Ідентичності – це нове поле бою

Кількість кібератак, здійснених державними структурами, зростає. Попри наявність великої кількості різноманітних ресурсів, зловмисники у своїх спробах викрасти легковгадувані паролі часто використовують прості методи. Ці методи дають змогу легко й швидко отримувати доступ до облікових записів клієнтів. Візьмімо, наприклад, атаки на підприємства. Проникнення в мережу організації дає зловмисникам змогу продовжувати атаку або вертикально (уражаючи схожих користувачів і ресурси), або горизонтально (отримуючи доступ до цінніших облікових даних та активів).

Цільовий фішинг, соціотехніка й масштабні розпорошувальні атаки через типові паролі – це базові методи, які державні структури використовують для викрадення та вгадування паролів. Корпорація Майкрософт відстежує методи й прийоми, у які зловмисники інвестують кошти і які допомагають їм вдало здійснювати атаки. Якщо не захищати облікові дані користувачів за допомогою базових заходів безпеки, зокрема багатофакторної та безпарольної автентифікації, і погано керувати ними, державні структури й далі використовуватимуть ті самі прості методи.

Чому атаки на основі ідентичностей такі зручні й ефективні для зловмисників? Тому що вони не потребують багатьох зусиль і коштів. Ось чому так важливо запроваджувати багатофакторну й безпарольну автентифікацію. БФА – потужний, але далеко не єдиний інструмент, який організації можуть використовувати для керування ідентичностями й доступом, а також захисту від атак.

Порушення безпеки облікових даних і розпорошувальні атаки через типові паролі – методи, які часто застосовують у своїх кампаніях джерело загроз із Росії NOBELIUM та іранське кіберугрупування DEV 0343. Атаки DEV-0343 було націлено на оборонні підприємства з розробки радіолокаційних систем військового призначення, технологій БпЛА, супутникових систем і систем зв’язку для екстреного реагування, регіональні порти ввезення в Перській затоці, а також кілька компаній морських вантажоперевезень на Близькому Сході.

Увімкнути багатофакторну автентифікацію. Це допоможе запобігти потраплянню паролів до рук зловмисників. А ще краще – повністю відмовитися від паролів і використовувати безпарольну БФА.

Перевіряти дозволи облікових записів. Облікові записи з привілейованим доступом (якщо їх зламати) – це потужна зброя, яку кіберзлочинці можуть використовувати для отримання подальшого доступу до мереж і ресурсів. Команди з безпеки повинні постійно перевіряти дозволи й застосовувати принцип найменших привілеїв, щоб надавати працівникам доступ до ресурсів, необхідний виключно для виконання певної роботи.

Перевіряти, убезпечувати й відстежувати облікові записи адміністраторів осередків. Команди з безпеки повинні ретельно перевіряти всі облікові записи адміністраторів осередків із делегованими правами адміністратора, щоб гарантувати автентичність користувачів і дій. Якщо делеговані права адміністратора не використовуються, вимкніть або вилучіть їх.

Упровадити базові параметри безпеки для мінімізації ризиків. Державні структури ведуть стратегічну гру й мають достатнє фінансування, мотивацію та можливості для розробки нових методів і стратегій атак. Що надовше ви відкладаєте впровадження ініціативи з убезпечення мережі через обмеження пропускної здатності або бюрократію, то краще для зловмисників. Перше, що потрібно зробити командам із безпеки, – упровадити практики нульової довіри, зокрема багатофакторну й безпарольну автентифікацію. Спочатку можна вбезпечити лише привілейовані облікові записи, а потім поступово масштабувати відповідну ініціативу.

Панує думка, що існує велика кількість нових зловмисних програм із вимогою викупу, проти яких фахівці із захисту безсилі. За даними аналізу корпорації Майкрософт, це не так. Крім того, є переконання, що певні угрупування, які здійснюють атаки з використанням зловмисних програм із вимогою викупу, – єдина монолітна структура. Проте й це не так. Насправді існує кіберзлочинний бізнес, у якому кожен учасник ланцюгів атак робить свідомий і обміркований вибір, керуючись тією чи іншою економічною моделлю. Зловмисники збільшують свої прибутки на основі того, як вони використовують отриману інформацію. На графіку нижче показано, який прибуток отримують різні угрупування від стратегій кібератак та інформації, здобутої внаслідок порушення безпеки даних.

Запам’ятайте, що атака з використанням зловмисної програми з вимогою викупу здійснюється на основі стандартних або вражених облікових даних. Команди повинні посилити захист, зокрема впровадити безпарольну БФА для всіх облікових записів користувачів, а також пріоритезувати безпеку привілейованих ролей для керівників, адміністраторів та інших користувачів.

З’ясуйте, як швидко виявляти аномалії для їх усунення. Ранні входи в систему, переміщення файлів та інші дії, пов’язані зі зловмисними програмами з вимогою викупу, важко виявити. Однак команди мають навчитися відстежувати їх і швидко реагувати на них.

Створіть план реагування на атаки з використанням зловмисних програм із вимогою викупу й виконуйте відновлення. Ми живемо в епоху хмарних технологій. Однак копії даних відрізняються від цілих IT-систем і відповідних баз. Команди повинні візуалізувати й практикувати всі необхідні дії з відновлення вражених ресурсів.

Керуйте оповіщеннями й усувайте загрози. Усі бояться атак із використанням зловмисних програм із вимогою викупу. Основне завдання команд із безпеки – посилити ненадійні конфігурації захисту, за допомогою яких зловмисники можуть здійснити атаку. Команди повинні керувати цими конфігураціями, щоб гарантувати належне реагування на оповіщення й виявлення загроз.

Загрози для кінцевих точок
За допомогою Microsoft Defender для кінцевих точок було заблоковано понад 9,6 мільярда загроз, пов’язаних зі зловмисними програмами, на корпоративних і користувацьких пристроях у період із січня до грудня 2021 року.

Загрози для електронної пошти
За допомогою Microsoft Defender для Office 365 було заблоковано понад 35,7 мільярда фішингових та інших зловмисних електронних листів на корпоративних і користувацьких пристроях у період із січня до грудня 2021 року.

Загрози для ідентичностей
За допомогою Microsoft Azure Active Directory було виявлено й заблоковано понад 25,6 мільярда спроб зламу корпоративних і користувацьких облікових записів через прямий добір викрадених паролів у період із січня до грудня 2021 року.