Un ex ingegnere infrastrutturale è stato condannato a 32 mesi di prigione per aver bloccato circa 3.000 dispositivi sulla rete del suo datore di lavoro e aver chiesto un riscatto di 750.000 dollari. Questa condanna per un attacco ransomware interno è un utile promemoria del fatto che alcuni degli incidenti più dannosi non iniziano con uno sconosciuto che sonda un firewall. Iniziano con qualcuno che ha già le chiavi.

L'articolo originale è breve, quindi questo post si attiene a quanto è stato riportato e si concentra sulle lezioni pratiche per le organizzazioni e gli individui.

Cosa ha fatto l'ingegnere e cosa ha ottenuto

Secondo il rapporto, l'imputato era un ingegnere infrastrutturale presso l'azienda che in seguito ha attaccato. Ha bloccato circa 3.000 dispositivi sulla rete del datore di lavoro e ha chiesto un riscatto di 750.000 dollari. Ora è stato condannato a 32 mesi.

L'articolo non fornisce ulteriori dettagli a questo proposito, e non azzarderemo ipotesi sui metodi tecnici, sull'identità dell'azienda o su come sia stato scoperto il piano. Ciò che il caso rende chiaro è la scala: una singola persona è stata in grado di colpire migliaia di endpoint contemporaneamente. Questa scala è la storia.

Perché l'accesso interno aggira le difese perimetrali

La maggior parte della spesa per la sicurezza è destinata a tenere fuori gli estranei: firewall, filtraggio delle email, rilevamento degli endpoint e gateway VPN che autenticano gli utenti remoti. Questi controlli contano. Ma sono costruiti attorno alla premessa che la persona all'interno agisca nell'interesse dell'organizzazione.

Gli ingegneri infrastrutturali sono un caso particolarmente delicato. Il loro lavoro spesso richiede ampi diritti amministrativi su server, strumenti di gestione e sulla rete stessa. Azioni che sembrerebbero sospette da un account esterno, come inviare modifiche a migliaia di macchine, possono sembrare routine quando provengono da un amministratore.

Questo è il problema centrale delle minacce interne:

  • Le credenziali legittime non attivano gli allarmi che quelle rubate o ottenute con la forza bruta potrebbero attivare.
  • Gli insider sanno dove si trovano i sistemi di valore e come vengono gestiti i backup.
  • Un accesso ampio e permanente significa che un solo account può raggiungere un numero molto elevato di dispositivi.

Niente di tutto ciò significa che i datori di lavoro dovrebbero trattare il personale con sospetto. Significa che la progettazione dell'ambiente non dovrebbe dipendere dal fatto che una singola persona sia affidabile per sempre.

Limitare il raggio d'azione: segmentazione, privilegio minimo e monitoraggio

La lezione suggerita da questo caso è che i controlli di accesso e la segmentazione della rete contano quanto le difese perimetrali. Alcune misure riducono il danno che un solo account può causare.

Privilegio minimo. Concedere agli amministratori solo l'accesso richiesto dal loro ruolo attuale e riesaminarlo regolarmente. Rimuovere prontamente l'accesso quando i ruoli cambiano o le persone se ne vanno.

Segmentazione della rete. Dividere la rete in zone significa che un account, o un pezzo di malware, non può raggiungere automaticamente ogni dispositivo. Bloccare 3.000 dispositivi è molto più difficile quando l'ambiente è suddiviso in segmenti controllati separatamente.

Separazione dei compiti. Richiedere una seconda approvazione per modifiche ad alto impatto, come distribuzioni di massa o modifiche ai sistemi di backup. Due persone sono più difficili da compromettere rispetto a una.

Monitoraggio degli accessi privilegiati. Registrare l'attività degli amministratori e generare avvisi su pattern insoliti, come azioni di massa al di fuori dell'orario normale. I log sono utili solo se qualcuno li esamina.

Backup protetti e testati. Mantenere i backup isolati in modo che nessun singolo amministratore possa alterare o eliminare sia i sistemi di produzione che le copie di ripristino.

Cosa significa questo caso per le forze lavoro remote e connesse via VPN

Il lavoro da remoto ha ampliato il numero di modi in cui le persone fidate raggiungono i sistemi interni. Una VPN cifra il traffico e autentica gli utenti, ma una volta connessi, un utente potrebbe essere in grado di vedere molto più della rete di quanto gli serva. Se una VPN fa atterrare tutti su una rete interna piatta, un insider fidato (o un attaccante che usa le sue credenziali rubate) eredita quella portata.

Le organizzazioni possono stringere questo aspetto limitando ciò a cui ogni gruppo VPN può accedere, richiedendo l'autenticazione a più fattori per le sessioni amministrative e registrando separatamente l'attività amministrativa remota. La stessa logica vale per le piccole imprese e gli uffici domestici: l'accesso remoto dovrebbe aprire la porta specifica di cui qualcuno ha bisogno, non l'intero edificio.

Cosa significa per te

Se gestisci o contribuisci a gestire l'IT di un'organizzazione, considera questo caso come uno stimolo a verificare chi detiene ampi diritti amministrativi e se una sola persona potrebbe disturbare migliaia di sistemi. Se sei un dipendente o un utente individuale, la lezione è più modesta ma comunque rilevante: i tuoi account potrebbero essere protetti solo quanto le regole di accesso interne che li sostengono, quindi usa credenziali forti e uniche e l'autenticazione a più fattori ovunque tu possa.

Punti chiave e prossimi passi

Questa condanna per un attacco ransomware interno mostra che una pena detentiva di 32 mesi segue il danno, ma non lo previene. La prevenzione deriva dal design.

  • Riesaminare i permessi di amministratore e di accesso remoto e rimuovere tutto ciò che non è necessario.
  • Segmentare le reti in modo che un solo account non possa raggiungere ogni dispositivo.
  • Richiedere approvazioni e monitoraggio per le azioni amministrative ad alto impatto.
  • Mantenere i backup isolati e testare i ripristini.
  • Delimitare l'accesso VPN per ruolo invece di concedere una portata a livello di tutta la rete.

Per un altro esempio di insider fidati che si rivoltano contro le organizzazioni che servono, leggi il nostro rapporto sul negoziatore doppiogiochista di BlackCat condannato a 70 mesi. Poi prenditi un'ora questa settimana per rivedere i tuoi controlli di accesso e la configurazione dell'accesso remoto.