Kyberturvallisuus- ja infrastruktuuriturvallisuusvirastolla (CISA) on uusi idea voimalaitosten, vesilaitosten ja muun kriittisen infrastruktuurin puolustamiseksi: lopeta yritykset pitää jokainen hyökkääjä ulkona ja ala syöttää sisään päässeille väärennettyä dataa. CISA:n äskettäin julkaisema ohjeistus neuvoo kriittisen infrastruktuurin operaattoreita ottamaan käyttöön kyberhoukuttimia ja hunajatokeneita – edullisia digitaalisia ansoja, jotka on suunniteltu havaitsemaan tunkeutujat varhain ja hidastamaan heitä ennen kuin he saavuttavat todelliset järjestelmät. Tämä on huomattava sävynmuutos virastolta, joka on vuosien ajan keskittynyt lähes yksinomaan paikkauksiin, kehäpuolustukseen ja pääsynhallintaan.
Mitä CISA:n ohjeistus itse asiassa suosittelee
Ytimeltään ohjeistus kuvaa kahta toisiinsa liittyvää työkalua. Hunajatokeneita ovat väärennetty tiedostot, tunnistetiedot, tietokantamerkinnät tai salaisuudet, jotka on istutettu verkkoon ja joilla ei ole mitään laillista liiketoiminnallista käyttötarkoitusta. Niiden ainoa tehtävä on olla siellä näyttäen arvokkailta. Jos joku käyttää tai yrittää käyttää sellaista, se on välitön hälytysmerkki, koska kenenkään valtuutetun työntekijän tai järjestelmän ei pitäisi koskaan koskea siihen. Hunajapurut vievät konseptin pidemmälle: niissä pystytetään kokonaisia houkutinjärjestelmiä, jotka on suunniteltu näyttämään todellisilta palvelimilta, työasemilta tai teollisuuden ohjausjärjestelmiltä, houkutellen hyökkääjiä pois varsinaisesta ympäristöstä ja antaen puolustajille aikaa havainnoida heidän taktiikoitaan.
CISA esittää nämä helposti käyttöön otettavina vaihtoehtoina organisaatioille kaikilla kyberturvallisuuden kypsyystasoilla, ei vain virastoille, joilla on suuret turvabudjetit. Tällä on merkitystä kriittisen infrastruktuurin operaattoreille, joista monet pyörittävät niukkoja IT- ja turvatiimejä eivätkä voi hankkia yritystason uhkien havaitsemisalustoja. Hunajatokeni voi sitä vastoin olla yhtä yksinkertainen kuin tiedostojakoon pudotettu väärennetty tunnistetieto. Sen käyttöönotto maksaa vähän, mutta se voi tuottaa erittäin luotettavan hälytyksen heti, kun joku on vuorovaikutuksessa sen kanssa.
Miten houkuttimet toimivat VPN:ien ja verkkosegmentoinnin rinnalla
Harhautusteknologia ei ole tarkoitettu korvaamaan työkaluja, joihin organisaatiot jo nojaavat, kuten VPN:it, palomuurit ja verkkosegmentointi. Sen on tarkoitus täyttää aukko, jonka nämä työkalut jättävät taakseen. VPN:t ja pääsynhallinta on rakennettu pitämään luvattomat käyttäjät ulkona alun alkaen. Mutta hyökkääjät löytävät yhä useammin keinoja kiertää nämä puolustukset hyödyntämällä vaarantuneita tunnistetietoja tai etäkäyttöinfrastruktuurin haavoittuvuuksia. CISA:n oma tiedote Gunra-kiristysohjelmasta, joka kohdistuu VPN:iin on selkeä esimerkki: uhkatoimijat aktiivisesti luotaavat etäkäytön heikkouksia saadakseen jalansijan, mikä tarkoittaa, että pelkät kehäpuolustukset eivät enää riitä.
Hunajatokeneita ja houkuttimia käytetään olettaen, että päättäväiset hyökkääjät lopulta murtautuvat kehän läpi, olipa kyseessä varastettu VPN-tunnistetieto, tietojenkalastelusähköposti tai paikkaamaton haavoittuvuus. Kun he ovat sisällä, houkuttimet toimivat laukaisulankoina. Jos tunkeutuja liikkuu segmentoidussa verkossa etsien arvokasta dataa tai järjestelmiä, väärään paikkaan istutettu hunajatokeni voi napata hänet lähes välittömästi, usein ennen kuin hän on aiheuttanut merkittävää vahinkoa. Kyse on kerroksellisesta lähestymistavasta: VPN:t ja segmentointi hidastavat hyökkääjiä ja rajoittavat heidän ulottuvuuttaan, kun taas houkuttimet tekevät heille paljon vaikeammaksi liikkua havaitsematta, kun he ovat sisällä.
