Jak myśleć podobnie do atakujących
Mój zespół opowiada o przypadku kompleksowego ataku . Łączymy ze sobą rozproszone informacje wskazujące na poszczególne etapy trwającego ataku, aby rozpoznać jego przyczyny i reagować w czasie rzeczywistym.
Staramy się przy tym stosować techniki i sposób myślenia atakujących.
Źródła zagrożeń działają na zasadzie celu i konkretnej sekwencji działań pozwalających go osiągnąć. Takie sekwencje łączą ze sobą różne techniki pozwalające osiągnąć wyznaczony cel w najprostszy możliwy sposób. To dlatego określamy takie złożone ataki jako „łańcuch zagrożeń”. Nie jest to liniowy proces. Określamy to także jako „myślenie grafowe”.
Jako obrońcy musimy przyjąć podobny sposób myślenia. Kiedy trwa atak, nie możemy zdać się na myślenie w kategoriach list elementów, które składamy następnie w całościowy obraz. Musimy w jednej chwili rozeznać, jak atakujący uzyskali dostęp, jak poruszają się poziomo po strukturach systemu i jaki jest ich cel.
Obrońcy są w stanie zidentyfikować złośliwe działania z większą precyzją, kiedy rozumieją całą sekwencję zachowań, a nie tylko poszczególne stosowane w niej techniki.
Świetnym przykładem takiej analizy jest ostatnia seria ataków mających na celu oszustwa finansowe, w których atakujący próbowali wykorzystać konfigurację zwrotnego serwera proxy, aby ominąć uwierzytelnianie wieloskładnikowe (MFA). Zauważyliśmy sygnały świadczące o takiej próbie ominięcia uwierzytelniania MFA i skierowaliśmy komunikację do innych miejsc, w których można było zaobserwować pozostałe elementy zastosowanej techniki. Powiązanie ze sobą takich odosobnionych informacji dało nam wgląd w techniki wykradania poświadczeń i pozwoliło zareagować na atak na wcześniejszym etapie, a tym samym skuteczniej ochronić infrastrukturę.
Na pytanie, co można zrobić, aby lepiej chronić organizacje, zawsze odpowiadam tak samo: Krytyczne znaczenie ma spójny system uwierzytelniania wieloskładnikowego. To jedno z naszych najważniejszych zaleceń. Wdrożenie bezhasłowego środowiska to jedna z najistotniejszych strategii zwiększania bezpieczeństwa firm, ponieważ zapobiega wszystkim najnowszym strategiom ataków. Prawidłowe korzystanie z uwierzytelniania wieloskładnikowego utrudnia działanie atakującym, a uniemożliwienie dostępu do tożsamości lub organizacji sprawia, że przeprowadzanie ataku jest trudniejsze.
Obserwuj firmę Microsoft