Anatomien for en moderne angrebsoverflade

For de fleste organisationer er mail en vigtig del af den daglige forretningsdrift. Desværre er mail stadig en førende trusselsvektor. 35 % af ransomwarehændelser i 2022 involverede brug af mail.⁴ Angribere udfører flere mailangreb end nogensinde før – i 2022 steg andelen af phishingangreb med 61 % sammenlignet med 2021.⁵

Personer med ondsindede hensigter udnytter nu jævnligt også legitime ressourcer til at udføre phishingangreb. Dette gør det endnu sværere for brugere at differentiere mellem ægte og skadelige mails, hvilket øger risikoen for, at en trussel når frem. Samtykke-phishingangreb er et eksempel på denne tendens, hvor trusselsaktører misbruger legitime cloudtjenesteudbydere for at narre brugere til at give tilladelse til at få adgang til fortrolige data.

Uden muligheden for at korrelere mailsignaler i bredere hændelser for at visualisere angreb, kan det tage lang tid at registrere, at en trusselsaktør har fået adgang via mail. Og på det tidspunkt kan det være for sent til at forebygge skaden. Middeltiden, det tager for an person med ondsindede hensigter at få adgang til en organisations private data, er blot 72 minutter.⁶ Dette kan medføre alvorlige tab på virksomhedsniveau. Kompromittering af virksomhedsmail (BEC) kostede anslået 2,4 milliarder USD i justerede tab i 2021.⁷

I dagens cloud-forbundne verden er beskyttelse af adgang blevet vigtigere end nogensinde før. Som følge heraf er det afgørende at få en dyb forståelse af identitet på tværs af din organisation – herunder brugerkontotilladelser, arbejdsbelastningsidentiteter og deres potentielle sårbarheder – særligt efterhånden som angrebene bliver mere hyppige og kreative.

Antallet af adgangskodeangreb steg til anslået 921 angreb hvert sekund i 2022 – en stigning på 74 % fra 2021.⁸ Hos Microsoft har vi også set, at trusselsaktører bliver mere kreative med hensyn til at omgå multifaktorgodkendelse (MFA) ved hjælp af teknikker såsom fjende-i-midten-phishingangreb og misbrug af tokens til at få adgang til en organisations data. Phishingkits har gjort det nemmere for trusselsaktører at stjæle legitimationsoplysninger. Microsofts Digital Crimes Unit har observeret en stigning i sofistikationsniveau for phishingkits over det seneste år, foruden meget lave adgangsbarrierer – med en sælger, der tilbyder phishingkits for helt ned til 6 USD pr. dag.⁹

Administration af angrebsoverfladen for identiteter omfatter mere end at beskytte brugerkonti – det spænder over cloudadgang, foruden arbejdsbelastningsidentiteter. Kompromitterede legitimationsoplysninger kan være et kraftfuldt værktøj for trusselsaktører, som de kan bruge til at skabe kaos i en organisations cloud-infrastruktur.

Givet det store antal enheder i dagens hybride miljø er det blevet mere udfordrende at beskytte slutpunkter. Det, der ikke har ændret sig, er, at beskyttelse af slutpunkter – særligt ikke-administrerede enheder – er afgørende for at hørt sikkerhedsniveau, eftersom blot én kompromittering kan give trusselsaktører adgang til din organisation.

Efterhånden som organisation har omfavnet BYOD-politikker ("Bring Your Own Device", medbring din egen enhed), er ikke-administrerede enheder blevet mere udbredte. Som følge heraf er angrebsoverfladen for slutpunkter nu større og mere eksponeret. Der er i gennemsnit 3.500 forbundne enheder i en virksomhed, der ikke er beskyttet af en agent for slutpunktsregistrering og -svar.¹¹

Ikke-administrerede enheder (som er en del af landskabet for "skygge-it") er særligt tiltalende for trusselsaktører, fordi sikkerhedsteams ikke har den nødvendige synlighed til at beskytte dem. Hos Microsoft har vi fundet frem til, at brugerne har 71 % større risiko for at blive inficeret på en ikke-administreret enhed.¹² Eftersom ikke-administrerede enheder opretter forbindelse til virksomhedsnetværk, præsenterer de også muligheder for personer med ondsindede hensigter for at lancere bredere angreb på servere og anden infrastruktur.

Ikke-administrerede servere er også potentielle vektorer for slutpunktsangreb. I 2021 observerede Microsoft Security et angreb, hvor en trusselsaktør gjorde brug af en ikke-patchet server, navigerede gennem mapper og opdagede en mappe med adgangskoder, der gav adgang til legitimationsoplysninger til konti.

En af de mest oversete angrebsvektorer for slutpunkter er IoT (tingenes internet) – som inkluderer milliarder af enheder, både store og små. IoT-sikkerhed omhandler fysiske enheder, der opretter forbindelse til og udveksler data med netværket, f.eks. routere, printere, kameraer og andre lignende enheder. Det kan også inkludere operationelle enheder og sensorer (operativ teknologi eller "OT"), f.eks. smartudstyr på produktionslinjer til fremstilling.

