Agencja Bezpieczeństwa Cybernetycznego i Infrastruktury (CISA) ma nowy pomysł na obronę elektrowni, zakładów wodociągowych i innej infrastruktury krytycznej: przestać próbować powstrzymać każdego napastnika przed wejściem, a zacząć karmić tych, którzy się dostaną, fałszywymi danymi. Nowo wydane wytyczne CISA zalecają operatorom infrastruktury krytycznej wdrażanie cyberpułapek i honeytokenów — tanich cyfrowych pułapek zaprojektowanych do wczesnego wykrywania intruzów i spowalniania ich, zanim dotrą do rzeczywistych systemów. To zauważalna zmiana tonu ze strony agencji, która przez lata koncentrowała się niemal wyłącznie na łataniu luk, obronie obwodowej i kontroli dostępu.
Co właściwie zalecają wytyczne CISA
W swojej istocie wytyczne opisują dwa powiązane narzędzia. Honeytokeny to fałszywe pliki, poświadczenia, rekordy baz danych lub sekrety umieszczone w sieci, które nie służą żadnemu uzasadnionemu celowi biznesowemu. Ich jedynym zadaniem jest wyglądać na wartościowe. Jeśli ktokolwiek uzyska do nich dostęp lub spróbuje ich użyć, jest to natychmiastowy sygnał ostrzegawczy, ponieważ żaden upoważniony pracownik ani system nigdy nie powinien ich dotykać. Honeypoty idą o krok dalej, tworząc całe systemy-pułapki zaprojektowane tak, by wyglądały jak prawdziwe serwery, stacje robocze lub zasoby kontroli przemysłowej, odciągając napastników od rzeczywistego środowiska i dając obrońcom czas na obserwację ich taktyk.
CISA przedstawia je jako dostępne opcje dla organizacji na każdym poziomie dojrzałości w zakresie cyberbezpieczeństwa, nie tylko dla agencji z dużymi budżetami na bezpieczeństwo. Ma to znaczenie dla operatorów infrastruktury krytycznej, z których wielu prowadzi niewielkie zespoły IT i bezpieczeństwa i nie może sobie pozwolić na platformy wykrywania zagrożeń klasy enterprise. Honeytoken, dla kontrastu, może być tak prosty jak fałszywe poświadczenie umieszczone w udziale plików. Kosztuje niewiele wdrożenie, ale może wygenerować alert o wysokiej pewności w momencie, gdy ktoś wejdzie z nim w interakcję.
Jak pułapki działają obok VPN-ów i segmentacji sieci
Technologia oszustwa nie ma zastępować narzędzi, na których organizacje już polegają, takich jak VPN-y, zapory sieciowe i segmentacja sieci. Ma wypełnić lukę, którą te narzędzia pozostawiają. VPN-y i kontrola dostępu są zbudowane tak, by przede wszystkim nie wpuszczać nieupoważnionych użytkowników. Jednak napastnicy coraz częściej znajdują sposoby na obejście tych zabezpieczeń, wykorzystując przejęte poświadczenia lub luki w samej infrastrukturze dostępu zdalnego. Własny biuletyn CISA dotyczący ransomware Gunra wymierzonego w VPN-y jest wyraźnym przykładem: aktorzy zagrożeń aktywnie sondują słabości dostępu zdalnego, by zdobyć przyczółek, co oznacza, że sama obrona obwodowa już nie wystarcza.
Honeytokeny i pułapki działają w oparciu o założenie, że zdeterminowani napastnicy w końcu przełamią obwód — czy to przez skradzione poświadczenie VPN, e-mail phishingowy, czy niezałataną lukę. Po wejściu do środka pułapki działają jak linki alarmowe. Jeśli intruz porusza się przez segmentowaną sieć w poszukiwaniu cennych danych lub systemów, honeytoken umieszczony w niewłaściwym miejscu może go złapać niemal natychmiast, często zanim wyrządzi znaczące szkody. To podejście warstwowe: VPN-y i segmentacja spowalniają napastników i ograniczają ich zasięg, podczas gdy pułapki znacznie utrudniają im poruszanie się niezauważenie po wejściu do środka.
