მთავარი დასკვნა
დაიწყეთ აუცილებელი სერვისების, მონაცემებისა და დამოკიდებულებების გამოვლენით. შემდეგ შეარჩიეთ წვდომის კონტროლი, პატჩები, სარეზერვო ასლები, მონიტორინგი და ინციდენტის სავარჯიშოები იმ სცენარებისთვის, რომლებიც მათზე ყველაზე მეტად შეიძლება მოქმედებდეს.
რა არის კიბერსაფრთხე?
კიბერსაფრთხე შესაძლო მოვლენა ან გარემოებაა, რომელსაც ციფრული სისტემებისა თუ მონაცემების დაზიანება შეუძლია; შეტევა ზიანის მიყენების მცდელობაა. საფრთხეები შეიძლება უკავშირდებოდეს ფინანსური მოტივის მქონე დამნაშავეებს, სახელმწიფო აქტორებს ჯაშუშური ან პოლიტიკური მიზნებით, იდეოლოგიურად მოტივირებულ ჰაქტივისტებს ან შიდა პირებს, რომლებიც რისკს განზრახ ან შეცდომით ქმნიან. აქტორის ვინაობა წინასწარ ხშირად უცნობია; დაცვა დაკვირვებად ქცევასა და დასაცავ სერვისებს დაუფუძნეთ.
მავნე და გამოსასყიდის მომთხოვნი პროგრამები
მავნე პროგრამებში შედის ვირუსები, ჭიები, ტროიანები და ჯაშუშური პროგრამები; სარეკლამო პროგრამა რეკლამებს აჩვენებს და ყოველთვის მავნე არ არის. მათი ქცევა და მიზნები განსხვავდება. გამოსასყიდის მომთხოვნ პროგრამას შეუძლია ფაილების დაშიფვრა ან სისტემების დაბლოკვა და შეიძლება მოპარული მონაცემების გამოქვეყნებითაც იმუქრებოდეს. გამოსასყიდის მომთხოვნ პროგრამას სერვისის სახით (RaaS) შეუძლია სხვა დამნაშავეებს შეტევის ოპერაციაზე წვდომა მისცეს. პირველადი წვდომა შეიძლება ფიშინგით, მავნე ჩამოტვირთვით ან ექსპლუატირებული მოწყვლადობით მიიღონ. კონტროლი მოიცავს განახლებულ ბოლო მოწყობილობის დაცვას, შეზღუდულ პრივილეგიებს, ქსელის სეგმენტაციას, ელფოსტის დაცვასა და ქსელისგან განცალკევებულ სარეზერვო ასლებს, რომელთა აღდგენაც შემოწმებულია.
ფიშინგი და სოციალური ინჟინერია
სოციალური ინჟინერია ცდილობს ადამიანს პაროლის გამჟღავნება, გადახდა ან მგრძნობიარე ინფორმაციის გაზიარება გადააწყვეტინოს. ფიშინგს შეუძლია ელფოსტის, შეტყობინებების, ზარებისა და ყალბი საიტების გამოყენება; მიზნობრივი ფიშინგი მიდგომას კონკრეტულ პირს არგებს. ხელმძღვანელის სახელით მოქმედება და გამოგონილი საბაბები ნდობასა და გადაუდებლობას იყენებს, სატყუარა კი მომხმარებელს მიმზიდველი ფაილით ან შეთავაზებით იზიდავს. ასწავლეთ თანამშრომლებს მოულოდნელი მოთხოვნების სხვა არხით გადამოწმება, MFA‑ის გამოყენება და საეჭვო შეტყობინებების მარტივად შეტყობინება; სწავლებას ფილტრაციითა და გადახდის დამტკიცების წესებით დაუჭირეთ მხარი.
DDoS და სერვისის ხელმისაწვდომობა
მომსახურებაზე უარის განაწილებულ შეტევას (DDoS) შეუძლია ხელმისაწვდომობის შეფერხება სერვერის ან ქსელური სერვისის ტრაფიკით გადატვირთვით. ტრაფიკი შეიძლება კომპრომეტირებული მოწყობილობების ბოტნეტიდან მოდიოდეს, IoT მოწყობილობების ჩათვლით, და სხვა აქტივობისგან ყურადღების გადასატანადაც გამოიყენებოდეს. კრიტიკული სერვისებისთვის შეათანხმეთ ტრაფიკის ზღვრები და მომწოდებელთან ესკალაცია, შეაფასეთ DDoS შერბილება, მოამზადეთ მომხმარებლებთან და თანამშრომლებთან კომუნიკაცია და გაივარჯიშეთ ტრაფიკის ფილტრაცია და სარეზერვო სერვისზე გადართვა.
