En tidligere infrastrukturtekniker er dømt til 32 måneders fengsel for å ha låst rundt 3000 enheter på arbeidsgiverens nettverk og krevd 750 000 dollar i løsepenger. Denne dommen for et insider-ransomwareangrep er en nyttig påminnelse om at noen av de mest skadelige hendelsene ikke starter med en fremmed som sonderer en brannmur. De starter med noen som allerede har nøklene.

Kildeartikkelen er kort, så dette innlegget holder seg til det som er rapportert, og fokuserer på de praktiske lærdommene for organisasjoner og enkeltpersoner.

Hva teknikeren gjorde, og hva han fikk

Ifølge rapporten var den tiltalte en infrastrukturtekniker i selskapet han senere angrep. Han låste rundt 3000 enheter på arbeidsgiverens nettverk og krevde 750 000 dollar i løsepenger. Han er nå dømt til 32 måneders fengsel.

Artikkelen gir ikke flere detaljer her, og vi vil ikke gjette på de tekniske metodene, selskapets identitet eller hvordan ordningen ble oppdaget. Det saken gjør klart, er omfanget: én enkelt person klarte å påvirke tusenvis av endepunkter samtidig. Det omfanget er historien.

Hvorfor insider-tilgang omgår perimeterforsvar

Det meste av sikkerhetsbudsjetter går til å holde utenforstående ute: brannmurer, e-postfiltrering, endepunktdeteksjon og VPN-gatewayer som autentiserer eksterne brukere. Disse kontrollene er viktige. Men de er bygget rundt en forutsetning om at personen på innsiden handler i organisasjonens interesse.

Infrastrukturteknikere er et spesielt sensitivt tilfelle. Jobben deres krever ofte brede administrative rettigheter på tvers av servere, administrasjonsverktøy og selve nettverket. Handlinger som ville sett mistenkelige ut fra en ekstern konto, som å skyve ut endringer til tusenvis av maskiner, kan se rutinemessige ut når de kommer fra en administrator.

Dette er kjerneproblemet med insider-trusler:

  • Legitime påloggingsdata utløser ikke alarmene som stjålne eller brute-force-tilgang kan gjøre.
  • Insiderne vet hvor de verdifulle systemene er, og hvordan sikkerhetskopier håndteres.
  • Bred stående tilgang betyr at én konto kan nå et svært stort antall enheter.

Ingenting av dette betyr at arbeidsgivere bør behandle ansatte med mistenksomhet. Det betyr at utformingen av miljøet ikke bør være avhengig av at én enkelt person er til å stole på for alltid.

Begrens skadeomfanget: segmentering, minste privilegium og overvåking

Den foreslåtte lærdommen fra denne saken er at tilgangskontroller og nettverkssegmentering betyr like mye som perimeterforsvar. Noen få tiltak reduserer hvor mye skade én konto kan gjøre.

Minste privilegium. Gi administratorer kun den tilgangen deres nåværende rolle krever, og gjennomgå den jevnlig. Fjern tilgang raskt når roller endres eller folk slutter.

Nettverkssegmentering. Å dele nettverket inn i soner betyr at en konto, eller en brikke med skadelig programvare, ikke automatisk kan nå hver enhet. Å låse 3000 enheter er mye vanskeligere når miljøet er delt inn i separat kontrollerte segmenter.

Oppdeling av oppgaver. Krev en ekstra godkjenning for endringer med høy innvirkning, som masseutrulling eller endringer i sikkerhetskopisystemer. To personer er vanskeligere å kompromittere enn én.

Overvåking av privilegert tilgang. Logg administratoraktivitet og varsle om uvanlige mønstre, som massehandlinger utenfor normal arbeidstid. Logger hjelper bare hvis noen gjennomgår dem.

Beskyttede, testede sikkerhetskopier. Hold sikkerhetskopier isolert slik at ingen enkelt administrator kan endre eller slette både produksjonssystemer og gjenopprettingskopier.

Hva denne saken betyr for fjernarbeidere og VPN-tilknyttede arbeidsstyrker

Fjernarbeid har utvidet antallet måter betrodde personer når interne systemer på. En VPN krypterer trafikk og autentiserer brukere, men når tilkoblingen er etablert, kan en bruker kanskje se langt mer av nettverket enn de trenger. Hvis en VPN slipper alle inn på et flatt internt nettverk, arver en betrodd insider (eller en angriper som bruker deres stjålne pålogging) den rekkevidden.

Organisasjoner kan stramme inn dette ved å begrense hva hver VPN-gruppe kan få tilgang til, kreve flerfaktorautentisering for administrative økter og loggføre ekstern administrativ aktivitet separat. Den samme logikken gjelder for små bedrifter og hjemmekontor: ekstern tilgang bør åpne den spesifikke døren noen trenger, ikke hele bygningen.

Hva dette betyr for deg

Hvis du driver eller er med på å administrere en organisasjons IT, bør du behandle denne saken som en oppfordring til å revidere hvem som har brede administrative rettigheter, og om én enkelt person kan forstyrre tusenvis av systemer. Hvis du er ansatt eller en individuell bruker, er lærdommen mer beskjeden, men fortsatt relevant: kontoene dine er kanskje bare like godt beskyttet som de interne tilgangsreglene bak dem, så bruk sterke, unike påloggingsdata og flerfaktorautentisering der du kan.

Viktige punkter og neste steg

Denne dommen for et insider-ransomwareangrep viser at en fengselsstraff på 32 måneder følger skaden, men den forhindrer den ikke. Forebygging kommer fra design.

  • Gjennomgå administrator- og fjernbusksrettigheter og fjern alt unødvendig.
  • Segmenter nettverk slik at én konto ikke kan nå hver enhet.
  • Krev godkjenninger og overvåking for administrative handlinger med høy innvirkning.
  • Hold sikkerhetskopier isolert og test gjenoppretting.
  • Begrens VPN-tilgang etter rolle i stedet for å gi nettverksomfattende rekkevidde.

For et annet eksempel på betrodde insidere som vender seg mot organisasjonene de tjener, les rapporten vår om BlackCat-dobbeltagent-forhandleren dømt til 70 måneder. Sett deretter av en time denne uken til å gjennomgå dine egne tilgangskontroller og oppsettet for ekstern tilgang.