logo
Хроники кибер-безопасника  Ничто так не говорит о безопасности, как сотни ИБ-продуктов и биометрический сканер
О проекте Просмотр Уровни подписки Фильтры Обновления проекта Контакты Поделиться Метки
Все проекты
О проекте
Профессиональный блог на различные ИТ и ИБ-темы. Минимум хайпа и максимум вдумчивого анализа и разбора различных материалов.

📌Не знаете какой уровень вам подходит, прочтите пост https://sponsr.ru/chronicles_security/55295/Platnye_urovni/

Все площадки
➡️Тексты и прочие форматы: TG, Boosty, Sponsr, Teletype.in, VK, Dzen
➡️Аудио: Mave, здесь можно найти ссылки на доступные подкаст площадки, например, Яндекс, Youtube Подкасты, ВК подкасты или Apple с Amazon
➡️Видео: Youtube, Rutube, Dzen, VK

основные категории материалов — используйте теги:

Q& A — лично или chronicles_qa@mail.ru
Публикации, доступные бесплатно
Уровни подписки
Единоразовый платёж

Каждый донат способствует прогрессу в области ИБ, позволяя предоставлять самые актуальные исследования и профессиональные рекомендации. Поддержите ценность контента

* не предоставляет доступ к закрытому контенту и не возращается

Помочь проекту
Праздничный промо 750₽ месяц
Доступны сообщения

Подписка "Постоянный читатель" за полцены!

В течение ограниченного времени мы предлагаем подписку по выгодной цене - со скидкой 50%! Будьте в курсе последних тенденций кибербезопасности благодаря нашим материалам

Предложение действительно до конца этого месяца.

Оформить подписку
Постоянный читатель 1 500₽ месяц 16 200₽ год
(-10%)
При подписке на год для вас действует 10% скидка. 10% основная скидка и 0% доп. скидка за ваш уровень на проекте Хроники кибер-безопасника
Доступны сообщения

Идеально подходит для постоянных читателей, которые заинтересованы быть в курсе последних тенденций в мире кибербезопасности

Оформить подписку
Профессионал 3 000₽ месяц 30 600₽ год
(-15%)
При подписке на год для вас действует 15% скидка. 15% основная скидка и 0% доп. скидка за ваш уровень на проекте Хроники кибер-безопасника
Доступны сообщения

Предназначено для ИТ-специалистов, экспертов, и энтузиастов, которые готовы погрузится в сложный мир ИБ + Q&A

