Последното предписание на CISA (Агенция за киберсигурност и сигурност на инфраструктурата) за червени екипи предупреждава операторите на критична инфраструктура, че системите за сигурност могат да се провалят, дори и да имат голямо финансиране. Това е така, защото са необходими обучени анализатори, които да реагират ефективно на предупрежденията.

Докладът на агенцията „История за два SOC-а“ (A Tale of Two SOCs) сравнява два паралелни ангажимента на червения екип: единият срещу организация от сектора „Правителствени услуги и съоръжения“, а другият срещу субект от сектора „Системи за водоснабдяване и пречистване на отпадъчни води“. Използвани са почти идентични похвати за атака, но са постигнати коренно различни резултати.

И в двата случая операторите на CISA са използвали фишинг, за да получат първоначален достъп, след което са се възползвали от неправилни конфигурации в Active Directory, като например квота за машинни акаунти по подразбиране (Machine Account Quota) и неправилно конфигурирани шаблони на Active Directory Certificate Services, за да ескалират привилегии и да се придвижат странично.

Червеният екип на CISA проби критична инфраструктура

В Организация А екипът е придобил повишени привилегии в домейна и е достигнал до чувствителни бизнес системи и облачни ресурси напълно незабелязано. В крайна сметка атакуващите са чели имейли на служителите в SOC и са инсталирали keylogger-и на собствените машини на защитниците, без да предизвикат реакция.

Организация Б показва различна история: нейният SOC изолира компрометираните работни станции в рамките на 2 до 20 минути след изпълнението на първоначалния фишинг злонамерен код, прекъсвайки комуникациите за управление и контрол (C2), преди проникването да успее да се разпространи.

Тъй като Организация Б разкрива пробива толкова бързо, CISA преминава към модела „приет пробив“ (assume breach), при който доверени лица предоставят на червения екип достъп, еквивалентен на този, който биха имали, ако опитът за фишинг беше останал незабелязан.

Оттам нататък екипът отново ескалира привилегии чрез същата слабост в Machine Account Quota, събира идентификационни данни в открит текст чрез файл на System Center Configuration Manager (SCCM) и използва DCSync атаки, за да получи идентификационни данни за домейновия контролер, включително за чувствителния акаунт krbtgt, използван за фалшифициране на Golden Tickets.

Въпреки този дълбок достъп, защитниците на Организация Б изолират компрометиран бастионен хост (bastion host) в демилитаризираната зона на оперативните технологии (OT DMZ) и блокират подозрително влизане в Azure, сигнализирано от автоматизираното предупреждение на Microsoft. Това показва, че многослойното откриване продължава да работи дори след като мрежата се счита за компрометирана.

CISA приписва слепите петна на Организация А не на липсата на инструменти, а на оперативна дисфункция. Организацията е управлявала множество SOC и няколко EDR платформи без комуникация между екипите, а хиляди фалшиви предупреждения от рутинна бизнес дейност са затрупали реалните индикатори за компрометиране.

Анализаторите също така са нямали стандартни оперативни процедури за ескалиране на подозрителна дейност и са имали ограничен авторитет за действие. Поради това реални предупреждения, включително едно, свързано с дейността на червения екип на SCCM сървър, са били отхвърлени като фалшиви сигнали, просто защото защитниците не са успели да идентифицират собственика на системата.

Основният извод от предписанието е, че инструментите за откриване са ефективни само толкова, колкото са ефективни хората и процесите зад тях. CISA призовава операторите на критична инфраструктура да коригират често срещаните слабости в Active Directory, като например неограничени Machine Account Quotas и уязвими към ESC1 шаблони на сертификати, да наложат изтичане на валидността на идентификационните данни за сервизни и облачни акаунти и да внедрят условен достъп (Conditional Access) за идентичността на работните натоварвания, за да затворят пропуските около разрешенията за приложения.

Не по-малко важно е организациите да имат документирани процедури за ескалация, видимост между екипите и овластени анализатори, тъй като успехът на Организация Б се дължи на бързото класифициране и решителното изолиране, а не на някой конкретен продукт за сигурност.