Anatomia e një sulmi

Një sulm kibernetik rrallë është ai momenti dramatik i filmit. Është një zinxhir hapash të vegjël, secili prej të cilëve mund të ndalej më vete. Këtu një kompromis tipik është shpjeguar thjesht, pa zhargon teknik: scroll-o dhe shiko në çdo etapë ku vepron mbrojtja.

Etapa 01 · Qasja fillestare

Maili që kalon

Nuk fillon me një hack, por me një mesazh. Një punonjëse e kontabilitetit merr një faturë bindëse nga një furnizues i njohur, me pamje të njëjtë, temë e besueshme, vetëm domain-i i dërguesit ndryshon nga një shkronjë. Ajo hap bashkëngjitjen.

Ku duket

Gateway-i i mailit sinjalizon një domain të saporegjistruar dhe një bashkëngjitje me makro, një sinjal që shpesh humbet në përmbytjen e përditshme.

Çfarë do ta kishte ndaluar

Blloko si parazgjedhje makrot nga interneti, detono bashkëngjitjet në një sandbox, dhe një ekip që ka mësuar të marrë telefonin kur ka dyshim.

Etapa 02 · Ekzekutimi

Ura e parë e kalimit

Makroja tërheq në heshtje një loader të vogël. Pa ekran blu, pa paralajmërim, vetëm një proces i padukshëm që maskohet si shërbim sistemi dhe hap një lidhje nga jashtë. Sulmuesi tashmë ka një këmbë te dera.

Ku duket

EDR-i sheh një program Office që papritur nis PowerShell dhe hap lidhje rrjeti, një sjellje që një përpunues teksti nuk duhet ta tregojë kurrë.

Çfarë do ta kishte ndaluar

Kontroll aplikacionesh që lejon vetëm programet e njohura, dhe një EDR që izolon automatikisht zinxhirin e dyshimtë të proceseve në vend që thjesht ta regjistrojë.

Etapa 03 · Persistenca & rritja e privilegjeve

Të futesh thellë dhe të ngjitesh lart

Loader-i siguron rinisjen me një hyrje autostart dhe kërkon çmimin më të madh: të drejtat e administratorit. Një shërbim i papatchuar dhe disa kredenciale të ruajtura mjaftojnë. Llogaria e thjeshtë e përdoruesit bëhet administrator lokal, pastaj i domain-it.

Ku duket

Modele të pazakonta hyrjeje dhe qasja te memoria e shërbimit të autentifikimit shfaqen në log-e, nëse dikush i lidh dhe i lexon.

Çfarë do ta kishte ndaluar

Patchim i vazhdueshëm, llogari administrative të ndara, dhe mbrojtje memorie për kredencialet (Credential Guard). Më pak të drejta në përditshmëri do të thotë më pak për të vjedhur.

Etapa 04 · Lëvizja anësore

Nga një kompjuter te i gjithë rrjeti

Me të drejta administratori sulmuesi lëviz anash: nga makina në makinë, gjithmonë me kredenciale të vlefshme, gjithmonë duke u dukur si administrator legjitim. Ai harton rrjetin, gjen serverët e skedarëve dhe fshihet mes trafikut normal.

Ku duket

Një kompjuter i brendshëm që papritur flet me dhjetëra të tjerë bie në sy përballë bazës normale, me kusht që të ekzistojë një e tillë.

Çfarë do ta kishte ndaluar

Segmentim i rrjetit që pengon një pajisje të arrijë çdo tjetër, multi-faktor edhe brenda, dhe një baseline ndaj së cilës devijimet bëhen të dukshme.

Etapa 05 · Eksfiltrimi & pasoja

Kur të dhënat dalin nga shtëpia

Në fund vjen qëllimi: të dhënat. Sulmuesi mbledh, kompreson dhe i nxjerr në pjesë të vogla përmes një shërbimi cloud të padukshëm, shpesh javë para se dikush të vërejë. Vetëm pastaj vjen ajo që bën tituj: kriptim, zhvatje, ndalim i punës.

Ku duket

Sasi të mëdha të dhënash dalëse drejt një destinacioni rrallë të përdorur janë sinjali i fundit, më i qarti: pika ku shumë sulme më në fund zbulohen.

Çfarë do ta kishte ndaluar

Monitoro dhe kufizo trafikun dalës, regjistro qasjen te të dhënat e ndjeshme, dhe mbaj backup-e të testuara e offline, që zhvatja të humbë levën e saj.

Fija e kuqe

Asnjë hap i vetëm nuk ishte i pandalshëm më vete. Pikërisht ky është lajmi i mirë: mbrojtja nuk duhet ta thyejë çdo sulm te muri i parë. Mjafton të vendosë aq pengesa sa zinxhiri të këputet para se të dhënat të dalin nga shtëpia. Kjo është gjithçka që do të thotë «defense in depth».