Ono što napad ruske elektroenergetske mreže može svakog naučiti profesionalno

Do sada ste čuli da je zajednička istraga Federalnog istražnog ureda (FBI) i Ministarstva za unutarnju sigurnost SAD-a dovela do izvješća da su ruski operativci upadali u tvrtke koje su dio elektroenergetske mreže u SAD-u. Napadi su detaljno opisani u izvješću američkog tima za računalnu spremnost u hitnim situacijama (US-CERT) u kojem se opisuje kako su napadači mogli prodrijeti u energetske objekte i što su učinili s informacijama koje su ukrali.

Ono što nije bilo u medijskim izvještajima bila je činjenica koja bi trebala izazvati zabrinutost IT stručnjaku, bilo da rade za malo srednje poduzetništvo (SMB) ili veću organizaciju. Ta činjenica: Put koji su napadači iskorištavali prošao je kroz manje partnere krajnje mete. Oni su započeli svoj napad prodorom obrane onih manjih partnera jer je vjerojatno da će imati slabiju obranu, a zatim su koristili informacije i resurse prikupljene za napad na sljedeći objekat uzvodno.

Anatomija pametnog phishing napada

Primarno sredstvo za pristup manjem partneru bilo je pronalaženje javnih informacija, koje bi, kad se postave zajedno s drugim informacijama, dale razinu detalja koja je potrebna za sljedeći korak. Na primjer, napadač može pregledati web stranicu tvrtke koja posluje s krajnjim ciljem i tamo može pronaći adresu e-pošte višeg rukovoditelja bilo u tvrtki partnera ili krajnjoj meta. Tada bi napadač mogao istražiti druge informacije s obje web stranice kako bi utvrdio kakve su veze, koje usluge pruža netko i nešto o strukturi svake tvrtke.

Oružani tim informacijama napadač može početi slati uvjerljive e-mailove s uvjerljivim identitetom s onoga što se čini legitimnom e-adresom; one s dovoljno izrađenih detalja koji bi mogli pobijediti bilo koju phishing filtere postavljene na vatrozidu ili upravljanu razinu krajnje točke. E-poruke s krađu identiteta osmišljene bi tako da prikupe vjerodajnice za prijavu za osobu koja je ciljana, a ako bilo koja od njih bude uspješna, napadači bi odmah zaobišli sve mjere upravljanja identitetom koje bi mogle postojati i biti unutar ciljane mreže.

Objavama o prikupljanju korisničkih informacija s Facebooka priroda prijetnje se proširuje. U kršenju provedenom pod krinkom akademskog istraživanja počevši od 2014. godine, ruski je istraživač dobio pristup oko 50 milijuna korisničkih profila američkih članova Facebooka. Ti su profili predati u Cambridge Analytica. Naknadne istrage otkrile su da su ti podaci uzeti bez odobrenja tih korisnika Facebooka, a zatim zloupotrijebljeni.

Revizija vanjskih komunikacija

To postavlja pitanje o tome koje bi informacije oprezne tvrtke morale biti dostupne putem njihovih web stranica. Što je još gore, ovaj se upit vjerojatno treba proširiti na prisutnost organizacije na društvenim medijima, marketinške kanale trećih strana poput Youtubea, pa čak i na profile društvenih medija visokog profila.

"Mislim da moraju biti oprezni prema onome što se nalazi na njihovim web stranicama", rekao je Leo Taddeo, glavni službenik informacijske sigurnosti (CISO) za Cyxtera i bivši specijalni agent zadužen za cyber odjel FBI-ovog terenskog ureda u New Yorku. "Postoji veliki potencijal za nenamjerno otkrivanje podataka."

Taddeo je rekao da je dobar primjer u objavljivanju poslova gdje možete otkriti koje alate koristite za razvoj ili čak koje sigurnosne specijalnosti tražite. "Postoji mnogo načina na koje se tvrtke mogu izložiti. Velika je površina. Ne samo web stranica, a ne samo namjerna komunikacija", rekao je.

"Društveni mediji predstavljaju rizik", objasnio je Taddeo, napominjući da zaposlenik koji objavljuje objavu na društvenim medijima može otkriti mnogo toga nenamjerno. Istakao je da zaposlenici koji kažu da nisu zadovoljni svojim poslom mogu otkriti metu za eksploataciju. "Zaposlenici koji detaljno razgovaraju o svom poslu ili svojim postignućima predstavljaju rizik. Iskopavanje društvenih medija vrlo je produktivno za protivnike."

Taddeo je upozorio da su web stranice profesionalnih medija, poput LinkedIna, također rizik za one koji nisu oprezni. Rekao je da protivnici stvaraju lažne račune na takvim web stranicama koji prerušavaju tko su oni uistinu, a zatim koriste informacije iz svojih kontakata. "Sve što objave na web stranicama društvenih medija mogu ugroziti svog poslodavca", rekao je.

S obzirom na činjenicu da loši akteri koji vas ciljaju mogu potražiti vaše podatke ili možda nakon organizacije s kojom radite, pitanje nije samo kako se zaštititi, već i kako zaštititi poslovnog partnera? To je komplicirano činjenicom da možda ne znate mogu li napadači tražiti vaše podatke ili vas samo vide kao odskočnu dasku i možda mjesto prikazivanja sljedećeg napada.

