Eksperci Fortinet o socjotechnicznych atakach w postcovidowej rzeczywistości

Eksperci Fortinet o socjotechnicznych atakach w postcovidowej rzeczywistości

Spowodowane pandemią nagłe przejście na telepracę zaskoczyło wiele przedsiębiorstw, a brak odpowiedniego przygotowania naraził ich sieci na zagrożenia. Działania manipulacyjne cyberprzestępców, obecne w licznych atakach phishingowych i spearphishingowych, zaczęły bowiem koncentrować się wokół obaw użytkowników komputerów związanych z COVID-19. Teraz, gdy wiele firm ponownie zmienia model pracy, konieczne jest rozważenie, jak wpłynie to na bezpieczeństwo ich infrastruktury IT.

Analitycy Derek Manky i Aamir Lakhani z FortiGuard Labs, działającego w strukturach firmy Fortinet, wyjaśniają, jak w czasie pandemii zmodyfikowane zostały techniki działań socjotechnicznych oraz wskazują, co firmy muszą zrobić, aby zabezpieczyć środowiska pracy hybrydowej.

Czym spotykane obecnie zagrożenia socjotechniczne różnią się od tych z początku pandemii?

Derek: Mamy za sobą już ponad 15 miesięcy pandemii. Zakładałem, że po takim czasie zabiegi socjotechniczne związane z COVID-19 będą coraz mniej popularne. Analiza naszych danych wskazuje jednak, że liczba ataków, szczególnie prowadzonych z wykorzystaniem wiadomości e-mail, pozostaje na podobnym poziomie. Różnica polega jedynie na wykorzystywanych do manipulacji tematach. Na początku dotyczyły one głównie pracy zdalnej. Obecnie koncentrują się na ponownym otwarciu biur i kwestiach związanych ze szczepieniami. Popularne jest podszywanie się pod pracowników działów bezpieczeństwa IT.

Aamir: Również oczekiwałem zmniejszenia liczby ataków wykorzystujących temat COVID-19. Biorąc jednak pod uwagę skuteczność, jaką miały niektóre z nich, trudno się dziwić, że kwestie związane z pandemią wciąż są popularne. Cyberprzestępcy po prostu dostosowują swoje przynęty do aktualnej sytuacji i wykorzystują nowe tematy. Niestety, ludzie często nie traktują tych ataków tak poważnie, jak powinni. Na przykład, powrót do pracy stacjonarnej przekłada się na większą liczbę wiadomości phishingowych od przestępców podszywających się pod korporacyjnych specjalistów IT. Należy się spodziewać, że te e-maile będą zgodne z korporacyjnymi wytycznymi dotyczącymi bezpieczeństwa. Przykładowo, będą nakazywać pracownikom ostrożność wobec podejrzanych wiadomości, a jednocześnie będą zachęcać do kliknięcia w znajdujące się w nich złośliwe łącza. Dlatego działy IT w każdej firmie muszą pamiętać o dzieleniu się z pracownikami wiedzą o cyberzagrożeniach i odpowiednio ich uczulać na zagrożenia.

W jaki sposób cyberprzestępcy zmieniają taktykę działania, gdy coraz więcej firm przechodzi na hybrydowe modele pracy?

Aamir: Chociaż coraz więcej osób jest zaszczepionych, a świat wraca do poczucia „normalności”, to o COVID-19 wciąż codziennie słyszymy w mediach. Cyberprzestępcy to wykorzystują, dostosowując jedynie przynęty do popularnych aktualnie tematów. Pojawiają się jednak również nowe taktyki, związane z powrotem do biur. Co zaskakujące, rośnie popularność modelu Ransomware-as-a-Service, w którym cyberprzestępcy dokonują włamania, a następnie oferują „usługi konsultingowe” – w zamian za okup deklarują ujawnienie firmowym specjalistom, w jaki sposób uzyskali dostęp do sieci. W niektórych przypadkach kampanie te przynoszą miliony dolarów zysku. To naprawdę interesująca zmiana w podejściu cyberprzestępców, ponieważ do tej pory próbowali wpłynąć na emocje atakowanego, a teraz oferują im pomoc, oczywiście z korzyścią dla siebie.

