A identidade é o novo campo de batalha

Os ciberataques de atores de estados-nações estão a aumentar. Apesar dos seus vastos recursos, estes adversários muitas vezes contam com táticas simples para roubar palavras-passe adivinhadas facilmente. Ao fazê-lo, podem obter acesso rápido e fácil a contas de clientes. No caso de ataques a empresas, penetrar a rede de uma organização permite a atores de estados-nações obter uma base de operações que podem utilizar para se mover verticalmente, para utilizadores e recursos semelhantes, ou horizontalmente, obtendo acesso a credenciais e recursos mais valiosos.

Spear-phishing, ataques de engenharia social e utilização de palavra-passe única de grande escala são táticas básicas de atores de estados-nações utilizadas para roubar ou adivinhar palavras-passe. A Microsoft obtém informações sobre a arte e os êxitos dos atacantes ao observar em que táticas e técnicas investem e com quais têm êxito. Se as credenciais de utilizadores forem mal geridas ou deixadas vulneráveis sem salvaguardas fundamentais como autenticação multifator (MFA) e funcionalidades sem palavra-passe, estados-nações continuarão a utilizar as mesmas táticas simples.

A necessidade de impor a adoção de MFA ou passar para sem palavra-passe é crucial, porque a simplicidade e o baixo custo dos ataques focados em identidade tornam-nos convenientes e eficazes para os atores. Embora a MFA não seja a única ferramenta de gestão de identidade e acesso que as organizações deviam utilizar, pode fornecer uma forma de dissuasão de ataques poderosa.

Violar credenciais é uma característica do NOBELIUM, um adversário de estado-nação associado à Rússia. No entanto, outros adversários, como o DEV 0343 associado ao Irão também contam com utilização de palavra-passe única. Foi observada atividade do DEV-0343 em empresas de defesa que produzem radares de categoria militar, tecnologia de drones, sistemas de satélite e sistemas de comunicação de resposta a emergências. Atividade adicional visou portas de entrada regionais no golfo Pérsico e várias empresas marítimas e de transporte de mercadorias com um foco comercial no Médio Oriente.

Ativar autenticação multifator: ao fazê-lo, mitiga o risco de as palavras-passe caírem nas mãos erradas. Ainda melhor, eliminar as palavras-passe completamente ao utilizar MFA sem palavra-passe.

Auditar privilégios de contas: contas com acesso privilegiado, se forem roubadas, tornam-se uma arma poderosa que os atacantes podem utilizar para obter acesso superior a redes e recursos. As equipas de segurança devem auditar os privilégios de acesso frequentemente, utilizando o princípio de menor privilégio concedido para permitir que os colaboradores façam o seu trabalho.

Rever, proteger a monitorizar todas as contas de administrador de inquilinos: as equipas de segurança devem rever exaustivamente todos os utilizadores ou contas de administrador de inquilinos com privilégios administrativos delegados para verificar a autenticidade dos utilizadores e das atividades. Devem depois desativar ou remover quaisquer privilégios administrativos delegados por utilizar.

Estabelecer e impor uma linha de base de segurança para reduzir o risco: os estados-nações pensam a longo prazo e têm o financiamento, a vontade e a escala para desenvolver novas estratégias e técnicas de ataque. Qualquer iniciativa de proteção de redes adiada devido a largura de banda ou burocracia funciona a favor dos mesmos. As equipas de segurança devem priorizar a implementação de práticas de confiança zero como atualizações de MFA e sem palavra-passe . Podem começar com contas privilegiadas para obter proteção rapidamente e, depois, expandir em fases incrementais e contínuas.

A narrativa dominante parece ser a de que há muitíssimas novas ameaças de ransomware a ultrapassarem as capacidades dos defensores. No entanto, a análise da Microsoft mostra que isto é incorreto. Há também a perceção de que determinados grupos de ransomware são uma única entidade monolítica, o que também é incorreto. O que existe é uma economia cibercriminosa em que diferentes intervenientes em cadeias de ataque automatizadas fazem escolhas deliberadas. São impelidos por um modelo económico para maximizar o lucro com base em como cada um explora as informações a que tem acesso. O gráfico abaixo mostra como grupos diferentes lucram com várias estratégias de ciberataque e informações de falhas de segurança de dados.

Compreender que o ransomware dá-se bem com credenciais predefinidas ou comprometidas: como resultado, as equipas de segurança devem acelerar salvaguardas como a implementação de MFA sem palavra-passe em todas as contas de utilizador e priorizar funções executivas, de administrador e outras com privilégios.

Identificar como detetar anomalias reveladoras a tempo de agir: Inícios de sessão cedo, movimento de ficheiros e outros comportamentos que introduzem ransomware podem parecer insignificantes. Contudo, as equipas precisam de monitorizar a ocorrência de anomalias e agir rapidamente.

Ter um plano de resposta a ransomware e realizar exercícios de recuperação: vivemos na era da sincronização e partilha na cloud, mas cópias de dados são diferentes de sistemas de TI e bases de dados inteiros. As equipas devem visualizar e praticar o que restaurações completas implicariam.

Gerir alertas e mover rapidamente para a mitigação: embora todos temam ataques de ransomware, o principal foco das equipas de segurança deve ser fortalecer configurações de segurança fracas que permitam que o ataque tenha êxito. Devem gerir configurações de segurança para que alertas e deteções tenham uma resposta adequada.

Ameaças de pontos finais:
O Microsoft Defender para Endpoint bloqueou mais de 9,6 mil milhões de ameaças de malware a visar dispositivos de clientes empresariais e consumidores, entre janeiro e dezembro de 2021.

Ameaças de e-mail:
O Microsoft Defender para Office 365 bloqueou mais de 35,7 mil milhões e-mails de phishing e outros e-mails maliciosos a visar clientes empresariais e consumidores, entre janeiro e dezembro de 2021.

Ameaças de identidade:
A Microsoft (Azure Active Directory) detetou e bloqueou mais de 25,6 mil milhões de tentativas de apoderamento de contas de clientes empresariais ao tentar palavras-passe roubadas por força bruta, entre janeiro e dezembro de 2021.