Agenția de Securitate Cibernetică și Infrastructură are o nouă idee pentru apărarea centralelor electrice, utilităților de apă și a altor infrastructuri critice: nu mai încercați să țineți fiecare atacator afară, ci începeți să le hrăniți pe cei care intră cu o dietă de date false. Ghidul nou emis de CISA recomandă operatorilor de infrastructură critică să implementeze momeli cibernetice și honeytoken-uri, capcane digitale ieftine concepute pentru a detecta intrușii devreme și a-i încetini înainte de a ajunge la sistemele reale. Este o schimbare notabilă de ton din partea unei agenții care s-a concentrat ani de zile aproape în întregime pe patch-uri, apărarea perimetrală și controlul accesului.

Ce recomandă de fapt ghidul CISA

În esență, ghidul descrie două instrumente înrudite. Honeytoken-urile sunt fișiere false, acreditări, înregistrări de baze de date sau secrete plantate în interiorul unei rețele care nu au niciun scop comercial legitim. Singura lor misiune este să stea acolo părând valoroase. Dacă cineva le accesează sau încearcă să le folosească, acesta este un semnal de alarmă imediat, deoarece niciun angajat sau sistem autorizat nu ar trebui să le atingă vreodată. Honeypot-urile duc conceptul mai departe, configurând sisteme-momeală întregi concepute să arate ca servere reale, stații de lucru sau active de control industrial, atrăgând atacatorii departe de mediul real și oferind apărătorilor timp să le observe tacticile.

CISA le prezintă ca opțiuni accesibile pentru organizații de orice nivel de maturitate în securitatea cibernetică, nu doar pentru agenții cu bugete mari de securitate. Acest lucru contează pentru operatorii de infrastructură critică, dintre care mulți au echipe IT și de securitate reduse și nu își pot permite platforme de detectare a amenințărilor de nivel enterprise. Un honeytoken, prin contrast, poate fi la fel de simplu ca o acreditare falsă plasată într-un director partajat. Costă puțin de implementat, dar poate genera o alertă de mare încredere în momentul în care cineva interacționează cu el.

Cum funcționează momelile alături de VPN-uri și segmentarea rețelei

Tehnologia de inducere în eroare nu este menită să înlocuiască instrumentele pe care organizațiile se bazează deja, cum ar fi VPN-urile, firewall-urile și segmentarea rețelei. Este menită să umple golul pe care aceste instrumente îl lasă în urmă. VPN-urile și controalele de acces sunt construite pentru a ține utilizatorii neautorizați afară de la bun început. Dar atacatorii găsesc din ce în ce mai multe modalități de a ocoli aceste apărări exploatând acreditări compromise sau vulnerabilități în infrastructura de acces la distanță însăși. Propriul aviz al CISA despre ransomware-ul Gunra care vizează VPN-urile este un exemplu clar: actorii amenințărilor sondează activ slăbiciunile accesului la distanță pentru a obține un punct de sprijin, ceea ce înseamnă că apărările perimetrale singure nu mai sunt suficiente.

Honeytoken-urile și momelile funcționează pe premisa că atacatorii hotărâți vor reuși în cele din urmă să treacă perimetrul, fie printr-o acreditare VPN furată, un e-mail de phishing sau o vulnerabilitate nepatch-uită. Odată ajunși înăuntru, momelile acționează ca fire de declanșare. Dacă un intrus se deplasează printr-o rețea segmentată căutând date sau sisteme valoroase, un honeytoken plantat în locul greșit îl poate prinde aproape imediat, adesea înainte ca acesta să fi produs daune semnificative. Este o abordare pe straturi: VPN-urile și segmentarea încetinesc atacatorii și le limitează accesul, în timp ce momelile le fac mult mai dificil să se deplaseze nedetectați odată ce sunt înăuntru.

