Kaj lahko napad ruskega elektroenergetskega omrežja nauči vsakega profesionalnega

Do zdaj ste že slišali, da je skupna preiskava Zveznega preiskovalnega urada (FBI) in ameriškega ministrstva za domovinsko varnost povzročila poročilo, da so ruski operativci vdrli v podjetja, ki so del električnega omrežja v ZDA. Napadi so podrobno opisani v poročilu ameriške skupine za računalniško pripravljenost na izredne razmere (US-CERT), ki opisuje, kako so napadalci lahko prodrli v energetske objekte in kaj so storili z informacijami, ki so jih ukradli.

V medijskih poročilih ni bilo dejstva, ki bi moralo zaskrbeti IT strokovnjaka, najsi bo to delo za mala in srednje velika podjetja (SMB) ali večjo organizacijo. To dejstvo: Pot, ki so jo napadalci izkoristili, je šla skozi manjše partnerje končne tarče. Napad so začeli s prodiranjem v obrambo tistih manjših partnerjev, ker so verjetno imeli šibkejšo obrambo, nato pa so uporabili informacije in vire, ki so jih od tam zbirali za napad na naslednji objekt navzgor.

Anatomija pametnega phishing napada

Primarno sredstvo za dostop do manjšega partnerja je bilo iskanje javnih informacij, ki bi skupaj z drugimi informacijami zagotovile raven podrobnosti, ki je potrebna za naslednji korak. Na primer napadalec lahko pregleda spletno mesto podjetja, ki posluje s končnim ciljem in tam lahko najde e-poštni naslov višjega vodstva bodisi v partnerjevi družbi bodisi pri končni tarči. Nato lahko napadalec preuči druge informacije s spletnih strani obeh podjetij, da vidi, kakšen je odnos, katere storitve nudi kdo in kaj o strukturi vsakega podjetja.

Oborožen s temi informacijami lahko napadalec začne pošiljati zelo prepričljiva lažna sporočila z lažnimi identitetami na podlagi zakonitega e-poštnega naslova; tiste z dovolj izdelanimi podrobnostmi, ki bi lahko premagale vse phishing filtre, nameščene na požarnem zidu ali upravljani ravni zaščite končnih točk. E-poštna sporočila z lažnim predstavljanjem bi bila zasnovana tako, da pridobijo poverilnice za prijavo za osebo, na katero je tarča, in če bi kateri od njih uspel, bi napadalci takoj zaobšli vse ukrepe za upravljanje identitete, ki bi lahko obstajali in bili znotraj ciljne mreže.

Z razkritji o pridobivanju informacij o uporabnikih s Facebooka se narava grožnje širi. V kršitvi, opravljeni pod krinko akademskega raziskovanja, ki se je začela leta 2014, je ruski raziskovalec dobil dostop do približno 50 milijonov uporabniških profilov ameriških članov Facebooka. Ti profili so bili predani podjetju Cambridge Analytica. Kasnejše preiskave so pokazale, da so bili ti podatki vzeti brez dovoljenja teh uporabnikov Facebooka in nato zlorabljeni.

Revizija zunanjih komunikacij

Pri tem se postavlja vprašanje, katere podatke naj previdna podjetja dajo na voljo na svojih spletnih straneh. Še huje je, da se mora ta poizvedba razširiti na prisotnost organizacije v družbenih medijih, na tržne poti drugih proizvajalcev, kot je Youtube, in celo na odmevne profile socialnih medijev zaposlenih.

"Mislim, da morajo biti previdni glede tega, kar se nahaja na spletnih straneh njihovih podjetij, " je dejal Leo Taddeo, glavni informacijski varnostni predstavnik (CISO) za družbo Cyxtera in nekdanji posebni agent, ki je bil odgovoren za oddelek za kibernetske oddelke FBI-jevega urada v New Yorku. "Obstaja velik potencial za nenamerno razkritje informacij."

Taddeo je dejal, da je dober primer objave delovnih mest, kjer lahko razkrijete, katera orodja uporabljate za razvoj ali celo, katere varnostne posebnosti iščete. "Obstaja veliko načinov, da se podjetja lahko izpostavijo. Obstaja velika površina. Ne le spletna stran in ne samo namerna komunikacija, " je dejal.

"Socialni mediji so tveganje, " je pojasnil Taddeo in poudaril, da zaposleni, ki objavljajo na družbenih medijih, lahko veliko nenamerno razkrijejo. Opozoril je, da zaposleni, ki pravijo, da niso zadovoljni s svojim delom, lahko razkrijejo cilj izkoriščanja. "Zaposleni, ki podrobno govorijo o svojem delu ali svojih dosežkih, so tveganje. Rudarstvo v družbenih medijih je zelo uspešno za nasprotnike."

Taddeo je opozoril, da profesionalna medijska spletna mesta, kot je LinkedIn, predstavljajo tveganje tudi za tiste, ki niso previdni. Dejal je, da nasprotniki na takšnih spletnih straneh ustvarjajo ponarejene račune, ki prikrivajo, kdo so v resnici in nato uporabljajo podatke iz svojih stikov. "Karkoli objavijo na spletnih straneh družbenih medijev, lahko ogrozijo delodajalca, " je dejal.

