Novým bojištěm je identita

Počet kybernetických útoků ze strany státních aktérů stoupá. Navzdory rozsáhlým zdrojům, které mají, se tyto nežádoucí osoby často spoléhají na jednoduchou taktiku krádeže hesel, která lze snadno uhodnout. Díky tomu můžou získat rychlý a snadný přístup k účtům zákazníků. V případě útoků na podniky umožňuje proniknutí do sítě organizace státním aktérům získat oporu, kterou pak můžou využívat buď k vertikálnímu pohybu mezi podobnými uživateli a zdroji, nebo k horizontálnímu pohybu, kdy získají přístup k cennějším přihlašovacím údajům a zdrojům.

Cílený phishing, útoky využívající sociální inženýrství a rozsáhlé útoky typu password spray jsou základními taktikami státních aktérů, které se používají ke krádežím nebo hádání hesel. Microsoft získává přehled o postupech a úspěších útočníků tak, že sleduje, do jakých taktik a technik investují a jestli jsou s nimi úspěšní. Pokud jsou přihlašovací údaje uživatelů špatně spravovány nebo jsou ponechány ve zranitelném stavu bez zásadních prostředků ochrany, jako je vícefaktorové ověřování a bezheslové funkce, budou státní aktéři používat stále stejné jednoduché taktiky.

Potřeba vynucování vícefaktorového ověřování nebo přechodu na bezheslové ověřování může být stěží důležitější, protože útoky zaměřené na identity jsou díky své jednoduchosti a nízkým nákladům pro aktéry výhodné a efektivní. Přestože vícefaktorové ověřování není jediným nástrojem pro správu identit a přístupu, který by organizace měly používat, může být účinným nástrojem odrazujícím od útoků.

Zneužívání přihlašovacích údajů je typické pro NOBELIUM, státního aktéra spojeného s Ruskem. Na útoky typu password spray však spoléhají i další nežádoucí osoby, jako je například skupina DEV 0343 spojená s Íránem. Aktivita skupiny DEV-0343 byla pozorována ve společnostech ze sektoru obrany, které vyrábějí vojenské radary, technologie pro drony, satelitní systémy a nouzové komunikační systémy. Další aktivity cílily na přístavy v oblasti Perského zálivu a na několik společností zabývajících se námořní a lodní nákladní dopravou s obchodním zaměřením na Střední východ.

Povolit vícefaktorové ověřování: Tím snižují riziko, že se hesla dostanou do nesprávných rukou. Ještě lepší je hesla eliminovat úplně a používat bezheslové vícefaktorové ověřování.

Auditovat oprávnění účtů: Pokud se útočníci zmocní účtů s privilegovaným přístupem, stávají se tyto účty mocnou zbraní, kterou můžou útočníci využít k získání většího přístupu k sítím a prostředkům. Týmy zabezpečení by měly provádět časté audity přístupových oprávnění a používat principy přístupu s nejnižší možnou úrovní oprávnění, aby zaměstnanci mohli vykonávat svou práci.

Zkontrolovat všechny účty správců tenantů, posílit jejich zabezpečení a monitorovat je: Týmy zabezpečení by měly důkladně zkontrolovat všechny uživatele s rolí správců tenantů nebo účty spojené s delegovanými oprávněními pro správu a ověřit pravost uživatelů a aktivit. Pak by měli zakázat nebo odebrat všechna nepoužívaná delegovaná oprávnění pro správu.

Zřídit a vynucovat základní úroveň zabezpečení za účelem snížení rizik: Státní aktéři mají dlouhodobé cíle a mají finanční prostředky, vůli a možnosti přizpůsobovat rozsah aktivit, aby mohli vyvíjet nové strategie a techniky útoků. Každá iniciativa na posílení zabezpečení sítě, která se zpozdí z kapacitních důvodů nebo kvůli byrokracii, pracuje v jejich prospěch. Týmy zabezpečení by měly jako prioritu implementovat postupy nulové důvěry (Zero Trust), jako je vícefaktorové ověřování a přechod na bezheslové ověřování. Můžou začít u privilegovaných účtů, aby rychle získali základní ochranu, a pak ji v postupně v jednotlivých krocích průběžně rozšiřovat.

Podle dominantních narativů se může zdát, že existuje obrovské množství nových ransomwarových hrozeb, které předčí schopnosti obránců. Analýza Microsoftu však ukazuje, že tomu tak není. Panuje také názor, že některé skupiny používající ransomware tvoří jeden monolitický celek. To také není pravda. Ve skutečnosti existuje kyberzločinecká ekonomika, ve které samostatně působí různí hráči v komoditizovaných řetězcích hrozeb. Řídí se ekonomickým modelem k dosažení maximálního zisku na základě toho, jak každý z nich dokáže zneužít informace, ke kterým má přístup. Následující obrázek znázorňuje, jak různé skupiny profitují z různých strategií kybernetických útoků a informací z úniků dat.

Pochopit, že ransomwaru se dobře daří s výchozími nebo napadenými uživatelskými údaji: Proto by týmy zabezpečení měly urychlit zavádění ochranných opatření, jako je implementace bezheslového vícefaktorového ověřování u všech uživatelských účtů a prioritní zaměření se na role výkonných manažerů, správců a další privilegované role.

Identifikovat, jak včas zpozorovat varovné anomálie, aby bylo možné podniknout příslušné akce: Časná přihlášení, přesuny souborů a další chování související s přítomností ransomwaru – to vše se může zdát jako nepopsatelné. Týmy však musí monitorovat anomálie a rychle na ně reagovat.

Mít plán reakce na ransomware a nacvičovat obnovení: Žijeme v éře synchronizace a sdílení v cloudu, ale kopie dat se liší od celých IT systémů a databází. Týmy by si měly představit, jak vypadá úplné obnovení, a procvičovat ho.

Spravovat upozornění a rychle provádět zmírňování ohrožení zabezpečení: Zatímco se všichni bojí ransomwarových útoků, týmy zabezpečení by se měly zaměřit především na posilování konfigurací s nedostatečným zabezpečením, díky kterým může případný útok uspět. Konfigurace zabezpečení by měly spravovat tak, aby mohli odpovídajícím způsobem reagovat na upozornění a detekce.

Hrozby pro koncové body:
Služba Microsoft Defender for Endpoint zablokovala od ledna do prosince 2021 více než 9,6 miliardy malwarových hrozeb, které cílily na zařízení zákazníků z řad firem a běžných uživatelů.

E-mailové hrozby:
Služba Microsoft Defender pro Office 365 zablokovala od ledna do prosince 2021 více než 35,7 miliard phishingový a další škodlivých e-mailů, které cílily na zařízení zákazníků z řad firem a běžných uživatelů.

Ohrožení identity:
Microsoft (Azure Active Directory) v období od ledna do prosince 2021 detekoval a zablokoval více než 25,6 miliardy pokusů o zneužití účtů podnikových zákazníků prostřednictvím útoků hrubou silou s využitím odcizených hesel.