Тенденции при киберсигурността през 2022: Разузнаване, криптовируси и рехави периметри

Кои ще са основните тенденции в сферата на киберсигурността и какви са стратегиите за защита. Това е темата на изследване на американската софтуерна компания Splunk, публикувано в началото на настоящата година.

От там посочват, че екипите по сигурността винаги са имали трудна работа, защитавайки своите мрежи и данни срещу привидно безкрайно разнообразие от невидими заплахи. За миналата година се отчита рязък скок при атаките срещу веригите за доставки и при криптовирусите в условията на пандемията от COVID-19, която наложи бързо преминаване към отдалечена работа.

Автоматизацията и т.нар. threat intelligence, съчетани с машинно обучение и софтуер за сигурност, помагат на анализаторите да се съсредоточат, бързо да реагират срещу възникващи заплахи и сложни аномалии, уверена е Памела Фуско, CISO на Splunk.

"Трябва да премахнем повече от фоновия шум", допълва още тя. Това може да става с инструменти, които да отсяват нечовешкия обем от сигнали. Анализаторите трябва да могат да намерят причината, въздействието и най-доброто решение от всички елементи: приложения, мрежи, устройства и човешки потребител.

Криптовируси и вериги за доставки

Криптовирусите, изнудващи за откупи, и атаките срещу вериги за доставки предизвикаха главоболия у мениджърите по сигурност през последните няколко години. Ситуацията обаче ще се влоши допълнително, когато те започнат да се появяват заедно, предупреждават анализаторите. "Това видяхме при атаката срещу Kaseya миналото лято и ще го видим отново."

"Криптовирусите са най-голямата заплаха за сигурността за повечето организации днес", казва стратегът по сигурност на Splunk Райън Ковар. "Честно казано, не става дума дали ще бъдете засегнати, въпросът е кога."

Сферата е печеливша и привлича все повече престъпници. Проучвания от 2021 г. показват, че две трети от атаките се извършват не от гениални хакери, а от измамници от ниско ниво, които са закупили необходимите инструменти в тъмната мрежа. Криптовирусите като услуга са екосистема с установени организации и вериги за доставки. Това е пазар с достатъчно конкуренция, че понякога инструментите се продават, подчертават анализаторите.

Ковар препоръчва три начина за по-добра подготовка за неизбежна атака:

Оценете защитата си на по-задълбочено ниво, особено срещу известни вектори (Например противодействайте на най-често срещаната входна точка, атаки с груба сила върху протокол за отдалечена работа, чрез по-добра защита на крайната точка).
Разработете план за реакция при инцидент. Какви са техническите отговори? С кого да се свързват служителите? Кой във веригата за вземане на решения може да каже да се изключи конкретна компрометирана система? Каква е стратегията при поискан откуп?
Създайте план за възстановяване при инцидент. Как възстановявате заключени системи или загубени данни? Как ще се справите с комуникациите със засегнатите клиенти или обществеността като цяло?

Голям облачен доставчик може да е следващата жертва

Какво би станало, ако нападатели успеят да проникнат в някой от основните доставчици на облачни услуги. Google Cloud, Amazon Web Services и Microsoft Azure са едни от най-примамливите цели в интернет. Разбира се, те също са и сред най-добре защитените...

Както и при горната прогноза, така и тук според Splunk e въпрос на време. "Това е като да предвидиш дали следващата седмица ще вали", казва Райън Ковар. "Може би не следващата седмица, но ще вали."

Той отбелязва още, че както клиентските компании, така и техните доставчиците са уязвими към човешка дейност, независимо дали става дума за вътрешни атаки или клиент, който неправилно е конфигурирал сигурността от своя страна. Разбира се, за нито една от основните облачни услуги засега не е известно да е била хаквана основна инфраструктура.

Гарт Форт, главен продуктов директор на Splunk, има уникална перспектива, след като е работил както за AWS, така и за Azure. "Те имат подходящия манталитет - много параноичен - и имат свои собствени екипи от бели хакери, работещи всеки ден, за да открият първи уязвимостите, и наистина вършат фантастична работа", споделя той. "От друга страна, никога не бих заложил срещу лошите в дългосрочен план. Те са толкова много, повече, отколкото бихте могли да си представите."

