Az élvonalban: A kínai fenyegető szereplők taktikáinak és technikáinak dekódolása

A COVID alatt sok változást tapasztaltunk. Az ügyfelek számára a világ megváltozott. Egyik napról a másikra mindenki hazament, és megpróbálta otthonról folytatni a munkáját. Láttuk, hogy sok vállalatnak teljesen át kellett alakítania a hálózatát, és láttuk, hogy az alkalmazottak megváltoztatták a munkamódszerüket, és természetesen azt is láttuk, hogy a fenyegető szereplők minderre reagáltak.

Amikor például először vezették be az otthoni munkavégzésre vonatkozó irányelveket, sok szervezetnek számos különböző helyről kellett hozzáférést biztosítania néhány nagyon bizalmas rendszerhez és erőforráshoz, amelyek általában nem voltak elérhetők a vállalati irodákon kívül. Láttuk, hogy a fenyegető szereplők megpróbáltak elvegyülni a zajban, távmunkásoknak adva ki magukat, és hozzáférni ezekhez az erőforrásokhoz.

A COVID első megjelenésekor a vállalati környezetek hozzáférési szabályait gyorsan kellett kialakítani, és néha nem volt idő az ajánlott eljárások felkutatására és áttekintésére. Mivel sok szervezet nem vizsgálta felül ezeket a szabályzatokat a kezdeti bevezetés óta, ma azt látjuk, hogy a fenyegető szereplők megpróbálják felfedezni és kihasználni a hibás konfigurációkat és biztonsági réseket.

A rosszindulatú programok asztali számítógépeken való elhelyezése már nem olyan értékes. Most arról van szó, hogy a távmunkásokhoz hasonlóan jelszavakat és tokeneket kapnak, amelyek lehetővé teszik a hozzáférést a bizalmas rendszerekhez.

Nem tudom, hogy a fenyegető szereplők otthonról tudtak-e dolgozni, de vannak olyan adataink, amelyek betekintést nyújtanak abba, hogy a COVID által okozott leállások hogyan befolyásolták a tevékenységüket azokban a városokban, ahol éltek. Nem számított, hogy hol végezték a munkájukat, hatással volt az életükre – mint mindenki máséra.

Néha láthattuk a számítógépek aktivitásának hiányából eredő egész városra kiterjedő leállások hatását. Nagyon érdekes volt látni a kerületi szintű terjedő leállások hatását az adatainkban.

Van egy remek példám – az egyik általunk követett fenyegető szereplő, a Nylon Typhoon. A Microsoft 2021 decemberében lépett fel a csoport ellen, és megszakította az Európát, Latin-Amerikát és Közép-Amerikát célzó infrastruktúrát.

Értékelésünk szerint az áldozatok egy része valószínűleg hírszerzési műveleteket végzett, amelyek célja az volt, hogy betekintést nyerjenek a kínai kormány által vezetett, a kínai Egy övezet, egy út kezdeményezés (BRI) keretében világszerte megvalósuló infrastrukturális projektekbe bevont partnerekbe. Tudjuk, hogy a kínai állam által támogatott fenyegető szereplők hagyományos kémkedést és gazdasági kémkedést folytatnak, és értékelésünk szerint ez a tevékenység valószínűleg mindkettőre kiterjedt.

Nem vagyunk 100%-ig biztosak benne, mert nincs bizonyítékunk. 15 év után elmondhatom, hogy nagyon nehéz megtalálni a bizonyítékokat. Amit azonban tehetünk, az az, hogy elemezzük az információkat, a környezetbe helyezzük őket, és azt mondjuk: „Megállapítjuk, hogy ez az ok valószínűsíthető”.

Az egyik legnagyobb tendencia az, hogy a hangsúly a felhasználói végpontokról és az egyéni rosszindulatú programokról a valóban a peremhálózati szereplőkre helyeződik át – az erőforrásokat a peremeszközök kihasználására és az állandóság fenntartására összpontosítják. Ezek az eszközök azért érdekesek, mert ha valaki hozzájuk fér, akkor nagyon sokáig ott maradhat.

Néhány csoport lenyűgözően mélyrehatóan vizsgálta ezeket az eszközöket. Tudják, hogyan működik a belső vezérlőprogram. Ismerik az egyes eszközök biztonsági réseit, és tudják, hogy sok eszköz nem támogatja a vírusirtást vagy a részletes naplózást.

Természetesen a szereplők tudják, hogy az olyan eszközök, mint a VPN-ek, most a királyság kulcsai. Ahogy a szervezetek olyan biztonsági rétegeket építenek be, mint a tokenek, a többfaktoros hitelesítés (MFA) és a hozzáférési szabályzatok, a szereplők egyre okosabbak a kijátszásban és a védelmen való átjutásban.

