Лечение или превенция: как да се справим с пандемията от кибератаки с марката COVID

Опасната зараза, обхванала всички страни, престана да бъде новина номер едно в медиите. Реалността на заплахата обаче продължава да привлича вниманието на хората, от което киберпрестъпниците успешно се възползват. Според Trend Micro темата за коронавируса в киберкампаниите все още е водеща с голяма разлика. В тази публикация ще говорим за текущата ситуация и ще споделим нашето виждане за предотвратяване на настоящите кибер заплахи.

Някои статистики

Карта на векторите на разпространение, използвани от кампании с марка COVID-19. Източник: Trend Micro

Основният инструмент на киберпрестъпниците продължават да бъдат спам съобщенията и въпреки предупрежденията на правителствените агенции, гражданите продължават да отварят прикачени файлове и да кликват върху връзки в измамни имейли, допринасяйки за по-нататъшното разпространение на заплахата. Страхът от заразяване с опасна инфекция води до факта, че в допълнение към пандемията от COVID-19 трябва да се справяме с киберпандемия - цяло семейство от киберзаплахи с „коронавирус“.

Разпределението на потребителите, последвали злонамерени връзки, изглежда доста логично:

Разпределение по държави на потребители, отворили злонамерена връзка от имейл през януари-май 2020 г. Източник: Trend Micro

На първо място с голяма преднина са потребители от Съединените щати, където към момента на писане на тази публикация имаше почти 5 милиона случая. Русия, която също е една от водещите страни по случаи на COVID-19, също беше в челната петица по брой на особено доверчивите граждани.

Пандемия от кибератаки

Основните теми, които киберпрестъпниците използват в измамни имейли, са забавяне на доставката поради пандемията и свързаните с коронавирус уведомления от Министерството на здравеопазването или Световната здравна организация.

Двете най-популярни теми за измамни имейли. Източник: Trend Micro

Най-често Emotet, ransomware ransomware, който се появи през 2014 г., се използва като „полезен товар“ в такива писма. Ребрандирането на Covid помогна на операторите на зловреден софтуер да увеличат рентабилността на своите кампании.

В арсенала на Covid измамниците може да се отбележи и следното:

• фалшиви правителствени уебсайтове за събиране на данни от банкови карти и лична информация,
• информационни сайтове за разпространението на COVID-19,
• фалшиви портали на Световната здравна организация и Центрове за контрол на заболяванията,
• мобилни шпиони и блокери, маскирани като полезни програми за информиране за инфекции.

Предотвратяване на атаки

В глобален смисъл стратегията за справяне с киберпандемията е подобна на стратегията, използвана за борба с конвенционалните инфекции:

• откриване,
• отговор,
• предотвратяване,
• прогнозиране.

Очевидно е, че проблемът може да бъде преодолян само чрез прилагане на комплекс от мерки, насочени в дългосрочен план. Превенцията трябва да бъде в основата на списъка от мерки.

Точно както за предпазване от COVID-19 се препоръчва спазване на дистанция, миене на ръцете, дезинфекция на покупките и носене на маски, системите за наблюдение за фишинг атаки, както и инструментите за предотвратяване и контрол на проникване могат да помогнат за елиминирането на възможността за успешна кибератака .

Проблемът с такива инструменти е голям брой фалшиви положителни резултати, които изискват огромни ресурси за обработка. Броят на известията за фалшиви положителни събития може да бъде значително намален чрез използване на основни механизми за сигурност - конвенционални антивируси, инструменти за контрол на приложенията и оценки на репутацията на сайта. В този случай отделът за сигурност ще може да обърне внимание на новите заплахи, тъй като известните атаки ще бъдат блокирани автоматично. Този подход ви позволява да разпределите равномерно натоварването и да поддържате баланс между ефективност и безопасност.

Проследяването на източника на инфекция е важно по време на пандемия. По същия начин, идентифицирането на началната точка на внедряване на заплаха по време на кибератаки ни позволява систематично да гарантираме защита на периметъра на компанията. За да се гарантира сигурността на всички входни точки в ИТ системите, се използват инструменти от клас EDR (Endpoint Detection and Response). Като записват всичко, което се случва в крайните точки на мрежата, те ви позволяват да възстановите хронологията на всяка атака и да разберете кой възел е бил използван от киберпрестъпниците, за да проникнат в системата и да се разпространят в мрежата.

Недостатъкът на EDR е голям брой несвързани сигнали от различни източници - сървъри, мрежово оборудване, облачна инфраструктура и имейл. Изследването на различни данни е трудоемък ръчен процес, който може да доведе до пропускане на нещо важно.

XDR като кибер ваксина

Технологията XDR, която е развитие на EDR, е предназначена да решава проблеми, свързани с голям брой предупреждения. „X“ в този акроним означава всеки инфраструктурен обект, към който може да се приложи технология за откриване: поща, мрежа, сървъри, облачни услуги и бази данни. За разлика от EDR, събраната информация не се прехвърля просто в SIEM, а се събира в универсално хранилище, в което се систематизира и анализира с помощта на Big Data технологиите.

Блокова схема на взаимодействие между XDR и други решения на Trend Micro

Този подход, в сравнение с простото натрупване на информация, ви позволява да откриете повече заплахи, като използвате не само вътрешни данни, но и глобална база данни за заплахи. Освен това, колкото повече данни се събират, толкова по-бързо ще бъдат идентифицирани заплахите и толкова по-висока е точността на сигналите.

Използването на изкуствен интелект прави възможно минимизирането на броя на сигналите, тъй като XDR генерира сигнали с висок приоритет, обогатени с широк контекст. В резултат на това SOC анализаторите могат да се съсредоточат върху известия, които изискват незабавно действие, вместо ръчно да преглеждат всяко съобщение, за да определят връзките и контекста. Това значително ще подобри качеството на прогнозите за бъдещи кибератаки, което пряко влияе върху ефективността на борбата с киберпандемията.
Точното прогнозиране се постига чрез събиране и корелиране на различни типове данни за откриване и активност от сензори на Trend Micro, инсталирани на различни нива в рамките на организацията – крайни точки, мрежови устройства, имейл и облачна инфраструктура.

Използването на единна платформа значително улеснява работата на услугата за информационна сигурност, тъй като тя получава структуриран и приоритетен списък от сигнали, работещи с един прозорец за представяне на събития. Бързото идентифициране на заплахите дава възможност за бързо реагиране на тях и минимизиране на последствията от тях.

Нашите препоръки

Вековният опит в борбата с епидемиите показва, че превенцията е не само по-ефективна от лечението, но и има по-ниска цена. Както показва съвременната практика, компютърните епидемии не са изключение. Предотвратяването на заразяване на мрежата на компанията е много по-евтино от плащането на откуп на изнудвачите и плащането на компенсация на изпълнителите за неизпълнени задължения.

Съвсем наскоро Garmin плати на изнудвачите 10 милиона долараза да получите програма за дешифриране на вашите данни. Към тази сума трябва да се добавят загуби от недостъпност на услугите и репутационни щети. Едно просто сравнение на получените резултати с цената на модерно решение за сигурност ни позволява да направим недвусмислено заключение: предотвратяването на заплахи за информационната сигурност не е случаят, когато спестяванията са оправдани. Последствията от една успешна кибератака ще струват значително повече на компанията.

Източник: www.habr.com