A Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökségnek új ötlete van az erőművek, víziközművek és más kritikus infrastruktúrák védelmére: ne próbáljunk meg minden támadót kint tartani, hanem kezdjük el hamis adatokkal etetni azokat, akik bejutottak. A CISA újonnan kiadott útmutatása azt javasolja a kritikus infrastruktúra üzemeltetőinek, hogy telepítsenek kibercsalikat és csalitokeneket – alacsony költségű digitális csapdákat, amelyeket arra terveztek, hogy korán észleljék a behatolókat, és lelassítsák őket, mielőtt elérnék a valódi rendszereket. Ez figyelemre méltó hangnemváltás egy olyan ügynökség részéről, amely évek óta szinte kizárólag a javításokra, a peremvédelemre és a hozzáférés-ellenőrzésre összpontosított.

Mit javasol valójában a CISA útmutatása

Lényegét tekintve az útmutatás két kapcsolódó eszközt ír le. A csalitokenek olyan hamis fájlok, hitelesítő adatok, adatbázisrekordok vagy titkos kulcsok, amelyeket egy hálózaton belül helyeznek el, és amelyeknek semmilyen legitim üzleti céljuk nincs. Egyetlen feladatuk, hogy ott üljenek, értékesnek tűnve. Ha bárki hozzáfér egyhez vagy megpróbálja használni, az azonnali vörös zászló, mert egyetlen jogosult alkalmazottnak vagy rendszernek sem szabadna soha hozzányúlnia. A honeypotok továbbviszik a koncepciót: teljes csalirendszereket állítanak fel, amelyek valódi szervereknek, munkaállomásoknak vagy ipari irányítási eszközöknek tűnnek, elterelve a támadókat a tényleges környezettől, és időt adva a védelmezőknek a taktikáik megfigyelésére.

A CISA ezeket bármilyen kiberbiztonsági érettségi szinten álló szervezet számára elérhető lehetőségként mutatja be, nem csak a nagy biztonsági költségvetéssel rendelkező ügynökségek számára. Ez fontos a kritikus infrastruktúra üzemeltetői számára, akik közül sokan karcsú IT- és biztonsági csapatokat működtetnek, és nem engedhetik meg maguknak a vállalati szintű fenyegetésészlelő platformokat. Egy csalitoken ezzel szemben olyan egyszerű lehet, mint egy fájlmegosztóba elhelyezett hamis hitelesítő adat. Telepítése kevésbe kerül, de nagy megbízhatóságú riasztást generálhat abban a pillanatban, amikor valaki interakcióba lép vele.

Hogyan működnek a csalik a VPN-ek és a hálózatszegmentálás mellett

A megtévesztési technológia nem a szervezetek által már használt eszközök – például VPN-ek, tűzfalak és hálózatszegmentálás – helyettesítésére szolgál. Arra hivatott, hogy kitöltse azt a rést, amelyet ezek az eszközök maguk után hagynak. A VPN-eket és a hozzáférés-ellenőrzéseket arra tervezték, hogy eleve kint tartsák a jogosulatlan felhasználókat. A támadók azonban egyre gyakrabban találnak módot e védelem megkerülésére, kihasználva a kompromittált hitelesítő adatokat vagy magának a távoli hozzáférési infrastruktúrának a sebezhetőségeit. A CISA saját figyelmeztetése a VPN-eket célzó Gunra zsarolóvírusról világos példa erre: a fenyegető szereplők aktívan kutatják a távoli hozzáférés gyengeségeit, hogy megkapaszkodjanak, ami azt jelenti, hogy a peremvédelem önmagában már nem elegendő.

A csalitokenek és a csalik abból a feltételezésből indulnak ki, hogy az elszánt támadók végül áttörik a peremet, akár ellopott VPN-hitelesítő adatokon, adathalász e-mailen vagy javítatlan sebezhetőségen keresztül. Miután bejutottak, a csalik botlásként működnek. Ha egy behatoló egy szegmentált hálózaton keresztül értékes adatokat vagy rendszereket keresve mozog, egy rossz helyre telepített csalitoken szinte azonnal elkaphatja őt, gyakran még mielőtt jelentős kárt okozna. Ez egy többrétegű megközelítés: a VPN-ek és a szegmentálás lelassítják a támadókat és korlátozzák elérésüket, míg a csalik sokkal nehezebbé teszik számukra, hogy észrevétlenül mozogjanak, miután bejutottak.

