Предотвращение сложных постоянных угроз: особенности эффективного решения

Источник изображения

Согласно отчету SecureList, усовершенствованные постоянные угрозы (APT) не только увеличились в количестве, но и стали более политически мотивированный. Злоумышленники используют ряд средств для проведения кампании APT, и ее наиболее распространенной целью является кража данных, часто с целью продажи данных для финансирования политических акций.

Изменяющийся характер сложных постоянных угроз требует решений динамической защиты. Динамическая защита данных выявляет потенциальные риски для активов данных, отслеживая и контролируя активы почти в режиме реального времени. В этой статье представлен обзор продвинутых постоянных угроз и основных функций, которые следует искать в эффективном решении для защиты от APT.

Что такое APT-атака?

Расширенная постоянная угроза (APT) — это долгосрочная атака, обычно проводимая группой заинтересованных сторон. Цель состоит в том, чтобы войти в сеть и оставаться незамеченным в течение длительного периода времени. Пока злоумышленники находятся внутри сети, они обычно ведут разведывательную деятельность и внедряют вредоносный код.

Кампании APT обычно нацелены на крупные организации с целью кражи интеллектуальной собственности или личных данных. Другие действия APT-групп могут включать удаление или повреждение базы данных организации или даже захват сети.

В отличие от атак типа приложений, таких как межсайтовый скриптинг или SQL-инъекции, APT более сложны, и злоумышленник остается в сети как можно дольше для извлечения информации. Вот почему APT обычно запускаются вручную и нацелены на конкретную жертву, которая откроет дверь во всю сеть.

Реализация APT-атаки стоит недешево, ведь стоимость инструментов может достигать десятков и сотен тысяч долларов. Сложность и стоимость APT-атак вынуждают киберпреступников работать в группах с финансовая поддержка.

Как работает APT-атака?

Квалифицированная команда злоумышленников может использовать несколько векторов атак, таких как вложения электронной почты, вирусы или мгновенные сообщения. Чтобы получить доступ к сети, злоумышленники компрометируют точки входа, вторгаясь и скрываясь от обнаружения в течение нескольких месяцев.

Из-за сложности APT-атаки, необходимо понимать, как работают атаки. В противном случае вы останетесь в неведении относительно того, как защитить свою сеть. Ниже вы найдете обзор основных этапов APT-атаки.

Шаг 1: Инфильтрация
Обычно злоумышленники получают доступ к организации, скомпрометировав ее веб-активы, сеть или учетные данные для авторизации. Это может быть достигнуто с помощью различных средств, таких как вредоносные загрузки или целевой фишинг. Часто атаки включают в себя одновременную атаку типа «отказ в обслуживании» (DOS), перегружающую систему фальшивыми запросами до тех пор, пока она не сможет обрабатывать законные. Как только им удается проникнуть в систему, злоумышленники устанавливают бэкдор, тип вредоносного ПО, которое держит дверь открытой, что позволяет им выполнять больше вредоносных операций внутри сети.

Шаг 2: Расширение
Злоумышленник ищет дополнительные уязвимости в сети, устанавливая новые точки входа, чтобы обеспечить непрерывность атаки.

Шаг 3: Извлечение
Получив надежную сеть доступа, злоумышленники начинают собирать целевые данные, обычно конфиденциальные данные, такие как пароли и финансовая информация.

Шаг 4: Сбор
Украденные данные собираются на временном сервере, а затем экспортируются из сети. Злоумышленники часто используют тактику белого шума — методы отвлечения внимания — чтобы отвлечь команду безопасности при перемещении информации. Например, DOS-атака.

Шаг 5: Очистите дорожки
Злоумышленники часто удаляют любые следы APT-кампании, стирая все следы, которые могут привести к злоумышленникам. Это не означает, что у них больше не будет доступа к сети. Большую часть времени злоумышленники оставляют за собой бэкдор, поэтому они могут вернуться, чтобы извлечь больше данных.

