Хроники кибер-безопасника

Документ под названием «cyber actors adapt tactics for initial cloud access», опубликованный Агентством национальной безопасности (АНБ) предупреждает, об адаптации тактики для получения первоначального доступа к облачным сервисам, а не для использования уязвимостей локальной сети.

Документ содержит ценную информацию и рекомендации для организаций по защите от кибер-профессионалов, нацеленных на облачные сервисы. Однако динамичный характер киберугроз и сложность облачных сред означают, что организации должны постоянно обновлять свои методы обеспечения безопасности, а не полагаться исключительно на статические рекомендации.

📌 Осведомлённость: документ повышает осведомлённость об изменении тактики в сторону облачных сервисов, что имеет решающее значение для понимания организациями текущего ландшафта угроз.

📌 Подробные TTP: он предоставляет подробную информацию о тактиках, методах и процедурах (TTP), используемых участниками, включая использование сервисных и неактивных учётных записей, что может помочь организациям выявить потенциальные угрозы и уязвимости.

📌 Секторальная информация: описывается расширение охват таких секторов, как авиация, образование, правоохранительные органы и военные организации, предлагая отраслевую информацию, которая может помочь этим отраслям укрепить свою обороноспособность.

📌Стратегии смягчения последствий: предлагает практические стратегии смягчения последствий, которые организации могут реализовать для усиления своей защиты от первоначального доступа со стороны субъектов, таких как внедрение MFA и управление системными учётными записями.

📌 Ресурсоёмкость: реализация рекомендуемых мер по снижению рисков может потребовать значительных ресурсов, что может оказаться затруднительным для небольших организаций с ограниченными бюджетами и персоналом в области кибербезопасности.

Vk, Dzen, Rutube

Также доступен аудио подкаст на Mave (или выбираем из списка другую подкаст площадку)

📌Внедрение многофакторную аутентификацию (MFA). MFA — это один из наиболее эффективных способов защиты учётных записей пользователей от компрометации. Требуя несколько форм проверки, MFA значительно затрудняет злоумышленникам получение несанкционированного доступа, даже если они получили учётные данные пользователя.

📌Регулярная установка исправлений и обновлений. Поддержание актуальности программного обеспечения и систем с использованием последних исправлений имеет решающее значение для устранения брешей в безопасности, которыми могут воспользоваться злоумышленники. Должен быть установлен регулярный процесс управления исправлениями, чтобы обеспечить своевременное применение обновлений.

📌Сегментация сети. Разделение сети на более мелкие контролируемые сегменты ограничивает возможность злоумышленника перемещаться внутри сети и получать доступ к конфиденциальным областям. Сегментация также помогает сдерживать потенциальные нарушения в меньшем подмножестве сети.

📌Защита конечных точек. Развёртывание расширенных решений для защиты конечных точек может помочь обнаружить и предотвратить вредоносные действия на устройствах, имеющих доступ к сети организации. Это включает в себя использование антивирусного программного обеспечения, систем предотвращения вторжений на базе хоста и инструментов обнаружения и реагирования на конечных точках (EDR).

📌Обучение по вопросам безопасности. Обучение сотрудников рискам и передовым методам кибербезопасности имеет важное значение для предотвращения атак социальной инженерии, таких как фишинг. Регулярное обучение может помочь создать культуру осведомлённости о безопасности внутри организации.

📌Контроль доступа с наименьшими привилегиями. Обеспечение пользователей только правами доступа, необходимыми для их роли, помогает минимизировать потенциальное воздействие компрометации учётной записи. Средства контроля доступа должны регулярно пересматриваться и корректироваться по мере необходимости.

Отмечался высокий уровень сложности атак, что отражает глубокое понимание киберландшафта и способность адаптироваться в условиях меняющихся мер безопасности. Эта изощрённость очевидна не только в технических возможностях, но и в их стратегическом подходе к кибершпионажу, который включает в себя тщательный выбор целей, планирование и использование передовых тактик, методов и процедур (TTP).

Кибероперации характеризуются использованием специального вредоносного ПО и уязвимостей нулевого дня. Эксплуатация этих уязвимостей позволяет эффективно проникать, например chain-атака SolarWinds, в результате которой был нарушен процесс разработки ПО путём внедрения вредоноснго кода в обновление ПО, что затронуло клиентов, включая правительственные учреждения и компании из списка Fortune 500.

OpSec является отличительной чертой операций, и атакующие делают все возможное, чтобы замести следы и сохранить скрытность в скомпрометированных сетях. Это включает в себя использование зашифрованных каналов для кражи данных, тщательное управление серверами управления и контроля во избежание обнаружения, а также использование легитимных инструментов и услуг (LOTL), чтобы гармонировать с обычной сетевой деятельностью. Способность вести себя сдержанно в целевых сетях часто позволяет им проводить долгосрочные шпионские операции без обнаружения.

Помимо технических возможностей, он продемонстрировал искусность в тактике психологической и социальной инженерии. Эти методы предназначены для манипулирования людьми с целью разглашения конфиденциальной информации или выполнения действий, ставящих под угрозу безопасность. Фишинговые кампании, целевой фишинг и другие формы социнженерии часто используются для получения первоначального доступа к целевым сетям или для повышения привилегий внутри них.