Derek: Warto zauważyć, że wiele informacji, których ujawnienie może mieć negatywne konsekwencje, przekazywanych jest przez ich posiadaczy dobrowolnie. Cyberprzestępcy mogą uzyskać dostęp do tych danych i wykorzystać je do przeprowadzenia ataków typu spear phishing. Niektóre informacje przesyłane między pracownikami również mogą zawierać poufne informacje korporacyjne i dane umożliwiające identyfikację konkretnej osoby. W takiej sytuacji cyberprzestępcy nie mają już wiele pracy – wystarczy pobranie dokumentów i informacji publicznie udostępnionych.

O czym zarządy przedsiębiorstw powinny pamiętać przy tworzeniu planów bezpieczeństwa dopasowanych do nowych modeli pracy?

Aamir: Jeżeli firma wysyła jakieś dane do usługodawcy lub dostawcy, trzeba zastanowić się w jaki sposób są one przetwarzane. Czy partnerzy dbają o ochronę poufnych informacji przed zagrożeniami? To są trudne pytania, które należy zadać już na samym początku współpracy. Kupując produkty IoT pytajmy o ich zabezpieczenia, możliwość dostania się do nich z innych sieci, sposób komunikowania z innymi urządzeniami – to wszystko jest bardzo ważne. Właściwie należy się zastanowić, czemu nie zadajemy tych pytań na co dzień, również sobie. Czy przekazując dalej otrzymaną wiadomość e-mail nie udostępniamy jakichś poufnych informacji?

Derek: Ważne jest, aby współpracować i reagować na zagrożenia. Kluczowa jest jednak kwestia zaufania. Jeśli nadawca złośliwych wiadomości e-mail jest sfalsyfikowany i rozsyłane są one rzekomo przez korporacyjny zespół, pracownicy muszą dysponować odpowiednią wiedzą, aby zidentyfikować je jako potencjalne zagrożenie i zweryfikować tożsamość nadawcy. Model zero trust jest tutaj bardzo ważny, bo zmniejsza przestrzeń, w ramach której mogą działać cyberprzestępcy. To rozwiązanie było kluczowe podczas przejścia na pracę zdalną i powinno zostać zastosowane również w przypadku pracy hybrydowej.

 

Jeśli nie rozumiesz co się stało, nie wiesz jak się bronić

Jeśli nie rozumiesz co się stało, nie wiesz jak się bronić

Największe wyzwanie w obszarze cyberbezpieczeństwa i analizy poincydentowej to dzisiaj masowa praca zdalna. Systemy, które zapewniały ochronę wcześniej, dzisiaj już tak dobrze nie działają. Potrzeba nowych rozwiązań, które pozwolą odpowiedzialnym za bezpieczeństwo zespołom na zdalne zabezpieczanie i analizowanie informacji po incydentach – rozmowa z Michałem Ceklarzem, odpowiedzialnym za Cybersecurity w regionie CEE w firmie OpenText.

 

OpenText to duża organizacja z szerokim portfolio rozwiązań dotyczących szeroko rozumianego zarządzania i przepływu informacji w firmie. Jak wygląda oferta w zakresie cyberbezpieczeństwa?

Michał Ceklarz [MC]: Dział bezpieczeństwa powstał w wyniku przejęcia w 2017 r. firmy Guidance Software, która oferowała stworzone na potrzeby organów ścigania rozwiązanie pozwalające na przechowywanie i przetwarzanie informacji cyfrowych stanowiących dowody w sprawach w sposób akceptowany przez sądy.

Budowa tego rozwiązania stanowiła odpowiedź na rosnące znaczenie dowodów elektronicznych we wszystkich dochodzeniach, nie tylko w sprawach związanych z cyberprzestępczością. Taka jest geneza Encase, technologii która bardzo szybko stała się faktycznym standardem wykorzystywanym przez organy ścigania.

EnCase został rozwinięty przez OpenText po przejęciu Guidance Software. W jakim kierunku było rozwijane to oprogramowanie?

MC: OpenText dostrzegł, że nie tylko organy ścigania chcą i potrzebują analizować dowody elektroniczne. Dlatego dopasował EnCase do potrzeb firm komercyjnych, które coraz częściej prowadzą wewnętrzne dochodzenia w związku z niewłaściwymi zachowaniami swoich pracowników, ale także analizy dostępnych dowodów po zaistnieniu incydentów takich jak np. ataki ransomware.