De ce operatorii de infrastructură critică sunt ținta prioritară

Decizia CISA de a îndrepta acest ghid direct către operatorii de infrastructură critică reflectă locul unde mizele sunt cele mai ridicate. Sistemele de apă, furnizorii de energie și alte servicii esențiale rulează adesea un amestec de rețele IT moderne și tehnologie operațională mai veche care nu a fost proiectată ținând cont de securitatea cibernetică. Această combinație le face ținte atractive și dificil de apărat doar cu instrumente tradiționale. Recentul atac cibernetic asupra sistemelor de apă din Minnesota care a lovit peste 30 de sisteme în doar două zile ilustrează cât de repede se pot răspândi atacurile coordonate între furnizorii de infrastructură care pot să nu aibă resursele unei echipe mari de securitate enterprise. Tehnologia de inducere în eroare le oferă acestor organizații o modalitate de a performa peste nivelul lor, generând alerte de înaltă fidelitate fără a necesita monitorizare constantă sau platforme de detectare costisitoare.

Ce înseamnă acest lucru pentru detectarea mișcării laterale după o breșă

Una dintre cele mai dificile probleme în răspunsul la incidente este să-ți dai seama cât de departe a călătorit un atacator în interiorul unei rețele după breșa inițială. Atacatorii care obțin un punct de sprijin petrec adesea zile sau săptămâni deplasându-se lateral în liniște, escaladând privilegii și cartografiind sisteme valoroase înainte de a lansa o încărcătură ransomware sau de a exfiltra date. Instrumentele de securitate tradiționale pot avea dificultăți în a distinge această recunoaștere silențioasă de activitatea normală a rețelei.

Honeytoken-urile schimbă acest calcul. Deoarece nu au nicio utilizare legitimă, orice interacțiune cu unul dintre ele este un semn aproape garantat de activitate malițioasă, eliminând zgomotul care în mod normal îngroapă semnalele de avertizare timpurie. Pentru operatorii de infrastructură critică care încearcă să prindă intrușii înainte de a ajunge la tehnologia operațională sau la datele clienților, acel semnal timpuriu poate fi diferența dintre un incident izolat și o întrerupere totală.

Ce înseamnă acest lucru pentru dumneavoastră

Dacă lucrați în IT sau securitate pentru o utilitate publică, un sistem municipal sau un alt operator de infrastructură, ghidul CISA merită citit în întregime și tratat ca o adăugare ieftină la apărările existente, nu ca o înlocuire a acestora. VPN-urile, autentificarea multi-factor și segmentarea rețelei rămân esențiale pentru a ține atacatorii afară. Momelile și honeytoken-urile sunt despre prinderea celor care trec totuși de aceste apărări. Chiar și organizațiile fără personal de securitate dedicat pot începe cu pași mici, plantând câteva acreditări sau fișiere false în locații sensibile și configurând alerte pentru orice interacțiune cu ele.

Pentru utilizatorii de zi cu zi și organizațiile mai mici, concluzia mai importantă este o reamintire că niciun strat de securitate nu este infailibil. Atacatorii sondează constant instrumentele de acces la distanță, după cum se vede în campaniile de ransomware în curs care exploatează slăbiciunile VPN, ceea ce înseamnă că apărarea în profunzime contează mai mult ca niciodată.

Concluzii cheie

  • Ghidul CISA privind momelile cibernetice și honeytoken-urile oferă operatorilor de infrastructură critică o modalitate ieftină de a detecta intrușii devreme.
  • Momelile completează, mai degrabă decât înlocuiesc, VPN-urile, controalele de acces și segmentarea rețelei.
  • Honeytoken-urile sunt deosebit de eficiente în semnalarea mișcării laterale după o breșă, deoarece utilizatorii legitimi nu interacționează niciodată cu ele.
  • Operatorii de infrastructură mai mici, cu bugete de securitate limitate, sunt un public prioritar pentru această abordare.
  • Organizațiile ar trebui să combine tehnologia de inducere în eroare cu apărări perimetrale solide, deoarece atacatorii continuă să vizeze slăbiciunile accesului la distanță pentru a obține puncte de sprijin inițiale.