Anatomia zewnętrznego obszaru podatnego na ataki

Większość cyberataków jest przeprowadzana z dala od sieci. Najczęściej do naruszeń hakerskich pod kątem luk w zabezpieczeniach dochodziło w kategorii aplikacji internetowych. Niestety większość organizacji nie dysponuje pełnym przeglądem swoich zasobów internetowych i sposobu, w jaki łączą się one z globalnym obszarem podatnym na ataki. Do braku takiej przejrzystości przyczyniają się trzy kwestie: niezatwierdzone zasoby IT, fuzje i przejęcia (M&A) oraz cyfrowe łańcuchy dostaw.

Niezatwierdzone zasoby IT

Jeśli IT nie nadąża za wymaganiami firmy w jakimś obszarze, to firma szuka innego wsparcia w rozwoju i wdrażaniu nowych zasobów sieciowych. Zespół ds. zabezpieczeń często nie wie o działaniach z użyciem niezatwierdzonych zasobów IT, przez co nie może uwzględnić stworzonych zasobów w zakresie programu bezpieczeństwa. Niezarządzane i opuszczone zasoby mogą z czasem stać się zagrożeniem w obszarze podatnym na ataki organizacji.

To szybkie rozprzestrzenianie się zasobów cyfrowych poza zaporą sieciową jest obecnie normą. Nowi klienci RiskIQ znajdują przeciętnie o 30% więcej zasobów, niż myśleli, że posiadają, a RiskIQ wykrywa co minutę 15 wygasłych usług (podatnych na przejęcie domen trzeciorzędnych) i 143 otwartych portów.²

Fuzje i przejęcia

Każdego dnia różne operacje i kluczowe inicjatywy biznesowe, takie jak fuzje i przejęcia (M&A), strategiczne partnerstwa czy outsourcing tworzą i poszerzają zewnętrzne obszary podatne na ataki. Obecnie mniej niż 10% umów na całym świecie zawiera zapis o due diligence dot. cyberbezpieczeństwa.

Istnieje kilka powodów, dla których organizacje nie posiadają pełnego przeglądu potencjalnego ryzyka cybernetycznego podczas procesów due diligence. Pierwszym z nich jest sama skala obecności cyfrowej firmy, którą przejmują. Często zdarza się, że wielkie organizacje mają tysiące, a nawet dziesiątki tysięcy, aktywnych witryn internetowych i innych publicznie dostępnych zasobów. Chociaż zespoły IT i ds. zabezpieczeń w przejmowanej firmie posiadają rejestr zasobów witryn internetowych, zazwyczaj jest to tylko część istniejących faktycznie zasobów. Im bardziej zdecentralizowane są działania IT organizacji, tym większa staje się luka.

Łańcuchy dostaw

Przedsiębiorstwo jest coraz bardziej zależne od cyfrowych relacji, które tworzą współczesny łańcuch dostaw. Takie zależności są bardzo ważne w działalności firmy XXI wieku, ale stwarzają także „zaśmieconą”, warstwową i wysoce skomplikowaną sieć relacji z firmami zewnętrznymi, a wiele z nich nie jest objętych kompetencjami zespołów ds. zabezpieczeń i ryzyka, przez co nie są proaktywnie chronione. W związku z tym szybka identyfikacja cyfrowych zasobów podatnych na ataki, które stwarzają ryzyko, stanowi ogromne wyzwanie.

Brak zrozumienia i wglądu w te zależności sprawia, że ataki na firmy zewnętrzne są jednymi z najczęstszych i najskuteczniejszych wektorów dla źródeł zagrożenia. Do znacznej liczby ataków dochodzi obecnie poprzez cyfrowy łańcuch dostaw. Obecnie 70% pracowników działów IT wskazuje na średni do wysokiego poziom zależności od zewnętrznych podmiotów, które mogą obejmować wiele firm zewnętrznych.⁹Jednocześnie 53% organizacji doświadczyło co najmniej jednego naruszenia zabezpieczeń danych spowodowanego przez firmę zewnętrzną.¹⁰

Podczas gdy szeroko zakrojone ataki na łańcuchy dostaw są coraz częstsze, organizacje codziennie mierzą się z mniejszymi atakami. Złośliwe oprogramowanie do przeglądania cyfrowych kart kredytowych, takie jak Magecart, wpływa na wtyczki e-commerce zewnętrznych firm. W lutym 2022 roku RiskIQ wykryło ponad 300 domen, które zostały zaatakowane złośliwym oprogramowaniem do przeglądania cyfrowych kart kredytowych.¹¹

Dzisiejszy globalny obszar podatny na ataki drastycznie przekształcił się w dynamiczny, wszechobecny i całkowicie powiązany ekosystem, którego wszyscy jesteśmy częścią. Jeśli ktoś jest obecny w internecie, to łączy się ze wszystkimi, łącznie z tymi, którzy chcą wyrządzić krzywdę innym. Z tego powodu śledzenie infrastruktury stwarzającej zagrożenie jest równie ważne, co śledzenie własnej infrastruktury.

Różne grupy zagrożeń będą ponownie wykorzystywać i udostępniać infrastrukturę — adresy IP, domeny i certyfikaty — oraz korzystać z narzędzi typu open source, takich jak złośliwe oprogramowanie, zestawy do phishingu i komponenty C2, aby uniknąć łatwego przypisywania, dostrajania i ulepszania, by dostosować je do ich unikalnych potrzeb.

Każdego dnia wykrywanych jest ponad 560 000 nowych złośliwych oprogramowań, a liczba zestawów do phishingu reklamowanych na nielegalnych platformach handlowych zajmujących się cyber­przestępczością podwoiła się w latach 2018–2019. W 2020 r. liczba wykrytych wariantów złośliwego oprogramowania wzrosła o 74%.14 RiskIQ wykrywa teraz jeden serwer Cobalt Strike C2 co 49 minut.