ნულოვანი დღეები და მიწოდების ჯაჭვის დაუცველობა
ნულოვანი დღის შეტევა აპარატურის, ჩაშენებული პროგრამის ან პროგრამული უზრუნველყოფის ადრე უცნობ მოწყვლადობას იყენებს. ცნობილი ხარვეზი, რომლის ხელმისაწვდომი პატჩიც ჯერ არ დაყენებულა, დაუპატჩავი მოწყვლადობაა და არა ნულოვანი დღე. ნულოვანი დღის შეტევებმა შეიძლება ღრუბლოვან სერვისებს, SaaS მომწოდებლებს ან პროგრამული მიწოდების ჯაჭვებს დაუმიზნოს. აღრიცხეთ აქტივები და მომწოდებლების დამოკიდებულებები, პატჩებს პრიორიტეტი მიანიჭეთ, ინტეგრაციის უფლებები შეზღუდეთ, გააძლიერეთ ავთენტიფიკაცია, დააკვირდით საეჭვო ქცევას და შეისწავლეთ თითოეული მომწოდებლის ინციდენტისა და განახლების პროცესი.
შიდა რისკი და მონაცემთა გამჟღავნება
შიდა რისკი შეიძლება მოიცავდეს თანამშრომლის მიერ მონაცემთა განზრახ გატანას, წვდომის შემთხვევით გახსნას, არასწორ მიმღებთან ინფორმაციის გაგზავნას ან ფიშინგით მოტყუებას. გარე თავდამსხმელმაც შეიძლება მოპარული ანგარიშით ან არასწორი კონფიგურაციით მონაცემთა გაჟონვა გამოიწვიოს. დაახარისხეთ მგრძნობიარე ინფორმაცია, წვდომა როლით შეზღუდეთ, გაზიარება და ექსპორტი აღრიცხეთ, ადამიანების წასვლისას ანგარიშები დახურეთ და ინციდენტის შეტყობინების მკაფიო პროცესი დაადგინეთ. გამოიკვლიეთ მტკიცებულებების მიხედვით; მხოლოდ ეჭვი განზრახვას არ ადასტურებს.
ღრუბლის, API‑ისა და IoT‑ის საფრთხეები
ღრუბლის არასწორმა კონფიგურაციამ მონაცემები შეიძლება გაამჟღავნოს; API‑ის ავთენტიფიკაციის ან წვდომის კონტროლის სისუსტეებმა უნებართვო წვდომა გახადოს შესაძლებელი. ღრუბლოვანი დატვირთვების API‑ები და კონტეინერის გარემოებიც შეიძლება სამიზნე იყოს, ამიტომ გადახედეთ იმიჯებს, უფლებებს, საიდუმლოებებსა და ქსელის საზღვრებს. დაუპატჩავი ან ნაგულისხმევი პაროლის მქონე IoT მოწყობილობები ბოტნეტში შეიძლება მოხვდეს ან ქსელში შესვლის წერტილად იქცეს. რეგულარულად გადახედეთ ღრუბლოვანი საცავისა და API‑ის უფლებებს, დაიცავით და ცვალეთ გასაღებები, აღრიცხეთ და განაახლეთ მოწყობილობები, IoT საჭირო ქსელური სეგმენტებით შეზღუდეთ და მომწოდებლის ჟურნალები მონიტორინგში ჩართეთ.
ახალი და ცვალებადი რისკები
AI‑ს შეუძლია ფიშინგის ავტომატიზაციის გამარტივება და ხელმძღვანელის მიმბაძველი სინთეზური ხმით ან ვიდეოთი თაღლითობის ხელშეწყობა. მნიშვნელოვანი გადახდისა და მითითების მოთხოვნები დამოუკიდებელი არხითა და დამტკიცების პროცესით გადაამოწმეთ, მაშინაც კი, როცა მასალა დამაჯერებლად გამოიყურება; მხოლოდ ღრმა ფალსიფიკაციის ნიშნებს ნუ დაეყრდნობით. კვანტურმა კომპიუტერებმა დაშიფვრის ზოგი მიმდინარე მეთოდისთვის მომავალში რისკი შეიძლება შექმნას, თუმცა ეს დღეს აქტიურ შეტევას არ ადასტურებს. ახალ ტექნოლოგიებს, მაგალითად IoT‑სა და კონტეინერებს, კონფიგურაციისა და პატჩების პასუხისმგებლობებიც მოაქვს. მათი დანერგვისას მონაცემთა ნაკადების ჩანაწერები, პასუხისმგებლობა და საფრთხის მოდელები განაახლეთ.
