`

СПЕЦИАЛЬНЫЕ
ПАРТНЕРЫ
ПРОЕКТА

Архив номеров

Что для вас является метрикой простоя серверной инфраструктуры?

Best CIO

Определение наиболее профессиональных ИТ-управленцев, лидеров и экспертов в своих отраслях

Человек года

Кто внес наибольший вклад в развитие украинского ИТ-рынка.

Продукт года

Награды «Продукт года» еженедельника «Компьютерное обозрение» за наиболее выдающиеся ИТ-товары

 

Fortinet: на смену вымогателям приходят более таргетированные виды атак

0 
 

Fortinet: на смену вымогателям приходят более таргетированные виды атак

Компания Fortinet опубликовала результаты очередного ежеквартального отчета о глобальных угрозах безопасности Global Threat Landscape Report (PDF, EN).

Исследование показало, что киберпреступники продолжают совершенствовать методы атак, в том числе используют специально разрабатываемые программы-вымогатели и создают индивидуальный код для осуществления ряда направленных атак, и даже используют LoTL-атаки и общую инфраструктуру для расширения своих возможностей.

Киберпреступники всегда стремятся в максимальной степени использовать открывающиеся возможности. При сравнении объема веб-фильтрации по двум фазам поэтапных кибер-атак (cyber kill chain phases) по рабочим дням недели и по выходным, выяснилось, что активность до момента компрометации втрое выше в течение рабочей недели, при этом трафик после компрометации в этом отношении менее дифференцирован. Это главным образом объясняется тем, что для поиска уязвимостей зачастую требуется кто-то, кто мог бы выполнять какие-либо действия, например, пройти по ссылке в фишинговом письме. В противовес этому, для активных действий (command-and-control, C2) подобных требований нет, поэтому такую активность можно наблюдать в любое время. Киберпреступники понимают это и стараются по максимуму использовать возможности в течение рабочей недели, когда пользователи чаще всего находятся в интернете. Использование разных практик веб-фильтрации для будних дней и выходных играет важную роль для более полного понимания килл-чейна различных атак.

Cтепень использования различными угрозами той или иной инфраструктуры позволяет составить представление о ряде важных тенденций. Некоторые угрозы чаще других используют единую общую инфраструктуру, чем какие-то уникальные или специализированные инфраструктуры. Почти 60% угроз осуществлялись в рамках как минимум одного общего домена, а это, в свою очередь, указывает на то, что большинство бот-сетей используют уже сформировавшуюся инфраструктуру. Троян IcedID является примером такого подхода «зачем покупать или строить, если можно одолжить». Кроме того, когда угрозы используют некую общую инфраструктуру, они, как правило, делают это на одном и том же этапе килл-чейна. Ситуации, когда угроза использует некий домен для изучения обстановки и поиска уязвимостей, а затем в этом же домене осуществляет передачу трафика C2, происходят довольно редко. Это говорит о том, что инфраструктура играет особую роль при реализации вредоносных кампаний. Понимание того, какие угрозы используют одну и ту же инфраструктуру и в каких именно точках цепочки атак, позволяет организациям прогнозировать потенциальные точки развития и изменения вредоносных программ или бот-сетей в будущем.

Злоумышленники, как правило, переходят от одной возможности к другой целыми кластерами, нацеливаясь на наиболее успешно используемые уязвимости и технологии, находящиеся в данный момент на подъеме, чтобы быстро воспользоваться открывшейся возможностью. Примером новых технологий, которым киберпреступники в последнее время уделяют особое внимание, являются веб-платформы, облегчающие пользователям и предприятиям создание веб-сайтов. Эти платформы, вместе с плагинами от сторонних разработчиков, продолжают оставаться распространенной мишенью для киберпреступников. Все это подтверждает необходимость моментальной установки обновлений безопасности, а также требует со стороны организаций полного понимания постоянно развивающегося мира кибер-угроз, если они хотят оставаться на шаг впереди хакеров.

В общем и целом, на смену популярным ранее программам-вымогателям пришли более таргетированные виды атак, тем не менее, это не значит, что программы-вымогатели вовсе исчезли с горизонта. Более того, они стали более целенаправленными и ориентированы на более состоятельных пользователей. В качестве примера можно привести программу LockerGoga, которая используется для таргетированной многоэтапной атаки. С точки зрения функциональной сложности эта программа мало чем отличается от других подобных программ-вымогателей, но если в большинстве подобных инструментов, чтобы замаскировать их от антивирусов, используется определенный уровень обфускации, при анализе этой программы какой-либо значительной обфускации обнаружено не было. Это говорит о целевом характере атаки и о том, что при создании этой программы злоумышленники знали, что будущие жертвы не будут специально искать этот вредоносный код. Еще один пример – Anatova. Как и для большинство других программ-вымогателей, главная цель Anatova – зашифровать как можно больше файлов на системе жертвы, за исключением тех файлов, которые могли бы сказаться на стабильности заражаемой системы. Кроме того, программа обходит стороной компьютеры, которые выглядят как если бы они использовались для анализа вредоносных программ или в качестве приманки. Оба этих варианта программ-вымогателей указывают на то, что лидеры безопасности должны по-прежнему своевременно устанавливать обновления и осуществлять резервное копирование данных для защиты от обычных программ-вымогателей. Но для противодействия таргетированным угрозам и уникальных методов атак требуется более специализированная защита.

Поскольку злоумышленники используют те же бизнес-модели, что и их жертвы, чтобы добиться максимального эффекта от своей деятельности, методы атак зачастую продолжают развиваться даже после успешного дебюта. Для этого злоумышленники все чаще используют инструменты двойного назначения или инструменты, уже установленные на целевых системах и позволяющие осуществлять кибер-атаки. Эта тактика, получившая название «living off the land» (LoTL) («жизнь на подножном корме») позволяет хакерам замаскировать свою деятельность под вполне невинные процессы, затрудняя тем самым их обнаружение. Эти инструменты также значительно усугубляют последствия атаки. К сожалению, злоумышленники могут использовать самые различные легитимные инструменты, которые позволяют им достичь своих целей и скрыться из виду. Для грамотной защиты от подобных атак организациям следует ограничить доступ к отдельным, санкционируемым инструментам администрирования и лог-файлам в своих окружениях.

Чтобы улучшить способность организации не только надлежащим образом защищаться от сегодняшних угроз, но и подготовиться к развитию и автоматизации будущих атак, необходимы интеллектуальные инструменты для упреждающего анализа угроз, которые были бы доступны во всей распределенной сети. Полученные знания помогут выявить тенденции, оценить эволюцию различных методов, направленных на поверхность цифровой атаки, и определить для себя приоритеты кибергигиены, исходя из того, на что именно направлена деятельность злоумышленников. Ценность этого анализа и способность принимать меры на основе этих данных будет значительно снижена в отсутствие устройств безопасности, позволяющих в режиме реального времени применять полученные данные. Только при наличии масштабного, интегрированного и автоматизированного платформенного подхода к обеспечению безопасности (security fabric) можно обеспечить быструю и масштабную защиту для всего сетевого окружения, от Интернета вещей и периферии до ядра сети и мультиоблачных инфраструктур.


Вы можете подписаться на наш Telegram-канал для получения наиболее интересной информации

0 
 

Напечатать Отправить другу

Читайте также

 
 
Реклама

  •  Home  •  Рынок  •  ИТ-директор  •  CloudComputing  •  Hard  •  Soft  •  Сети  •  Безопасность  •  Наука  •  IoT