Кибератаки, которые никогда не пересекают ваш файрвол

Узнайте, как служба Managed Digital Risk Monitoring от компании Rackspace помогает выявлять угрозы за пределами вашей сети, используя аналитику под руководством человека для оценки рисков и обеспечения более раннего вмешательства.

Набор учетных данных сотрудника появляется в логах стилера. Домен-двойник, выдающий себя за вашу компанию, регистрируется за одну ночь. Папка с вашим исходным кодом попадает в общедоступный репозиторий. Клонированная версия профиля вашего генерального директора в LinkedIn начинает рассылать сообщения вашим клиентам и поставщикам.

Любое из этих событий может развернуться, не вызвав ни единого оповещения внутри вашей сети. Причина проста: активность происходит за пределами среды, которую контролируют ваши инструменты безопасности. Средства обнаружения и реагирования на конечных точках (EDR), платформы управления информацией и событиями безопасности (SIEM), брандмауэры и центры мониторинга информационной безопасности (SOC) в первую очередь ориентированы на угрозы внутри вашей среды.

Но современная атака может быть подготовлена за пределами вашей сети, в местах, для просмотра которых эти инструменты никогда не предназначались. Злоумышленники могут использовать украденную информацию, выдавать себя за ваш бренд и нацеливаться на ваших клиентов, даже не пересекая периметр вашей сети.

Чтобы устранить этот пробел, Rackspace Technology запускает Managed Digital Risk Monitoring (MDRM) — службу анализа даркнета и защиты от цифровых рисков, которая отслеживает внешнюю цифровую экспозицию. MDRM сочетает непрерывный мониторинг с анализом под руководством человека для выявления, проверки и оказания помощи организациям в реагировании на риски до того, как злоумышленники смогут их использовать.

Периметр, который вы, по вашему мнению, защищаете, уже переместился

Долгое время стратегия безопасности делала акцент на четкой границе. Внутри этой границы находились системы и активы, за защиту которых вы несете ответственность. За пределами этой границы видимость и контроль были более ограниченными. Эта модель отражала времена, когда организации поддерживали большую часть своей критически важной инфраструктуры и информации в рамках собственных сред.

Но эта граница не учитывает все способы, которыми злоумышленники действуют сегодня. Учетные данные могут быть украдены с конечных точек с помощью массового вредоносного ПО. Злоумышленники могут выдавать себя за бренды, используя домены, которые организации не контролируют. Интеллектуальная собственность может утечь через неправильно настроенные репозитории или личное облачное хранилище сотрудников. Сырье для атаки на вашу организацию может быть собрано, упаковано и продано в экосистеме, в которой ваши внутренние инструменты безопасности могут иметь минимальную видимость.

Ваша внутренняя защита может быть весьма эффективной в тех средах, для защиты которых она предназначена. Задача заключается в том, чтобы понять, что происходит за этими границами, и определить, кто несет ответственность за мониторинг этой активности.

Как украденная информация становится преимуществом злоумышленника

Посмотрите на источники реального ущерба в нескольких недавних инцидентах безопасности, и вы заметите определенную закономерность. Скомпрометированные учетные данные и раскрытая информация могут предоставить злоумышленникам ресурсы, необходимые для проведения атаки.

Компания National Public Data допустила утечку примерно 2,9 миллиарда записей, включая предположительно 899 миллионов уникальных номеров социального страхования. Компания собирала и перепродавала личную информацию о людях, которые никогда не были ее клиентами, подвергая их риску через брокера данных, с которым у них не было прямых отношений. Впоследствии компания National Public Data объявила о банкротстве.

Утечка данных в Change Healthcare раскрыла информацию, принадлежащую более чем 100 миллионам человек, и нарушила работу значительной части платежной системы здравоохранения США.

В Hot Topic заражение стилером на устройстве сотрудника, как сообщается, предоставило злоумышленнику доступ к конфиденциальным облачным системам, что способствовало утечке примерно 350 миллионов записей о клиентах.

Этот последний пример заслуживает рассмотрения. Один зараженный ноутбук. Один набор собранных учетных данных. Никакого драматичного взлома. И похищенные материалы не исчезают после случившегося. Они скапливаются. Исследователи обнаружили базы данных, содержащие миллиарды украденных учетных данных, собранных с зараженных вредоносным ПО машин и продаваемых на криминальных торговых площадках и в Telegram-каналах. Что делает эти компиляции опасными, так это не просто общее количество, которое может быть завышено за счет дубликатов и старых данных. Многие записи также идентифицируют службы, связанные с украденными паролями, предоставляя злоумышленникам информацию, которую они могут использовать для таргетинга на конкретные учетные записи. Это превращает дамп паролей в список целей.