Источник изображения

5 советов по эффективному решению для защиты от APT-атак

При создании решения для защиты от APT необходимо учитывать ряд соображений. Приведенные ниже критерии предлагают ключевые стандарты, которым должны соответствовать любые эффективные решения для защиты от APT.

1.Защита должна быть динамичной
Расширенные угрозы требуют динамического анализа в режиме реального времени. Вместо того, чтобы полагаться на сигнатуры, нам нужно уметь распознавать неизвестные угрозы, чтобы мы могли останавливать целевые атаки нулевого дня.

2. Возможность блокировки в реальном времени
Наряду с анализом в реальном времени важно обеспечить возможность блокировать попытки в режиме реального времени, останавливая получение данных.

3.Фильтрация входящей и исходящей связи
Интеграция фильтров в несколько протоколов позволяет охватить все векторы атак. Защита входящего и исходящего трафика обеспечивает защиту от сложных угроз, помимо анализа пакетов или сопоставления сигнатур.

4. Приоритизируйте оповещения
Хотя механизм безопасности в режиме реального времени обнаруживает большинство угроз, он также увеличивает вероятность ложных предупреждений. Эффективное решение отдает приоритет оповещениям, уменьшая количество ложных срабатываний и предотвращая усталость от оповещений.

5. Применяйте теорию игр
Применение теории игр В последние годы стало популярным разрабатывать стратегии защиты от продвинутых постоянных угроз. Модель теории игр позволяет специалистам по безопасности создавать защитные уровни и углубленные стратегии, позволяющие системам адаптироваться.

Теория игр моделирует взаимодействие между злоумышленником и системой как игру с нулевой суммой. Это означает, что выигрыш злоумышленника — это проигрыш системы, и наоборот. Злоумышленник может продвигаться вперед или оставаться на каждом этапе, в то время как система стремится обнаружить и заблокировать его продвижение. Теория игр позволяет понять, как может происходить реальное взаимодействие злоумышленника с системой.

Рекомендации по безопасности APT

Учитывая обширную поверхность атаки и количество задействованных векторов, защита от APT должна быть динамичной. Команды безопасности и разработчики должны использовать динамический подход. Некоторые из передовых методов обеспечения безопасности APT включают в себя:

• Постоянный мониторинг— мониторинг входящего и исходящего трафика — одна из ключевых мер по предотвращению установки бэкдоров. Некоторые решения для мониторинга включают установку брандмауэра веб-приложений (WAF) для фильтрации трафика и отражения атак на уровне приложений. Кроме того, вы можете применить сетевой брандмауэр для отправки предупреждений при возникновении APT-атаки.
• Белый список— контроль за тем, кто может получить доступ к сети, уменьшает поверхность атаки. Этой меры недостаточно. Один из методов, который используют злоумышленники, — выдача себя за законные источники. Вот почему вам нужны белые списки.
• Контроль доступа— целевой фишинг — популярная точка входа для проникновения APT. Как пользователи системы, не являющиеся техническими специалистами, сотрудники, как правило, являются наиболее уязвимым местом в периметре. Атакующие APT нацелены на неосторожных пользователей, злонамеренных инсайдеров или скомпрометированных пользователей. Реализация принципа наименьших привилегий, а также меры контроля доступа могут помочь свести к минимуму потенциальное воздействие. Например, точки доступа должны включать двухфакторную аутентификацию.
• Дополнительные практики— другие передовые методы обеспечения безопасности сети включают фильтрацию входящих сообщений электронной почты для предотвращения фишинговых атак и шифрование удаленных подключений, чтобы предотвратить проникновение злоумышленников в сеть.

Заворачивать

Традиционные меры безопасности, такие как антивирусы и брандмауэры, неэффективны против диверсифицированной природы APT-атак. Растет потребность в динамичных и комплексных решениях для защиты. Особенно программное обеспечение, которое может перехватывать атаки по сети. Надеемся, что эта статья послужила вам быстрой отправной точкой для обеспечения безопасности APT.