EnCase Endpoint Investigator oferuje praktycznie te same możliwości co systemy dla organów ścigania, ale bez reżimu regulacji prawnych, których częścią jest rekwirowanie sprzętu. Wynika to z faktu, że organizacja musi zachować ciągłość pracy pomimo wystąpienia incydentu. Analiza i działania naprawcze muszą być prowadzona bez zakłócania działania użytkownika, a najlepiej w ogóle bez jego wiedzy i zaangażowania.

Przy tym EnCase Endpoint Investigator dostarcza nie tylko narzędzia niezbędne do prowadzenia dochodzenia, ale także technologię EDR (EnCase Endpoint Protection), która pozwala na wykrywanie zagrożeń nie tylko na podstawie sygnatur, ale także zestawów zachowań np. określonych grup cyberprzestępczych APT. Na stacji roboczej instalowany jest niewielki agent, który działa podobnie do rootkita – pozostaje niewidoczny dla systemu operacyjnego, ale zapewnia możliwość kompletnej analizy z poziomu systemowego.

Pozwala to np. na wykonywanie migawek systemu, które dostarczają informacji o tym jak wygląda system w danej chwili i co się na nim znajduje. Umożliwia także zapobieganie atakom, ponieważ wykrywa np. atak ransomware, uniemożliwia uruchomienie aplikacji i blokuje połączenie z serwerem, na którym odbywa się szyfrowanie. Po incydencie można sprawdzić skąd wziął się plik. Do tego można przeprowadzić powiązaną analizą w skali całej organizacji i wykryć infekcje na innych stacjach.

 

 

Czy agent musi być obecny na stacji roboczej?

MC: Agent instalowany na stacji roboczej to idealny scenariusz, ponieważ pełni funkcję EDR oraz umożliwia analizę po incydencie. Można jednak również zainstalować agenta już po incydencie. Nie zapobiegnie to atakowi, ale pomoże zrozumieć dlaczego do niego doszło i wyeliminować jego źródło na przyszłość. Połączenie mechanizmów obronnych z analizą post-incydentową często nazywamy „Digital Forensic Incident Responce” – DFIR.

Jeśli agent działał na stacji już wcześniej, jest oczywiście łatwiej. Można np. porównać migawki z kolejnych dni, żeby ustalić kiedy pojawił się plik i jak dalej działał. To pozwala na wykorzystanie go także nie tylko w związku z cyberatakami, ale także w sprawach miękkich. Klienci wykorzystują EnCase także do wykrywania nadużyć i oszustw. Przykładowo można wykryć, że choć pracownik jest uprawniony do dostępu do określonych danych, to jednak sięga do nich częściej niż powinien, albo zaczyna je gromadzić na dysku – nie chodzi nawet o to, że zamierza coś złego, ale robi to dla wygody, a nie powinien, bo zwiększa się ryzyko ich wycieku. Zdarza się, że EnCase potwierdza niewinność pracownika podejrzewanego o jakieś niezgodne z prawem czy procedurami działanie.

Co można osiągnąć dzięki wykorzystaniu EnCase?

MC: W większości firmy skupiają się raczej na wykrywaniu i zapobieganiu atakom. Jednocześnie zwykle zapominają o korzyściach z analiz prowadzonych po wystąpieniu incydentu. Szkoda, ponieważ taka analiza dostarcza wskazówek, jak się zabezpieczyć przed atakiem w przyszłości.

W praktyce scenariusz ataku ransomware jest taki, że jeśli nie udało się go wykryć przed zaszyfrowanie, to pozostaje jedynie ponowna instalacja stacji roboczej, która najczęściej, jakiś czas później, znowu staje się celem ataku. Dzieje się tak dlatego, ponieważ tak naprawdę nie wiemy dlaczego doszło do ataku. Tymczasem mamy do czynienia z tą samą stacją i tym samym użytkownikiem, który raczej nie zmienił swoich przyzwyczajeń i sposobu działania.

Jeśli nie analizujemy sytuacji po incydencie, to nie rozumiemy co się stało  i nie wiemy jak przeciwdziałać podobnym sytuacjom w przyszłości. Tak było właśnie w głośnej sprawie Sony: firma skupiała się na maksymalnie szybkim przywróceniu działania, nie analizując co dokładnie się wydarzyło i kończyło się to ponowną kompromitacją systemu. Trwało to blisko 10 tygodni.

Dlaczego tak się dzieje?