Стилеры являются движком, лежащим в основе многих подобных явлений. Такие инструменты, как RedLine, Raccoon и Vidar, можно купить или взять в аренду на форумах даркнета даже людям с ограниченными техническими навыками. Они предназначены для незаметного извлечения сохраненных паролей, файлов cookie сеансов и токенов аутентификации с уязвимых устройств, потенциально не вызывая срабатывания оповещений. В одном из зарегистрированных случаев учетные данные двух сотрудников, скомпрометированные стилером, привели к убыткам, превышающим 81 миллион долларов. Первоначальный взлом произошел на конечной точке, что демонстрирует, как украденные учетные данные могут создавать риски, выходящие далеко за рамки зараженного устройства.

Ваш бренд подвергается атакам там, где вы не смотрите

Имперсонация брендов представляет собой еще один растущий риск, последствия которого сказываются как на потребителях, так и на организациях, под которые маскируются злоумышленники.

Федеральная торговая комиссия США зафиксировала убытки потребителей от мошенничеств с выдачей себя за другое лицо в размере 2,95 миллиарда долларов в 2024 году, что более чем в три раза превышает показатель 2020 года. Выдача себя за бизнес и государственные структуры составила значительную долю жалоб на мошенничество. Эти убытки ложатся непосредственно на потребителей, но организации, под которые маскируются злоумышленники, также могут столкнуться с подрывом доверия клиентов и потерей бизнеса.

До своего закрытия фишинговая операция LabHost управляла более чем 42 000 фальшивых доменов, выдававших себя за более чем 200 банков, правительственных порталов и известных брендов, предоставляя преступникам готовый способ клонировать доверенные имена за считанные минуты. Отдельно подразделение Microsoft по борьбе с киберпреступностью изъяло около 240 вредоносных доменов, связанных с сетью «фишинг как услуга», предназначенной для обхода многофакторной аутентификации и нацеливания на крупные бренды. Эти операции показывают, как злоумышленники могут создавать и распространять убедительные подделки в больших масштабах.

Вот что делает имперсонацию брендов столь разрушительной. Когда клиенты становятся жертвами мошенничества через поддельные веб-сайты или сообщения, несущие ваш бренд, ущерб может выйти за рамки непосредственных финансовых потерь. Клиенты могут связать этот опыт с вашей организацией, подорвав доверие и потенциально повлияв на будущий бизнес. Скоординированная кампания по имперсонации может использовать годы инвестиций в отношения с клиентами, часто через инфраструктуру, находящуюся вне вашего прямого контроля.

Скорость — это фактор, в котором ошибаются почти все

Даже при наличии налаженного внешнего мониторинга рисков организации могут недооценивать то, как быстро развиваются и эскалируют угрозы. Скорость этих угрозоносных действий может опережать циклы мониторинга и отчетности, оставляя мало времени для выявления вредоносной активности и вмешательства до того, как будет нанесен ущерб.

Средний фишинговый сайт существует менее 24 часов, и примерно половина жертв попадается в ловушку в течение первого часа после запуска кампании. Мониторинг, который отчитывается еженедельно или зависит от того, заметит ли клиент неладное и подаст жалобу, может выявить угрозу только после того, как ущерб уже нанесен. К тому времени, когда ваша команда отреагирует, поддельный сайт уже может собрать учетные данные или другую конфиденциальную информацию и быть заменен новым.

Такова неприятная реальность, стоящая за выводом IBM о том, что средняя стоимость утечки данных в 2024 году составила 4,9 миллиона долларов. Финансовые последствия могут быть значительными, а задержки в обнаружении и локализации вредоносной активности могут усугубить ущерб. Ранняя видимость дает организациям больше времени на реагирование до того, как возникающая угроза превратится в дорогостоящий инцидент.

Что на самом деле делает Rackspace MDRM

MDRM непрерывно контролирует внешний цифровой след вашей организации в обычном, глубоком и дарквебе, выявляя потенциальные угрозы и уязвимости в то время, когда еще есть возможность действовать. Сервис обеспечивает три направления покрытия, каждое из которых охватывает отдельный источник риска за пределами межсетевого экрана.

Мониторинг глубокого и темного веба отслеживает подпольные форумы, логи вредоносного ПО и инфостилеров, дампы учетных данных и утечки у третьих лиц. Цель состоит в том, чтобы выявить скомпрометированные учетные данные и другую конфиденциальную информацию до того, как злоумышленники смогут их использовать, в идеале — пока украденные учетные данные еще циркулируют на криминальном рынке и еще не использовались для получения доступа.

Мониторинг рисков бренда отслеживает инфраструктуру, которую злоумышленники создают для использования вашего имени в корыстных целях. Сюда входят фишинговые сайты, поддельные мобильные приложения, выдача себя за вас в социальных сетях, мошеннические колл-центры и скоординированные онлайн-кампании, направленные против вашего бренда и руководства. Цель состоит в том, чтобы найти фальшивый домен или клонированный профиль еще на этапе его настройки, пока он не был использован для обмана ваших клиентов.