შეაფასეთ ბიზნესზე გავლენა
გავლენა შესაძლო ჯარიმებს მიღმაც შეაფასეთ. გაითვალისწინეთ სერვისის გათიშვა, მონაცემთა დაკარგვა, აღდგენის დრო, მომხმარებელთა და მომწოდებელთა ვალდებულებები, ფინანსური თაღლითობა და ნდობის დაზიანება. თითოეული კრიტიკული პროცესისთვის განსაზღვრეთ მისაღები გათიშვის დრო და აღდგენის წერტილი: დროში გაზომილი მონაცემთა მაქსიმალურად ასატანი დანაკარგი. შემდეგ შეარჩიეთ საჭირო სარეზერვო ასლები, ალტერნატიული სერვისი და ესკალაციის დონე. მტკიცებულება, ალბათობა, გავლენა, პასუხისმგებელი პირი და შემდეგი გადახედვის თარიღი რისკების რეესტრში აღრიცხეთ.
დაცვა და ინციდენტისთვის მზადყოფნა
კონტროლი რისკის მიხედვით გააერთიანეთ: გადაამოწმეთ იდენტობა და მიანიჭეთ მინიმალური პრივილეგიები; გამიჯნეთ კრიტიკული სისტემები; პრიორიტეტი მოწყვლადობის გამოსწორებას მიანიჭეთ; დააკვირდით ბოლო მოწყობილობებსა და ღრუბლოვან აქტივობას; დაშიფრეთ მონაცემები და შეამოწმეთ სარეზერვო ასლებიდან აღდგენა. Zero Trust მიდგომა თითოეულ მოთხოვნას კონტექსტში აფასებს და წვდომას მუდმივად ამოწმებს. შეტყობინებების პრიორიტეტიზაციისთვის შესაბამისი ინფორმაცია საფრთხეებზე ბოლო მოწყობილობისა და ღრუბლის ჟურნალებთან ერთად გამოიყენეთ; თუ SIEM/SOAR გამოიყენება, განსაზღვრეთ ინტეგრაციაზე პასუხისმგებელი პირი და ესკალაციის გზა. ინციდენტის გეგმაში აღწერეთ როლები, მტკიცებულებების შენარჩუნება, გადაწყვეტილების მიმღებები და აღდგენის კრიტერიუმები, შემდეგ მაგიდის გარშემო სცენარული სავარჯიშოებით ხარვეზები გამოავლინეთ.
შექმენით უსაფრთხოების კულტურა
ტექნოლოგია ყოველდღიურ გადაწყვეტილებებს ვერ ცვლის. თანამშრომლებს ასწავლეთ მათი როლისთვის შესაბამისი ფიშინგის ამოცნობა, მონაცემთა უსაფრთხო გაზიარება და ინციდენტის შეტყობინება; ხელმძღვანელები რისკის პასუხისმგებლობასა და ბიუჯეტის გადაწყვეტილებებში ჩართეთ. უსაფრთხოების, IT‑ის, იურიდიულმა, კონფიდენციალურობისა და ბიზნესგუნდებმა კომუნიკაციისა და გადაწყვეტილების გზები ინციდენტამდე უნდა შეათანხმონ. ინციდენტებისა და სავარჯიშოების შემდეგ პროცედურები განაახლეთ, განმეორებად ხარვეზებს კი პასუხისმგებელი პირები და ვადები მიუჩინეთ.
მავნე პროგრამები და შეტევის სხვა მეთოდები
მავნე პროგრამა მავნე კოდია, რომელიც სისტემაზე შეიძლება მუშაობდეს ან ამოქმედებამდე მიძინებული იყოს; ყველა კიბერშეტევა პროგრამას არ აყენებს. ფიშინგს პაროლებისა თუ გადახდის მონაცემების პირდაპირ მოპარვა შეუძლია. შუამავლის შეტევა მხარეებს შორის ტრაფიკს იჭერს ან ცვლის. მოპარული ავტორიზაციის მონაცემების მასობრივი გამოცდა სხვა სერვისებიდან მიღებულ მომხმარებლის სახელისა და პაროლის წყვილებს ამოწმებს იქ, სადაც ისინი ხელახლა გამოიყენეს, სრული გადარჩევა კი ავტორიზაციის მონაცემებს განმეორებით გამოცნობს. DoS/DDoS სერვისის ხელმისაწვდომობას უმიზნებს, მოწყვლადობის ექსპლუატაცია კი პროგრამულ ხარვეზს. ინციდენტმა მეთოდები შეიძლება გააერთიანოს, ამიტომ ხილული გავლენაც და საწყისი წვდომის გზაც გამოიკვლიეთ.
