Cybersecurity and Infrastructure Security Agency har en ny idé til at forsvare kraftværker, vandforsyninger og anden kritisk infrastruktur: stop med at prøve at holde enhver angriber ude, og begynd at fodre dem, der kommer ind, med falske data. CISA's nyudgivne vejledning råder operatører af kritisk infrastruktur til at udrulle cyberlokkemad og honningtokens, billige digitale fælder designet til at opdage indtrængende tidligt og bremse dem, før de når frem til rigtige systemer. Det er et bemærkelsesværdigt toneskift fra en myndighed, der i årevis har fokuseret næsten udelukkende på patching, perimeterforsvar og adgangskontrol.

Hvad CISA's vejledning faktisk anbefaler

I sin kerne beskriver vejledningen to beslægtede værktøjer. Honningtokens er falske filer, legitimationsoplysninger, databaseregistreringer eller hemmeligheder plantet inde i et netværk, som ikke tjener noget legitimt forretningsformål. Deres eneste opgave er at ligge der og se værdifulde ud. Hvis nogen tilgår eller forsøger at bruge en, er det et øjeblikkeligt rødt flag, fordi ingen autoriseret medarbejder eller system bør nogensinde røre ved den. Honningpotter går et skridt videre og opstiller hele lokkesystemer designet til at ligne rigtige servere, arbejdsstationer eller industrielle kontrolaktiver, hvilket lokker angribere væk fra det faktiske miljø og giver forsvarere tid til at observere deres taktikker.

CISA fremstiller disse som tilgængelige muligheder for organisationer på ethvert niveau af cybersikkerhedsmodenhed, ikke kun myndigheder med store sikkerhedsbudgetter. Det betyder noget for operatører af kritisk infrastruktur, hvor mange kører med slanke IT- og sikkerhedsteams og ikke har råd til trusselsdetektionsplatforme i enterprise-klassen. En honningtoken kan derimod være så simpel som en falsk legitimationsoplysning placeret i en filshare. Det koster lidt at udrulle, men kan generere en alarm med høj sikkerhed i det øjeblik, nogen interagerer med den.

Hvordan lokkemad fungerer sammen med VPN'er og netværkssegmentering

Lokkemadsteknologi er ikke ment som en erstatning for de værktøjer, organisationer allerede er afhængige af, såsom VPN'er, firewalls og netværkssegmentering. Den er ment til at udfylde det hul, som disse værktøjer efterlader. VPN'er og adgangskontroller er bygget til at holde uautoriserede brugere ude i første omgang. Men angribere finder i stigende grad veje uden om disse forsvar ved at udnytte kompromitterede legitimationsoplysninger eller sårbarheder i selve fjernadgangsinfrastrukturen. CISA's egen advisory om Gunra ransomware targeting VPNs er et klart eksempel: trusselsaktører undersøger aktivt svagheder i fjernadgang for at få fodfæste, hvilket betyder, at perimeterforsvar alene ikke længere er nok.

Honningtokens og lokkemad fungerer ud fra den antagelse, at besluttsomme angribere til sidst vil bryde gennem perimetret, hvad enten det er gennem en stjålet VPN-legitimationsoplysning, en phishing-e-mail eller en uopdateret sårbarhed. Når de først er inde, fungerer lokkemad som snubletråde. Hvis en indtrængende bevæger sig gennem et segmenteret netværk på jagt efter værdifulde data eller systemer, kan en honningtoken placeret det forkerte sted fange dem næsten øjeblikkeligt, ofte før de har gjort betydelig skade. Det er en lagdelt tilgang: VPN'er og segmentering bremser angribere og begrænser deres rækkevidde, mens lokkemad gør det langt sværere for dem at bevæge sig uopdaget, når de først er inde.

Hvorfor operatører af kritisk infrastruktur er det prioriterede mål

CISA's beslutning om at rette denne vejledning direkte mod operatører af kritisk infrastruktur afspejler, hvor indsatsen er højest. Vandsystemer, energileverandører og andre essentielle tjenester kører ofte en blanding af moderne IT-netværk og ældre operationel teknologi, som ikke blev designet med cybersikkerhed i tankerne. Den kombination gør dem til attraktive mål og vanskelige at forsvare med traditionelle værktøjer alene. Det seneste Minnesota water cyberattack that hit more than 30 systems over blot to dage illustrerer, hvor hurtigt koordinerede angreb kan sprede sig på tværs af infrastrukturudbydere, som måske mangler ressourcerne fra et stort enterprise-sikkerhedsteam. Lokkemadsteknologi tilbyder disse organisationer en måde at yde mere, end deres størrelse tilsiger, ved at generere alarmer med høj troværdighed uden at kræve konstant overvågning eller dyre detektionsplatforme.

Hvad dette betyder for at opdage lateral bevægelse efter et brud

Et af de sværeste problemer i incident response er at finde ud af, hvor langt en angriber har bevæget sig inde i et netværk efter det indledende brud. Angribere, der får fodfæste, bruger ofte dage eller uger på stille at bevæge sig lateralt, eskalere privilegier og kortlægge værdifulde systemer, før de lancerer en ransomware-payload eller eksfiltrerer data. Traditionelle sikkerhedsværktøjer kan have svært ved at skelne denne stille rekognoscering fra normal netværksaktivitet.

Honningtokens ændrer det regnestykke. Fordi de ikke har nogen legitim anvendelse, er enhver interaktion med en næsten garanteret et tegn på ondsindet aktivitet, hvilket skærer gennem den støj, der normalt begraver tidlige advarselstegn. For operatører af kritisk infrastruktur, der forsøger at fange indtrængende, før de når operationel teknologi eller kundedata, kan det tidlige signal være forskellen mellem en inddæmmet hændelse og et totalt nedbrud.

Hvad dette betyder for dig

Hvis du arbejder med IT eller sikkerhed for en forsyningsvirksomhed, et kommunalt system eller en anden infrastrukturoperatør, er CISA's vejledning værd at læse i sin helhed og behandle som en billig tilføjelse til dine eksisterende forsvar, ikke en erstatning for dem. VPN'er, multifaktorautentificering og netværkssegmentering forbliver essentielle for at holde angribere ude. Lokkemad og honningtokens handler om at fange dem, der alligevel kommer forbi disse forsvar. Selv organisationer uden dedikeret sikkerhedspersonale kan starte i det små, plante en håndfuld falske legitimationsoplysninger eller filer på følsomme steder og opsætte alarmer for enhver interaktion med dem.

For almindelige brugere og mindre organisationer er den større pointe en påmindelse om, at intet enkelt sikkerhedslag er idiotsikkert. Angribere undersøger konstant fjernadgangsværktøjer, som set i igangværende ransomware-kampagner, der udnytter VPN-svagheder, hvilket betyder, at dybdeforsvar betyder mere end nogensinde.

Vigtige pointer

  • CISA's vejledning om cyberlokkemad og honningtokens giver operatører af kritisk infrastruktur en billig måde at opdage indtrængende tidligt.
  • Lokkemad supplerer snarere end erstatter VPN'er, adgangskontroller og netværkssegmentering.
  • Honningtokens er særligt effektive til at markere lateral bevægelse efter et brud, da legitime brugere aldrig interagerer med dem.
  • Mindre infrastrukturoperatører med begrænsede sikkerhedsbudgetter er et prioriteret publikum for denne tilgang.
  • Organisationer bør kombinere lokkemadsteknologi med stærkt perimeterforsvar, da angribere fortsat målretter sig mod svagheder i fjernadgang for at få indledende fodfæste.