Mitä Venäjän sähköverkkohyökkäys voi opettaa kaikille ammattilaisille

Nyt olet kuullut, että liittovaltion tutkintatoimiston (FBI) ja Yhdysvaltain sisäisen turvallisuuden ministeriön yhteinen tutkimus on johtanut raporttiin, jonka mukaan venäläiset operaattorit ovat murtautuneet yrityksiin, jotka kuuluvat Yhdysvaltojen sähköverkkoon. Hyökkäykset hahmotellaan yksityiskohtaisesti Yhdysvaltain atk-hätävalmiustiimin (US-CERT) raportissa, joka kuvaa, kuinka hyökkääjät pystyivät tunkeutumaan energialaitoksiin ja mitä he tekivät varastamallaan tiedolla.

Tiedotusvälineissä ei ollut tosiasiaa, jonka pitäisi olla huolestuttava tietotekniikan ammattilaiselle riippumatta siitä, työskentelevätkö he pienen ja keskisuuren yrityksen (SMB) tai suuremman organisaation parissa. Tämä tosiasia: Hyökkääjien käyttämä polku kulki lopullisen kohteen pienempien kumppaneiden läpi. He aloittivat hyökkäyksensä tunkeutumalla pienempien kumppaneiden puolustuslinjoihin, koska heillä oli todennäköisesti heikompia puolustuksia, ja sitten he käyttivät sieltä kerättyjä tietoja ja resursseja hyökätäkseen seuraavaan linjaan asti.

Älykkäät phishing-hyökkäyksen anatomia

Ensisijainen keino saada pääsy pienemmälle kumppanille oli löytää julkista tietoa, joka yhdessä muiden tietojen kanssa tarjoaisi seuraavalle vaiheelle tarvittavan yksityiskohtaisuuden. Hyökkääjä voi esimerkiksi tutkia yrityksen verkkosivustoa, joka harjoittaa liiketoimintaa perimmäisenä tavoitteena, ja sieltä hän saattaa löytää joko kumppanin yrityksen tai lopullisen kohteen ylimmän johdon sähköpostiosoitteen. Sitten hyökkääjä voi tutkia muita tietoja molempien yritysten verkkosivustoilta nähdäkseen, mikä on suhde, mitä palveluita kenet tarjoavat, ja jotain kunkin yrityksen rakenteesta.

Näiden tietojen avulla hyökkääjä voi alkaa lähettää erittäin vakuuttavia tietojenkalastelusähköposteja siitä, mikä näyttää olevan laillinen sähköpostiosoite; sellaiset, joissa on tarpeeksi muotoiltuja yksityiskohtia, jotka saattavat hylätä palomuurin tai hallitun päätepisteen suojaustasolle asetetut tietojenkalastelusuodattimet. Tietokalastelusähköpostit suunnitellaan keräämään kohdennetun käyttäjän kirjautumistiedot, ja jos jokin niistä onnistuu, hyökkääjät ohittavat heti kaikki mahdolliset henkilöllisyyden hallintatoimenpiteet, jotka saattavat olla käytössä ja jotka ovat kohdeverkon sisällä.

Facebookista saatujen paljastuneiden käyttäjätietojen keräämisen myötä uhan luonne laajenee. Vuonna 2014 alkaneen akateemisen tutkimuksen varjolla tehdyssä rikkomuksessa venäläinen tutkija sai pääsyn noin 50 miljoonaan amerikkalaisten Facebook-jäsenten käyttäjäprofiileihin. Ne profiilit luovutettiin Cambridge Analytica: lle. Myöhemmät tutkimukset ovat paljastaneet, että nämä tiedot otettiin ilman näiden Facebook-käyttäjien lupaa ja sitten niitä käytettiin väärin.

Ulkoisen viestinnän tarkastaminen

Tämä herättää kysymyksen siitä, mitä tietoa varovaisten yritysten tulisi asettaa saataville verkkosivujensa kautta. Pahempaa, että kyselyn on todennäköisesti ulotuttava organisaation sosiaalisen median läsnäoloihin, kolmansien osapuolien markkinointikanaviin, kuten Youtube, ja jopa korkean profiilin työntekijöiden sosiaalisen median profiileihin.