Miért a kritikus infrastruktúra üzemeltetői a kiemelt célpontok

A CISA döntése, hogy ezt az útmutatást egyenesen a kritikus infrastruktúra üzemeltetőire irányítja, tükrözi, hogy hol a legmagasabb a tét. A vízrendszerek, az energiatermelők és más alapvető szolgáltatások gyakran modern IT-hálózatok és olyan régebbi operatív technológia keverékét működtetik, amelyet nem a kiberbiztonság figyelembevételével terveztek. Ez a kombináció vonzó célponttá és a hagyományos eszközökkel nehezen védhetővé teszi őket. A közelmúltbeli minnesotai vízügyi kibertámadás, amely több mint 30 rendszert ért el, mindössze két nap alatt, jól szemlélteti, milyen gyorsan terjedhetnek az összehangolt támadások olyan infrastruktúra-szolgáltatók között, amelyek nélkülözhetik egy nagy vállalati biztonsági csapat erőforrásait. A megtévesztési technológia módot kínál ezeknek a szervezeteknek arra, hogy súlyuk felett teljesítsenek, nagy hűségű riasztásokat generálva anélkül, hogy állandó megfigyelésre vagy drága észlelési platformokra lenne szükség.

Mit jelent ez az oldalirányú mozgás észlelésében egy áttörés után

Az incidenskezelés egyik legnehezebb problémája kideríteni, milyen messzire jutott egy támadó a hálózaton belül a kezdeti áttörés után. A támadók, akik megkapaszkodnak, gyakran napokat vagy heteket töltenek csendes oldalirányú mozgással, jogosultságok eszkalálásával és az értékes rendszerek feltérképezésével, mielőtt zsarolóvírus-hasznos terhet indítanának vagy adatokat exfiltrálnának. A hagyományos biztonsági eszközök nehezen tudják megkülönböztetni ezt a csendes felderítést a normál hálózati tevékenységtől.

A csalitokenek megváltoztatják ezt az egyenletet. Mivel nincs legitim felhasználásuk, bármilyen interakció eggyel szinte garantáltan rosszindulatú tevékenység jele, áthatolva azon a zajon, amely általában eltemeti a korai figyelmeztető jeleket. A kritikus infrastruktúra üzemeltetői számára, akik megpróbálják elkapni a behatolókat, mielőtt elérnék az operatív technológiát vagy az ügyféladatokat, ez a korai jelzés jelentheti a különbséget egy kontrollált incidens és egy teljes körű kiesés között.

Mit jelent ez Önnek

Ha egy közmű, önkormányzati rendszer vagy más infrastruktúra-üzemeltető IT- vagy biztonsági területén dolgozik, a CISA útmutatása érdemes teljes egészében elolvasni, és alacsony költségű kiegészítésként kezelni a meglévő védelemhez, nem annak helyettesítőjeként. A VPN-ek, a többfaktoros hitelesítés és a hálózatszegmentálás továbbra is elengedhetetlen a támadók kint tartásához. A csalik és a csalitokenek azok elkapásáról szólnak, akik mégis átjutnak ezeken a védelmi vonalakon. Még a dedikált biztonsági személyzettel nem rendelkező szervezetek is kezdhetik kicsiben, elhelyezve néhány hamis hitelesítő adatot vagy fájlt érzékeny helyeken, és riasztásokat állítva be bármilyen velük való interakcióra.

A mindennapi felhasználók és a kisebb szervezetek számára a nagyobb tanulság az emlékeztető, hogy egyetlen biztonsági réteg sem tévedhetetlen. A támadók folyamatosan kutatják a távoli hozzáférési eszközöket, amint az a VPN-gyengeségeket kihasználó folyamatban lévő zsarolóvírus-kampányokban látható, ami azt jelenti, hogy a mélységi védelem fontosabb, mint valaha.

Kulcsfontosságú tanulságok

  • A CISA kibercsalikról és csalitokenekről szóló útmutatása alacsony költségű módot kínál a kritikus infrastruktúra üzemeltetőinek a behatolók korai észlelésére.
  • A csalik kiegészítik, nem pedig helyettesítik a VPN-eket, a hozzáférés-ellenőrzéseket és a hálózatszegmentálást.
  • A csalitokenek különösen hatékonyak az oldalirányú mozgás jelzésében egy áttörés után, mivel a jogosult felhasználók soha nem lépnek interakcióba velük.
  • A korlátozott biztonsági költségvetéssel rendelkező kisebb infrastruktúra-üzemeltetők kiemelt célközönséget jelentenek ehhez a megközelítéshez.
  • A szervezeteknek a megtévesztési technológiát erős peremvédelemmel kell párosítaniuk, mivel a támadók továbbra is a távoli hozzáférés gyengeségeit célzóan próbálnak kezdeti megkapaszkodási pontokat szerezni.