Оформить подписку
Фильтры
Обновления проекта
Поделиться
Метки
хроникикибербезопасника 143 хроникикибербезопасникаpdf 50 новости 47 заметки 38 АНБ 27 разбор 26 fbi 25 nsa 25 фбр 25 adapt tactics 11 LOTL 11 уязвимость 11 кибер атаки 10 lolbin 9 lolbins 9 EdgeRouters 8 ubiquiti 8 дайджест 8 исследование 8 модель зрелости 8 IoT 7 кибер безопасность 7 soho 6 вредоносный код 6 Ransomware 5 криминалистика 5 фишинг 5 authToken 4 BYOD 4 MDM 4 OAuth 4 медицина 4 распаковка 4 IoMT 3 malware 3 аутентификация 3 Интернет вещей 3 потребление энергии 3 AnonSudan 2 console architecture 2 cve 2 Google 2 Living Off the Land 2 MITM 2 mqtt 2 Velociraptor 2 vmware 2 windows 2 антивирус 2 архитектура консолей 2 видео 2 Винтаж 2 ИИ 2 инцидент 2 инциденты 2 ключи доступа 2 машинное обучение 2 переполнение буфера 2 Реагирование на инциденты 2 ретро 2 1981 1 8bit 1 ADCS 1 ai 1 airwatch 1 AlphV 1 AMSI 1 android 1 Android-устройства 1 Android15 1 AntiPhishStack 1 Apple 1 Atlassian 1 AttackGen 1 av 1 BatBadBut 1 BianLian 1 bite 1 bitlocker 1 bitlocker bypass 1 Black Lotus Labs 1 blackberry 1 blizzard 1 BucketLoot 1 Buffer Overflow 1 BYOVD 1 checkpoint 1 chisel 1 cpu 1 CVE-2023-22518 1 CVE-2023-35080 1 CVE-2023-38043 1 CVE-2023-38543 1 CVE-2024-0204 1 CVE-2024-21111 1 CVE-2024-21345 1 cve-2024-21447 1 CVE-2024-24919 1 CVE-2024-26218 1 cve-2024-27129 1 cve-2024-27130 1 cve-2024-27131 1 cve-2024-3400 1 cvss 1 Cyber Toufan Al-Aqsa 1 D-Link 1 dark pink apt 1 dcrat 1 DevSecOps 1 Dex 1 DOS 1 EDR 1 EntraID 1 ESC8 1 Event ID 4663 1 Event ID 4688 1 Event ID 5145 1 Evilginx 1 EvilLsassTwin 1 FBI IC3 1 FIDO2 1 filewave 1 Firebase 1 fortra goanywhere mft 1 fuxnet 1 game console 1 GeminiNanoAI 1 genzo 1 go 1 GoogleIO2024 1 GooglePlayProtect 1 GoPhish 1 gpu 1 ICS 1 ICSpector 1 IDA 1 jazzer 1 jvm 1 KASLR 1 KillNet 1 LeftOverLocals 1 Leviathan 1 LG SmartTV 1 lockbit 1 LSASS 1 m-trends 1 Mallox 1 MalPurifier 1 mandiant 1 MediHunt 1 Meta Pixel 1 mobileiron 1 nes 1 nexus 1 Nim 1 Nimfilt 1 NtQueryInformationThread 1 OFGB 1 panos 1 PingFederate 1 PlayIntegrityAPI 1 PlayStation 1 playstation 2 1 playstation 3 1 plc 1 ps2 1 ps3 1 PulseVPN 1 qcsuper 1 qemu 1 Raytracing 1 rodrigo copetti 1 rust 1 Sagemcom 1 sandworm 1 SharpADWS 1 SIEM 1 Siemens 1 skimming 1 Smart Devices 1 snes 1 SSO 1 TA427 1 TA547 1 TDDP 1 Telegram 1 telerik 1 TeleTracker 1 TEMP.Periscope 1 Terminator 1 threat intelligence 1 threat intelligence analysis 1 tp-link 1 UserManagerEoP 1 virtualbox 1 VPN 1 webos 1 What2Log 1 Windows 11 1 Windstream 1 WSUS 1 wt-2024-0004 1 wt-2024-0005 1 wt-2024-0006 1 xbox 1 xbox 360 1 xbox original 1 xss 1 Yubico 1 Z80A 1 ZXSpectrum 1 Анализ мобильных сетей 1 анализ поведения 1 анализ угроз 1 анонс 1 антифишинг 1 безопасность 1 Безопасность телекоммуникаций 1 биокибербезопасность 1 биометрия 1 ботнет 1 ВВС США 1 веб аутентификация 1 великобритания 1 ВМС 1 Геймификация 1 Демосцена 1 дизассемблер 1 женщины 1 игровые консоли 1 имитация угроз 1 Исследование сетей 5G 1 категории контента 1 кибер операции 1 китай 1 контент 1 кража данных 1 Лом 1 модели угроз 1 модификация реестра 1 нко 1 обучение сотрудников 1 осведомленность о безопасности 1 перехват радиокадров 1 Платные уровни 1 Подкаст 1 Протокол Qualcomm Diag 1 прошивка 1 риск 1 роутер 1 роутеры 1 сетевой анализ 1 скам 1 софт 1 удаление рекламы 1 управление рисками 1 устойчивость к фишингу 1 утечка 1 утилиты 1 учётные данные 1 Уявзимость 1 фаззер 1 фрод 1 ЦРУ 1 шеллкод 1 Больше тегов
Читать: 3+ мин
logo Хроники кибер-безопасника

Преимущества и недостатки Рекомендаций NSA

Документ ‎под‏ ‎названием ‎«cyber ‎actors ‎adapt ‎tactics‏ ‎for ‎initial‏ ‎cloud‏ ‎access», ‎опубликованный ‎Агентством‏ ‎национальной ‎безопасности‏ ‎(АНБ) ‎предупреждает, ‎об ‎адаптации‏ ‎тактики‏ ‎для ‎получения‏ ‎первоначального ‎доступа‏ ‎к ‎облачным ‎сервисам, ‎а ‎не‏ ‎для‏ ‎использования ‎уязвимостей‏ ‎локальной ‎сети.

