Identiteit is het nieuwe strijdtoneel

Een man en een vrouw die aan een tafel zitten en een laptop gebruiken.

Cyber Signals - Editie 1: Krijg inzichten in zich ontwikkelende cyberbedreigingen en welke stappen je kunt nemen om je organisatie beter te beveiligen.

Er is een gevaarlijk verschil tussen de beveiligingsprotocollen van de meeste organisaties en de bedreigingen waarmee ze worden geconfronteerd. Hoewel aanvallers inderdaad proberen om netwerken binnen te dringen, gaat hun voorkeur uit naar een eenvoudigere tactiek: zwakke wachtwoorden raden. Basismaatregelen zoals meervoudige verificatie zijn effectief tegen 98 procent van de aanvallen, maar slechts 20 procent van de organisaties gebruikt ze volledig (Microsoft Digital Defense Report, 2021).

In Editie 1 ontdek je meer over de huidige beveiligingstrends en krijg je aanbevelingen van Microsoft-onderzoekers en -experts, inclusief:

Wie  is afhankelijk van wachtwoord- en identiteitsgerichte aanvallen?
Wat doe je om aanvallen te bestrijden? Inclusief eindpunt-, e-mail- en identiteitsstrategieën.
Wanneer  prioriteer je verschillende beveiligingsmaatregelen?
Waar  komt ransomware binnen, hoe verspreidt het zich in netwerken en hoe stop je het?
Waarom  blijft identiteitsbeveiliging de grootste reden tot zorg? En hoe kan het tegelijkertijd de grootste mogelijkheid bieden om je beveiliging te verbeteren?

Nation-state actoren verdubbelen hun inspanningen om eenvoudigweg identiteitsbouwstenen te grijpen

Het aantal cyberaanvallen door nation-state actoren neemt toe. Ondanks hun enorme resources maken deze aanvallers vaak gebruik van simpele tactieken om eenvoudig geraden wachtwoorden te stelen. Hierdoor krijgen ze snelle en eenvoudige toegang tot klantaccounts. Wanneer een onderneming wordt aangevallen, kunnen nation-state actoren vaste voet in de organisatie krijgen door netwerkpenetratie. Ze kunnen daardoor verticaal verplaatsen naar soortgelijke gebruikers en resources of horizontaal voor toegang tot waardevollere referenties en resources.

Aanvallen met spear phishing, social engineering en grootschalige wachtwoordspray zijn basistactieken van nation-state actoren. Deze aanvallen worden gebruikt om wachtwoorden te stelen of te raden. Microsoft krijgt inzicht in de methoden en successen van aanvallers door te observeren in welke tactieken en technieken ze investeren en met welke ze succes boeken. Als gebruikersreferenties slecht worden beheerd of kwetsbaar zijn zonder cruciale beveiliging zoals meervoudige verificatie en functies zonder wachtwoord, blijven natiestaten dezelfde simpele tactieken gebruiken.

De noodzaak om de ingebruikname van meervoudige verificatie af te dwingen of om te kiezen voor functies zonder wachtwoord, is niet te overschatten. Vanwege de eenvoud en de lage kosten van identiteitsgerichte aanvallen zijn deze praktisch en effectief voor actoren. Hoewel meervoudige verificatie niet het enige hulpmiddel is voor identiteits- en toegangsbeheer, kan het voor organisaties als een krachtig afschrikmiddel werken tegen aanvallen.

Misbruik van referenties is een wapentooi van NOBELIUM, een vijandige nation-state actor die gekoppeld is aan Rusland. Andere aanvallers maken echter ook gebruik van wachtwoordspray, bijvoorbeeld het aan Iran gekoppelde DEV-0343. Activiteit van DEV-0343 is waargenomen bij defensiebedrijven die radars voor het leger, dronetechnologie, satellietsystemen en communicatiesystemen voor noodrespons produceren. Andere activiteiten zijn aanvallen op regionale havens van binnenkomst in de Perzische Golf en op verschillende maritieme en vrachttransportbedrijven met een bedrijfsfocus op het Midden-Oosten.

Uitsplitsing van identiteitsgerichte cyberaanvallen door Iran

De landen die Iran tussen juli 2020 en juni 2021 het meest aanviel, waren de Verenigde Staten (49%), Israël (24%) en Saoedi-Arabië (15%). Meer informatie over deze afbeelding op pagina 4 in het volledige rapport

De organisatie moet:

Meervoudige verificatie inschakelen: Hierdoor beperken ze het risico van wachtwoorden die in de verkeerde handen vallen. Het is zelfs nog beter om wachtwoorden volledig te elimineren door meervoudige verificatie zonder wachtwoord te gebruiken.

