รายงานคำแนะนำภัยคุกคามรายสัปดาห์ที่เผยแพร่ใหม่ซึ่งครอบคลุมวันที่ 7 ถึง 13 กันยายน ได้ชี้ให้เห็นถึงระดับของกิจกรรมการโจมตีทางไซเบอร์แบบประสานงานที่นักวิจัยอธิบายว่าเป็น "การเปลี่ยนแปลงฐานรากอย่างถาวร" รายงานดังกล่าวติดตามกลุ่ม APT (ภัยคุกคามขั้นสูงแบบถาวร) จำนวน 33 กลุ่มที่ดำเนินการพร้อมกันในช่วงสัปดาห์นั้น ซึ่งเป็นสถิติสูงสุดใหม่ และเป็นสัปดาห์ที่สามติดต่อกันที่กิจกรรมยังคงอยู่ในระดับสูงกว่าค่าปกติทางประวัติศาสตร์

แม้ว่าคำแนะนำลักษณะนี้มักเขียนขึ้นสำหรับทีมปฏิบัติการความปลอดภัยและ CISO แต่ตัวเลขเบื้องหลังก็มีความสำคัญสำหรับทุกคนที่ใช้อินเทอร์เน็ตในการทำธุรกรรมธนาคาร ช้อปปิ้ง ทำงาน หรือสื่อสาร เมื่อปริมาณโครงสร้างพื้นฐานภัยคุกคามที่ active เพิ่มขึ้นอย่างรวดเร็วและคงอยู่ในระดับสูง โอกาสที่ผู้ใช้ทั่วไปจะพบเจอหน้าเว็บฟิชชิ่ง ไฟล์ดาวน์โหลดอันตราย หรือเครือข่ายที่ถูกบุกรุกก็เพิ่มขึ้นตามไปด้วย

ตัวเลขบอกอะไรจริง ๆ

ตัวเลขพาดหัวของคำแนะนำ คือกลุ่ม APT ที่ active พร้อมกัน 33 กลุ่ม หมายถึงกลุ่มที่แตกต่างกันซึ่งมีความเชื่อมโยงกับรัฐหรืออาชญากรไซเบอร์แบบมี organização ที่ดำเนินแคมเปญพร้อมกัน นักวิจัย noted ว่าคำแนะนำก่อนหน้านี้ได้กำหนดเกณฑ์ไว้: หากตัวเลขนั้นสูงกว่า 15 ในสัปดาห์ที่รายงาน จะถือเป็นหลักฐานของการเปลี่ยนแปลงที่ยั่งยืนมากกว่าการพุ่งขึ้นชั่วคราว สัปดาห์ที่กล่าวถึงมีค่า 33 ซึ่งมากกว่าสองเท่าของเกณฑ์ดังกล่าว จึงเป็นเหตุผลที่นักวิเคราะห์กำลังเรียกสิ่งนี้ว่าการเปลี่ยนแปลงฐานรากที่ยืนยันแล้ว ไม่ใช่เรื่องบังเอิญ

นอกจากจำนวนกลุ่มแล้ว รายงานยังบันทึกตัวบ่งชี้การบุกรุก (IOC) ที่ไม่ซ้ำกันจำนวน 57,981 รายการ ซึ่งเป็นลายนิ้วมือดิจิทัล ที่อยู่ IP อันตราย แฮชไฟล์ และโดเมนที่ผู้ป้องกันใช้ในการตรวจจับและบล็อกการโจมตี "ผู้ปฏิบัติการ C2 แบบถาวร" รายเดียว ซึ่งหมายถึงผู้โจมตีที่ดำเนินโครงสร้างพื้นฐานคำสั่งและการควบคุมที่มีอายุยาวนาน คิดเป็น IOC มากกว่า 53,000 รายการด้วยตัวเอง ความเข้มข้นนี้ชี้ให้เห็นว่าการดำเนินการที่ active เป็นพิเศษและมีทรัพยากรดีกำลังขับเคลื่อนส่วนแบ่งขนาดใหญ่ของปริมาณโดยรวม มากกว่าที่การเพิ่มขึ้นจะกระจายเท่า ๆ กันในหมู่ผู้เล่นรายเล็กจำนวนมาก

