piemēram, daudzfaktoru autentifikācijas (multi-factor authentication — MFA) un bezparoļu līdzekļiem, valsts izpildorganizācijas turpina izmantot tās pašas vienkāršās taktikas.

Nepieciešamību ieviest MFA apgūšanu vai bezparoles piekļuvi nevar pārspīlēt, jo uz identitāti fokusētu uzbrukumu vienkāršība un nelielās izmaksas padara tos par ērtiem un efektīviem izpildorganizāciju līdzekļiem. Lai gan MFA nav vienīgais identitāšu un piekļuves pārvaldības rīks, kas organizācijām būtu jāizmanto, tas var kalpot kā jaudīgs uzbrukumu atbaidītājs.

Ļaunprātīga akreditācijas datu izmantošana ir NOBELIUM, valsts izpildorganizācijas pretinieka, kas saistīts ar Krieviju, pamats. Tomēr citi pretinieki, piemēram, ar Irānu saistītais DEV 0343, paļaujas arī uz paroļu šaltīm. DEV-0343 darbība ir novērota aizsardzības organizācijās, kas ražo militārās pakāpes radarus, dronu tehnoloģijas, satelītu sistēmas un reaģēšanas ārkārtas situācijā saziņas sistēmas. Papildu aktivitāte ir vērsta pret reģionālajām ostām ap Persijas līci, kā arī vairākiem jūras transporta un kravas pārvadājumu uzņēmumiem, kuru uzņēmējdarbība fokusējas uz Vidējiem austrumiem.

Daudzfaktoru autentifikācijas iespējošana: to darot, tās mazina paroļu nonākšanas nepareizajās rokās risku. Vēl labāka ir atteikšanās no parolēm pavisam, izmantojot bezparoles MFA.

Kontu atļauju auditēšana: privileģētas piekļuves konti, ja tiek nolaupīti, kļūst par jaudīgu ieroci, ko uzbrucēji var izmantot, lai gūtu piekļuvi tīkliem un resursiem. Drošības komandām ir bieži jāveic piekļuves atļauju audits, izmantojot minimālo piešķirto atļauju, kas darbiniekiem ļauj paveikt to darbu, principu.

Visu nomnieka administratoru kontu pārskatīšana, stiprināšana un pārraudzība: drošības komandām ir rūpīgi jāpārskata visi nomnieka administratori vai konti, kas saistīti ar uzticētajām administratīvajām privilēģijām, lai pārbaudītu lietotāju un darbību autentiskumu. Pēc tam tām ir jāatspējo vai jānoņem visas neizmantotās uzticētās administratīvās privilēģijas.

drošības bāzes izveide un ieviešana, lai samazinātu risku: valsts izpildorganizācijas spēlē ilgu spēli, un tām ir finansējums, griba un mērogs, lai izstrādātu jaunas uzbrukumu stratēģijas un paņēmienus. Katra joslas platuma vai birokrātijas dēļ atlikta tīkla stiprināšanas iniciatīva darbojas to labā. Drošības komandām ir jāprioritizē nulles uzticamības prakses, piemēram, MFA, un bezparoles jauninājumu ieviešana. Tās var sākt ar privileģētajiem kontiem, lai ātri iegūtu aizsardzību, pēc tam to pakāpeniski paplašināt un papildināt.

Dominējošais stāstījums, šķiet, ir tāds, ka pastāv milzīgs skaits jaunu izspiedējprogrammatūras apdraudējumu, kas pārspēj aizstāvju iespējas. Tomēr Microsoft analīze parāda, ka tas tā nav. Pastāv arī uzskats, ka noteiktas izspiedējprogrammatūras grupas ir viena monolītiska entītija, kas arī nav pareizi. Tas, kas pastāv, ir kiminālnoziedznieku ekonomika, kur dažādi tās dalībnieki standartizētās uzbrukuma ķēdēs veic apzinātas izvēles. To dzinulis ir ekonomikas modelis, lai maksimizētu peļņu, katram savā veidā izmantojot informāciju, kurai tiem ir piekļuve. Zemāk redzamajā diagrammā attēlots, kā dažādas grupas gūst peļņu no dažādām kiberuzbrukumu stratēģijām un informācijas, kas iegūta no datu pārkāpumu veikšanas.

Izprašana, ka izspiedējprogrammatūra zeļ, izmantojot noklusējuma vai apdraudētus akreditācijas datus: tā rezultātā drošības komandām ir jāpaātrina aizsardzības pasākumu, piemēram, bezparoles MFA, ieviešana visos lietotāju kontos un jāprioritizē vadītāju, administratoru un citas privileģētās lomas.

Identificēšana, kā laikus atklāt signālu anomālijas, lai rīkotos: agrīna pieteikšanās, failu kustība un citas darbības, kas ievieš izspiedējprogrammatūru var šķist grūti nosakāmas. Tomēr komandām ir jāpārrauga, vai nav anomāliju, un to gadījumā ir ātri jārīkojas.

Reakcijas uz izspiedējprogrammatūru plāna izveide un atkopšanas vingrinājumu veikšana: mēs dzīvojam mākoņa sinhronizācijas un koplietošanas laikmetā, bet IT sistēmu un datu bāzu datu kopijas atšķiras. Komandām ir jāvizualizē, kā izskatās pilna atjaunošana, un jātrenējas to veikt.

Brīdinājumu pārvaldība un ātra reaģēšana ietekmes mazināšanai: lai gan visi baidās no izspiedējprogrammatūras uzbrukumiem, drošības komandām primāri ir jāfokusējas uz tādu vāju drošības konfigurāciju stiprināšanu, kas uzbrucējam ļauj gūt sekmes. Tām ir jāpārvalda drošības konfigurācijas, lai tiktu pareizi reaģēts uz brīdinājumiem un noteikšanas gadījumiem.

Galapunkta draudi:
2021. gadā no janvāra līdz decembrim Microsoft Defender galapunkta aizsardzībai bloķēja vairāk nekā 9,6 miljardus ļaunprogrammatūras apdraudējumu, kuru mērķis bija lielo uzņēmumu un patērētāju ierīces.

E-pasta apdraudējumi:
2021. gadā no janvāra līdz decembrim Microsoft Defender pakalpojumam Office 365 bloķēja vairāk nekā 35,7 miljardus pikšķerēšanas un citus ļaunprātīgus e-pasta ziņojumus, kuru mērķis bija lielie uzņēmumi un patēriņa klienti.

Identitātes apdraudējumi:
2021. gadā no janvāra līdz decembrim Microsoft (Azure Active Directory) noteica un bloķēja vairāk nekā 25,6 miljardus mēģinājumu nolaupīt lielo uzņēmumu klientu kontus, veicot nozagtu paroļu pārlasi.