Accounts met bevoegdheden controleren: Gehackte accounts met bevoorrechte toegang zijn een krachtig wapen voor aanvallers om te gebruiken voor meer toegang tot netwerken en resources. Beveiligingsteams moeten regelmatig de toegangsbevoegdheden controleren en het principe van strikt noodzakelijke bevoegdheden toepassen voor werknemers om hun werk te kunnen uitvoeren.

Alle accounts van tenantbeheerders beoordelen, versterken en bewaken: Beveiligingsteams moeten alle accounts van tenantbeheerders of gebruikers die tenantbeheerder zijn grondig controleren. De authenticiteit van gebruikers en activiteiten van deze accounts of gebruikers met gedelegeerde beheerdersbevoegdheden moet geverifieerd worden. Vervolgens moeten ze alle ongebruikte gedelegeerde beheerdersbevoegdheden uitschakelen of verwijderen.

Een beveiligingsbasislijn instellen en handhaven om risico's te beperken: Natiestaten denken aan de lange termijn en hebben de financiering, wil en schaal om nieuwe aanvalsstrategieën en -technieken te ontwikkelen. Wanneer een initiatief om het netwerk te versterken vertraging oploopt vanwege bandbreedte of bureaucratie, werkt dat in hun voordeel. Beveiligingsteams moeten de prioriteit geven aan het implementeren van Zero Trust-praktijken zoals meervoudige verificatie en upgrades naar functies zonder wachtwoord . Voor snel meer beveiliging kunnen ze beginnen met accounts met bevoegdheden en vervolgens uitbreiden in incrementele en onafgebroken fasen.

Ransomware domineert het bewustzijn, maar slechts enkele vormen domineren

De dominante verhaallijn laat het lijken dat een enorm aantal nieuwe ransomwarebedreigingen de verdedigende mogelijkheden voorbijstreven. Analyse door Microsoft toont echter aan dat dit onjuist is. Er bestaat ook een perceptie dat bepaalde ransomwaregroepen een enkele monolithische entiteit zijn, wat ook onjuist is. Wat er wel bestaat, is een cybercriminele economie waarin verschillende spelers bewuste keuzen maken in tot handelswaar gemaakte aanvalsketens. Ze worden gedreven door een economisch model om de opbrengst te maximaliseren op basis van de manier waarop ze gebruikmaken van de informatie waartoe ze toegang hebben. De graphic hieronder laat zien hoe verschillende groepen profiteren van verschillende cyberaanvalsstrategieën en informatie van gegevenslekken.

Gemiddelde prijzen voor verschillende services in cybercriminaliteit

Gemiddelde prijzen van services die te koop zijn voor cybercriminaliteit. Je kunt aanvallers inhuren vanaf USD 250 per taak. Ransomwarekits kosten USD 66 of 30 procent van de opbrengst. Apparaten compromitteren kan vanaf 13 cent per pc en 82 cent per mobiel apparaat. De prijs voor het inhuren van spear phishing varieert van USD 100 tot USD 1000. Gebruikersnaam- en wachtwoordparen laten stelen is gemiddeld vanaf 97 cent per 1000. Meer informatie over deze afbeelding op pagina 5 in het volledige rapport

Hoeveel ransomware er ook bestaat, welke vormen er ook betrokken zijn, uiteindelijk zijn er drie toegangsvectoren: beveiligingsaanvallen via een extern bureaublad-protocol (remote desktop protocol, of RDP), kwetsbare internetsystemen en phishing. Al deze vectoren kunnen beperkt worden met goede wachtwoordbeveiliging, goed identiteitsbeheer en met software-updates, naast een uitgebreide toolset voor beveiliging en compliance. Een type ransomware kan alleen succesvol zijn wanneer het toegang krijgt tot referenties en de mogelijkheid heeft om te verspreiden. In dat geval, zelfs als het een bekende vorm is, kan de ransomware veel schade aanrichten.

Grafiek met bedreigingsactoren van initiële toegang tot laterale verplaatsing via het systeem

Het gedragspatroon van een bedreigingsactor vanaf het moment dat de initiële toegang tot een systeem is geschonden tot referentiediefstal en laterale verplaatsing via het systeem. Er wordt een aanhoudend patroon bijgehouden om accounts vast te leggen en de payload van de ransomware te verkrijgen. Meer informatie over deze afbeelding op pagina 5 in het volledige rapport

Beveiligingsteams moeten:

Begrijpen dat ransomware opbloeit door standaard- of gecompromitteerde referenties: Beveiligingsteams moeten als gevolg de beveiliging versnellen, bijvoorbeeld door het implementeren van meervoudige verificatie zonder wachtwoord voor alle gebruikersaccounts en door het prioriteren van uitvoerende, beherende en andere bevoorrechte rollen.