คำแนะนำยังบันทึกการพุ่งขึ้น 5.5 เท่าของกิจกรรมแรนซัมแวร์เมื่อเทียบกับระดับฐาน แคมเปญแรนซัมแวร์มีความโดดเด่นเพราะมักเริ่มต้นด้วยกลยุทธ์เดียวกับที่ส่งผลกระทบต่อผู้ใช้ทั่วไป: อีเมลฟิชชิ่ง จุดเข้าถึงระยะไกลที่เปิดเผย และช่องโหว่ซอฟต์แวร์ที่ยังไม่ได้แพตช์ การเพิ่มขึ้นอย่างรวดเร็วของการดำเนินการแรนซัมแวร์มักสัมพันธ์กับการเพิ่มขึ้นของแคมเปญฟิชชิ่งและการขโมยข้อมูลรับรองจำนวนมากที่ป้อนการดำเนินการเหล่านั้น

ทำไม "การเปลี่ยนแปลงฐานรากอย่างถาวร" ต่างจากการพุ่งขึ้น

นักวิจัยด้านความปลอดภัยแยกความแตกต่างระหว่างการพุ่งขึ้นระยะสั้น ซึ่งจางหายกลับสู่ปกติภายในหนึ่งหรือสองสัปดาห์ กับการเปลี่ยนแปลงฐานราก ซึ่ง represent ระดับกิจกรรมใหม่ที่ยั่งยืน ภาษาของคำแนะนำนี้ตั้งใจเลือกใช้อย่างระมัดระวัง: สามสัปดาห์ติดต่อกันที่ elevated รวมกับจำนวนกลุ่มที่สูงกว่าเกณฑ์ที่กำหนดไว้ก่อนหน้ามาก กำลังถูกตีความว่าเป็นหลักฐานว่าสภาพแวดล้อมภัยคุกคามเองได้เปลี่ยนไปแล้ว ไม่ใช่ว่านี่เป็นสัปดาห์ที่ยุ่งเป็นพิเศษเพียงครั้งเดียว

สำหรับผู้อ่าน นัยสำคัญในทางปฏิบัติตรงไปตรงมา คำแนะนำด้านความปลอดภัยที่สมมติว่าการโจมตีเป็นเหตุการณ์ที่หายากและแยกตัว กำลังสวนทางกับความเป็นจริงมากขึ้นเรื่อย ๆ โครงสร้างพื้นฐานแบบถาวร เช่นผู้ปฏิบัติการ C2 ที่รับผิดชอบ IOC ส่วนใหญ่ของสัปดาห์นี้ มีแนวโน้มที่จะคงอยู่และถูกใช้ซ้ำในหลายแคมเปญ ซึ่งหมายความว่าโดเมนและเซิร์ฟเวอร์อันตรายเดียวกันสามารถปรากฏซ้ำในการพยายามฟิชชิ่งหรือการกระจายมัลแวร์ได้หลายสัปดาห์หรือหลายเดือนหลังจากถูกระบุครั้งแรก

โครงสร้างพื้นฐานแบบยั่งยืนลักษณะนี้ยังทบ compounding ความเสี่ยงเมื่อจับคู่กับช่องโหว่ซอฟต์แวร์ที่เปิดเผยใหม่ ตัวอย่างเช่น ช่องโหว่ยกระดับสิทธิ์ MiniPlasma ที่เพิ่งเปิดเผยเมื่อไม่นานมานี้ แสดงให้เห็นว่าผู้โจมตีสามารถเข้าถึงระดับ SYSTEM เต็มรูปแบบบนเครื่อง Windows ได้อย่างไรแม้หลังจากติดตั้งแพตช์มาตรฐานแล้ว เมื่อผู้ปฏิบัติการ C2 แบบถาวรมีทั้งโครงสร้างพื้นฐานที่ยั่งยืนและการเข้าถึงช่องโหว่ใหม่ ๆ เช่นนี้ การรวมกันนี้ทำให้พวกเขามีวิธีเข้าถึงและควบคุมอุปกรณ์เหยื่อได้มากขึ้นในช่วงเวลาที่ยาวนานขึ้น