Efterhånden som antallet af IoT-enheder vokser, stiger antallet af sårbarheder. IDC forudsiger, at der i 2025 vil være 41 milliarder IoT-enheder i virksomheds- og forbrugermiljøer.¹⁵ Eftersom mange organisationer bestyrker deres routere og netværk for at gøre dem sværere for trusselsaktører at bryde ind i, bliver IoT-enheder et lettere og mere tiltalende mål. Vi ser ofte, at trusselsaktører udnytter sårbarheder for at bruge IoT-enheder som proxyer – med en eksponeret enhed som en fod indenfor i netværket. Når en trusselsaktør har fået adgang til en IoT-enhed, kan vedkommende overvåge netværkstrafik for andre ubeskyttede aktiver og bevæge sig lateralt for at infiltrere andre dele af målets infrastruktur eller udføre rekognoscering for at planlægge storskalaangreb på følsomt udstyr og enheder. I en undersøgelse rapporterede 35 % af sikkerhedsfagfolkene, at en IoT-enhed inden for de seneste 2 år blev brugt til at udføre et bredere angreb mod deres organisation.¹⁶

Desværre er IoT ofte en blind vinkel for organisationer med hensyn til synlighed, og mange har ikke passende foranstaltninger for IoT-sikkerhed. 60 % af sikkerhedsfagfolk angav IoT- og OT-sikkerhed som en af de mindst beskyttede aspekter ved deres it- og OT-infrastruktur.¹⁷

I dag dækker en organisations eksterne angrebsoverflade over flere skyer, komplekse digitale forsyningskæder og store tredjeparts-økosystemer. Internettet er nu en del af netværket, og trods den nærmest uforståelige størrelse skal sikkerhedsteams nu forsvare deres organisations tilstedeværelse på hele internettet i en vis udstrækning, såvel som alt bag deres firewalls. Og efterhånden som flere organisationer tager principperne ved Nul tillid i brug, er beskyttelse af både interne og eksterne angrebsoverflader blevet en udfordring i internetskala.

Den globale angrebsoverflade vokser med internettet, og det vokser hver dag. Hos Microsoft har vi set beviser på denne stigning på tværs af mange typer trusler, f.eks. phishingangreb. I 2021 stod Microsofts Digital Crimes Unit for fjernelsen af mere end 96.000 unikke URL-adresser brugt til phishing og 7.700 phishingkits, hvilket førte til identifikation og lukning af over 2.200 skadelige mailkonti, der blev brugt til at indsamle stjålne legitimationsoplysninger fra kunder.²⁴

Den eksterne angrebsoverflade rækker langt ud over en organisations egne aktiver. Den inkluderer ofte leverandører, partnere, ikke-administrerede personlige medarbejderenheder forbundet til virksomhedens netværk eller aktiver, samt nyligt opkøbte organisationer. Som følge heraf er det afgørende at være bevidst om eksterne forbindelser og eksponering for at afbøde potentielle trusler. En Ponemon-rapport fra 2020 afslørede, at 53 % af organisationer havde oplevet mindst ét databrud som følge af en tredjepart over de seneste to år, med en afhjælpningsomkostning på gennemsnitligt 7,5 millioner USD.²⁵

Efterhånden som infrastruktur bag cyberangreb bliver større, er det blevet mere presserende end nogensinde at få synlighed over trusselsinfrastrukturen og føre opgørelse over interneteksponerede enheder. Vi har fundet frem til, at organisationer ofte har svært ved at forstå omfanget af deres eksterne eksponering, hvilket medfører betydelige blinde vinkler. Disse blinde vinkler kan have ødelæggende konsekvenser. I 2021 oplevede 61 % af virksomheder et ransomwareangreb, der førte til mindst en delvis forstyrrelse af virksomhedens drift.²⁶

Hos Microsoft fortæller vi ofte vores kunder, at de skal se deres organisation udefra og ind, når de evaluerer sikkerhedsniveauet. Udover VAPT (Vulnerability Assessment and Penetration Testing, sårbarhedsvurdering og penetrationstest) er det vigtigt at få dybdegående synlighed over din eksterne angrebsoverflade, så du kan identificere sårbarheder i hele dit miljø og udvidede økosystem. Hvis du var en person med ondsindede hensigter, som forsøger at komme ind, hvad kunne du så udnytte? Det er afgørende at forstå din organisations eksterne angrebsoverflades fulde udstrækning for at beskytte den.

Sådan kan Microsoft hjælpe

Dagens trusselslandskab undergår konstante forandringer, og organisationer har brug for en sikkerhedsstrategi, der kan følge med. Øget organisatorisk kompleksitet og eksponering gør det sammen med et stort antal trusler og en lav indgangsbarriere til den cyberkriminelle økonomi mere presserende end nogensinde at beskytte hver eneste placering i og mellem hver angrebsoverflade.

Sikkerhedsteams har brug for kraftfulde efterretninger om cybertrusler for at forsvare mod nutidens myriade af fremvoksende trusler. De rigtige efterretninger om trusler korrelerer signaler fra forskellige steder – hvilket giver relevant kontekst om aktuel angrebsadfærd og tendenser i tide, så sikkerhedsteams kan lykkes med at identificere sårbarheder, prioritere underretninger og forpurre angreb. Og hvis der sker et brud, er efterretninger om trusler afgørende for at undgå yderligere skade og forbedre forsvaret, så et lignende angreb ikke kan finde sted igen. Enkelt sagt vil organisationer, der gør brug af flere efterretninger om trusler være sikrere og mere succesfulde.

Microsoft har et overblik over det fremvoksende trusselslandskab uden sidestykke med 65 billioner signaler analyseret hver dag. Ved at korrelere disse signaler i realtid på tværs af angrebsoverflader giver oplysninger om trusler, der er indbygget i Microsoft Security-løsninger, indsigt i det voksende ransomware- og trusselsmiljø, så du kan se og stoppe flere angreb. Og med avanceret funktionalitet med kunstig intelligens, f.eks. Microsoft Security Copilot, kan du være foran fremvoksende trusler og beskytte din organisation i maskinhastighed – hvilket gør det muligt for dit sikkerhedsteam at forenkle det komplekse, fange det andre misser og beskytte alt.