CISA แนะนำให้ใช้ Honeytokens และ Cyber Decoys สำหรับโครงสร้างพื้นฐาน

หน่วยงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐาน (Cybersecurity and Infrastructure Security Agency หรือ CISA) มีแนวคิดใหม่ในการปกป้องโรงไฟฟ้า สาธารณูปโภคด้านน้ำ และโครงสร้างพื้นฐานสำคัญอื่นๆ: เลิกพยายามสกัดกั้นผู้โจมตีทุกราย และเริ่มป้อนข้อมูลปลอมให้กับผู้ที่หลุดเข้ามาได้ คำแนะนำที่ CISA เพิ่งเผยแพร่แนะนำให้ผู้ดำเนินการโครงสร้างพื้นฐานสำคัญติดตั้ง cyber decoys และ honeytokens ซึ่งเป็นกับดักดิจิทัลต้นทุนต่ำที่ออกแบบมาเพื่อตรวจจับผู้บุกรุกได้ตั้งแต่เนิ่นๆ และชะลอพวกเขาก่อนที่จะไปถึงระบบจริง นับเป็นการเปลี่ยนแปลงน้ำเสียงที่เห็นได้ชัดจากหน่วยงานที่ใช้เวลาหลายปีมุ่งเน้นเกือบทั้งหมดไปที่การแพตช์ การป้องกันขอบเขตเครือข่าย และการควบคุมการเข้าถึง

สิ่งที่คำแนะนำของ CISA แนะนำจริงๆ

แก่นของคำแนะนำนี้อธิบายเครื่องมือที่เกี่ยวข้องกันสองอย่าง Honeytokens คือไฟล์ ข้อมูลรับรอง บันทึกฐานข้อมูล หรือ secrets ปลอมที่ฝังไว้ในเครือข่ายซึ่งไม่มีวัตถุประสงค์ทางธุรกิจที่ชอบด้วยกฎหมาย หน้าที่เดียวของมันคือวางอยู่ตรงนั้นให้ดูมีค่า หากมีใครเข้าถึงหรือพยายามใช้งานสิ่งเหล่านี้ นั่นคือสัญญาณเตือนทันที เพราะไม่มีพนักงานหรือระบบที่ได้รับอนุญาตคนใดควรแตะต้องมันเลย Honeypots ขยายแนวคิดนี้ไปอีกขั้น ด้วยการตั้งระบบล่อแบบครบชุดที่ออกแบบให้ดูเหมือนเซิร์ฟเวอร์ สถานีงาน หรือสินทรัพย์ควบคุมอุตสาหกรรมจริง เพื่อล่อผู้โจมตีออกจากสภาพแวดล้อมจริงและให้เวลาฝ่ายป้องกันสังเกตกลยุทธ์ของพวกเขา

CISA นำเสนอสิ่งเหล่านี้เป็นทางเลือกที่เข้าถึงได้สำหรับองค์กรในทุกระดับความพร้อมด้านความมั่นคงปลอดภัยไซเบอร์ ไม่ใช่แค่หน่วยงานที่มีงบประมาณด้านความปลอดภัยจำนวนมากเท่านั้น เรื่องนี้สำคัญสำหรับผู้ดำเนินการโครงสร้างพื้นฐานสำคัญ ซึ่งหลายแห่งมีทีมไอทีและความปลอดภัยแบบเรียบง่าย และไม่สามารถจ่ายแพลตฟอร์มตรวจจับภัยคุกคามระดับองค์กรได้ ในทางกลับกัน honeytoken อาจเรียบง่ายเพียงข้อมูลรับรองปลอมที่วางไว้ในไฟล์แชร์ มีต้นทุนการติดตั้งต่ำแต่สามารถสร้างการแจ้งเตือนที่มีความเชื่อมั่นสูงได้ทันทีที่มีคนโต้ตอบกับมัน

