Hva det russiske kraftnettangrepet kan lære alle det profesjonelle

Nå har du hørt at en felles etterforskning fra Federal Bureau of Investigation (FBI) og US Department of Homeland Security har ført til en rapport om at russiske operativer hadde hacket seg inn i selskaper som er en del av strømnettet i USA. Angrepene er skissert i detalj i en rapport fra US Computer Emergency Readiness Team (US-CERT) som beskriver hvordan angriperne var i stand til å trenge gjennom energifasilitetene og hva de gjorde med informasjonen de stjal.

Det som ikke sto i medieoppslagene, var et faktum som burde skape bekymring for en IT-profesjonell, enten de jobber for en liten til mellomstor bedrift (SMB) eller en større organisasjon. Det faktum: Stien som angriperne utnyttet gikk gjennom mindre partnere til det endelige målet. De startet sitt angrep med å penetrere forsvaret til de mindre partnerne fordi de sannsynligvis hadde svakere forsvar, og deretter brukte de informasjon og ressurser som ble samlet derfra for å angripe det neste anlegget oppover linjen.

Anatomi av et smart phishing-angrep

Et primært middel for å få tilgang til den mindre partneren var å finne offentlig informasjon, som når den ble satt sammen med annen informasjon, ville gi detaljnivået som trengs for neste trinn. For eksempel kan en angriper undersøke nettstedet til et selskap som gjør forretninger med det endelige målet, og der kan han finne e-postadressen til en toppleder på enten partnerens selskap eller det endelige målet. Da kan angriperen undersøke annen informasjon fra begge selskapets nettsteder for å se hva forholdet er, hvilke tjenester som blir levert av hvem, og noe med hvert selskaps struktur.

Bevæpnet med denne informasjonen, kan angriperen begynne å sende svært overbevisende phishing-e-poster fra det som ser ut til å være en legitim e-postadresse; de med nok utformede detaljer som godt kan beseire phishing-filtre som er på plass på brannmuren eller det endrede beskyttelsesnivået. Nettfiskemailene vil være utformet for å høste innloggingsinformasjon for personen som blir målrettet, og hvis noen av dem lykkes, vil angriperne øyeblikkelig omgå alle identitetshåndteringstiltak som måtte være på plass og være i målnettverket.

Med avsløringene om høsting av brukerinformasjon fra Facebook, utvides trusselens natur. I et brudd som ble utført i form av akademisk forskning fra 2014, fikk en russisk forsker tilgang til omtrent 50 millioner brukerprofiler av amerikanske Facebook-medlemmer. Profilene ble overført til Cambridge Analytica. Etterfølgende undersøkelser har avdekket at disse dataene ble tatt uten tillatelse fra disse Facebook-brukerne og deretter misbrukt.

Revisjon ekstern kommunikasjon

Dette bringer spørsmålet om hvilken informasjon forsiktige bedrifter skal gjøre tilgjengelig via sine nettsteder. Verre er det at den spørringen sannsynligvis må utvide til organisasjonens sosiale mediepresentasjoner, tredjeparts markedsføringskanaler som Youtube og til og med høyprofilerte ansatte medier i sosiale medier.

"Jeg tror de må være forsiktige med hva som er på selskapets nettsteder, " sa Leo Taddeo, Chief Information Security Officer (CISO) for Cyxtera og tidligere spesialagent som har ansvaret for Cyber ​​Division i FBIs feltkontor i New York City. "Det er et stort potensial for å avsløre informasjon utilsiktet."

Taddeo sa at ett godt eksempel er i stillingsannonser der du kan avsløre hvilke verktøy du bruker til utvikling eller til og med hvilke sikkerhetsspesialiteter du leter etter. "Det er mange måter selskaper kan eksponere seg for. Det er et stort overflate. Ikke bare nettstedet og ikke bare bevisst kommunikasjon, " sa han.

"Sosiale medier er en risiko, " forklarte Taddeo og påpekte at en ansatt som legger ut på sosiale medier kan avsløre mye uforvarende. Han påpekte at ansatte som sa at de ikke er fornøyd med jobben sin, kan avsløre et mål for utnyttelse. "Ansatte som snakker i detalj om sitt arbeid eller sine prestasjoner er en risiko. Gruvedrift av sosiale medier er veldig produktive for motstandere."

Taddeo advarte om at profesjonelle medienettsteder, for eksempel LinkedIn, også er en risiko for de som ikke er nøye. Han sa at motstandere oppretter falske kontoer på slike nettsteder som skifter hvem de virkelig er, og deretter bruker informasjon fra kontaktene sine. "Uansett hva de legger ut på nettsteder på sosiale medier, kan det gå ut over arbeidsgiveren deres, " sa han.

Med tanke på det faktum at de dårlige skuespillerne som er rettet mot deg kan være etter dataene dine, eller kan være etter en organisasjon du jobber med, er spørsmålet ikke bare hvordan beskytter du deg selv, men hvordan beskytter du også forretningspartneren din? Dette kompliseres av det faktum at du kanskje ikke vet om angriperne kan følge dataene dine, eller bare ser deg som et springbrett og kanskje et iscenesettelsessted for neste angrep.

