Cybersecurity and Infrastructure Security Agency har en ny idé for å forsvare kraftverk, vannverk og annen kritisk infrastruktur: slutt å prøve å holde enhver angriper ute, og begynn å fore dem som kommer seg inn med en diett av falske data. CISA har nylig utgitt veiledning som råder operatører av kritisk infrastruktur til å ta i bruk cyberlokkedyr og honningtokens – rimelige digitale feller designet for å oppdage inntrengere tidlig og bremse dem før de når virkelige systemer. Det er et bemerkelsesverdig toneskifte fra et byrå som i årevis har vært nesten utelukkende fokusert på oppdatering, perimetersikring og tilgangskontroll.

Hva CISA's veiledning faktisk anbefaler

I sin kjerne beskriver veiledningen to beslektede verktøy. Honningtokens er falske filer, legitimasjonsopplysninger, databaseregistreringer eller hemmeligheter plantet inne i et nettverk som ikke tjener noe legitimt forretningsformål. Deres eneste jobb er å sitte der og se verdifulle ut. Hvis noen får tilgang til eller forsøker å bruke en av dem, er det et umiddelbart rødt flagg, fordi ingen autorisert ansatt eller system skal noensinne røre den. Honningpotter tar konseptet videre ved å sette opp hele lokkesystemer designet for å se ut som virkelige servere, arbeidsstasjoner eller industrielle kontrollressurser, og lokke angripere bort fra det faktiske miljøet og gi forsvarere tid til å observere taktikkene deres.

CISA rammer disse inn som tilgjengelige alternativer for organisasjoner på ethvert modenhetsnivå innen cybersikkerhet, ikke bare etater med store sikkerhetsbudsjetter. Det er viktig for operatører av kritisk infrastruktur, hvor mange driver slanke IT- og sikkerhetsteam og ikke har råd til trusselplattformer i enterprise-klassen. Et honningtoken kan derimot være så enkelt som en falsk legitimasjon plassert i en fildeling. Det koster lite å distribuere, men kan generere et varsel med høy konfidens i det øyeblikket noen samhandler med det.

Hvordan lokkedyr fungerer sammen med VPN-er og nettverkssegmentering

Bedragteknologi er ikke ment å erstatte verktøyene organisasjoner allerede er avhengige av, som VPN-er, brannmurer og nettverkssegmentering. Den er ment å fylle gapet disse verktøyene etterlater seg. VPN-er og tilgangskontroller er bygget for å holde uautoriserte brukere ute i utgangspunktet. Men angripere finner i økende grad veier rundt disse forsvarene ved å utnytte kompromittert legitimasjon eller sårbarheter i selve fjernaksess-infrastrukturen. CISA's egen advarsel om Gunra løsepengevirus som retter seg mot VPN-er er et tydelig eksempel: trusselaktører sonderer aktivt svakheter i fjernaksess for å få fotfeste, noe som betyr at perimetersikring alene ikke lenger er nok.

Honningtokens og lokkedyr opererer ut fra antakelsen om at bestemte angripere til slutt vil bryte gjennom perimetersikringen, enten gjennom en stjålet VPN-legitimasjon, en phishing-e-post eller en uoppdatert sårbarhet. Når de først er inne, fungerer lokkedyr som snubletråder. Hvis en inntrenger beveger seg gjennom et segmentert nettverk på jakt etter verdifulle data eller systemer, kan et honningtoken plantet på feil sted fange dem nesten umiddelbart, ofte før de har gjort betydelig skade. Det er en lagdelt tilnærming: VPN-er og segmentering bremser angripere og begrenser rekkevidden deres, mens lokkedyr gjør det mye vanskeligere for dem å bevege seg uoppdaget når de først er inne.

Hvorfor operatører av kritisk infrastruktur er prioritert mål

CISA's beslutning om å rette denne veiledningen direkte mot operatører av kritisk infrastruktur gjenspeiler hvor innsatsen er høyest. Vannsystemer, energileverandører og andre essensielle tjenester driver ofte en blanding av moderne IT-nettverk og eldre operasjonell teknologi som ikke ble designet med cybersikkerhet i tankene. Denne kombinasjonen gjør dem til attraktive mål og vanskelige å forsvare med tradisjonelle verktøy alene. Det nylige cyberangrepet på vannforsyningen i Minnesota som rammet mer enn 30 systemer i løpet av bare to dager illustrerer hvor raskt koordinerte angrep kan spre seg på tvers av infrastrukturleverandører som kan mangle ressursene til et stort sikkerhetsteam i en virksomhet. Bedragteknologi tilbyr disse organisasjonene en måte å yte over evne, og generere varsler med høy pålitelighet uten å kreve kontinuerlig overvåking eller kostbare deteksjonsplattformer.

Hva dette betyr for å oppdage lateral bevegelse etter et brudd

Et av de vanskeligste problemene i hendelseshåndtering er å finne ut hvor langt en angriper har beveget seg inne i et nettverk etter det første bruddet. Angripere som får fotfeste bruker ofte dager eller uker på å bevege seg stille lateralt, eskalere privilegier og kartlegge verdifulle systemer før de lanserer en løsepengepayload eller eksfiltrerer data. Tradisjonelle sikkerhetsverktøy kan ha problemer med å skille denne stille rekognoseringen fra normal nettverksaktivitet.

Honningtokens endrer dette regnestykket. Fordi de ikke har noen legitim bruk, er enhver interaksjon med en av dem et nesten garantert tegn på ondsinnet aktivitet, og skjærer gjennom støyen som vanligvis begraver tidlige varseltegn. For operatører av kritisk infrastruktur som prøver å fange inntrengere før de når operasjonell teknologi eller kundedata, kan det tidlige signalet være forskjellen mellom en innesluttet hendelse og et fullstendig avbrudd.

Hva dette betyr for deg

Hvis du jobber med IT eller sikkerhet for et forsyningsselskap, kommunalt system eller annen infrastrukturoperatør, er CISA's veiledning verdt å lese i sin helhet og behandle som et rimelig tillegg til dine eksisterende forsvar, ikke en erstatning for dem. VPN-er, flerfaktorautentisering og nettverkssegmentering forblir essensielle for å holde angripere ute. Lokkedyr og honningtokens handler om å fange dem som kommer seg forbi disse forsvarene likevel. Selv organisasjoner uten dedikert sikkerhetspersonale kan starte i det små, plante en håndfull falske legitimasjoner eller filer på sensitive steder og sette opp varsler for enhver interaksjon med dem.

For vanlige brukere og mindre organisasjoner er det største budskapet en påminnelse om at ingen enkelt sikkerhetslag er idiotsikkert. Angripere sonderer stadig fjernaksessverktøy, som sett i pågående løsepengekampanjer som utnytter VPN-svakheter, noe som betyr at forsvar i dybden betyr mer enn noen gang.

Viktige punkter

  • CISA's veiledning om cyberlokkedyr og honningtokens gir operatører av kritisk infrastruktur en rimelig måte å oppdage inntrengere tidlig.
  • Lokkedyr utfyller, snarere enn erstatter, VPN-er, tilgangskontroller og nettverkssegmentering.
  • Honningtokens er spesielt effektive for å flagge lateral bevegelse etter et brudd, siden legitime brukere aldri samhandler med dem.
  • Mindre infrastrukturoperatører med begrensede sikkerhetsbudsjetter er et prioritert publikum for denne tilnærmingen.
  • Organisasjoner bør kombinere bedragteknologi med sterke perimetersikringer, siden angripere fortsetter å rette seg mot svakheter i fjernaksess for å få innledende fotfeste.