Identitas adalah medan pertempuran baru

Serangan cyber yang dilakukan oleh pelaku negara bangsa sedang meningkat. Meskipun memiliki banyak sumber daya, para pelaku sering kali mengandalkan taktik sederhana untuk mencuri kata sandi yang mudah ditebak. Melalui tindakan tersebut, mereka dapat memperoleh akses cepat dan mudah ke akun pelanggan. Dalam kasus serangan terhadap perusahaan, penetrasi ke dalam jaringan organisasi memungkinkan pelaku negara bangsa mendapatkan akses awal yang dapat mereka gunakan untuk bergerak secara vertikal (di antara pengguna dan sumber daya yang serupa) atau secara horizontal untuk mendapatkan akses ke kredensial dan sumber daya yang lebih berharga.

Spear-phishing, serangan rekayasa sosial, dan password spray berskala besar adalah taktik dasar yang digunakan oleh pelaku negara bangsa untuk mencuri atau menebak kata sandi. Microsoft mendapatkan wawasan tentang keahlian dan keberhasilan penyerang dengan mengamati taktik dan teknik apa yang digunakan oleh penyerang dan tingkat keberhasilannya. Jika kredensial pengguna tidak dikelola dengan baik atau dibiarkan rentan tanpa perlindungan krusial seperti autentikasi multifaktor (MFA) dan fitur tanpa kata sandi, pelaku negara bangsa akan terus menggunakan taktik sederhana yang sama.

Perlunya adopsi MFA atau penggunaan sistem tanpa kata sandi tidaklah dilebih-lebihkan, karena kepraktisan dan rendahnya biaya dari serangan yang berfokus pada identitas ini menjadikannya mudah dilakukan dan efektif bagi para pelaku. Meskipun bukan satu-satunya alat manajemen identitas dan akses yang harus digunakan oleh organisasi, MFA dapat menjadi pencegah serangan yang kuat.

Penyalahgunaan kredensial adalah cara yang digunakan oleh NOBELIUM, yaitu pelaku negara bangsa yang terkait dengan Rusia. Namun, pelaku lainnya, seperti DEV 0343 yang terkait dengan Iran juga sering menggunakan password spray. Aktivitas dari DEV-0343 telah terpantau di seluruh perusahaan pertahanan yang memproduksi radar tingkat militer, teknologi drone, sistem satelit, dan sistem komunikasi tanggap darurat. Aktivitas lebih lanjut menargetkan pelabuhan masuk regional di Teluk Persia, dan beberapa perusahaan transportasi maritim dan kargo dengan fokus bisnis di kawasan Timur Tengah.

Mengaktifkan autentikasi multifaktor: Dengan melakukannya, organisasi dapat memitigasi risiko kata sandi jatuh ke tangan yang salah. Lebih baik lagi, singkirkan kata sandi sama sekali dengan menggunakan MFA tanpa kata sandi.

Mengaudit hak istimewa akun: Jika terjadi pembajakan pada akun dengan akses istimewa, akun tersebut menjadi senjata ampuh bagi penyerang untuk mendapatkan akses lebih besar ke jaringan dan sumber daya. Tim keamanan harus sering meninjau hak akses dan menerapkan prinsip hak istimewa minimum saat memberikan hak istimewa ke karyawan untuk menyelesaikan pekerjaan.

Meninjau, memperkuat, dan memantau semua akun administrator penyewa: Tim keamanan harus meninjau secara menyeluruh semua pengguna administrator penyewa atau akun yang terkait dengan hak administratif yang didelegasikan untuk memverifikasi keaslian pengguna dan aktivitas. Kemudian, mereka harus menonaktifkan atau menghapus hak administratif yang didelegasikan yang tak terpakai.

Menetapkan dan menegakkan acuan dasar keamanan untuk mengurangi risiko: Pelaku negara bangsa memiliki strategi jangka panjang dan mempunyai dana, kemauan, dan kemampuan untuk mengembangkan strategi dan teknik serangan baru. Setiap inisiatif penguatan jaringan yang tertunda karena masalah bandwidth atau birokrasi akan menguntungkan mereka. Tim keamanan harus memprioritaskan penerapan praktik zero-trust seperti MFA dan peningkatan ke sistem tanpa kata sandi . Mereka dapat memulai dari akun yang memiliki hak istimewa guna mendapatkan perlindungan secara cepat, lalu melakukan perluasan secara bertahap dan berkelanjutan.

Ada sejumlah ancaman ransomware baru yang melampaui kemampuan staf keamanan menjadi narasi yang sering muncul. Namun, analisis Microsoft menunjukkan bahwa hal ini tidak benar. Ada juga persepsi bahwa kelompok ransomware tertentu merupakan satu kesatuan yang monolitik, dan hal ini juga tidak benar. Faktanya adalah ekonomi kejahatan cyber yang mana berbagai aktor dalam rantai serangan yang dimodifikasi membuat pilihan yang disengaja. Mereka didorong oleh model ekonomi yang memaksimalkan keuntungan berdasarkan cara eksploitasi informasi yang mereka berhasil akses. Grafik di bawah ini menunjukkan cara berbagai kelompok memperoleh keuntungan dari berbagai strategi serangan cyber dan informasi dari pelanggaran data.

Memahami bahwa ransomware menyebar dengan cepat pada kredensial default atau yang disusupi: Oleh karena itu, tim keamanan harus mempercepat perlindungan seperti menerapkan MFA tanpa kata sandi di semua akun pengguna dan memprioritaskan peran eksekutif, administrator, dan peran istimewa lainnya.

Mengidentifikasi cara mengenali tanda-tanda anomali pada saat yang tepat untuk mengambil tindakan: Proses masuk awal, perpindahan file, dan perilaku lain yang menyebabkan serangan ransomware mungkin kurang terlihat. Meskipun demikian, tim perlu memantau anomali dan menindaklanjutinya dengan segera.

Membuat rencana respons ransomware dan melakukan latihan pemulihan: Kita hidup di era sinkronisasi dan berbagi cloud, tetapi salinan data tidaklah sama dengan keseluruhan database dan sistem TI. Tim harus memvisualisasikan dan mempraktikkan proses pemulihan penuh.

Mengelola peringatan dan melakukan mitigasi dengan cepat: Meskipun semua orang takut terhadap serangan ransomware, fokus utama tim keamanan harus pada penguatan konfigurasi keamanan yang lemah yang memungkinkan keberhasilan serangan. Mereka harus mengelola konfigurasi keamanan sehingga peringatan dan deteksi direspons secara tepat.

Ancaman titik akhir:
Microsoft Defender untuk Titik Akhir memblokir lebih dari 9,6 miliar ancaman program jahat yang menargetkan perangkat pelanggan perusahaan dan konsumen, antara bulan Januari dan Desember 2021.

Ancaman email:
Microsoft Defender untuk Office 365 memblokir lebih dari 35,7 miliar pengelabuan dan email berbahaya lainnya yang menargetkan pelanggan perusahaan dan konsumen, antara bulan Januari dan Desember 2021.

Ancaman identitas:
Microsoft (Azure Active Directory) mendeteksi dan memblokir lebih dari 25,6 miliar upaya pembajakan akun pelanggan perusahaan melalui serangan brute-force ke kata sandi yang dicuri, antara bulan Januari dan Desember 2021.