Entinen yrityksen insinööri on tuomittu 32 kuukauden vankeuteen raporttiohjelmistotyylisestä hyökkäyksestä omaa työnantajaansa vastaan. Sisäpiiriraptoritapauksessa poistettiin ylläpitäjätilejä, suljettiin palvelimia ja vaadittiin Bitcoin-maksua. Hyökkäyksen arvoksi arvioitiin 750 000 dollaria tarkastelemassamme raportissa. Tapaus on hyödyllinen muistutus siitä, että vaarallisin tunkeutuja on joskus se, jolla on jo avaimet.
Mitä insinööri teki ja miten hänet tuomittiin
Raportin mukaan insinööri poisti ylläpitäjätilejä, sulki kriittisiä palvelimia ja vaati sen jälkeen maksua Bitcoinissa. Tämä sarja muistuttaa tavanomaista raporttiohjelmistohyökkäystä, jossa uhrit lukitaan ulos ja heitä kehotetaan maksamaan päästäkseen takaisin järjestelmiin. Ero on tekijässä: kyse ei ollut ulkopuolisesta rikollisryhmästä, vaan yrityksen palveluksessa olleesta henkilöstä.
FBI jäljitti hyökkäyksen hänen työkannettavaansa, ja tapaus päättyi tuomioon ja 32 kuukauden vankeusrangaistukseen. Aiempi uutisointimme tapauksesta kuvaa entistä ydininfrastruktuurin insinööriä, joka sabotoi newjerseyläisen yrityksen verkkoa ja vaati 20 bitcoinia. Voit lukea täydet yksityiskohdat raportistamme Daniel Rhynen 32 kuukauden tuomiosta verkkosabotaasista ja Bitcoin-vaatimuksesta.
Lyhyt uutisyhteenveto jättää joitakin yksityiskohtia pois, joten on syytä olla selkeä siitä, mitä tiedetään: tuomio, toteutetut toimenpiteet, Bitcoin-vaatimus ja kannettavaan tietokoneeseen perustuva jäljitys. Kaikkea muuta olisi pidettävä tässä vahvistamattomana.
Miten FBI jäljitti hyökkäyksen työkannettavaan
Tarinan opettavaisin osa saattaa olla se, miten epäilty tunnistettiin. FBI yhdisti hyökkäyksen hänen työnantajan antamaansa kannettavaan tietokoneeseen. Bitcoiniä pidetään usein anonyyminä, ja hyökkääjät uskovat joskus, että kryptovaluutassa esitetty lunastusvaatimus suojaa heidät. Maksutapa on kuitenkin vain yksi osa kokonaisuutta. Käytetyt laitteet, kosketetut tilit ja työkoneelle jäänyt toiminta voivat johtaa tiettyyn henkilöön.
Sisäpiiriläisen kohdalla ongelma on vielä selvempi. Työkannettava on työnantajan omistama, konfiguroima ja usein valvoma. Se on sidottu nimettyyn työntekijään, kirjautumistunnukseen ja käyttöoikeuksiin. Tällaisen laitteen käyttäminen tuhoisaan tekoon jättää jäljen, jonka tutkijat voivat yhdistää henkilöön, jolle se oli määrätty.
Lähde ei selitä yksityiskohtaisia forensisia vaiheita, joten emme spekuloi niillä. Johtopäätös on yksinkertaisempi: kun hyökkääjä on jo organisaation sisällä, tekijän tunnistaminen voi olla paljon suoraviivaisempaa kuin anonyymissä ulkopuolisessa hyökkäyksessä.
Missä käyttöoikeuksien hallinta ja tunnusten hallinta pettivät
Tapaus herättää ilmeisen kysymyksen: miten yksi insinööri saattoi sulkea kriittisiä palvelimia ja poistaa ylläpitäjätilejä? Raportointi ei esitä yrityksen sisäistä järjestelyä, joten emme voi sanoa tarkalleen, mitkä hallintakeinot puuttuivat. Kuvatut toimenpiteet viittaavat kuitenkin tuttuun heikkousluokkaan: liika valta keskittynyt liian harvoihin käsiin.
Tietoturvatiimit keskustelevat yleisesti muutamista periaatteista, jotka pätevät tässä:
- Vähimmän oikeuden periaate: ihmisillä tulisi olla vain nykyisen roolinsa tarvitsemat käyttöoikeudet, ei enempää.