MC: Dzisiaj skuteczny atak wiąże się z tzw. lateral movement, czyli rozprzestrzenianiem się zagrożenia z jednej stacji na całą organizację. Jeśli mamy do czynienia z zaawansowanym atakiem, to rzadko jest on wykrywany od razu. Raczej dzieje się to dopiero, kiedy zainfekowana jest większość infrastruktury w organizacji. Jeśli tego nie wiemy co się stało, nie znamy całego kontekstu, to nie jesteśmy w stanie szybko przywrócić normalności. Podnosimy kilka stacji, ale za chwilę mamy zwykle powtórkę. Potwierdza to także historia Solar Winds. O ataku nie informowała pierwsza ofiara, ale firmy, których atak dotknął w konsekwencji tego pierwszego ataku.

Właśnie dlatego tak się dzieje, ponieważ firmy skupiają się przede wszystkim na wykrywaniu i zapobieganiu. Jeśli jednak im się to nie udaje, a praktyka dowodzi, że czasem tak się dzieje, to brak analizy po incydencie bywa kosztowny. Nie rozumiemy zagrożenia, nie wiemy dlaczego doszło do incydentu i nie wiemy jak zareagować, działamy w ciemno.

Jak pandemia wpłynęła na ten obszar cyberbezpieczeństwa?

MC: Pojawienie się na masową skalę pracowników zdalnych sprawiło, że wszystkie zabezpieczenia, w które firmy inwestowały przez lata, przestały zapewniać im ochronę. Nie mamy kontroli nie tylko nad sprzętem wykorzystywanym przez pracowników zdalnych, ale także nad chmurą. W tej sytuacji wykrywanie incydentów jest znacznie trudniejsze niż wcześniej, a jeszcze trudniejsza jest analiza po incydencie. Kiedyś można było po prostu podejść do biurka pracownika, odłączyć komputer od środowiska, zabrać go do siebie, skopiować dysk i rozpocząć analizę. Teraz większość dochodzeń musi być prowadzona zdalnie.

Jak EnCase sprawdza się w tej nowej sytuacji?

MC: Doskonale. Umożliwia działanie w sposób całkowicie zdalny. Przykładowo pozwala na weryfikowanie czy komputery nie są wykorzystywane przez pracowników niezgodnie z firmową polityką. Kiedy sprzęt służbowy jest w domu, a domowe komputery wykorzystywane są głównie przez dzieci, firmowe laptopy często służą do robienia czegoś, do czego nie powinny służyć, ponieważ nie są do tego przystosowane.

A czy może działać w sposób zautomatyzowany, wyręczając specjalistów prowadzących analizy?

MC: EnCase działa w pewnym zakresie automatycznie, na podstawie reguł. Jednak części dochodzeniowej nie da się zautomatyzować, ponieważ jest ściśle uzależniona od kontekstu. Przykładowo treści o alkoholu w organizacji finansowej mogą być uznane za niepożądane, ale u dystrybutora napojów alkoholowych nie są niczym niewłaściwym. To człowiek prowadzący dochodzenie decyduje, w jakim kierunku prowadzi działania.

Automatyzacja może dotyczyć jedynie wybranych obszarów. Takim przykładem jest pornografia dziecięca. EnCase wykorzystuje dane z bazy Interpolu, która określa, jakie treści niewątpliwie wypełniają definicję pornografii dziecięcej. Dzięki temu można w prosty sposób automatycznie sprawdzić czy takie pliki znajdują się na komputerach w naszej organizacji.

Samo rozwiązanie pozwala na zautomatyzowanie działań, które podejmuje zawsze/często w określonej sytuacji. Np. jeśli analityk z pierwszej linii SOC (Security Operation Center) podejrzewa kompromitację stacji roboczej, może automatycznie wywołać polecenie wykonania „migawki” systemu operacyjnego i pamięci w EnCase. System doskonale współpracuje z zewnętrznymi elementami bezpieczeństwa od innych dostawców umożliwiając automatyzacje i skracając czas reakcji.

Jak organizacje w Polsce wypadają na tle świata w kontekście analiz poincydentowych?

MC: Niektóre firmy mają bardzo wysoką świadomość w tym zakresie. Ogólnie sytuację w tym zakresie znacznie poprawiła ustawa o KSC. Największe znaczenie mają jednak regulacje sektorowe. Przykładowo w większości organizacji z sektora finansowego istnieją zespoły odpowiedzialne za analizę poincydentową, które stanowią najczęściej trzecią linię SOC.