Документ‏ ‎содержит ‎ценную ‎информацию ‎и ‎рекомендации‏ ‎для‏ ‎организаций‏ ‎по ‎защите‏ ‎от ‎кибер-профессионалов,‏ ‎нацеленных ‎на‏ ‎облачные‏ ‎сервисы. ‎Однако‏ ‎динамичный ‎характер ‎киберугроз ‎и ‎сложность‏ ‎облачных ‎сред‏ ‎означают,‏ ‎что ‎организации ‎должны‏ ‎постоянно ‎обновлять‏ ‎свои ‎методы ‎обеспечения ‎безопасности,‏ ‎а‏ ‎не ‎полагаться‏ ‎исключительно ‎на‏ ‎статические ‎рекомендации.

Преимущества:

📌 Осведомлённость: документ ‎повышает ‎осведомлённость ‎об‏ ‎изменении‏ ‎тактики ‎в‏ ‎сторону ‎облачных‏ ‎сервисов, ‎что ‎имеет ‎решающее ‎значение‏ ‎для‏ ‎понимания‏ ‎организациями ‎текущего‏ ‎ландшафта ‎угроз.

📌 Подробные‏ ‎TTP: он ‎предоставляет‏ ‎подробную‏ ‎информацию ‎о‏ ‎тактиках, ‎методах ‎и ‎процедурах ‎(TTP),‏ ‎используемых ‎участниками,‏ ‎включая‏ ‎использование ‎сервисных ‎и‏ ‎неактивных ‎учётных‏ ‎записей, ‎что ‎может ‎помочь‏ ‎организациям‏ ‎выявить ‎потенциальные‏ ‎угрозы ‎и‏ ‎уязвимости.

📌 Секторальная ‎информация: ‎описывается ‎расширение ‎охват‏ ‎таких‏ ‎секторов, ‎как‏ ‎авиация, ‎образование,‏ ‎правоохранительные ‎органы ‎и ‎военные ‎организации,‏ ‎предлагая‏ ‎отраслевую‏ ‎информацию, ‎которая‏ ‎может ‎помочь‏ ‎этим ‎отраслям‏ ‎укрепить‏ ‎свою ‎обороноспособность.

📌Стратегии‏ ‎смягчения ‎последствий: ‎предлагает ‎практические ‎стратегии‏ ‎смягчения ‎последствий,‏ ‎которые‏ ‎организации ‎могут ‎реализовать‏ ‎для ‎усиления‏ ‎своей ‎защиты ‎от ‎первоначального‏ ‎доступа‏ ‎со ‎стороны‏ ‎субъектов, ‎таких‏ ‎как ‎внедрение ‎MFA ‎и ‎управление‏ ‎системными‏ ‎учётными ‎записями.

Недостатки:

📌 Ресурсоёмкость:‏ ‎реализация ‎рекомендуемых‏ ‎мер ‎по ‎снижению ‎рисков ‎может‏ ‎потребовать‏ ‎значительных‏ ‎ресурсов, ‎что‏ ‎может ‎оказаться‏ ‎затруднительным ‎для‏ ‎небольших‏ ‎организаций ‎с‏ ‎ограниченными ‎бюджетами ‎и ‎персоналом ‎в‏ ‎области ‎кибербезопасности.

📌Сложность‏ ‎облачной‏ ‎безопасности: ‎в ‎документе‏ ‎указываются ‎проблемы,‏ ‎присущие ‎обеспечению ‎безопасности ‎облачной‏ ‎инфраструктуры,‏ ‎которые ‎могут‏ ‎потребовать ‎специальных‏ ‎знаний ‎и ‎навыков, ‎которыми ‎обладают‏ ‎не‏ ‎все ‎организации.

📌Развивающаяся‏ ‎тактика: ‎хотя‏ ‎в ‎документе ‎представлены ‎текущие ‎ТТП,‏ ‎тактика‏ ‎участников‏ ‎постоянно ‎развивается,‏ ‎а ‎это‏ ‎означает, ‎что‏ ‎защита,‏ ‎основанная ‎исключительно‏ ‎на ‎этих ‎рекомендациях, ‎может ‎быстро‏ ‎устареть.