Azt hiszem, sok szereplő felismerte, hogy ha képes hosszú távon fennmaradni egy olyan eszközön keresztül, mint egy VPN, akkor nem igazán van szüksége arra, hogy rosszindulatú programokat telepítsen bárhová. Egyszerűen hozzáférést biztosíthatnak maguknak, amely lehetővé teszi számukra, hogy bármelyik felhasználóként bejelentkezzenek.

Lényegében „isten módot” adnak maguknak a hálózaton azáltal, hogy kompromittálják ezeket a peremeszközöket.

Azt a tendenciát is látjuk, hogy a szereplők a Shodant, a Fofát vagy bármilyen más adatbázist használnak, amely átvizsgálja az internetet, katalogizálja az eszközöket, és azonosítja a különböző javítási szinteket.

Azt is látjuk, hogy a szereplők saját maguk vizsgálják át az internet nagy területeit (néha már létező célpontlisták alapján), kihasználható dolgok után kutatva. Ha találnak valamit, akkor újabb ellenőrzést végeznek, hogy ténylegesen kihasználják az eszközt, majd később visszatérnek, hogy hozzáférjenek a hálózathoz.

Mindkettő. A szereplőtől függ. Egyes szereplők felelősek egy adott országért. Ez a célcsoportjuk, ezért csak az adott országban lévő eszközökkel törődnek. Más szereplők azonban funkcionális célcsoportokkal rendelkeznek, így konkrét ágazatokra, például a pénzügyekre, az energiára vagy a gyártásra összpontosítanak. Több év alatt felépítettek egy célpontlistát a számukra fontos vállalatokról, és ezek a szereplők pontosan tudják, hogy milyen eszközöket és szoftvereket futtatnak a célpontjaik. Így megfigyelhetjük, hogy egyes szereplők egy előre meghatározott célpontlistát vizsgálnak, hogy lássák, a célpontok javítottak-e egy adott biztonsági rést.

A szereplők nagyon céltudatosak, módszeresek és precízek tudnak lenni, de néha szerencséjük is van. Nem szabad elfelejtenünk, hogy ők is emberek. Amikor egy kereskedelmi termékkel futtatnak vizsgálatokat vagy gyűjtenek az adatokat, néha szerencséjük van, és rögtön az elején megkapják a megfelelő információkat, amelyek segítik a műveleteik megkezdését.

Pontosan ez az. A megfelelő védelem azonban több mint egyszerű javítás. A leghatékonyabb megoldás egyszerűen hangzik, de a gyakorlatban nagyon nehéz. A szervezeteknek meg kell érteniük és leltározniuk kell az internetnek kitett eszközeiket. Tudniuk kell, hogyan néznek ki a hálózati peremterületeik, és tudjuk, hogy ez különösen nehéz a hibrid környezetekben, ahol a felhőalapú és a helyi eszközök egyaránt megtalálhatóak.

Az eszközkezelés nem könnyű, és nem is szeretnék úgy tenni, mintha az lenne, de a hálózaton lévő eszközök – és az egyes eszközök javítási szintjeinek – ismerete az első lépés, amit megtehet.

Ha tudja, hogy mivel rendelkezik, növelheti a naplózási képességet és a telemetriát ezekből az eszközökből. Törekedjen a naplók részletességére. Ezeket az eszközöket nehéz megvédeni. A hálózat megvédésének legjobb módja ezekhez az eszközökhöz a naplózás és az anomáliák megkeresése.

Bárcsak meg tudnám jósolni, hogy mik a kínai kormány tervei. Sajnos nem tudom. Amit azonban láthatunk, az valószínűleg az információhoz való hozzáférés iránti vágy.

Minden nemzetnek vannak vágyai.

Mi is szeretnénk információhoz jutni. Szeretjük ismerni az adatokat.

Judy az Egy övezet, egy út kezdeményezés (BRI) szakértője és geopolitikai szakértő. Az ő meglátásaira támaszkodunk, amikor a trendeket vizsgáljuk, különösen a célzás terén. Néha látunk olyan új célpontot látunk, aminek nem igazán van értelme. Nem illik bele abba, amit korábban csináltak, ezért megkérdezzük Judyt, aki azt mondja nekünk: „Ó, ebben az országban éppen egy fontos gazdasági találkozó zajlik, vagy tárgyalások folynak egy új gyár építése körül ezen a helyen”.