Wiele z tych zespołów korzysta z naszego rozwiązania, ale raczej z wersji lokalnych, które nie umożliwiają zdalnego dochodzenia. Teraz właśnie dochodzą do wniosku, że muszą to zmienić, bo dzisiaj zabranie komputera do analizy i przekazanie nowego zajmuje kilka dni – to za długo. Zresztą obserwujemy to nie tylko w Polsce, ale w całym regionie Europy Środkowowschodniej.

 

Chmura jest bezpieczna

W cyberbezpieczeństwie potrzeba ludzi ciekawych świata i ze zdolnościami do uczenia się. Najbardziej cenię współpracowników z pasją, którzy chętnie podejmują nowe wyzwania. Jako szef, chcę być jak najbliżej swojego zespołu, ułatwiać mu realizację zadań. W środowisku chmurowym w Polsce mamy jeszcze wiele do zrobienia – mówi Adam Marczyński, Chief Security Officer w firmie Operator Chmury Krajowej (OChK).

Zagrożenia związane ze sztuczną inteligencją: to nie jest science fiction

Rynek rozwiązań cyberbezpieczeństwa wykorzystujących uczenie maszynowe rozwija się bardzo dynamicznie. Niestety, niewiele wiadomo, czy i jak korzystają z technologii sztucznej inteligencji przestępcy i grupy sponsorowane przez państwa. O trendach, nowych rozwiązaniach i zagrożeniach związanych ze sztuczną inteligencją, uczeniem maszynowym oraz internetem rzeczy rozmawiamy z Januszem Żmudzińskim, ekspertem w obszarze bezpieczeństwa teleinformatycznego, członkiem Polskiego Towarzystwa Informatycznego i ISACA.

Czytaj dalej >>

Uniemożliwiajmy atakującym osiąganie celów

Atakujący mają określone cele. Aby skutecznie się bronić, musimy udaremniać ich realizację. Pamiętajmy też, że w przypadku systemów cyberfizycznych cele będą zawsze dotyczyć części fizycznej, a nie cyfrowej. Rozmowa ze Stefano Zanero, PhD, Associate Professor, Politecnico di Milano.

Czytaj dalej >>

Cyberbezpieczeństwo: informacja, edukacja, zabezpieczenia

„Ustawa o KSC stwarza potencjał dla rozwoju polskiego sektora cyberbezpieczeństwa. Otwiera bowiem rynek usług w tym zakresie. Zapewnienie warunków do spełnienia jej wymogów jest w gestii każdego podmiotu uznanego za operatora usług kluczowych. Podejście bazujące na analizie ryzyka daje jednak szansę dopasowania zastosowanych rozwiązań do specyfiki konkretnej organizacji” – mówi Karol Okoński, Sekretarz Stanu w Ministerstwie Cyfryzacji, Pełnomocnik Rządu ds. Cyberbezpieczeństwa.

Czytaj dalej >>

Hybrydowe cyberbezpieczeństwo

„Dzisiaj jesteśmy na etapie propagandy i oddziaływania informatycznego, a nie kinetycznego. Doświadczamy tego na co dzień w mniejszym lub większym stopniu. Należy to jednak traktować wyłącznie jako poligon – żołnierze muszą gdzieś ćwiczyć. Nadal nie wiemy jednak, co potencjalni agresorzy mają w zanadrzu” – mówił płk dr hab. inż. Piotr Dela, profesor nadzwyczajny w Zakładzie Cyberbezpieczeństwa Akademii Sztuki Wojennej, podczas wystąpienia na konferencji „InfraSEC 2019”. Zapytaliśmy go, jakie implikacje dla infrastruktury krytycznej ma wojna hybrydowa i jak się można zabezpieczyć przed działaniami dezinformacyjnymi oraz atakami w cyberprzestrzeni.

Czytaj dalej >>

Infrastruktura pod systemową ochroną

Operator usługi kluczowej musi zbudować mechanizm zarządzania bezpieczeństwem systemu informatycznego wspomagającego świadczenie tej usługi, również gdy bazuje ona na rozwiązaniach OT. Ustawa o krajowym systemie cyberbezpieczeństwa nie precyzuje, jakie działania mają być podjęte w odniesieniu do infrastruktury automatyki przemysłowej. Wybór odpowiednich środków leży w gestii poszczególnych operatorów. Muszą być adekwatne do oszacowanego ryzyka – mówi Robert Kośla, dyrektor Departamentu Cyberbezpieczeństwa w Ministerstwie Cyfryzacji.

Czytaj dalej >>