Hvordan beskytte deg selv

Uansett er det noen skritt du kan ta. Den beste måten å tilnærme seg dette er i form av en informasjonsrevisjon. Oppgi alle kanalene bedriften bruker for ekstern kommunikasjon, absolutt markedsføring, men også HR, PR og forsyningskjede. Bygg deretter et revisjonsteam som inneholder interessenter fra alle berørte kanaler, og begynn å analysere det som finnes der systematisk og med et øye til informasjon som kan være nyttig for datatyver. Begynn først med bedriftens nettsted:

Undersøk bedriftens nettsted for alt som kan gi detaljer om arbeidet du gjør eller verktøyene du bruker. For eksempel kan en dataskjerm som vises på et bilde inneholde viktig informasjon. Se etter bilder av produksjonsutstyr eller nettverksinfrastruktur, som kan gi ledetråder som er nyttige for angripere.

Se på personaloppføringen. Har du oppførte e-postadresser for de ansatte? Disse adressene gir ikke bare en angriper en potensiell påloggingsadresse, men også en måte å forfalske e-poster som er sendt til andre ansatte. Vurder å erstatte dem med en lenke til et skjema, eller bruk en annen e-postadresse til offentlig forbruk kontra intern bruk.

Sier nettstedet ditt hvem kundene eller partnerne dine er? Dette kan gi en angriper en annen måte å angripe organisasjonen din hvis de har problemer med å komme forbi sikkerheten din.

Sjekk jobbinnleggene dine. Hvor mye avslører de om verktøyene, språkene eller andre aspekter av selskapet ditt? Vurder å jobbe gjennom et rekrutteringsfirma for å skille deg fra den informasjonen.

Se på din tilstedeværelse på sosiale medier, og husk at dine motstandere definitivt vil prøve å få informasjon via denne kanalen. Se også hvor mye informasjon om firmaet ditt som blir avslørt i innleggene fra ledende ansatte. Du kan ikke kontrollere alt om de ansattes aktiviteter på sosiale medier, men du kan følge med på det.

Tenk på nettverksarkitekturen. Taddeo anbefaler en tilnærming etter behov der administratortilgang kun gis når det er nødvendig og bare for at systemet trenger oppmerksomhet. Han foreslår å bruke en programvaredefinert perimeter (SDP), som opprinnelig ble utviklet av det amerikanske forsvarsdepartementet. "Til slutt endres brukerens tilgangsrettigheter dynamisk basert på identitet, enhet, nettverk og applikasjonsfølsomhet, " sa han. "Disse er drevet av enkle konfigurerte policyer. Ved å justere nettverkstilgang med applikasjonstilgang, forblir brukere fullt produktive mens angrepens overflate er dramatisk redusert."

• Vurder nå skytjenestene dine på samme måte. Det er ofte en standardkonfigurasjon å gjøre ledende bedriftsledere til administratorer av tredjeparts bedriftsskytjenester, som firmaets Google Analytics- eller Salesforce-kontoer. Hvis de ikke trenger det nivået på tilgang, kan du vurdere å slippe dem til brukerstatus og overlate administrative tilgangsnivåer til IT-personell som det er vanskeligere å finne e-postpålogginger på.

Til slutt sa Taddeo å lete etter sårbarheter opprettet av skygge-IT. Med mindre du ser etter det, kan du få det harde sikkerhetsarbeidet ditt omgått fordi noen installerte en trådløs ruter på kontoret sitt slik at de lettere kunne bruke sin personlige iPad på jobben. Ukjente skytjenester fra tredjeparter faller også inn i denne kategorien. I store organisasjoner er det ikke uvanlig at avdelingsledere bare melder seg til avdelingene sine for praktiske skytjenester for å omgå det de ser som IT-byrå.

Dette kan inkludere kjerne IT-tjenester, som å bruke Dropbox Business som nettverkslagring eller bruke en annen markedsføringsautomatiseringstjeneste fordi det er for tregt å registrere deg for det offisielle bedriftsstøttede verktøyet og krever å fylle ut for mange former. Programvaretjenester som disse kan eksponere mangfoldige data uten at IT engang er klar over dem. Forsikre deg om at du vet hvilke apper som brukes i organisasjonen din, av hvem, og at du har kontroll over hvem som har tilgang.

Tilsynsarbeid som dette er kjedelig og noen ganger tidkrevende, men det kan betale stort utbytte i det lange løp. Inntil motstanderne kommer etter deg, vet du ikke hva du har som kan være verdt å stjele. Så du må nærme deg sikkerhet på en måte som er fleksibel, mens du fremdeles holder øye med det som betyr noe; og den eneste måten å gjøre det på er å bli grundig informert om hva som kjører i nettverket ditt.