Judy értékes véleményt ad a helyzetről, arról, hogy a fenyegető szereplők miért teszik azt, amit tesznek. Mindannyian tudjuk, hogyan használjuk a Bing Fordítót, és mindannyian tudjuk, hogyan nézzünk utána a híreknek, de ha valaminek nincs értelme, Judy el tudja mondani, hogy „Nos, ez a fordítás valójában ezt jelenti”, és ez jelentheti a különbséget.

A kínai fenyegető szereplők felkutatásához kulturális ismeretekre van szükség a kormányuk felépítéséről, valamint a vállalataik és intézményeik működéséről. Judy munkája segít kibogozni ezeknek a szervezeteknek a struktúráját, és megismerteti velünk, hogyan működnek – hogyan keresnek pénzt és hogyan lépnek kapcsolatba a kínai kormánnyal.

Ahogy Sarah mondta, a kommunikációról szól. Mindig a Teams csevegést használjuk. Mindig megosztjuk azokat a betekintéseket, amelyeket a telemetriából láthattunk, és amelyek segítettek nekünk a lehetséges következtetések levonásában.

Mi a titkom? Sok internetezés és olvasás. De komolyan, szerintem az egyik legértékesebb dolog az, ha egyszerűen tudjuk, hogyan kell használni a különböző keresőmotorokat.

Jól érzem magam a Bingen, de a Baiduban és a Yandexben is.

Ez azért van, mert a különböző keresőmotorok különböző eredményeket adnak. Nem csinálok semmi különöset, de tudom, hogy különböző forrásokból különböző eredményeket kell keresnem, hogy onnan elemezhessem az adatokat.

A csapatban mindenki sokat tud. Mindenkinek vannak szuperképességei – csak tudni kell, kit kell megkérdezni. És nagyszerű, hogy egy olyan csapatban dolgozunk, ahol mindenki nyugodtan kérdezhet a másiktól, igaz? Mindig azt mondjuk, hogy nincsenek buta kérdések.

Ezt a helyet a buta kérdések működtetik.

Itt a tökéletes alkalom az IT-biztonsággal kezelésére. Amikor először kezdtem, nem volt sok felfedeznivaló osztály, forrás vagy lehetőség. Most már vannak alap- és mesterképzések is! Ma már sokféleképpen lehet bekerülni a szakmába. Igen, vannak olyan utak, amelyek sok pénzbe kerülhetnek, de vannak olcsóbb és ingyenes utak is.

Az egyik ingyenes biztonsági képzési forrást  Simeon Kakpovi  és Greg Schloemer, a Microsoft Veszélyforrás-intelligencia munkatársai fejlesztették ki. Ez a KC7 nevű eszköz bárki számára elérhetővé teszi az informatikai biztonságba való bejutást, a hálózati és állomásesemények megértését és a szereplők felkutatását.

Most már lehetőség van arra is, hogy mindenféle különböző témával foglalkozzanak. Amikor én kezdtem, olyan vállalatnál kellett dolgozni, amelynek több millió dolláros költségvetése volt, hogy megengedhesse magának ezeket az eszközöket. Sokak számára ez jelentette a belépés akadályát. De most már bárki elemezhet kártevő szoftverek mintáit. Régebben nehéz volt rosszindulatú szoftvermintákat és csomagrögzítéseket találni. De ezek az akadályok most megszűnnek. Ma már rengeteg ingyenes és online eszköz és forrás áll rendelkezésre, ahol a saját tempóban tanulhat.

Azt tanácsolom, hogy találja meg azt a rést, ami érdekli. Mi a teendő a kártevőkkel kapcsolatos kutatás terén? Digitális kriminalisztika? Intelligens veszélyforrás-felderítés? Válassza ki a kedvenc témáit, használja ki a nyilvánosan elérhető forrásokat, és tanuljon minél többet ezekből.

A legfontosabb dolog a kíváncsiság, igaz? A kíváncsiság mellett jól kell együttműködnöd másokkal. Nem szabad elfelejteni, hogy ez egy csapatsport – senki sem képes egyedül megoldani a kiberbiztonságot.

Fontos, hogy képes legyen csapatban dolgozni. Fontos, hogy kíváncsiak és nyitottak legyünk a tanulásra. Nem szabad aggódnia azon, hogy kérdéseket tegyen fel és megtalálja a módját, hogy együttműködjön a csapattársaival.

Ez valóban igaz. Szeretném hangsúlyozni, hogy a Microsoft Veszélyforrás-intelligencia a Microsoft számos partnercsapatával dolgozik együtt. Nagyban támaszkodunk kollégáink szakértelmére, hogy megértsük, mit és miért csinálnak a szereplők. Nélkülük nem tudnánk elvégezni a munkánkat.