Kako se zaštititi

Bilo kako bilo, možete poduzeti neke korake. Najbolji način da se to pristupi je u obliku revizije informacija. Nabrojite sve kanale koje vaša tvrtka koristi za vanjsku komunikaciju, svakako marketing, ali i HR, PR i lanac opskrbe, među ostalim. Zatim izgradite revizorski tim koji sadrži dionike sa svih kanala na koje se to odnosi i počnite analizirati što je vani sustavno i s pogledom na informacije koje bi mogle biti korisne za lopove podataka. Prvo započnite s web stranicom vaše tvrtke:

Pregledajte internetsku stranicu svoje tvrtke da biste pronašli bilo što što bi moglo pružiti pojedinosti o poslu koji obavljate ili alatima koje koristite. Na primjer, zaslon računala koji se pojavljuje na fotografiji može sadržavati važne informacije. Provjerite fotografije proizvodne opreme ili mrežne infrastrukture, koje mogu pružiti tragove korisne napadačima.

Pogledajte popis djelatnika. Imate li navedene adrese e-pošte za svoje starije osoblje? Te adrese pružaju napadaču ne samo potencijalnu adresu za prijavu, već i način da prevare e-poštu poslanu drugim zaposlenicima. Razmislite o zamjeni onih s vezom do obrasca ili upotrebom druge adrese e-pošte za javnu potrošnju u odnosu na internu upotrebu.

Kaže li vaša web stranica tko su vaši kupci ili partneri? To može napadaču pružiti još jedan način da napadne vašu organizaciju ako imaju problema s tim da vam proširite sigurnost.

Provjerite svoje objave na poslu. Koliko vam otkrivaju alate, jezike ili druge aspekte vaše tvrtke? Razmislite o radu preko tvrtke za zapošljavanje kako biste se odvojili od tih podataka.

Pogledajte svoju prisutnost na društvenim medijima, imajući na umu da će vaši protivnici definitivno pokušavati minirati informacije putem ovog kanala. Pogledajte i koliko informacija o vašoj tvrtki otkriva u postovima vašeg višeg osoblja. Ne možete kontrolirati sve o aktivnostima svojih zaposlenika na društvenim mrežama, ali možete to budno pratiti.

Razmotrite mrežnu arhitekturu. Taddeo preporučuje pristup prema potrebi u kojem je administratorski pristup odobren samo kad je potreban i samo za sustav kojem treba pažnja. Predlaže korištenje softversko definiranog perimetra (SDP), kojeg je izvorno razvilo američko Ministarstvo obrane. "Konačno, pristupna prava svakog korisnika dinamički se mijenjaju na temelju identiteta, uređaja, mreže i osjetljivosti aplikacije", rekao je. "Na njih upravljaju lako konfigurirane politike. Usklađivanjem mrežnog pristupa s pristupom aplikacijama korisnici ostaju u potpunosti produktivni, dok se površina napada značajno smanjuje."

• Sada razmislite o svojim oblačnim uslugama na isti način. Često je zadana konfiguracija da bi starije rukovoditelje tvrtki postavili na korporativne usluge treće strane u oblaku, poput, na primjer, računa Google Analytics ili Salesforce vaše tvrtke. Ako im ne treba ta razina pristupa, razmislite o tome da ih prebacite na status korisnika i da nivo administrativnog pristupa prepustite IT osoblju čije će se prijave e-pošte teže pronaći.

Napokon, Taddeo je rekao da traži ranjivosti koje stvara sjena IT. Ako ga ne potražite, mogli biste zaobići svoj naporni sigurnosni posao jer je netko instalirao bežični usmjerivač u svom uredu kako bi mogli lakše koristiti svoj osobni iPad na poslu. Nepoznate usluge oblaka treće strane također spadaju u ovu kategoriju. U velikim organizacijama nije neuobičajeno da čelnici odjela jednostavno prijave svoje odjele za praktične usluge u oblaku kako bi zaobišli ono što smatraju IT "birokratskom".

To može uključivati ​​osnovne IT usluge, poput korištenja Dropbox Business-a kao mrežnog pohranjivanja ili korištenja neke druge usluge automatizacije marketinga, jer je prijava za službeni alat koji podržava korporacija prespor i zahtijeva ispunjavanje previše oblika. Softverske usluge poput ovih mogu izložiti grozdama osjetljivih podataka bez da ih IT uopće bude svjestan. Obavijestite da znate koje se aplikacije koriste u vašoj organizaciji i od koga i da čvrsto kontrolirate tko ima pristup.

Ovakav rad revizije je naporan i ponekad dugotrajan, ali dugoročno može isplatiti velike dividende. Dok vaši protivnici ne pođu za vama, ne znate što imate, što bi moglo biti vrijedno krađe. Stoga sigurnosti morate pristupiti na način koji je fleksibilan, dok još uvijek pazite na ono što je važno; a jedini način da to učinite jest da se temeljito informišete o tome što se događa na vašoj mreži.