Threat intelligence

Според Wikipedia това е информация, базирана на знания, умения и опит относно възникването и оценката както на цифрови, така и на физически заплахи и участниците в тях, която има за цел да помогне за смекчаване на потенциални атаки. Източниците на разузнаване на киберзаплахи включват такива с отворен код, проучвания на социалните медии, знания за човешката психология, за технологиите, изучаване на лог файлове, както и на данни, придобити на базата на минали инциденти, чрез наблюдение интернет трафика и от тъмната мрежа.

Според Splunk бъдещето на защитата се крие именно в този тип "разузнаване". В комбинация с автоматизацията добитите по този начин данни ще позволяват на екипите по сигурността да съсредоточат своите ресурси и инвестиции в най-належащите области и ще помогне на претоварените анализатори да избегнат прегаряне.

"Аналитикът на разузнаването на заплахите като отделна роля е мъртва или умиращa позиция", обяснява още Райън Ковар, съгласявайки се, че повечето организации ще консумират, а няма да създават такива данни. "През следващите пет години тази роля ще премине от специално към някакъв вид мрежов защитник. Което не означава, че споделянето на заплахи пак няма да се случва, просто няма да е точно същата работа."

DevSecOps

Анализаторите от Splunk правят следната аналогия: "Ако попитате много организации дали имат или специален DevOps екип, или дефинирана DevOps култура, те ще отговорят отрицателно. Но попитайте ги дали правят непрекъснато внедряване, имат ли CI/CD конвейер, доставят ли повече в облака - бихме се обзаложили, че ще кажат "да". Подобно е и с DevSecOps."

Гарт Форт, главен продуктов директор на Splunk, е съгласен, че като концепция, ако не и официална дисциплина, DevSecOps вече е реалност. "Изместването вече се е случило във всяка организация, базирана на облак", казва той. "Директорите по информационна сигурност не са тези, които отговарят за сигурността на вашия код. Това е работа на разработчиците от самото начало."

Според него DevSecOps може да включва привличане на инженери по сигурността в екипите на разработчиците, за да се гарантира, че възможно най-много решения, свързани с тази тема, се вземат при източника и че крайният продукт е с минимални грешки. Това означава предоставяне на ресурси под формата на инструменти и знания в ръцете на разработчиците.

Базова сигурност

Защитените периметри са в миналото. Това стана особено ясно с избухването на пандемията от COVID-19, което разшири всяко предприятие чрез настройката за домашните Wi-Fi връзки на неговите служители. В същото време защитен периметър е необходим, за да има "вътре" и "извън" компанията. Според компанията на тази тема не трябва да се гледа като на защитна стена...

"Най-важното нещо не е конкретен софтуерен инструмент или техника", казва Мик Бачио, съветник по глобална сигурност на Splunk. "Важен е фокусът върху киберхигиената. Да се пачват системите редовно и бързо, да се внедрява многофакторна автентификация."

Ако дадената организация е на прицел, може да е достатъчна само една грешка. Престъпниците проучват защитите и могат да са търпеливи. Те ще обхождат портове, ще проверяват постоянно точките за достъп за IoT и др., търсейки пробойна. Лошото е, че всичко това обикновено не да задейства аларми, защото са се случва под повечето установени прагове.

"Идентичността е крайната точка", посочва още Бачио. "Многофакторното удостоверяване може да бъде решаващият фактор за успеха на една атака. Трябва да внедрите политика на нулево доверие и да автентикирате всеки потребител, взаимодействие и акаунт, включително администраторите."

Разбира се, този подход не гарантира неуязвимост. Колкото и важно да е многофакторното удостоверяване, то може да бъде заобиколено от техники като разширения на браузъра или фалшиви сайтове за кражба на идентификационни данни. Тъй като повечето престъпления се свеждат до измама на потребители, отново се стига до правилно обучените служители. Важно е освен защитата на първа линия отзад да са налице достатъчно знания. В крайна сметка пропускът в ежедневната дисциплина може да се окаже истинската дупка във всеки периметър.

Снимка: Philipp Katzenberger, Unsplash