Агенцията за киберсигурност и сигурност на инфраструктурата има нова идея за защита на електроцентрали, водоснабдителни дружества и друга критична инфраструктура: спрете да се опитвате да държите всеки атакуващ навън и започнете да храните тези, които влязат, с диета от фалшиви данни. Новоиздаденото ръководство на CISA съветва операторите на критична инфраструктура да внедрят киберпримамки и honeytokens — нискобюджетни цифрови капани, предназначени да откриват натрапници рано и да ги забавят, преди да достигнат до реални системи. Това е забележима промяна в тона от агенция, която в продължение на години се фокусираше почти изцяло върху кръпки, периметърна защита и контрол на достъпа.

Какво всъщност препоръчва ръководството на CISA

В основата си ръководството описва два свързани инструмента. Honeytokens са фалшиви файлове, идентификационни данни, записи в бази данни или тайни, поставени вътре в мрежа, които не служат за никаква легитимна бизнес цел. Единствената им задача е да стоят там и да изглеждат ценни. Ако някой осъществи достъп до един от тях или се опита да го използва, това е незабавен червен флаг, защото нито един упълномощен служител или система не би трябвало да го докосва. Honeypots развиват концепцията по-нататък, като създават цели примамливи системи, проектирани да изглеждат като реални сървъри, работни станции или активи за промишлено управление, примамвайки атакуващите далеч от действителната среда и давайки на защитниците време да наблюдават тактиките им.

CISA представя тези решения като достъпни опции за организации на всяко ниво на киберсигурностна зрялост, не само за агенции с големи бюджети за сигурност. Това е от значение за операторите на критична инфраструктура, много от които разполагат с малки IT и екипи по сигурност и не могат да си позволят платформи за откриване на заплахи от корпоративен клас. Honeytoken, за разлика от това, може да бъде толкова прост, колкото фалшиви идентификационни данни, поставени в споделена папка. Струва малко за внедряване, но може да генерира сигнал с висока степен на сигурност в момента, в който някой взаимодейства с него.

Как примамките работят заедно с VPN и сегментиране на мрежата

Технологията за заблуда не е предназначена да замени инструментите, на които организациите вече разчитат, като VPN, защитни стени и сегментиране на мрежата. Тя е предназначена да запълни празнината, която тези инструменти оставят след себе си. VPN и контролът на достъпа са изградени, за да държат неоторизираните потребители навън на първо място. Но атакуващите все по-често намират начини да заобиколят тези защити, като експлоатират компрометирани идентификационни данни или уязвимости в самата инфраструктура за отдалечен достъп. Собственото предупреждение на CISA относно Gunra ransomware, насочен към VPN е ясен пример: злонамерените участници активно проверяват слабостите в отдалечения достъп, за да получат опора, което означава, че само периметърните защити вече не са достатъчни.

Honeytokens и примамките работят при предположението, че решените атакуващи в крайна сметка ще пробият периметъра, било то чрез откраднати VPN идентификационни данни, фишинг имейл или непоправена уязвимост. Веднъж попаднали вътре, примамките действат като телове-капани. Ако натрапник се движи през сегментирана мрежа в търсене на ценни данни или системи, honeytoken, поставен на грешното място, може да го хване почти веднага, често преди да е нанесъл значителна вреда. Това е многослоен подход: VPN и сегментирането забавят атакуващите и ограничават обхвата им, докато примамките правят много по-трудно за тях да се движат неоткрити, след като са вътре.

Защо операторите на критична инфраструктура са приоритетна цел

Решението на CISA да насочи това ръководство директно към операторите на критична инфраструктура отразява къде залозите са най-високи. Водните системи, енергийните доставчици и другите основни услуги често работят със смесица от модерни IT мрежи и по-стари оперативни технологии, които не са били проектирани с мисъл за киберсигурност. Тази комбинация ги прави привлекателни цели и трудни за защита само с традиционни инструменти. Скорошната кибератака срещу водоснабдяването в Минесота, засегнала повече от 30 системи само за два дни, илюстрира колко бързо координираните атаки могат да се разпространят сред доставчиците на инфраструктура, които може да не разполагат с ресурсите на голям корпоративен екип по сигурност. Технологията за заблуда предлага на тези организации начин да надхвърлят тежестта си, генерирайки сигнали с висока точност, без да изискват постоянно наблюдение или скъпи платформи за откриване.

Какво означава това за откриване на странично движение след пробив

Един от най-трудните проблеми при реагирането на инциденти е да се разбере колко далеч е пътувал атакуващият вътре в мрежата след първоначалния пробив. Атакуващите, които получат опора, често прекарват дни или седмици тихо движейки се странично, ескалирайки привилегии и картографирайки ценни системи, преди да стартират ransomware полезен товар или да изнесат данни. Традиционните инструменти за сигурност могат да се затруднят да разграничат това тихо разузнаване от нормалната мрежова активност.

Honeytokens променят това изчисление. Тъй като нямат легитимна употреба, всяко взаимодействие с тях е почти гарантиран знак за злонамерена активност, пробивайки си път през шума, който обикновено погребва ранните предупредителни знаци. За операторите на критична инфраструктура, които се опитват да хванат натрапниците, преди да достигнат до оперативни технологии или клиентски данни, този ранен сигнал може да бъде разликата между овладян инцидент и пълно прекъсване.

Какво означава това за вас

Ако работите в IT или сигурност за комунално дружество, общинска система или друг оператор на инфраструктура, ръководството на CISA си заслужава да бъде прочетено изцяло и да се третира като нискобюджетно допълнение към съществуващите ви защити, а не като тяхна замяна. VPN, многофакторната автентикация и сегментирането на мрежата остават от съществено значение за държането на атакуващите навън. Примамките и honeytokens са за хващане на тези, които все пак преминат през тези защити. Дори организации без специализиран персонал по сигурност могат да започнат с малко, поставяйки няколко фалшиви идентификационни данни или файлове на чувствителни места и настройвайки сигнали за всяко взаимодействие с тях.

За ежедневните потребители и по-малките организации по-големият извод е напомняне, че нито един слой за сигурност не е безпогрешен. Атакуващите непрекъснато проверяват инструментите за отдалечен достъп, както се вижда в продължаващите ransomware кампании, експлоатиращи слабости в VPN, което означава, че защитата в дълбочина е по-важна от всякога.

Ключови изводи

  • Ръководството на CISA относно киберпримамките и honeytokens дава на операторите на критична инфраструктура нискобюджетен начин за ранно откриване на натрапници.
  • Примамките допълват, а не заменят, VPN, контрола на достъпа и сегментирането на мрежата.
  • Honeytokens са особено ефективни при сигнализиране на странично движение след пробив, тъй като легитимните потребители никога не взаимодействат с тях.
  • По-малките оператори на инфраструктура с ограничени бюджети за сигурност са приоритетна аудитория за този подход.
  • Организациите трябва да съчетаят технологията за заблуда със силни периметърни защити, тъй като атакуващите продължават да се насочват към слабости в отдалечения достъп, за да получат първоначални опори.