Decoys ทำงานร่วมกับ VPN และการแบ่งส่วนเครือข่ายอย่างไร

เทคโนโลยีการหลอกลวงไม่ได้มีไว้แทนที่เครื่องมือที่องค์กรพึ่งพาอยู่แล้ว เช่น VPN ไฟร์วอลล์ และการแบ่งส่วนเครือข่าย แต่มีไว้เติมเต็มช่องว่างที่เครื่องมือเหล่านั้นทิ้งไว้ VPN และการควบคุมการเข้าถึงถูกสร้างขึ้นเพื่อสกัดกั้นผู้ใช้ที่ไม่ได้รับอนุญาตตั้งแต่แรก แต่ผู้โจมตีหาช่องทางหลบเลี่ยงการป้องกันเหล่านี้ได้มากขึ้นเรื่อยๆ โดยใช้ประโยชน์จากข้อมูลรับรองที่ถูก compromise หรือช่องโหว่ในโครงสร้างพื้นฐานการเข้าถึงจากระยะไกลเอง คำเตือนของ CISA เองเกี่ยวกับแรนซัมแวร์ Gunra ที่มุ่งเป้าโจมตี VPN เป็นตัวอย่างที่ชัดเจน: ผู้คุกคามกำลังตรวจหาจุดอ่อนของการเข้าถึงจากระยะไกลอย่างแข็งขันเพื่อสร้างฐานที่มั่น ซึ่งหมายความว่าการป้องกันขอบเขตเครือข่ายเพียงอย่างเดียวไม่เพียงพออีกต่อไป

Honeytokens และ decoys ทำงานบนสมมติฐานว่าผู้โจมตีที่มุ่งมั่นจะทะลุขอบเขตได้ในที่สุด ไม่ว่าจะผ่านข้อมูลรับรอง VPN ที่ถูกขโมย อีเมลฟิชชิง หรือช่องโหว่ที่ยังไม่ได้แพตช์ เมื่อเข้ามาข้างในแล้ว decoys ทำหน้าที่เป็นกับดัก หากผู้บุกรุกเคลื่อนที่ผ่านเครือข่ายที่แบ่งส่วนเพื่อมองหาข้อมูลหรือระบบที่มีค่า honeytoken ที่วางไว้ในที่ที่ไม่ควรจะมีสามารถจับพวกเขาได้เกือบจะทันที มักจะก่อนที่พวกเขาจะสร้างความเสียหายที่มีนัยสำคัญ เป็นแนวทางแบบหลายชั้น: VPN และการแบ่งส่วนเครือข่ายชะลอผู้โจมตีและจำกัดการเข้าถึงของพวกเขา ขณะที่ decoys ทำให้พวกเขาเคลื่อนที่โดยไม่ถูกตรวจจับได้ยากขึ้นมากเมื่ออยู่ข้างในแล้ว

ทำไมผู้ดำเนินการโครงสร้างพื้นฐานสำคัญจึงเป็นเป้าหมายลำดับความสำคัญ

การตัดสินใจของ CISA ที่มุ่งคำแนะนำนี้ตรงไปยังผู้ดำเนินการโครงสร้างพื้นฐานสำคัญสะท้อนถึงจุดที่เดิมพันสูงที่สุด ระบบน้ำ ผู้ให้บริการพลังงาน และบริการจำเป็นอื่นๆ มักใช้เครือข่ายไอทีสมัยใหม่ผสมกับเทคโนโลยีปฏิบัติการรุ่นเก่าที่ไม่ได้ออกแบบมาโดยคำนึงถึงความมั่นคงปลอดภัยไซเบอร์ การรวมกันนี้ทำให้พวกเขาเป็นเป้าหมายที่น่าสนใจและยากต่อการป้องกันด้วยเครื่องมือแบบดั้งเดิมเพียงอย่างเดียว การโจมตีทางไซเบอร์ต่อระบบน้ำในมินนิโซตาที่กระทบมากกว่า 30 ระบบ ภายในเวลาเพียงสองวันแสดงให้เห็นว่าการโจมตีแบบประสานงานสามารถแพร่กระจายได้เร็วเพียงใดในหมู่ผู้ให้บริการโครงสร้างพื้นฐานที่อาจขาดทรัพยากรของทีมความปลอดภัยระดับองค์กรขนาดใหญ่ เทคโนโลยีการหลอกลวงเสนอวิธีให้องค์กรเหล่านี้ต่อสู้ได้เหนือระดับของตน สร้างการแจ้งเตือนที่มีความแม่นยำสูงโดยไม่ต้องเฝ้าติดตามตลอดเวลาหรือแพลตฟอร์มตรวจจับราคาแพง

สิ่งนี้หมายความว่าอย่างไรสำหรับการตรวจจับการเคลื่อนที่ในแนวนอนหลังการบุกรุก

หนึ่งในปัญหาที่ยากที่สุดในการตอบสนองต่อเหตุการณ์คือการหาว่าผู้โจมตีเดินทางไปไกลแค่ไหนภายในเครือข่ายหลังการบุกรุกครั้งแรก ผู้โจมตีที่สร้างฐานที่มั่นมักใช้เวลาหลายวันหรือหลายสัปดาห์เคลื่อนที่ในแนวนอนอย่างเงียบๆ ยกระดับสิทธิ์ และสำรวจระบบที่มีค่า ก่อนที่จะปล่อยเพย์โหลดแรนซัมแวร์หรือขโมยข้อมูล เครื่องมือความปลอดภัยแบบดั้งเดิมอาจลำบากในการแยกแยะการลาดตระเวนเงียบๆ นี้ออกจากกิจกรรมเครือข่ายปกติ