"Mielestäni heidän on oltava varovaisia ​​yrityksen verkkosivustojen suhteen", sanoi Cyxteran tietoturvajohtaja (CISO) Leo Taddeo ja entinen erityisedustaja, joka vastasi FBI: n New Yorkin kenttätoimiston cyber-osastosta. "Tietojen paljastamisessa on suuri potentiaali."

Taddeo kertoi, että yksi hyvä esimerkki on työpaikkailmoituksissa, joissa voit paljastaa, mitä työkaluja käytät kehittämiseen tai jopa mitä tietoturva-erikoisuuksia etsit. "On olemassa monia tapoja, joilla yritykset voivat paljastaa itsensä. Siellä on suuri pinta-ala. Ei vain verkkosivusto eikä vain tarkoituksellinen viestintä", hän sanoi.

"Sosiaalinen media on riski", Taddeo selitti ja huomautti, että sosiaaliseen mediaan lähettävä työntekijä voi paljastaa paljon vahingossa. Hän huomautti, että työntekijät, jotka sanovat olevansa tyytymättömiä työhönsä, voivat paljastaa hyväksikäytön tavoitteen. "Työntekijät, jotka puhuvat yksityiskohtaisesti työstään tai saavutuksistaan, ovat vaara. Sosiaalisen median louhinta on erittäin tuottava vastustajille."

Taddeo varoitti, että ammattimaiset mediasivustot, kuten LinkedIn, ovat vaarana myös niille, jotka eivät ole varovaisia. Hän kertoi, että vastustajat luovat vääriä tilejä sellaisille verkkosivustoille, jotka peittävät kuka he ovat ja käyttävät sitten yhteystietojensa tietoja. "Se, mitä he julkaisevat sosiaalisen median sivustoilla, saattaa vaarantaa heidän työnantajansa", hän sanoi.

Ottaen huomioon, että huonot toimijat, jotka kohdistavat sinuun, voivat olla tietosi jälkeen tai voivat olla organisaation jälkeen, jonka kanssa työskentelet, kysymys ei ole vain siitä, kuinka suojelet itseäsi, vaan kuinka suojelet myös liikekumppaniasi? Tätä monimutkaistaa se, että et ehkä tiedä, ovatko hyökkääjät tietosi jälkeen, vai näkevätkö sinut vain vaihtoehtona ja ehkä pysähdyspaikkana seuraavalle hyökkäykselle.

Kuinka suojata itseäsi

Joka tapauksessa, voit suorittaa joitain vaiheita. Paras tapa lähestyä tätä on informaatiotarkastuksen muodossa. Luetteloi kaikki kanavat, joita yrityksesi käyttää ulkoiseen viestintään, varmasti markkinointiin, mutta myös HR, PR ja toimitusketjuihin. Sitten rakenna tarkastusryhmä, joka sisältää sidosryhmät kaikista kanavista, joita asia koskee, ja aloita analysointi siellä tapahtuvasta järjestelmällisesti ja silmällä tietoja, jotka voivat olla hyödyllisiä varkaille. Aloita ensin yrityksen verkkosivustolla:

Tarkista yrityksen verkkosivustolta mitään, mikä saattaa sisältää tietoja tekemästäsi työstä tai käyttämistäsi työkaluista. Esimerkiksi valokuvassa näkyvä tietokoneen näyttö voi sisältää tärkeitä tietoja. Etsi kuvia tuotantolaitteista tai verkkoinfrastruktuurista, jotka voivat tarjota hyökkääjille hyödyllisiä vihjeitä.

Katso henkilöstöluettelo. Onko sinulla vanhempien työntekijöiden sähköpostiosoitteita luettelossa? Nämä osoitteet tarjoavat hyökkääjälle potentiaalisen kirjautumisosoitteen, mutta myös tavan huijata muille työntekijöille lähetetyt sähköpostit. Harkitse niiden korvaamista, joilla on linkki lomakkeeseen, tai käytä toista sähköpostiosoitetta julkiseen kulutukseen verrattuna sisäiseen käyttöön.

Sanooko verkkosivustosi, kuka asiakkaasi tai kumppanisi ovat? Tämä voi tarjota hyökkääjälle uuden tavan hyökätä organisaatioosi, jos heillä on vaikeuksia päästä turvallisuutesi ohi.

