През май 2021 г. атаката с откупващ софтуер (ransomware) срещу Colonial Pipeline показа колко бързо една компрометирана акаунт инстанция може да се превърне в проблем от национален мащаб. Атакуващите са постигнали първоначален достъп чрез неактивен VPN профил без многофакторна автентификация (MFA), засягайки бизнес системи, включително билинговата инфраструктура, което доведе до спиране на работата и смущения в доставките на гориво по източното крайбрежие на САЩ.

Пет години по-късно поуките от случая Colonial Pipeline са по-актуални отвсякога. Критичната инфраструктура е привлекателна цел, тъй като прекъсването на нейната функция създава натиск, надхвърлящ границите на засегнатата организация.

Днес този натиск нараства, тъй като спонсорирани от държави киберпрестъпници търсят персистентност и трайно присъствие в мрежите на критичната инфраструктура — не само за кражба на данни, но и за запазване на достъп, който би могъл да бъде използван по време на криза.

Първоначалният вектор на атака е добре познат: авторите на заплахи експлоатират откраднати идентификационни данни, неуправлявани устройства, компрометирани лаптопи, инструменти за отдалечен достъп и слаб контрол върху достъпа. Моделът „Нулево доверие“ (Zero Trust) предоставя рамка за сигурност, която бързо се превръща в оперативна необходимост за организациите, предоставящи основни услуги.

Заплахата за самоличността и достъпа в критичната инфраструктура

Напредъкът в технологиите води до все по-голяма взаимосвързаност на системите. В отговор на тази промяна и новите предизвикателства CISA наскоро публикува насоки в документа „Adapting Zero Trust Principles to Operational Technology“.

Макар че документът е фокусиран върху средите с оперативни технологии (OT), неговото основно предупреждение важи за цялата критична инфраструктура: имплицитното доверие създава неприемлив риск.

Оперативните технологии изискват внимателен и индивидуален подход. Безопасността, непрекъснатостта на работата, наследените системи (legacy systems) и физическите процеси правят прилагането на стандартни модели за IT сигурност по-сложно в управляваните среди. Насоките на CISA отразяват тази реалност, акцентирайки върху видимостта на активите, управлението на самоличността и достъпа, сегментацията, мониторинга и риска във веригата на доставките.

Ала оперативните технологии не са единственото място, където критичната инфраструктура е изложена на риск. Основните услуги зависят също от IT системи, облачни платформи и SaaS приложения. Както показа атаката срещу Colonial Pipeline, компрометирането на критично важни за бизнеса системи може да причини също толкова щети, колкото и пробивът в оперативните технологии.

Как атакуващите проникват и остават незабелязани

Тактиките на киберпрестъпници като Volt Typhoon показват защо лидерите в сферата на критичната инфраструктура трябва да преосмислят понятието за доверие. Групата насочва усилията си специално към критична инфраструктура, използвайки техники, проектирани да се сливат с нормалната мрежова активност, вместо да предизвикват явни предупреждения.

Американски агенции предупредиха, че подкрепяни от КНР злонамерени субекти са компрометирали и поддържали достъп до мрежи на критична инфраструктура, в някои случаи в продължение на години.

Тактиките са познати, но ефективни. Атакуващите експлоатират уязвими периферни устройства като рутери, защитни стени и VPN устройства.

Те използват откраднати администраторски идентификационни данни и легитимни акаунти и разчитат на техники от типа „living off the land“ (използване на наличните ресурси), разчитайки на вградени инструменти вместо на зловреден код, така че тяхната дейност да изглежда рутинна.

Освен това те пренасочват трафика през компрометирани устройства, за да затруднят атрибуцията и откриването на атаката.

В Гуам и други локации в САЩ Microsoft съобщи за активност на Volt Typhoon срещу организации в секторите на комуникациите, производството, комуналните услуги, строителството и транспорта. Загрижеността беше свързана не само със шпионаж, но и с възможността този продължителен достъп да подпомогне саботаж при бъдеща геополитическа криза.

Защитете вашите Active Directory пароли с Specops Password Policy

Докладът Verizon Data Breach Investigation Report установи, че откраднатите идентификационни данни участват в 44.7% от пробивите в сигурността.

Защитете без излишни усилия Active Directory с политически съвместими правила за пароли, блокирайки над 6 милиарда компрометирани пароли, повишавайки сигурността и намалявайки затрудненията при поддръжката!

Внедряване на Zero Trust: Защо само самоличността не е достатъчна

Концепцията за нулево доверие осигурява ключова защита срещу тези типове атаки. Въпреки това, макар и идентификацията да е в основата на нулевото доверие, тя не може да поеме цялата тежест самостоятелно.

Спонсорираните от държави киберпрестъпници са опитни в кражбата на идентификационни данни, фишинг атаките, прихващането на сесии и използването на легитимни инструменти за незабелязано придвижване в мрежите.

Многофакторната автентификация (MFA) остава от съществено значение и всяка организация от критичната инфраструктура трябва да я прилага. Но MFA не е пълноценно решение, ако атакуващите могат да компрометират дадена сесия, да регистрират компрометирано устройство, да експлоатират доверен маршрут за отдалечен достъп или да използват легитимен акаунт от неуправлявана крайна точка.

Организациите, предоставящи основни услуги, се нуждаят от по-строги решения за достъп. Това означава да се гледа отвъд потребителското име и паролата и да се оценяват и други сигнали за доверие.

Защо контролът на достъпа на служителите е добра начална точка

Повечето организации от критичната инфраструктура не могат да преустроят оперативните си технологии за една нощ. Те не могат бързо да подменят всяка наследена система, да премахнат всяка зависимост от трети страни или да променят десетилетия оперативна сложност, без да въведат нови рискове. Те обаче могат да укрепят начина, по който служителите осъществяват достъп до критични приложения, данни и системи.

Контролът на достъпа на служителите се намира на пересечната точка между самоличността, сигурността на крайните точки и прилагането на политики за сигурност.