Glede na dejstvo, da so slabi akterji, na katere ciljate, morda po vaših podatkih ali morda po organizaciji, s katero delate, vprašanje ni samo, kako se zaščitite, ampak kako zaščitite tudi svojega poslovnega partnerja? To je zapleteno zaradi dejstva, da morda ne veste, ali bodo napadalci morda po vaših podatkih ali vas samo vidijo kot odskočno desko in morda prizorišče za naslednji napad.

Kako se zaščititi

Kakor koli že, nekaj korakov lahko storite. Najboljši način, da pristopite k temu, je v obliki revizije informacij. Naštejte vse kanale, ki jih vaše podjetje uporablja za zunanje komunikacije, zagotovo trženje, med drugim tudi HR, PR in dobavno verigo. Nato sestavite revizijsko skupino, ki vsebuje zainteresirane strani iz vseh prizadetih kanalov, in začnite sistematično analizirati, kaj tam obstaja, s pozornostjo do informacij, ki bi lahko koristile tatovom podatkov. Najprej začnite s spletnim mestom vašega podjetja:

Preglejte spletno mesto svojega podjetja, če imate vse, kar bi lahko vsebovalo podrobnosti o vašem delu ali orodjih, ki jih uporabljate. Na primer, računalniški zaslon, prikazan na fotografiji, lahko vsebuje pomembne informacije. Preverite fotografije proizvodne opreme ali omrežne infrastrukture, ki lahko nudijo namige, koristne za napadalce.

Poglejte seznam osebja. Ali imate na seznamu e-poštne naslove za starejše? Ti naslovi ne bodo samo pošiljali napadalcem potencialni naslov za prijavo, ampak tudi način, kako ponarejati e-poštna sporočila, poslana drugim zaposlenim. Razmislite o nadomestitvi tistih s povezavo do obrazca ali uporabi drug e-poštni naslov za javno porabo v primerjavi z notranjo uporabo.

Ali na vašem spletnem mestu piše, kdo so vaše stranke ali partnerji? To lahko napadalcu omogoči še en način napada na vašo organizacijo, če ima težave z varnostjo.

Preverite objave delovnih mest. Koliko razkrijejo o orodjih, jezikih ali drugih vidikih vašega podjetja? Razmislite o sodelovanju prek zaposlitvenega podjetja, da se ločite od teh informacij.

Poglejte svojo prisotnost v družabnih medijih, pri čemer ne pozabite, da bodo vaši nasprotniki zagotovo poskušali rudariti informacije po tem kanalu. Oglejte si tudi, koliko informacij o vašem podjetju je razkritih v objavah starejšega osebja. Ne morete nadzorovati vsega o dejavnostih svojih zaposlenih na družbenih medijih, vendar lahko to spremljate.

Upoštevajte omrežno arhitekturo. Taddeo priporoča pristop po potrebi, v katerem je dostop skrbnika dodeljen samo, kadar je potreben in samo za sistem, ki potrebuje pozornost. Predlaga uporabo programsko določenega oboda (SDP), ki ga je prvotno razvilo ameriško ministrstvo za obrambo. "Končno se pravice dostopa vsakega uporabnika dinamično spremenijo glede na identiteto, napravo, omrežje in občutljivost aplikacije, " je dejal. "Te poganjajo enostavno konfigurirane politike. Z uskladitvijo dostopa do omrežja z dostopom do aplikacij uporabniki ostanejo v celoti produktivni, medtem ko se površina napada močno zmanjša."

• Zdaj razmislite o svojih oblačnih storitvah enako. Pogosto je privzeta konfiguracija, da se višji skrbniki direktorjev podjetij postavijo na storitve drugih podjetij v oblaku, na primer račune Google Analytics ali Salesforce vašega podjetja. Če ne potrebujejo te ravni dostopa, razmislite, ali jih prepustite statusu uporabnikov in administrativne ravni dostopa prepustite osebju IT, katerega e-poštne prijave bi bilo težje najti.

Končno je Taddeo rekel, da išče ranljivosti, ki jih ustvarja senčna IT. Če ga ne iščete, bi lahko svoje varnostno delo obšli, ker je nekdo namestil brezžični usmerjevalnik v svoji pisarni, da bi lažje uporabljali svoj osebni iPad pri delu. V to kategorijo spadajo tudi neznane storitve drugih oblakov. V velikih organizacijah ni redko, da vodje oddelkov preprosto prijavijo svoje oddelke za priročne storitve v oblaku, da zaobidejo tisto, kar IT-jem pomeni "birokracija".

To lahko vključuje osnovne IT-storitve, na primer uporabo Dropbox Business kot omrežne shrambe ali uporabo druge storitve avtomatizacije trženja, ker je prijava na uradno orodje, podprto s podjetjem, prepočasna in zahteva izpolnjevanje preveč obrazcev. Programske storitve, kakršne so te, lahko razkrijejo občutljive podatke, ne da bi se jih IT sploh zavedali. Poskrbite, da veste, katere aplikacije se uporabljajo v vaši organizaciji, kdo jih uporablja, in da trdno nadzorujete, kdo ima dostop.

Takšno revizijsko delo je dolgočasno in včasih dolgotrajno, vendar na dolgi rok lahko izplača velike dividende. Dokler vaši nasprotniki ne pridejo po vas, ne veste, kaj imate, kar bi bilo morda vredno ukrasti. Zato morate k varnosti pristopiti na način, ki je prilagodljiv, vendar še vedno pozorno spremljate, kaj je pomembno; in edini način, da to storite, je temeljito obveščanje o tem, kaj deluje v vašem omrežju.