- Tehtävien eriyttäminen: kukaan yksittäinen henkilö ei saisi pystyä sekä luomaan että poistamaan ylläpitäjätilejä ilman minkäänlaista tarkistusta.
- Offboarding ja tarkastus: etuoikeutettuja käyttöoikeuksia tulisi tarkastella säännöllisesti ja poistaa nopeasti, kun roolit muuttuvat.
- Lokitus ja hälytykset: epätavallisten ylläpitotoimien, kuten massaluonteisten tilien poistojen tai palvelimien sammuttamisten, tulisi laukaista hälytyksiä sen sijaan, että ne havaitaan jälkikäteen.
- Palautettavuus: varmuuskopiot ja erillisen valvonnan alaiset hätätilit auttavat yritystä palautumaan, jos etuoikeutettua tiliä käytetään väärin.
Nämä ovat yleisiä käytäntöjä, eivät havaintoja tästä nimenomaisesta työnantajasta. Kuvattu lopputulos (menetetyt ylläpitäjätilit, kaatuneet palvelimet, lunastusvaatimus) on kuitenkin juuri se, mitä näillä toimenpiteillä on tarkoitus rajoittaa.
Mitä tämä tarkoittaa työpaikan yksityisyydelle ja työntekijöiden altistumiselle
Tämä osio on yhtä tärkeä tavallisille työntekijöille kuin IT-tiimeille. Tapaus osoittaa, että työkannettava ei ole yksityinen tila. Siellä tapahtuva toiminta voidaan yhdistää sinuun, ja rikostutkinnassa työnantaja ja lainvalvontaviranomaiset voivat tutkia sitä.
Useimmille työntekijöille tämä on syy pitää henkilökohtainen toiminta poissa työlaitteilta, ei syy huoleen. Henkilökohtainen sähköposti, yksityinen selailu ja henkilökohtaiset viestit kannattaa pitää omalla laitteistollasi. VPN ei muuta sitä, kuka omistaa työkannettavan tai mitä työnantajan omat työkalut voivat nähdä siellä, joten sitä ei tulisi pitää tapana piilottaa toimintaa yritykseltä.
Altistuminen toimii myös toisin päin. Ylläpitäjäoikeuksia omaavat työntekijät kantavat riskiä, vaikka heillä ei olisi pahoja aikomuksia. Jos heidän tunnuksensa varastetaan tai jos heitä syytetään tapauksesta, laajat käyttöoikeudet tekevät heistä suuremman kohteen ja suuremman vastuun. Kapeammat käyttöoikeudet suojaavat sekä yritystä että niiden haltijaa.
Mitä tämä tarkoittaa sinulle
Jos pyörität tai autat hallitsemaan yritystä, suhtaudu tähän sisäpiiriraptoritapaukseen kehotuksena katsoa sisäänpäin. Raptoriohjelmien suunnittelu keskittyy yleensä tietojenkalasteluun ja ulkopuolisiin hyökkääjiin, mutta yksi laajoja käyttöoikeuksia omaava luotettu tili voi aiheuttaa saman häiriön.
Jos olet työntekijä, opetus on käytännöllisempi: oleta, että työlaitteita valvotaan ja ne ovat jäljitettävissä, ja pidä henkilökohtainen elämäsi henkilökohtaisilla laitteilla.
Käytännön johtopäätökset
- Listaa, kenellä on ylläpitäjän käyttöoikeudet. Tiedä tarkalleen, mitkä tilit voivat poistaa muita tilejä tai sulkea kriittisiä järjestelmiä.
- Vähennä ja jaa käyttöoikeuksia. Vaadi toinen hyväksyntä kaikkein tuhoisimmille toimenpiteille, jos mahdollista.
- Tarkista, mitä lokitetaan. Varmista, että palvelimien ja työlaitteiden ylläpitomuutokset tallennetaan ja että joku saa hälytyksen epätavallisista muutoksista.
- Testaa palautuminen. Varmista, että varmuuskopiot ja hätäkäyttöoikeudet ovat olemassa kenenkään yksittäisen henkilön valvonnan ulkopuolella.
- Erota työ ja henkilökohtainen käyttö. Pidä yksityinen toiminta poissa työkannettavilta.
Saadaksesi täyden taustan syytteeseenpanosta, katso yksityiskohtainen artikkelimme Daniel Rhynen tuomiosta ja käytä sitten tätä tapausta syynä tarkastaa omat ylläpitokäyttöoikeutesi ja laitelokituksesi.