Dlaczego operatorzy infrastruktury krytycznej są priorytetowym celem
Decyzja CISA o skierowaniu tych wytycznych wprost do operatorów infrastruktury krytycznej odzwierciedla, gdzie stawka jest najwyższa. Systemy wodociągowe, dostawcy energii i inne essentialne usługi często łączą nowoczesne sieci IT ze starszą technologią operacyjną, która nie została zaprojektowana z myślą o cyberbezpieczeństwie. Ta kombinacja czyni je atrakcyjnymi celami i trudnymi do obrony wyłącznie tradycyjnymi narzędziami. Niedawny cyberatak na systemy wodociągowe w Minnesocie, który dotknął ponad 30 systemów w ciągu zaledwie dwóch dni, ilustruje, jak szybko skoordynowane ataki mogą rozprzestrzeniać się wśród dostawców infrastruktury, którym może brakować zasobów dużego korporacyjnego zespołu bezpieczeństwa. Technologia oszustwa oferuje tym organizacjom sposób na walkę ponad swoje możliwości, generując alerty o wysokiej wierności bez konieczności stałego monitorowania czy drogich platform wykrywania.
Co to oznacza dla wykrywania ruchu bocznego po włamaniu
Jednym z najtrudniejszych problemów w reagowaniu na incydenty jest ustalenie, jak daleko napastnik dotarł wewnątrz sieci po początkowym włamaniu. Napastnicy, którzy zdobyli przyczółek, często spędzają dni lub tygodnie, cicho poruszając się bocznie, eskalując uprawnienia i mapując cenne systemy przed uruchomieniem ładunku ransomware lub eksfiltracją danych. Tradycyjne narzędzia bezpieczeństwa mogą mieć trudności z odróżnieniem tego cichego rozpoznania od normalnej aktywności sieciowej.
Honeytokeny zmieniają ten rachunek. Ponieważ nie mają uzasadnionego zastosowania, każda interakcja z nimi jest niemal gwarantowanym znakiem złośliwej aktywności, przebijając się przez szum, który normalnie zagłusza wczesne sygnały ostrzegawcze. Dla operatorów infrastruktury krytycznej próbujących złapać intruzów, zanim dotrą do technologii operacyjnej lub danych klientów, ten wczesny sygnał może być różnicą między incydentem opanowanym a pełnowymiarową awarią.
Co to oznacza dla Ciebie
Jeśli pracujesz w IT lub bezpieczeństwie w zakładzie użyteczności publicznej, systemie komunalnym lub innym operatorze infrastruktury, wytyczne CISA warto przeczytać w całości i potraktować jako niskokosztowy dodatek do istniejących zabezpieczeń, a nie ich zamiennik. VPN-y, uwierzytelnianie wieloskładnikowe i segmentacja sieci pozostają niezbędne, by trzymać napastników na zewnątrz. Pułapki i honeytokeny służą do łapania tych, którzy i tak przedostaną się przez te zabezpieczenia. Nawet organizacje bez dedykowanego personelu ds. bezpieczeństwa mogą zacząć od małych kroków, umieszczając garść fałszywych poświadczeń lub plików w wrażliwych lokalizacjach i konfigurując alerty dla każdej interakcji z nimi.
Dla zwykłych użytkowników i mniejszych organizacji ważniejszym wnioskiem jest przypomnienie, że żadna pojedyncza warstwa bezpieczeństwa nie jest niezawodna. Napastnicy nieustannie sondują narzędzia dostępu zdalnego, co widać w trwających kampaniach ransomware wykorzystujących słabości VPN, co oznacza, że obrona w głąb ma znaczenie większe niż kiedykolwiek.
Najważniejsze wnioski
- Wytyczne CISA dotyczące cyberpułapek i honeytokenów dają operatorom infrastruktury krytycznej niskokosztowy sposób na wczesne wykrywanie intruzów.
- Pułapki uzupełniają, a nie zastępują, VPN-y, kontrolę dostępu i segmentację sieci.
- Honeytokeny są szczególnie skuteczne w oznaczaniu ruchu bocznego po włamaniu, ponieważ uprawnieni użytkownicy nigdy nie wchodzą z nimi w interakcję.
- Mniejsi operatorzy infrastruktury z ograniczonymi budżetami na bezpieczeństwo są priorytetową grupą docelową tego podejścia.
- Organizacje powinny łączyć technologię oszustwa z silną obroną obwodową, ponieważ napastnicy nadal celują w słabości dostępu zdalnego, by zdobyć początkowe przyczółki.