Эксплуатация сервисных и неактивных учётных записей кибер-профессионалами представляет собой изощренный и часто упускаемый из виду вектор кибератак. Эти учётные записи, созданные для различных операционных целей в облачных и локальных средах организации, могут предоставить злоумышленникам доступ, необходимый им для достижения своих целей, если они не управляются и не защищаются должным образом.

Учётные записи служб — это специализированные учётные записи, используемые приложениями или службами для взаимодействия с операционной системой или другими службами. Они часто имеют повышенные привилегии для выполнения определённых задач и могут не быть привязаны к личности отдельного пользователя. С другой стороны, неактивные учётные записи — это учётные записи пользователей, которые больше не используются либо потому, что пользователь покинул организацию, либо потому, что цель учётной записи была достигнута. Эти учётные записи особенно опасны, поскольку о них часто забывают, им оставляют больше привилегий, чем необходимо, и они не контролируются так тщательно, как активные учётные записи пользователей.

📌Повышенные привилегии. Учётные записи служб имеют повышенные привилегии, необходимые для системных задач, которые можно использовать для получения широкого доступа к сети организации.

📌Отсутствие мониторинга. Неактивные учётные записи используются нерегулярно, что снижает вероятность их отслеживания на предмет подозрительной активности делает их привлекательной целью для злоумышленников.

📌Слабые учётные данные или учётные данные по умолчанию. Учётные записи служб могут быть настроены со слабыми учётными данными или учётными данными по умолчанию, которые проще найти с помощью атак методом перебора.

📌Обход аналитики поведения пользователей. Поскольку учётные записи служб выполняют автоматизированные задачи, их модели поведения могут быть предсказуемыми, что позволяет вредоносным действиям сливаться с обычными операциями и уклоняться от обнаружения.

Смещение акцента кибер-профессионалов на облачные сервисы вывело важность обеспечения первоначального доступа на передний план. В облачных средах первоначальный доступ представляет собой критический момент, когда безопасность всей системы становится наиболее уязвимой. В отличие от традиционных локальных сетей, доступ к облачным сервисам осуществляется через Интернет, что делает начальную точку входа основной целью для злоумышленников.

Первоначальный доступ как плацдарм для злоумышленников

Получение первоначального доступа к облачным сервисам позволяет злоумышленникам закрепиться в целевой среде с последующим повышением привилегий, распространения по сети и получения доступа к конфиденциальным данным. Распределённый характер облачных сервисов также означает, что компрометация одной учётной записи может потенциально предоставить доступ к широкому спектру ресурсов и данных.

📌Удалённый доступ. Облачные сервисы предназначены для удалённого доступа, что увеличивает поверхность атаки. 

📌Управление идентификацией и доступом (IAM). В облачных средах IAM становится важнейшим компонентом безопасности. Организации должны обеспечить надёжность политик IAM и предоставление разрешений на основе принципа наименьших привилегий, чтобы минимизировать риск первоначального доступа со стороны неавторизованных лиц.

📌Фишинг и социнженерия. используются методы фишинга и социальной инженерии для получения первоначального доступа. Эти методы используют человеческий фактор, а не технические уязвимости, что затрудняет защиту от них с помощью традиционных мер безопасности.

📌Credential Stuffing. Метод предполагает использование ранее взломанных пар имени пользователя и пароля для получения несанкционированного доступа к учётным записям, делая ставку на вероятность того, что люди будут повторно использовать учётные данные в нескольких службах.

Смещение акцента кибер-профессионалов на облачные сервисы вывело важность обеспечения первоначального доступа на передний план. В облачных средах первоначальный доступ представляет собой критический момент, когда безопасность всей системы становится наиболее уязвимой. В отличие от традиционных локальных сетей, доступ к облачным сервисам осуществляется через Интернет, что делает начальную точку входа основной целью для злоумышленников.

Получение первоначального доступа к облачным сервисам позволяет злоумышленникам закрепиться в целевой среде с последующим повышением привилегий, распространения по сети и получения доступа к конфиденциальным данным. Распределённый характер облачных сервисов также означает, что компрометация одной учётной записи может потенциально предоставить доступ к широкому спектру ресурсов и данных.

📌Удалённый доступ. Облачные сервисы предназначены для удалённого доступа, что увеличивает поверхность атаки. 

📌Управление идентификацией и доступом (IAM). В облачных средах IAM становится важнейшим компонентом безопасности. Организации должны обеспечить надёжность политик IAM и предоставление разрешений на основе принципа наименьших привилегий, чтобы минимизировать риск первоначального доступа со стороны неавторизованных лиц.

📌Фишинг и социнженерия. используются методы фишинга и социальной инженерии для получения первоначального доступа. Эти методы используют человеческий фактор, а не технические уязвимости, что затрудняет защиту от них с помощью традиционных мер безопасности.

В изменяющемся кибер-ландшафте адаптация к целевым облачным сервисам подчёркивает кардинальный сдвиг в тактике кибершпионажа. Переход от использования уязвимостей локальной сети к прямому нацеливанию на облачные инфраструктуры знаменует собой значительную эволюцию киберугроз. В основе этого лежит решающая роль аутентификации как ключевого шага в защите облачных сетей от кибер-профессионалов.