Identificeren hoe ze op tijd verradende afwijkingen kunnen herkennen om actie te ondernemen: Vroege aanmeldingen, bestandsverplaatsing en ander gedrag dat ransomware introduceert, kan onopvallend zijn. Teams moeten hoe dan ook bewaken of er afwijkingen zijn en er snel op reageren.

Een ransomware-reactieplan hebben en hersteloefeningen uitvoeren: We leven in het tijdperk van synchroniseren en delen via de cloud, maar gegevenskopieën zijn anders dan volledige IT-systemen en databases. Teams moeten visualiseren en oefenen hoe volledig herstel eruitziet.

Waarschuwingen beheren en snel beperken: Hoewel iedereen bang is voor ransomware-aanvallen, moeten beveiligingsteams zich primair focussen op het versterken van zwakke beveiligingsconfiguraties die een succesvolle aanval mogelijk maken. Ze moeten beveiligingsconfiguraties beheren zodat ze goed kunnen reageren op waarschuwingen en detecties.

De normale verdeling van beveiliging laat zien dat basis beveiligingshygiëne helpt te beschermen tegen 98% van de aanvallen

Bescherm tegen 98 procent van de aanvallen door antimalware te gebruiken, toegang met strikt noodzakelijke bevoegdheden toe te passen, meervoudige verificatie in te schakelen, versies up-to-date te houden en gegevens te beveiligen. De resterende 2 procent van de aanvallen zijn uitbijters. Meer informatie over deze afbeelding op pagina 5 in het volledige rapport

Krijg aanvullende richtlijnen voor het beveiligen van identiteiten van Christopher Glyer, Microsoft Principal Threat Intelligence Lead.

Aan de hand van meer dan 24 biljoen signalen per dag worden inzichten verkregen en bedreigingen geblokkeerd

Eindpuntbedreigingen:
Microsoft Defender voor Eindpunt heeft tussen januari en december 2021 meer dan 9,6 miljard malwarebedreigingen geblokkeerd die waren gericht op apparaten van klanten (ondernemingen en consumenten).

E-mailbedreigingen:
Microsoft Defender voor Office 365 heeft tussen januari en december 2021 meer dan 35,7 miljard phishing- en andere kwaadaardige e-mails geblokkeerd die waren gericht op klanten (ondernemingen en consumenten).

Identiteitsbedreigingen:
Microsoft (Azure Active Directory) heeft tussen januari en december 2021 meer dan 25,6 miljard pogingen tot het hacken (via gestolen wachtwoorden) van accounts van ondernemingsklanten gedetecteerd en geblokkeerd.

Methodologie: Voor gegevens van momentopnamen hebben Microsoft-platformen (waaronder Defender en Azure Active Directory) geanonimiseerde gegevens geleverd over bedreigingsactiviteiten (bijvoorbeeld beveiligingsaanvallen met aanmeldpogingen, phishing en andere kwaadaardige e-mails die waren gericht op ondernemingen en consumenten) en malware-aanvallen tussen januari en december 2021. Aanvullende inzichten zijn afkomstig van de 24 biljoen beveiligingssignalen die Microsoft per dag verzamelt, inclusief uit de cloud, eindpunten en de intelligente rand. Sterke verificatiegegevens combineren meervoudige verificatie en beveiliging zonder wachtwoord.

Identiteit Ransomware Natiestaat

Verwante artikelen

Cyber Signals - Editie 2: Afpersingseconomie

Hoor van experts in de frontlijn over de ontwikkeling van ransomware als een dienst. Ontdek meer over de hulpprogramma's, tactieken en doelen die cybercriminelen het liefst gebruiken, van programma's en payloads tot toegangsbemiddelaars en -geaffilieerden, en krijg richtlijnen voor het helpen beveiligen van je organisatie.

Meer informatie

De verdediging van Oekraïne: Vroege lessen uit de cyberoorlog

De meest recente bevindingen in onze doorlopende inspanningen voor bedreigingsinformatie tijdens de oorlog tussen Rusland en Oekraïne en een reeks conclusies uit de eerste vier maanden vergroten de behoefte aan doorlopende en nieuwe investeringen in technologie, gegevens en partnerschappen om overheden, bedrijven, niet-gouvernementele organisaties en universiteiten te ondersteunen.

Meer informatie

Expertprofiel: Christopher Glyer

Als Principal Threat Intelligence Lead (voornaamste leider in bedreigingsinformatie) met een focus op ransomware bij het Microsoft Threat Intelligence Center (MSTIC), is Christopher Glyer onderdeel van het team dat onderzoekt hoe de meest geavanceerde bedreigingsactoren toegang krijgen tot systemen en hoe ze deze gebruiken.

Meer informatie