📌Потенциал ‎чрезмерного‏ ‎акцента‏ ‎на ‎конкретных ‎угрозах:‏ ‎слишком ‎большое‏ ‎внимание ‎к ‎таким ‎субъектам‏ ‎может‏ ‎привести ‎к‏ ‎тому, ‎что‏ ‎организации ‎пренебрегут ‎другими ‎векторами ‎угроз,‏ ‎которые‏ ‎столь ‎же‏ ‎опасны, ‎но‏ ‎не ‎описаны ‎в ‎документе.

📌Модель ‎общей‏ ‎ответственности:‏ ‎документ‏ ‎подразумевает ‎модель‏ ‎общей ‎ответственности‏ ‎за ‎облачную‏ ‎безопасность,‏ ‎что ‎может‏ ‎привести ‎к ‎путанице ‎в ‎разделении‏ ‎обязанностей ‎по‏ ‎обеспечению‏ ‎безопасности ‎между ‎поставщиками‏ ‎облачных ‎услуг‏ ‎и ‎клиентами.

📌Ложное ‎чувство ‎безопасности: у‏ ‎организаций‏ ‎может ‎возникнуть‏ ‎ложное ‎чувство‏ ‎безопасности, ‎полагаясь ‎на ‎предложенные ‎меры‏ ‎по‏ ‎смягчению ‎последствий,‏ ‎не ‎принимая‏ ‎во ‎внимание ‎необходимость ‎динамической ‎и‏ ‎адаптивной‏ ‎системы‏ ‎безопасности ‎для‏ ‎реагирования ‎на‏ ‎новые ‎угрозы.

Читать: 4+ мин
logo Хроники кибер-безопасника

Меры по укреплению защиты. Основы никогда не выглядели так хорошо

📌Внедрение ‎многофакторную‏ ‎аутентификацию ‎(MFA). ‎MFA ‎— ‎это‏ ‎один ‎из‏ ‎наиболее‏ ‎эффективных ‎способов ‎защиты‏ ‎учётных ‎записей‏ ‎пользователей ‎от ‎компрометации. ‎Требуя‏ ‎несколько‏ ‎форм ‎проверки,‏ ‎MFA ‎значительно‏ ‎затрудняет ‎злоумышленникам ‎получение ‎несанкционированного ‎доступа,‏ ‎даже‏ ‎если ‎они‏ ‎получили ‎учётные‏ ‎данные ‎пользователя.

📌Регулярная ‎установка ‎исправлений ‎и‏ ‎обновлений. Поддержание‏ ‎актуальности‏ ‎программного ‎обеспечения‏ ‎и ‎систем‏ ‎с ‎использованием‏ ‎последних‏ ‎исправлений ‎имеет‏ ‎решающее ‎значение ‎для ‎устранения ‎брешей‏ ‎в ‎безопасности,‏ ‎которыми‏ ‎могут ‎воспользоваться ‎злоумышленники.‏ ‎Должен ‎быть‏ ‎установлен ‎регулярный ‎процесс ‎управления‏ ‎исправлениями,‏ ‎чтобы ‎обеспечить‏ ‎своевременное ‎применение‏ ‎обновлений.

📌Сегментация ‎сети. ‎Разделение ‎сети ‎на‏ ‎более‏ ‎мелкие ‎контролируемые‏ ‎сегменты ‎ограничивает‏ ‎возможность ‎злоумышленника ‎перемещаться ‎внутри ‎сети‏ ‎и‏ ‎получать‏ ‎доступ ‎к‏ ‎конфиденциальным ‎областям.‏ ‎Сегментация ‎также‏ ‎помогает‏ ‎сдерживать ‎потенциальные‏ ‎нарушения ‎в ‎меньшем ‎подмножестве ‎сети.

📌Защита‏ ‎конечных ‎точек.‏ ‎Развёртывание‏ ‎расширенных ‎решений ‎для‏ ‎защиты ‎конечных‏ ‎точек ‎может ‎помочь ‎обнаружить‏ ‎и‏ ‎предотвратить ‎вредоносные‏ ‎действия ‎на‏ ‎устройствах, ‎имеющих ‎доступ ‎к ‎сети‏ ‎организации.‏ ‎Это ‎включает‏ ‎в ‎себя‏ ‎использование ‎антивирусного ‎программного ‎обеспечения, ‎систем‏ ‎предотвращения‏ ‎вторжений‏ ‎на ‎базе‏ ‎хоста ‎и‏ ‎инструментов ‎обнаружения‏ ‎и‏ ‎реагирования ‎на‏ ‎конечных ‎точках ‎(EDR).