Аутентификация служит шлюзом к облачным сервисам, определяя, следует ли предоставить доступ пользователю или системе. В облачных средах, где ресурсы и данные размещаются за пределами предприятия и доступны через Интернет, невозможно переоценить важность надёжных механизмов аутентификации. В отличие от традиционных локальных систем, где есть меры физической безопасности и внутренняя сетевая защита, облачные сервисы по своей сути более подвержены воздействию Интернета. Такая уязвимость делает начальный этап аутентификации не просто мерой безопасности, а критически важным механизмом защиты от несанкционированного доступа.

Переход к облачным сервисам приносит с собой уникальные проблемы в реализации эффективных стратегий аутентификации. Пользователи получают доступ к облачным сервисам из разных мест, устройств и сетей, что требует эффективных механизмов аутентификации.

Масштабируемость облачных сервисов означает, что механизмы аутентификации должны быть в состоянии обрабатывать большое количество запросов на доступ без значительных задержек и ухудшения пользовательского опыта. Это требование масштабируемости и удобства для пользователя часто противоречит необходимости строгих мер безопасности, создавая хрупкий баланс, который должны соблюдать организации.

📌Многофакторная аутентификация (MFA). MFA добавляет дополнительный уровень безопасности, требуя от пользователей предоставления двух или более факторов проверки для получения доступа. Подход снижает риск несанкционированного доступа, поскольку значительно сложнее получить несколько факторов аутентификации.

📌Доступ к учётным данным / подбор пароля T1110: используются password-spray и подбор паролей в качестве начальных векторов заражения. Подход предполагает попытку ввода нескольких паролей для разных учётных записей или многочисленные попытки для одной учётной записи для получения несанкционированного доступа.

📌Первоначальный доступ / T1078.004 Действительные учётные записи: Облачные учётные записи: получение доступа к облачным сервисам, используя скомпрометированные учётные данные: как системные учётные записи (используемые для автоматизированных задач и служб), так и неактивные учётные записи, учётные которые все ещё остаются в системе.

📌Доступ к учётным данным / T1528 Кража токена доступа к приложению: злоумышленники используют украденные токены доступа для входа в учётные записи без необходимости ввода паролей. Токены доступа — это цифровые ключи, которые позволяют получить доступ к учётным записям пользователей. Их получение позволяет обойти традиционные механизмы входа в систему.

📌Доступ к учётным данным / Формирование запроса многофакторной аутентификации T1621: метод «бомбардировка MFA» предполагает, что злоумышленники неоднократно отправляют запросы MFA на устройство жертвы. Цель состоит в том, чтобы жертва приняла запрос и таким образом предоставила злоумышленнику доступ.

📌Командование и контроль / T1090.002 Прокси: Внешний прокси: чтобы поддерживать «тайные операции и сливаться с обычным трафиком», используются открытые прокси, расположенные в частных диапазонах IP-адресов, т.к. вредоносные соединения сложнее отличить от легальной активности пользователей в журналах доступа.

📌Успешная регистрация устройства может обеспечить постоянный доступ к облачной среде.

Одна из ключевых стратегий, применяемых злоумышленниками, предполагает нацеливание на сервисные и неактивные учётные записи в облачных средах. Учётные записи служб используются для запуска приложений и служб и управления ими без прямого взаимодействия с человеком. Эти учётные записи особенно уязвимы, поскольку их часто невозможно защитить с помощью многофакторной аутентификации (MFA), и они могут иметь высокопривилегированный доступ в зависимости от их роли в управлении приложениями и службами. Получив доступ к этим учётным записям, злоумышленники могут получить привилегированный первоначальный доступ к сети, которую они используют в качестве стартовой площадки для дальнейших операций.

📌Адаптация к облачным сервисам: сместился фокус с эксплуатации уязвимостей локальной сети на прямое воздействие на облачные сервисы. Это изменение является ответом на модернизацию систем и миграцию инфраструктуры в облако.

📌Аутентификация как ключевой шаг: чтобы скомпрометировать облачные сети, необходимо успешно пройти аутентификацию у поставщика облачных услуг. Предотвращение этого первоначального доступа имеет решающее значение для предотвращения компрометации.

📌Расширение таргетинга: расширена сфера воздействия на сектора, такие как, как авиация, образование, правоохранительные органы, региональные и федеральные организации, правительственные финансовые департаменты и военные организации. Это расширение указывает на стратегическую диверсификацию целей сбора разведывательной информации.

📌Использование служебных и неактивных учётных записей: подчёркивается, что за последние 12 месяцев использовались брутфорс-атаки для доступа к служебным и неактивным учётным записям. Эта тактика позволяет получить первоначальный доступ к облачным средам.

📌Профессиональный уровень атакующих: выявлена возможность осуществления компрометациии глобальной цепочки поставок, как, например, инцидент с SolarWinds в 2020 году.

📌Первая линия защиты: подчёркивается, что первая линия защиты включает предотвращения возможности первичного доступа к сервисам.