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

คุณไม่จำเป็นต้องเป็นผู้เชี่ยวชาญด้านความปลอดภัยจึงจะได้รับผลกระทบจากการเปลี่ยนแปลงเช่นนี้ กิจกรรม APT และแรนซัมแวร์ที่ elevated โดยทั่วไปแปลว่ามีอีเมลฟิชชิ่งมากขึ้น โฆษณาอันตรายและหน้าเข้าสู่ระบบปลอมมากขึ้น และโอกาสที่อุปกรณ์ที่ยังไม่ได้แพตช์จะถูกโจมตีแบบฉวยโอกาสสูงขึ้น แม้ว่าคุณจะไม่ใช่เป้าหมายเฉพาะของกลุ่มรัฐใด ๆ ก็ตาม

ข่าวดีก็คือ fundamentals ของความปลอดภัยไซเบอร์ส่วนบุคคลไม่ได้เปลี่ยนเพียงเพราะปริมาณภัยคุกคามเพิ่มขึ้น สิ่งที่เปลี่ยนคือความสำคัญของความสม่ำเสมอ: การอัปเดตซอฟต์แวร์อยู่เสมอ การสงสัยลิงก์และไฟล์แนบที่ไม่คาดคิด และการใช้รหัสผ่านที่แข็งแกร่งและไม่ซ้ำใครพร้อมการยืนยันตัวตนหลายปัจจัย ยังคงเป็น defenses ที่มีประสิทธิผลที่สุดต่อกลยุทธ์ที่ผู้โจมตีแบบถาวรพึ่งพามากที่สุด

ข้อปฏิบัติที่นำไปใช้ได้จริง

  • ตั้งระบบปฏิบัติการและแอปพลิเคชันให้อัปเดตอัตโนมัติ เนื่องจากกิจกรรม APT ที่ยั่งยืนมักใช้ประโยชน์จากช่องโหว่ที่รู้จักแต่ยังไม่ได้แพตช์
  • ระมัดระวังเป็นพิเศษกับอีเมล ลิงก์ และหน้าเข้าสู่ระบบที่ไม่คาดคิดในช่วงที่ยืนยันแล้วว่ามีกิจกรรม elevated เช่นนี้
  • เปิดใช้งานการยืนยันตัวตนหลายปัจจัยบนบัญชีที่สำคัญที่สุดของคุณ โดยเฉพาะอีเมล ธนาคาร และพื้นที่จัดเก็บบนคลาวด์
  • สำรองไฟล์สำคัญเป็นประจำและเก็บสำเนาอย่างน้อยหนึ่งชุดแบบออฟไลน์ เนื่องจากกิจกรรมแรนซัมแวร์ที่เพิ่มขึ้นอย่างรวดเร็วที่ระบุในคำแนะนำนี้
  • ติดตามคำแนะนำด้านความปลอดภัยจากแหล่งที่น่าเชื่อถือเพื่อให้คุณเข้าใจว่าเมื่อใดระดับภัยคุกคาม elevated จริง ๆ เทียบกับสัญญาณรบกวนพื้นหลังตามปกติ

คำแนะนำภัยคุกคามรายสัปดาห์เช่นนี้ ultimately เกี่ยวกับการจดจำรูปแบบเมื่อเวลาผ่านไป ไม่ใช่เหตุการณ์ใดเหตุการณ์หนึ่ง การเปลี่ยนแปลงฐานรากอย่างถาวรที่ยืนยันแล้วตลอดสามสัปดาห์ติดต่อกันและสนับสนุนด้วยตัวบ่งชี้การบุกรุกที่ไม่ซ้ำกันเกือบ 58,000 รายการ เป็นสัญญาณที่ควรให้ความสนใจ การอัปเดตสุขอนามัยด้านความปลอดภัยขั้นพื้นฐานอยู่เสมอเป็นวิธีที่น่าเชื่อถือที่สุดในการป้องกันตัวเมื่อฐานรากนั้นยังคงพัฒนาต่อไป