Вымогатели развивались – так и наша защита должна

Ransomware больше не является единственным, разрушительным событием. Он превратился в устойчивую многоэтапную кампанию, предназначенную для систематической компромисс инфраструктуры организации и подорвать его авторитет. Сдвиг, который мы наблюдаем, является не только тактическим, но и стратегическим. Актеры -угроза перешли от оппортунистических атак до высоко скоординированных операций, которые используют как технологические уязвимости, так и человеческую психологию.

То, что когда-то было простым подходом к зашифрованию данных и требовательному платежу, превратилось в многогранную многоэтапную схему вымогательства. Все чаще злоумышленники объединяют кражу данных, шифрование, распределенные атаки отказа в услуге и тактику публичной стыки, стратегия, которая теперь широко называла тройным вымогательством. Эти методы направлены не только на то, чтобы нарушить операции, но и разрушить доверие клиентов, партнеров и регуляторов.

Инциденты в реальном мире иллюстрируют новую реальность

Кибератаки на ритейлерах Marks & Spencer (M & S) и кооперативах были скоординированными нарушениями, которые включали разбросанный коллектив хакерства пауков. Группа использовала сложные методы социальной инженерии, такие как подражание справочнику, обмен SIM-карту и толкание MFA, чтобы обмануть ИТ-персонал в стороннем поставщике услуг в предоставлении доступа. Оттуда злоумышленники приобрели повышенные привилегии и перемещались в боковом направлении в корпоративных сетях, используя нативные инструменты администрирования для уклонения от обнаружения при при этом экстрафильтрирующих конфиденциальных данных и нарушения операций.

Последствия были серьезными: M & S пришлось отключить свой интернет -магазин в течение почти семи недель, а финансовые потери были По оценкам около 300 миллионов фунтов стерлинговПолем Эти типы кибератак часто обходят традиционные антивирусные системы и инструменты обнаружения на основе подписи и иллюстрируют, как современные злоумышленники используют человеческий слой безопасности с уровнем точности, что обычные защиты подвержены плохому.

Устаревшие меры безопасности больше не достаточны

Растущая сложность и профессионализм операций вымогателей сделали традиционные меры безопасности неадекватными. Многие злоумышленники в настоящее время работают в рамках более широкой уголовной экосистемы, с такими специализированными ролями, как переговорщики, поставщики инфраструктуры и даже поддержка клиентов для жертв. Эта зрелость привела к росту высокоорганизованных, целевых кампаний.

Методы обнаружения на основе подписи, в то время как когда-то в этом контексте недостаточен к краеугольному камню многих систем безопасности. Эти подходы все еще широко используются в отрасли, потому что они эффективны для выявления известных вредоносных программ и моделей атак. Тем не менее, они терпят неудачу, когда сталкиваются с современными угрозами, которые полагаются на новую тактику, законные полномочия и методы жизни, методы, специально предназначенные для уклонения от обнаружения обычными средствами. Эти инструменты основаны на известных показателях компромисса и легко обходятся новыми или индивидуальными методами атаки.

Инструменты поведенческой аналитики устанавливают базовые показатели для обычной пользовательской и системной активности и аномалий флага, которые предполагают злонамеренные намерения. В отличие от обнаружения на основе подписи, которое опирается на выявление известных вредоносных программ, поведенческая аналитика может обнаружить новые и сложные атаки, которые используют законные полномочия и избегают традиционных показателей.

По мере продвижения тактики вымогателей системы, основанные на подписи, не могут не отставать. Поведенческая аналитика, напротив, адаптируется к тому, что на самом деле происходит в окружающей среде, что делает ее гораздо лучше подходящей для обнаружения тонких, основанных на учебных данных угроз, которые характеризуют сегодняшние атаки. Эти системы преуспевают при всплеске реальных признаков компромисса, которые в противном случае остались бы незамеченными, такие как ненормальные модели использования учетной записи или неожиданные потоки данных.

