Identitet je novo bojno polje

Kibernetički napadi aktera nacionalnih država su u porastu. Uprkos svojim ogromnim resursima, ti protivnici se često oslanjaju na jednostavne taktike da bi ukrali lozinke koje se lako pogađaju. Na taj način mogu dobiti brz i lak pristup nalozima klijenata. U slučaju napada na preduzeća, prodor u mrežu organizacije omogućava akterima iz nacionalne države da steknu uporište koje mogu koristiti za kretanje bilo vertikalno, preko sličnih korisnika i resursa, ili horizontalno, dobijajući pristup vrednijim akreditivima i resursima.

Ciljani phishing, napadi putem društvenog inženjeringa i širenje lozinki osnovne su taktike aktera nacionalne države koje se koriste za krađu ili pogađanje lozinki. Microsoft stiče uvid u zanat i uspehe napadača posmatrajući u koje taktike i tehnike ulažu i sa kojima postižu uspeh. Ako se korisničkim akreditivima loše upravlja ili ostanu ranjivi bez ključnih mera zaštite kao što su višestruka potvrda identiteta (MFA) i funkcije bez lozinke, nacionalne države će nastaviti da koriste iste jednostavne taktike.

Ne može se preceniti potreba da se sprovede usvajanje MFA ili da se koriste metode bez lozinke, jer jednostavnost i niska cena napada usmerenih na identitet čine takve napade pogodnim i efikasnim za aktere. Iako MFA nije jedini alat za upravljanje identitetom i pristupom koji organizacije treba da koriste, on može pružiti moćno sredstvo odvraćanja od napada.

Zloupotreba akreditiva je stalni pristup organizacije NOBELIUM, protivnika iz nacionalne države koji je povezan sa Rusijom. Međutim, i drugi protivnici, kao što je DEV 0343 povezan sa Iranom, takođe se oslanjaju na napade putem lozinki. Aktivnost organizacije DEV-0343 primećena je u odbrambenim kompanijama koje proizvode vojne radare, tehnologiju za dronove, satelitske sisteme i komunikacione sisteme za hitne slučajeve. Dalje aktivnosti su bile usmerene na regionalne ulazne luke u Persijskom zalivu i nekoliko kompanija za pomorski i teretni transport sa poslovnim fokusom na Bliskom istoku.

Omogućavanje višestruke potvrde identiteta: Na taj način se smanjuje rizik da lozinke dospeju u pogrešne ruke. Još bolje je potpuno eliminisati lozinke korišćenjem MFA bez lozinke.

Nadzor privilegija naloga: Nalozi sa privilegovanim pristupom, ako su otmu, postaju moćno oružje koje napadači mogu da koriste da bi dobili veći pristup mrežama i resursima. Bezbednosni timovi bi trebalo da često revidiraju privilegije pristupa, koristeći princip najmanje dodeljenih privilegija kako bi zaposlenima omogućili da obave posao.

Pregled, ojačanje i nadgledanje svih naloga administratora zakupca: Timovi za bezbednost bi trebalo da temeljno pregledaju sve korisnike administratora zakupca ili naloge vezane za delegirane administrativne privilegije da bi proverili autentičnost korisnika i aktivnosti. Zatim bi trebalo da onemoguće ili uklone sve neiskorišćene delegirane administrativne privilegije.

Uspostavljanje i primena bezbednosne osnove za smanjenje rizika: Nacionalne države igraju dugu igru i imaju finansijska sredstva, volju i obim da razviju nove strategije i tehnike napada. Svaka inicijativa za jačanje mreže koja je odložena zbog propusnog opsega ili birokratije ide u njihovu korist. Bezbednosni timovi bi trebalo da daju prioritet primeni praksi nultog poverenja kao što su MFA i nadogradnja na metode bez lozinke . Mogu da počnu sa privilegovanim nalozima da bi brzo dobili zaštitu, a zatim se proširuju u postepenim i kontinuiranim fazama.

Čini se da je dominantna priča da postoji ogroman broj novih pretnji ransomverom koje prevazilaze mogućnosti branilaca. Međutim, Microsoft analiza pokazuje da to nije tačno. Takođe postoji percepcija da su određene grupe ransomvera jedan monolitni entitet, što je takođe netačno. Ono što postoji jeste kibernetička kriminalna ekonomija u kojoj različiti igrači u lancima napada na robu donose namerne izbore. Oni su vođeni ekonomskim modelom da maksimizuju profit na osnovu toga kako svaki od njih koristi informacije kojima imaju pristup. Grafikon u nastavku pokazuje kako različite grupe profitiraju od različitih strategija kibernetičkih napada i informacija od proboja podataka.

Razumeju da ransomver napreduje na podrazumevanim ili kompromitovanim akreditivima: Kao rezultat toga, bezbednosni timovi bi trebalo da ubrzaju mere zaštite kao što je implementacija MFA bez lozinke na sve korisničke naloge uz davanje prioriteta izvršnim, administratorskim i drugim privilegovanim ulogama.

Identifikuju kako da uoče izdajničke anomalije na vreme da bi delovali: Rane prijave, kretanje datoteka i druga ponašanja koja uvode ransomver mogu izgledati neodređeno. Bez obzira na to, timovi moraju da prate anomalije i da brzo reaguju na njih.

Da imaju plan odgovora na ransomver i sprovedu vežbe oporavka: Živimo u eri sinhronizacije i deljenja u oblaku, ali kopije podataka se razlikuju od čitavih IT sistema i baza podataka. Timovi treba da vizuelizuju i uvežbaju kako izgledaju pune restauracije.

Upravljaju upozorenjima i brzo prelaze na ublažavanje: Iako se svi plaše napada ransomverom, primarni fokus bezbednosnih timova treba da bude na jačanju slabih bezbednosnih konfiguracija koje omogućavaju da napad uspe. Oni treba da upravljaju bezbednosnim konfiguracijama kako bi se na upozorenja i detekcije pravilno reagovalo.

Pretnje u krajnjim tačkama:
Microsoft Defender za krajnju tačku blokirao je više od 9,6 milijardi pretnji zlonamernog softvera usmerenih na uređaje preduzeća i potrošača između januara i decembra 2021.

Pretnje e-poštom:
Microsoft Defender za Office 365 je između januara i decembra 2021. blokirao više od 35,7 milijardi phishing i drugih zlonamernih e-poruka usmerenih na poslovne korisnike i potrošače.

Pretnje po identitet:
Microsoft (Azure Active Directory) otkrio je i blokirao više od 25,6 milijardi pokušaja otmice korisničkih naloga preduzeća brutalnim korišćenjem ukradenih lozinki, između januara i decembra 2021.