Кибер примамките отдавна са присъщи за екипите за сигурност с голям ресурс, но най-новите насоки на CISA, озаглавени „Използване на кибер примамки за укрепване на откриването и реагирането“, са опит тази ситуация да се промени.

Защо примамки и защо точно сега

Основният проблем, който CISA се опитва да реши, е че много организации са неспособни да откриват атакуващи, които използват легитимни идентификационни данни, вградени административни инструменти и техники тип living-off-the-land (LOTL).

Новите насоки на CISA твърдят, че след като приемете, че проникналите в системата рано или късно ще стъпят здраво в средата, най-разумният ход е да поставите капани – сигнални нишки, honeytokens и фалшиви идентификационни данни, до които никой легитимен потребител никога не би докоснал, така че всяко взаимодействие с тях да задейства аларма.

Настройването на фалшиви системи, услуги, профили, файлове или идентификационни данни може да позволи на организациите да откриват атакуващи, действащи в тяхната среда, и да събират и анализират информация за пробивите, но също така „да увеличат разходите на киберпрестъпниците, да нарушат техните операции и да намалят стойността на техните действия“.

Ниска цена, без необходимост от преструктуриране на архитектурата

Най-важното послание за екипите с ограничени ресурси е, че примамките не изискват големи architectural промени или нови разходи.

CISA изрично дава указания на организациите да преизползват инструменти, които вече притежават – EDR платформи, системи за управление на идентичността и достъпа, както и инструменти за предотвратяване на загуба на данни (DLP) – за внедряване и наблюдение на примамки, без да купуват нищо ново.

Решенията с отворен код за генериране на токени, внедряване и известяване също са добър вариант за организации с ограничени бюджети, заявява агенцията. Организациите с налични средства и опитни разработчици и инженери по сигурността могат също да използват търговски решения и персонализирани, вътрешно разработени honeytokens, съобразени с тяхната среда.

Откъде да започнете

Документът с насоки обяснява различните примамки, които могат да се използват: honeytokens (файлове, записи, тайни, идентификационни данни) и honeypots (системи, услуги) са самите примамки, трохите (breadcrumbs) (запазена връзка, препратка в конфигурационен файл, споменаване в документ) насочват атакуващите към тях, а сигналната нишка (tripwire) описва всеки от тези елементи, след като е настроен да задейства аларма при контакт или взаимодействие.

CISA организира тактиките около трите цели на MITRE Engage: Expose (разкриване и откриване на атакуващите), Affect (въздействие чрез увеличаване на разходите им и възпрепятстването им) и Elicit (безопасното им наблюдение с цел събиране на разузнавателна информация).

За екипите, които тепърва започват, насоките предлагат конкретни примери: поставяне на фалшиви идентификационни данни само за администратори, които никой никога не трябва да използва, разполагане на папки-примамки на работните плотове на ръководителите, внедряване на honeytokens като фалшив файл „Project_Metrics.xlsx“ в наблюдавано споделено съхранение или известяване при изпълнение на PowerShell на работни станции, където обикновените потребители нямат нужда от това.

Целта „Elicit“, която включва подмамване на атакуващите в контролирани среди, изисква изолирана инфраструктура, зряло регистриране на събития (logging) и квалифициран персонал, способен да управлява оперативните и законовите рискове, и е позиционирана като по-късен етап.

Прецизиране на детайлите

Ефективните сигнални нишки, отбелязва CISA, трябва да са информирани за заплахите, да се различават от нормалното поведение, да бъдат технически откриваеми чрез съществуващия мониторинг и да са свързани с ясни процедури за реагиране.

Документът се позовава и на MITRE ATT&CK, за да помогне на екипите да картографират своите уязвимости, съществуващи детекции и вероятните техники на атакуващите, а след това да поставят примамки там, където пропуските в покритието са най-големи.

Разгледаният примерен сценарий преминава през средна по размер организация от сектора на водоснабдяването и отпадъчните води, използваща ATT&CK и Engage заедно, за да приоритизира активите и да проектира своята операция с примамки, след което да я тества и усъвършенства чрез емулиране на заплахи, red teaming или purple teaming.

И накрая, CISA подчертава, че примамките трябва да бъдат внимателно проектирани, така че атакуващите да не могат да ги експлоатират, за да достигнат до реални системи или привилегии. Освен това документацията, описваща местоположението на примамките, трябва да се съхранява извън производствената среда, в случай че мрежата бъде компрометирана.

„CISA насърчава организациите от критичната инфраструктура да прегледат това ръководство и да внедрят стратегия за кибер примамки“, каза и.д. заместник изпълнителен директор за киберсигурност в агенцията Крис Бутера.

  • CISA
  • критична инфраструктура
  • примамки
  • ръководство
  • honeypots
  • МСП