Honeytokens เปลี่ยนสมการนี้ เพราะมันไม่มีการใช้งานที่ชอบด้วยกฎหมาย การโต้ตอบใดๆ กับมันจึงแทบจะรับประกันได้ว่าเป็นสัญญาณของกิจกรรมที่เป็นอันตราย ตัดผ่านสัญญาณรบกวนที่ปกติแล้วฝังสัญญาณเตือนล่วงหน้า สำหรับผู้ดำเนินการโครงสร้างพื้นฐานสำคัญที่พยายามจับผู้บุกรุกก่อนที่พวกเขาจะไปถึงเทคโนโลยีปฏิบัติการหรือข้อมูลลูกค้า สัญญาณเตือนล่วงหน้านั้นอาจเป็นความแตกต่างระหว่างเหตุการณ์ที่ถูกควบคุมไว้กับไฟดับครั้งใหญ่

สิ่งนี้หมายความว่าอะไรสำหรับคุณ

หากคุณทำงานด้านไอทีหรือความปลอดภัยให้กับสาธารณูปโภค ระบบเทศบาล หรือผู้ดำเนินการโครงสร้างพื้นฐานอื่นๆ คำแนะนำของ CISA นั้นคุ้มค่าแก่การอ่านอย่างเต็มรูปแบบและปฏิบัติตามเป็นส่วนเสริมต้นทุนต่ำสำหรับการป้องกันที่มีอยู่ ไม่ใช่สิ่งทดแทน VPN การยืนยันตัวตนหลายปัจจัย และการแบ่งส่วนเครือข่ายยังคงจำเป็นสำหรับการสกัดกั้นผู้โจมตี Decoys และ honeytokens เกี่ยวกับการจับผู้ที่ผ่านการป้องกันเหล่านั้นไปได้ไม่ว่าอย่างไร แม้องค์กรที่ไม่มีเจ้าหน้าที่ความปลอดภัยโดยเฉพาะก็สามารถเริ่มต้นเล็กๆ ได้ ด้วยการวางข้อมูลรับรองหรือไฟล์ปลอมจำนวนหนึ่งไว้ในตำแหน่งที่ละเอียดอ่อนและตั้งการแจ้งเตือนสำหรับการโต้ตอบใดๆ กับสิ่งเหล่านั้น

สำหรับผู้ใช้ทั่วไปและองค์กรขนาดเล็ก ข้อสรุปที่ใหญ่กว่าคือการเตือนใจว่าไม่มีชั้นความปลอดภัยใดที่ปลอดภัยไร้ช่องโหว่ ผู้โจมตีตรวจหาเครื่องมือเข้าถึงจากระยะไกลอย่างต่อเนื่อง ดังที่เห็นในแคมเปญแรนซัมแวร์ที่ใช้ประโยชน์จากจุดอ่อนของ VPN ซึ่งหมายความว่าการป้องกันแบบหลายชั้นสำคัญยิ่งกว่าที่เคย

ประเด็นสำคัญ

• คำแนะนำของ CISA เกี่ยวกับ cyber decoys และ honeytokens มอบวิธีต้นทุนต่ำให้ผู้ดำเนินการโครงสร้างพื้นฐานสำคัญในการตรวจจับผู้บุกรุกได้ตั้งแต่เนิ่นๆ
• Decoys เสริม ไม่ใช่แทนที่ VPN การควบคุมการเข้าถึง และการแบ่งส่วนเครือข่าย
• Honeytokens มีประสิทธิภาพเป็นพิเศษในการตั้งสัญญาณเตือนการเคลื่อนที่ในแนวนอนหลังการบุกรุก เนื่องจากผู้ใช้ที่ชอบด้วยกฎหมายไม่เคยโต้ตอบกับมัน
• ผู้ดำเนินการโครงสร้างพื้นฐานขนาดเล็กที่มีงบประมาณด้านความปลอดภัยจำกัดเป็นกลุ่มเป้าหมายลำดับความสำคัญของแนวทางนี้
• องค์กรควรจับคู่เทคโนโลยีการหลอกลวงกับการป้องกันขอบเขตเครือข่ายที่แข็งแกร่ง เนื่องจากผู้โจมตียังคงมุ่งเป้าไปที่จุดอ่อนของการเข้าถึงจากระยะไกลเพื่อสร้างฐานที่มั่นเริ่มต้น