Cybersecurity and Infrastructure Security Agency har en ny idé för att försvara kraftverk, vattenverk och annan kritisk infrastruktur: sluta försöka hålla varje angripare ute, och börja mata dem som tar sig in med falska data. CISA:s nyligen utfärdade vägledning råder operatörer av kritisk infrastruktur att distribuera cyberlockbeten och honeytokens – kostnadseffektiva digitala fällor utformade för att upptäcka inkräktare tidigt och sakta ner dem innan de når riktiga system. Det är en märkbar tonförskjutning från en myndighet som i åratal fokuserat nästan uteslutande på patchning, perimeterförsvar och åtkomstkontroll.

Vad CISA:s vägledning faktiskt rekommenderar

I grunden beskriver vägledningen två relaterade verktyg. Honeytokens är falska filer, inloggningsuppgifter, databasposter eller hemligheter planterade i ett nätverk som inte tjänar något legitimt affärssyfte. Deras enda uppgift är att sitta där och se värdefulla ut. Om någon kommer åt eller försöker använda en är det en omedelbar varningssignal, eftersom ingen behörig anställd eller system någonsin bör röra den. Honeypots tar konceptet ett steg längre och sätter upp hela lockbetesystem utformade för att se ut som riktiga servrar, arbetsstationer eller industriella styrsystem, vilket lockar angripare bort från den faktiska miljön och ger försvarare tid att observera deras taktik.

CISA framställer dessa som tillgängliga alternativ för organisationer på alla nivåer av cybersäkerhetsmognad, inte bara myndigheter med stora säkerhetsbudgetar. Det spelar roll för operatörer av kritisk infrastruktur, varav många driver slimmade IT- och säkerhetsteam och inte har råd med plattformar för hotdetektering i företagsklass. En honeytoken kan däremot vara så enkel som en falsk inloggningsuppgift placerad i en filresurs. Den kostar lite att distribuera men kan generera en varning med hög tillförlitlighet i samma stund någon interagerar med den.

Hur lockbeten fungerar tillsammans med VPN:er och nätverkssegmentering

Bedrägeriteknik är inte tänkt att ersätta de verktyg organisationer redan förlitar sig på, som VPN:er, brandväggar och nätverkssegmentering. Den är tänkt att fylla gapet som dessa verktyg lämnar efter sig. VPN:er och åtkomstkontroller är byggda för att hålla obehöriga användare ute från första början. Men angripare hittar allt oftare vägar runt dessa försvar genom att utnyttja komprometterade inloggningsuppgifter eller sårbarheter i själva fjärråtkomstinfrastrukturen. CISA:s egen rådgivning om Gunra-ransomware som riktar sig mot VPN:er är ett tydligt exempel: hotaktörer söker aktivt efter svagheter i fjärråtkomst för att få fotfäste, vilket innebär att perimeterförsvar ensamt inte längre räcker.

Honeytokens och lockbeten utgår från antagandet att beslutsamma angripare till slut kommer att bryta sig igenom perimetern, vare sig det sker via en stulen VPN-uppgift, ett nätfiske-mejl eller en ouppdaterad sårbarhet. Väl inne fungerar lockbeten som snubbeltrådar. Om en inkräktare rör sig genom ett segmenterat nätverk i jakt på värdefulla data eller system kan en honeytoken planterad på fel plats fånga dem nästan omedelbart, ofta innan de har gjort betydande skada. Det är ett skiktat angreppssätt: VPN:er och segmentering saktar ner angripare och begränsar deras räckvidd, medan lockbeten gör det mycket svårare för dem att röra sig oupptäckta när de väl är inne.

Varför operatörer av kritisk infrastruktur är prioriterade mål

CISA:s beslut att rikta denna vägledning direkt mot operatörer av kritisk infrastruktur återspeglar var insatserna är högst. Vattensystem, energileverantörer och andra samhällsviktiga tjänster driver ofta en blandning av moderna IT-nätverk och äldre driftsteknik som inte designades med cybersäkerhet i åtanke. Den kombinationen gör dem till attraktiva mål och svåra att försvara med enbart traditionella verktyg. Den nyliga vattencyberattacken i Minnesota som drabbade fler än 30 system under bara två dagar illustrerar hur snabbt koordinerade attacker kan sprida sig bland infrastrukturleverantörer som kan sakna resurserna hos ett stort företags säkerhetsteam. Bedrägeriteknik erbjuder dessa organisationer ett sätt att prestera över sin viktklass och generera träffsäkra varningar utan att kräva ständig övervakning eller dyra detekteringsplattformar.

Vad detta innebär för att upptäcka lateral rörlighet efter ett intrång

Ett av de svåraste problemen vid incidenthantering är att avgöra hur långt en angripare har tagit sig in i ett nätverk efter det initiala intrånget. Angripare som får fotfäste tillbringar ofta dagar eller veckor med att tyst röra sig lateralt, eskalera behörigheter och kartlägga värdefulla system innan de lanserar en ransomware-nyttolast eller exfiltrerar data. Traditionella säkerhetsverktyg kan ha svårt att skilja denna tysta rekognosering från normal nätverksaktivitet.

Honeytokens förändrar den ekvationen. Eftersom de inte har någon legitim användning är varje interaktion med en nästan garanterat ett tecken på skadlig aktivitet, vilket skär genom det brus som normalt begraver tidiga varningssignaler. För operatörer av kritisk infrastruktur som försöker fånga inkräktare innan de når driftsteknik eller kunddata kan den tidiga signalen vara skillnaden mellan en innesluten incident och ett fullskaligt avbrott.

Vad detta innebär för dig

Om du arbetar inom IT eller säkerhet för en leverantör av samhällsviktiga tjänster, ett kommunalt system eller en annan infrastrukturoperatör är CISA:s vägledning värd att läsa i sin helhet och behandla som ett kostnadseffektivt tillägg till dina befintliga försvar, inte en ersättning för dem. VPN:er, multifaktorautentisering och nätverkssegmentering förblir avgörande för att hålla angripare ute. Lockbeten och honeytokens handlar om att fånga dem som ändå tar sig förbi dessa försvar. Även organisationer utan dedikerad säkerhetspersonal kan börja i liten skala, plantera en handfull falska inloggningsuppgifter eller filer på känsliga platser och ställa in varningar för all interaktion med dem.

För vardagliga användare och mindre organisationer är den större slutsatsen en påminnelse om att inget enskilt säkerhetsskikt är idiotsäkert. Angripare söker ständigt efter svagheter i fjärråtkomstverktyg, vilket ses i pågående ransomware-kampanjer som utnyttjar VPN-svagheter, vilket innebär att försvar på djupet är viktigare än någonsin.

Viktiga slutsatser

  • CISA:s vägledning om cyberlockbeten och honeytokens ger operatörer av kritisk infrastruktur ett kostnadseffektivt sätt att upptäcka inkräktare tidigt.
  • Lockbeten kompletterar, snarare än ersätter, VPN:er, åtkomstkontroller och nätverkssegmentering.
  • Honeytokens är särskilt effektiva för att flagga lateral rörlighet efter ett intrång, eftersom legitima användare aldrig interagerar med dem.
  • Mindre infrastrukturoperatörer med begränsade säkerhetsbudgetar är en prioriterad målgrupp för detta angreppssätt.
  • Organisationer bör para ihop bedrägeriteknik med starkt perimeterförsvar, eftersom angripare fortsätter att rikta in sig på svagheter i fjärråtkomst för att få initialt fotfäste.