შეტევები ავტორიზაციის მონაცემებზე
მოპარული ავტორიზაციის მონაცემების გამოცდასა და სრულ გადარჩევას დაუპირისპირეთ უნიკალური პაროლები, MFA, შესვლის სიხშირის შეზღუდვები და საეჭვო მცდელობების მონიტორინგი.
შეტევები ქსელსა და სერვისზე
MitM რისკი დაშიფრული კავშირებითა და სერტიფიკატის გადამოწმებით შეამცირეთ. DDoS სცენარებისთვის დაგეგმეთ ტრაფიკის ზღვრები, მომწოდებელთან ესკალაცია და სერვისის აღდგენა.
პროგრამული მოწყვლადობები
აღრიცხეთ აქტივები და ვერსიები, უსაფრთხოების განახლებებს პრიორიტეტი მიანიჭეთ, გამოუყენებელი სერვისები გათიშეთ და გადაამოწმეთ გამოვლენილი მოწყვლადობების გამოსწორებების დაყენება.
ჰოსტინგი, გავრცელება და MaaS განსხვავებული ცნებებია
მავნე საიტებისა თუ ფაილებისთვის გამოყენებული ჰოსტინგის ინფრასტრუქტურა, მსხვერპლამდე მისასვლელი მიწოდების მეთოდი და დანაშაულებრივი სერვისის მოდელი ცალკეული ცნებებია. თავდამსხმელმა შეიძლება ფაილი კომპრომეტირებულ სერვერზე განათავსოს, ბმული ფიშინგის ელფოსტით გააგზავნოს ან სხვა დამნაშავისგან ბოტნეტის წვდომა იყიდოს. მავნე პროგრამა სერვისის სახით (MaaS) მავნე პროგრამასა და მის გამოყენებაზე ფასიან წვდომას სთავაზობს; ბოტნეტის გაქირავება, ექსპლოიტის მიწოდება და წვდომის შუამავლობა უფრო ფართო დანაშაულებრივი სერვისებია. არცერთი ეს ფაქტი თავისთავად ჰოსტინგის მომწოდებელს თანამონაწილედ არ აქცევს. გამოკვლევისას დადასტურებული დომენი, ფაილი, მიწოდების შეტყობინება და დაკავშირებული ინფრასტრუქტურა ცალ-ცალკე აღრიცხეთ.
ჰოსტინგის ინფრასტრუქტურა
კომპრომეტირებულ ვებსერვერს მავნე ფაილის ან გვერდის განთავსება შეუძლია. ჰოსტინგის მომწოდებელი, სერვერის მფლობელი და თავდამსხმელი შეიძლება სხვადასხვა მხარე იყოს.
მიწოდების მეთოდი
ფიშინგის ბმულს, ელფოსტის დანართს, ყალბ ჩამოტვირთვას ან ექსპლოიტს ფაილის მოწყობილობაზე მიწოდება შეუძლია. ეს მეთოდები თავისთავად სერვისის ბიზნესმოდელს არ აღწერს.
დანაშაულებრივი სერვისის მოდელი
MaaS მავნე პროგრამასა და მის გამოყენებაზე ფასიან წვდომას სთავაზობს; ბოტნეტის გაქირავება, ექსპლოიტის მიწოდება და წვდომის შუამავლობა სხვა დანაშაულებრივი სერვისებია. ერთმა მონაწილემ ინფრასტრუქტურა შეიძლება შეინარჩუნოს, მეორემ კი ცალკე კამპანიაში გამოიყენოს.