Мониторинг утечек данных расширяет сеть на открытые репозитории кода, скомпрометированные конечные точки, утечки документов, незащищенные платформы API, открытые облачные хранилища и утечки финансовых данных. Это места, куда ваша информация может попасть из-за неправильной конфигурации, скомпрометированных устройств или непреднамеренного раскрытия. Раннее обнаружение такой информации дает вашей организации больше времени на расследование утечки и принятие корректирующих мер.

Человеческий интеллект, стоящий за управляемым мониторингом

Множество инструментов могут подсказать вам, что ваше название появилось где-то в дарквебе. Гораздо меньшее количество инструментов может сказать вам, имеет ли это вообще значение. Необработанный поток упоминаний вашего бренда в Интернете создает дополнительную нагрузку на команды безопасности, которые и так управляют конкурирующими приоритетами, причем большая часть этой информации будет просто шумом.

MDRM создан для снижения этой рабочей нагрузки. Развертывание не требует написания кода и управляется ключевыми словами, активами и аналитикой бренда с минимальными требованиями к интеграции и подключению. Обнаружение на базе искусственного интеллекта затем отслеживает источники в обычном, глубоком и темном вебе, отфильтровывая до 95% нерелевантного шума до того, как он дойдет до вашей команды.

Затем в дело вступают люди. Аналитики Rackspace Cyber Defence Center, поддерживаемые нашими возможностями аналитики RAISE, проверяют оставшиеся обнаружения, удаляют ложные срабатывания и оценивают их потенциальное влияние на бизнес. Они обогащают подтвержденные угрозы контекстом об акторе угрозы, степени серьезности утечки и операционных рисках, специфичных для вашей организации.

Аналитики также предоставляют рекомендации по локализации и поддержку по удалению, чтобы помочь снизить уровень рисков. Непрерывный мониторинг поддерживает процесс активным по мере появления новых угроз, вместо того чтобы полагаться на периодические отчеты, которые к моменту их получения могут уже устареть.

Результатом является проверенная аналитика угроз с контекстом и рекомендациями, необходимыми вашей команде для действий, а не очередная неразобранная очередь предупреждений. В этом разница между инструментом мониторинга, который выявляет потенциальные угрозы, и управляемым сервисом, который помогает вам оценить их значимость, расставить приоритеты в реагировании и снизить риски.

Для кого предназначен MDRM и почему

MDRM разработан для малых, средних и крупных предприятий с устоявшимися внутренними операциями безопасности, но ограниченной видимостью за пределами периметра сети. Если у вас есть средства обнаружения и реагирования на конечных точках (EDR), платформа управления информацией о безопасности и событиями безопасности (SIEM) и центр операций безопасности (SOC), но вам не хватает мониторинга дарквеба, защиты бренда или раннего предупреждения об утечке информации, MDRM поможет закрыть эти пробелы. Он работает вместе с вашими существующими инструментами безопасности, расширяя видимость в среды, для мониторинга которых они не предназначены.

Вот простой способ оценить ваше текущее покрытие. Смогли бы вы с уверенностью ответить на эти вопросы?

• Знали ли вы, если бы учетные данные 50 ваших сотрудников появились в логе инфостилера или на криминальном рынке?
• Узнали ли вы завтра, если кто-то клонировал учетную запись в социальных сетях, выдавая себя за вашего генерального директора?
• Знала ли бы ваша команда об утечке исходного кода или ключей API?
• Есть ли у вас видимость утечек в дарквебе, связанных с вашей организацией?

Ваши ответы могут выявить пробелы в видимости внешних угроз и поднять другой важный вопрос: кто несет ответственность за мониторинг этой активности? MDRM помогает решить обе проблемы, расширяя мониторинг за пределы вашей внутренней среды безопасности и предоставляя аналитическую разведку для поддержки вашего реагирования.

Чего на самом деле стоит фора по времени

Ценность раннего обнаружения сводится ко времени. Выявление утечки до того, как злоумышленник ее использует, создает возможность провести расследование, локализовать риск и потенциально предотвратить более крупный инцидент. Это окно между утечкой и ее эксплуатацией может иметь решающее значение, особенно когда скомпрометированные учетные данные, утечка информации или мошенническая инфраструктура уже циркулируют за пределами вашей сети.

Фора по времени может означать сброс скомпрометированного пароля до того, как он приведет к несанкционированному доступу, или удаление мошеннического домена до того, как клиенты станут жертвами мошенничества. Это может означать обнаружение утечки информации и устранение уязвимости до ее дальнейшего распространения. В каждом случае более раннее видимость дает вашей команде безопасности больше времени на оценку угрозы, принятие обоснованных решений и принятие мер.

Узнайте, как Rackspace Managed Digital Risk Monitoring может помочь вашей организации выявлять внешние угрозы, оценивать их значимость и реагировать до того, как утечка приведет к более серьезному инциденту.