Tarkista ilmoituksesi. Kuinka paljon he paljastavat yrityksesi työkaluista, kielistä tai muista näkökohdista? Harkitse työskentelyä rekrytointiyrityksen kautta erottaaksesi itsesi näistä tiedoista.

Katso sosiaalisen median läsnäoloasi pitäen mielessä, että vastustajasi yrittävät ehdottomasti kaivoa tietoja tämän kanavan kautta. Katso myös, kuinka paljon tietoa yrityksestäsi paljastetaan vanhempien työntekijöiden lähettämissä ilmoituksissa. Et voi hallita kaikkea työntekijöidesi toiminnasta sosiaalisessa mediassa, mutta voit seurata sitä.

Mieti verkkoarkkitehtuuria. Taddeo suosittelee tarvittavaa lähestymistapaa, jossa järjestelmänvalvojan käyttöoikeudet myönnetään vain tarvittaessa ja vain huomiota tarvitsevalle järjestelmälle. Hän ehdottaa, että käytettäisiin ohjelmistomääriteltyä kehää (SDP), jonka alun perin kehitti Yhdysvaltain puolustusministeriö. "Viime kädessä jokaisen käyttäjän käyttöoikeuksia muutetaan dynaamisesti identiteetin, laitteen, verkon ja sovelluksen herkkyyden perusteella", hän sanoi. "Niitä ohjaavat helposti konfiguroidut käytännöt. Sovittamalla verkon käyttöoikeudet sovellusten käyttöoikeuksiin käyttäjät pysyvät täysin tuottavissa, kun hyökkäyksen pinta-ala on dramaattisesti pienentynyt."

• Harkitse nyt pilvipalveluitasi samalla tavalla. Usein oletuskonfiguraatio on tehdä vanhemmista yritysjohtajista järjestelmänvalvojia kolmansien osapuolten yrityspilvipalveluissa, kuten esimerkiksi yrityksesi Google Analytics- tai Salesforce-tilillä. Jos he eivät tarvitse kyseistä käyttöoikeustasoa, harkitse heidän siirtämistä käyttäjätilaan ja hallinnollisten käyttötasojen jättämistä tietotekniikan henkilöstölle, jonka sähköpostitunnuksia olisi vaikeampi löytää.

Lopuksi Taddeo sanoi etsimään varjo-IT: n luomia haavoittuvuuksia. Ellet etsi sitä, saatat kova tietoturvatyösi ohittaa, koska joku asensi toimistossaan langattoman reitittimen, jotta he voisivat helpottaa henkilökohtaisen iPadin käyttöä työssä. Tähän luokkaan kuuluvat myös tuntemattomat kolmannen osapuolen pilvipalvelut. Suurissa organisaatioissa ei ole harvinaista, että osastopäälliköt vain ilmoittavat osastolleen käteviä pilvipalveluita ohittaakseen IT: n "byrokratian".

Tähän voi kuulua keskeisiä IT-palveluita, kuten Dropbox Business -sovelluksen käyttäminen verkon varastointina tai muun markkinoinnin automaatiopalvelun käyttäminen, koska virallisen yrityksen tukeman työkalun ilmoittautuminen on liian hidasta ja vaatii liian monien lomakkeiden täyttämistä. Tällaiset ohjelmistopalvelut voivat paljastaa arkaluontoisia tietoja, ilman että IT olisi edes tietoinen niistä. Varmista, että tiedät, mitä sovelluksia organisaatiossasi käytetään, kenen toimesta, ja että hallitset tiukasti sitä, kenellä on pääsy.

Tällainen tarkastustyö on työlästä ja joskus aikaavievää, mutta se voi maksaa suuria osinkoja pitkällä tähtäimellä. Ennen kuin vastustajasi seuraavat sinua, et tiedä mitä sinulla on, saattaa olla varastamisen arvoinen. Joten sinun on lähestyttävä turvallisuutta tavalla, joka on joustavaa samalla kun silmällä on tärkeät asiat; ja ainoa tapa tehdä tämä on saada perinpohjainen tieto verkossa toimivasta.