ისტორიული შემთხვევა: TrickBot
CISA‑სა და FBI‑ის 2021 წლის 17 მარტს განახლებულმა ერთობლივმა რეკომენდაციამ TrickBot მოდულურ, მრავალეტაპიან მავნე პროგრამად აღწერა. რეკომენდაციაში დოკუმენტირებული იყო ფიშინგის შეტყობინებები, საგზაო დარღვევის სატყუარის ჩათვლით, მონაცემთა ქურდობა, SMB‑ით ლატერალური გავრცელება და შემდგომი გამოსასყიდის მომთხოვნი პროგრამების, მაგალითად Ryuk‑ისა და Conti‑ის მიწოდება.
პირველადი წვდომა
CISA/FBI‑ის რეკომენდაციამ აღწერა მიზნობრივი ფიშინგის დანართები და ბმულები, კომპრომეტირებული სერვერიდან ჩამოტვირთული JavaScript ფაილის ჩათვლით. მოულოდნელი შეტყობინებები და დანართები გახსნამდე სხვა არხით გადაამოწმეთ.
მოდულები და ქსელური აქტივობა
რეკომენდაციის მიხედვით, მოდულებს შეეძლო ინფორმაციის მოპარვა, ჰოსტების ჩამოთვლა, SMB‑ის გამოყენება ლატერალური გადაადგილებისთვის და დამატებითი მავნე პროგრამების ჩამოტვირთვა. ჟურნალები, იდენტობის მოვლენები და ქსელური კავშირები ერთად გამოიკვლიეთ.
დაცვა და რეაგირება
ინფექციის ეჭვისას ინციდენტზე რეაგირების გეგმას მიჰყევით: უსაფრთხო იზოლაცია რეაგირების პირებთან შეათანხმეთ, შეინახეთ შესაბამისი მტკიცებულებები და გამოიკვლიეთ დაზიანებული ანგარიშები და სისტემები. პატჩები, MFA, სეგმენტაცია, ელფოსტის ფილტრაცია და შემოწმებული სარეზერვო ასლები რისკის მიხედვით გამოიყენეთ.
მდგრადი ფარული წვდომა: კამპანიის მაგალითები
სახელმწიფოსთან დაკავშირებულმა კამპანიებმა შეიძლება ჯაშუშობას, მიწოდების ჯაჭვზე წვდომასა და აუცილებელი სერვისების შეფერხებისთვის მზადებას დაუმიზნოს. ეს დათარიღებული მაგალითები დამცველებს წვდომისა და მდგრადი დამკვიდრების მეთოდების შედარებაში ეხმარება. შეაფასეთ მოწყვლადობები და მომწოდებლის წვდომა, შეზღუდეთ გადაუმოწმებელი პროგრამების შესრულება და გამოიკვლიეთ პრივილეგიის ამაღლება და ქსელში სხვა სისტემებზე გადასვლა.
Volt Typhoon · 2024
2024 წლის 7 თებერვალს CISA‑მ, NSA‑მ და FBI‑მ აშშ‑ის კრიტიკულ ინფრასტრუქტურაზე Volt Typhoon‑ის მიერ წვდომის შენარჩუნების შესახებ გააფრთხილეს. კამპანიამ ხაზი გაუსვა არსებული სისტემური ხელსაწყოების გამოყენებას, ცნობილს როგორც living off the land.
APT41 · 2020
2020 წლის სექტემბერში აშშ‑ის იუსტიციის დეპარტამენტმა APT41‑ის აქტივობასთან დაკავშირებული ბრალდებები გამოაცხადა. სავარაუდო შეჭრები მოიცავდა საწყისი კოდისა და ხელმოწერის სერტიფიკატების ქურდობას და პროგრამული მომწოდებლების კომპრომეტაციას.
APT10 · 2018
FBI‑ის APT10 ჩანაწერი აღწერს 2018 წლის დეკემბრის ბრალდებებს კომპიუტერულ შეჭრაზე, ელექტრონულ თაღლითობასა და იდენტობის ქურდობაზე. თქვენი გარემოს წვდომის კონტროლსა და მონიტორინგში მესამე მხარის ანგარიშები და კავშირები ჩართეთ.
მავნე პროგრამების ოჯახები
MITRE ATT&CK ShadowPad‑ს მოდულურ ფარულ შესასვლელად, PlugX‑ს კი დისტანციური წვდომის ხელსაწყოდ აღწერს. FortiGuard‑ის 2019 წლის Zegost კვლევა ინფორმაციის ქურდობასა და კლავიშების აღრიცხვას დოკუმენტირებს. მხოლოდ ოჯახის სახელი აქტორს არ განსაზღვრავს; პროცესები, ანგარიშები, ქსელები და ფაილები ერთად გამოიკვლიეთ.