Miksi kriittisen infrastruktuurin operaattorit ovat ensisijainen kohde
CISA:n päätös kohdistaa tämä ohjeistus suoraan kriittisen infrastruktuurin operaattoreille heijastaa sitä, missä panokset ovat korkeimmat. Vesijärjestelmät, energiayhtiöt ja muut välttämättömät palvelut pyörittävät usein yhdistelmää nykyaikaisia IT-verkkoja ja vanhempaa operatiivista teknologiaa, jota ei ole suunniteltu kyberturvallisuus mielessä. Tämä yhdistelmä tekee niistä houkuttelevia kohteita ja vaikeita puolustaa pelkillä perinteisillä työkaluilla. Äskettäinen Minnesotan vesihuoltoon kohdistunut kyberhyökkäys, joka osui yli 30 järjestelmään vain kahden päivän aikana, havainnollistaa, miten nopeasti koordinoidut hyökkäykset voivat levitä infrastruktuurin tarjoajien keskuudessa, joilla ei ehkä ole suuren yrityksen turvatiimin resursseja. Harhautusteknologia tarjoaa näille organisaatioille keinon yltää painoluokkaansa korkeammalle tuottamalla erittäin tarkkoja hälytyksiä ilman jatkuvaa valvontaa tai kalliita havaitsemisalustoja.
Mitä tämä tarkoittaa sivuttaisliikkeen havaitsemiselle tietomurron jälkeen
Yksi vaikeimmista ongelmista tietoturvapoikkeamien hallinnassa on selvittää, kuinka pitkälle hyökkääjä on matkustanut verkossa alkuperäisen tietomurron jälkeen. Jalansijan saaneet hyökkääjät viettävät usein päiviä tai viikkoja liikkuen hiljaa sivusuunnassa, laajentaen käyttöoikeuksiaan ja kartoittaen arvokkaita järjestelmiä ennen kiristysohjelman laukaisemista tai tietojen varastamista. Perinteiset turvatyökalut voivat kamppailla erottaakseen tämän hiljaisen tiedustelun normaalista verkkotoiminnasta.
Hunajatokeneita muuttavat tämän laskelman. Koska niillä ei ole laillista käyttöä, mikä tahansa vuorovaikutus sellaisen kanssa on lähes varma merkki haitallisesta toiminnasta, leikaten läpi kohinan, joka normaalisti hautaa alleen varhaiset varoitusmerkit. Kriittisen infrastruktuurin operaattoreille, jotka yrittävät napata tunkeutujat ennen kuin he saavuttavat operatiivisen teknologian tai asiakastiedot, tämä varhainen signaali voi olla ero hallitun tapauksen ja täysimittaisen katkoksen välillä.
Mitä tämä tarkoittaa sinulle
Jos työskentelet IT- tai turvatehtävissä laitoksen, kunnallisen järjestelmän tai muun infrastruktuurin operaattorin palveluksessa, CISA:n ohjeistus kannattaa lukea kokonaan ja suhtautua siihen edullisena lisänä olemassa oleviin puolustuksiisi, ei niiden korvaajana. VPN:t, monivaiheinen tunnistautuminen ja verkkosegmentointi ovat edelleen olennaisia hyökkääjien pitämiseksi ulkona. Houkuttimet ja hunajatokeneita ovat keino napata ne, jotka pääsevät näiden puolustusten ohi joka tapauksessa. Jopa organisaatiot, joilla ei ole omistautunutta turvahenkilöstöä, voivat aloittaa pienesti istuttamalla kourallisen väärennettyjä tunnistetietoja tai tiedostoja arkaluonteisiin paikkoihin ja asettamalla hälytyksiä kaikesta niiden kanssa tapahtuvasta vuorovaikutuksesta.
Jokapäiväisille käyttäjille ja pienemmille organisaatioille suurempi johtopäätös on muistutus siitä, että mikään yksittäinen turvakerros ei ole aukoton. Hyökkääjät luotaavat jatkuvasti etäkäyttötyökaluja, kuten käynnissä olevista kiristysohjelmakampanjoista ilmenee, jotka hyödyntävät VPN-heikkouksia, mikä tarkoittaa, että syvyyssuuntainen puolustus on tärkeämpää kuin koskaan.
Keskeiset havainnot
- CISA:n ohjeistus kyberhoukuttimista ja hunajatokeneista tarjoaa kriittisen infrastruktuurin operaattoreille edullisen tavan havaita tunkeutujat varhain.
- Houkuttimet täydentävät, eivät korvaa, VPN:iä, pääsynhallintaa ja verkkosegmentointia.
- Hunajatokeneita ovat erityisen tehokkaita sivuttaisliikkeen havaitsemisessa tietomurron jälkeen, koska lailliset käyttäjät eivät koskaan ole vuorovaikutuksessa niiden kanssa.
- Pienemmät infrastruktuurin operaattorit, joilla on rajalliset turvabudjetit, ovat tämän lähestymistavan ensisijainen kohderyhmä.
- Organisaatioiden tulisi yhdistää harhautusteknologia vahvoihin kehäpuolustuksiin, koska hyökkääjät jatkavat etäkäytön heikkouksien hyödyntämistä saadakseen alkuperäisen jalansijan.