Внутренний мониторинг сети является необходимостью

Современные кампании вымогателей не начинаются с шифрования, они начинаются с скрытной инфильтрации, бокового движения и эксфильтрации данных. Эти ранние и критические этапы часто разворачиваются незамеченными во внутренней сети организации. Вот почему видимость восток-запада имеет важное значение: она дает понимание, необходимое для обнаружения злоумышленников, когда они проходят по окружающей среде, используя законные полномочия и методы жизни.

Традиционная защита обычно контролирует трафик север-юг (изнутри к сети), пропуская боковое движение, которое характеризует сегодняшние угрозы. Мониторив внутренние потоки трафика, привилегированное поведение учетной записи и необычную передачу данных, организации получают возможность выявлять подозрительные действия в режиме реального времени и сдерживать угрозы, прежде чем они переразится в развертывание вымогателей или публичное вымогательство.

Атака вымогателей на NASCAR иллюстрирует этот разбив. Злоумышленники из группы Medusa Ransomware проникли в сеть, используя украденные учетные данные и тихо эксфильтрированные конфиденциальные пользовательские данные, прежде чем запустить более широкую кампанию по выморочке. Поскольку эти внутренние действия не были замечены рано, атака повзрослела до точки публичного раскрытия, нарушения оперативного и вредного вреда.

Начните готовиться к следующему этапу вымогателей сейчас

Появление тройного вымогательства и растущая изощренность актеров угроз показывают, что вымогатели вступили в новый этап. Это больше не только о шифровании файлов; Речь идет о использовании каждого доступного вектора для оказания максимального давления на жертв.

Организации должны отвечать соответственно. Полагаться исключительно на профилактику больше не является жизнеспособным. Обнаружение и ответ должны быть приоритетными одинаково. Это требует стратегических инвестиций в технологии, которые обеспечивают видимость в реальном времени, контекстуальную информацию и возможности адаптивного отклика.

Атакующие постоянно инновации внедряют, и, соответствующие их темпам, защитники должны инвестировать в инструменты и стратегии, которые выходят за рамки устаревших систем. Если организации не хватает видимости в своей среде, она не может реагировать эффективно. Отсутствие видимости может означать разницу между содержащимся инцидентом и катастрофическим нарушением.

Ключевые выводы

• Злоумышленники гораздо более изощренны, чем раньше. Сейчас они объединяют кражу данных, шифрование, распределенные атаки отказа в службе и тактику публичной стыки, стратегия, которая теперь широко называла тройным вымогательством. Сейчас это так же много о эрозии доверия, как и нарушение операций.
• Многие злоумышленники в настоящее время работают в рамках более широкой уголовной экосистемы, и традиционные системы безопасности не в состоянии не отставать.
• Поведенческая аналитика лучше адаптироваться к развитию стратегий вымогателей, а не методами обнаружения подписи.
• Обнаружение и ответ должны быть приоритетными одинаково. Видимость в режиме реального времени, контекстуальная информация и возможности адаптивного отклика имеют решающее значение.

Джейми Молес – старший технический менеджер в ЭкстрахопПолем

Читать далее

Платежи вымогателей должны быть запрещены – вопросы без ответа – Правительство объявило о запрете на вымогательную программу в организациях государственного сектора. Мы исследуем свободные концы, чтобы быть связанными

Почему медленное выздоровление является реальной угрозой вымогателей событий – При атаках вымогателей это случай, когда (не если) вы будете поражены, и, что важно, сколько времени занимает восстановление. Вот как быстрее отскочить

Почему сотрудники теряют ноутбуки дороже, чем атаки вымогателей – Офис комиссара по информации оштрафовал предприятия на 26 млн фунтов за последние два года за то, что сотрудники потеряли ноутбуки и смартфоны, но оштрафовали только одну компанию на 98 000 фунтов стерлингов за то, что он оставил себя уязвимым для атаки вымогателей