📌Обучение ‎по ‎вопросам‏ ‎безопасности. ‎Обучение‏ ‎сотрудников‏ ‎рискам ‎и ‎передовым‏ ‎методам ‎кибербезопасности‏ ‎имеет ‎важное ‎значение ‎для‏ ‎предотвращения‏ ‎атак ‎социальной‏ ‎инженерии, ‎таких‏ ‎как ‎фишинг. ‎Регулярное ‎обучение ‎может‏ ‎помочь‏ ‎создать ‎культуру‏ ‎осведомлённости ‎о‏ ‎безопасности ‎внутри ‎организации.

📌Контроль ‎доступа ‎с‏ ‎наименьшими‏ ‎привилегиями. Обеспечение‏ ‎пользователей ‎только‏ ‎правами ‎доступа,‏ ‎необходимыми ‎для‏ ‎их‏ ‎роли, ‎помогает‏ ‎минимизировать ‎потенциальное ‎воздействие ‎компрометации ‎учётной‏ ‎записи. ‎Средства‏ ‎контроля‏ ‎доступа ‎должны ‎регулярно‏ ‎пересматриваться ‎и‏ ‎корректироваться ‎по ‎мере ‎необходимости.

📌Планирование‏ ‎реагирования‏ ‎на ‎инциденты.‏ ‎Наличие ‎чётко‏ ‎определённого ‎и ‎проверенного ‎плана ‎реагирования‏ ‎на‏ ‎инциденты ‎позволяет‏ ‎организациям ‎быстро‏ ‎и ‎эффективно ‎реагировать ‎на ‎инциденты‏ ‎безопасности,‏ ‎сводя‏ ‎к ‎минимуму‏ ‎ущерб ‎и‏ ‎восстанавливая ‎операции‏ ‎как‏ ‎можно ‎скорее.

📌Непрерывный‏ ‎мониторинг ‎и ‎обнаружение. ‎Реализация ‎возможностей‏ ‎непрерывного ‎мониторинга‏ ‎и‏ ‎обнаружения ‎может ‎помочь‏ ‎выявить ‎подозрительные‏ ‎действия ‎на ‎раннем ‎этапе.‏ ‎Сюда‏ ‎входит ‎использование‏ ‎систем ‎управления‏ ‎информацией ‎о ‎безопасности ‎и ‎событиями‏ ‎(SIEM),‏ ‎систем ‎обнаружения‏ ‎вторжений ‎(IDS)‏ ‎и ‎анализа ‎сетевого ‎трафика.

📌Безопасная ‎конфигурация‏ ‎и‏ ‎усиление‏ ‎защиты. Системы ‎должны‏ ‎быть ‎надёжно‏ ‎настроены ‎и‏ ‎защищены‏ ‎от ‎атак.‏ ‎Это ‎включает ‎в ‎себя ‎отключение‏ ‎ненужных ‎служб,‏ ‎применение‏ ‎параметров ‎безопасной ‎конфигурации‏ ‎и ‎обеспечение‏ ‎включения ‎функций ‎безопасности.

📌Резервное ‎копирование‏ ‎и‏ ‎восстановление. Регулярное ‎резервное‏ ‎копирование ‎критически‏ ‎важных ‎данных ‎и ‎систем, ‎а‏ ‎также‏ ‎надёжные ‎процедуры‏ ‎восстановления ‎необходимы‏ ‎для ‎устойчивости ‎к ‎программам-вымогателям ‎и‏ ‎другим‏ ‎разрушительным‏ ‎атакам. ‎Резервные‏ ‎копии ‎следует‏ ‎регулярно ‎проверять,‏ ‎чтобы‏ ‎гарантировать, ‎что‏ ‎на ‎них ‎можно ‎положиться ‎в‏ ‎чрезвычайной ‎ситуации.

Проблемы‏ ‎в‏ ‎реализации ‎мер ‎по‏ ‎смягчению ‎последствий

Хотя‏ ‎эти ‎меры ‎по ‎смягчению‏ ‎последствий‏ ‎теоретически ‎эффективны,‏ ‎организации ‎часто‏ ‎сталкиваются ‎с ‎проблемами ‎при ‎их‏ ‎реализации.‏ ‎Эти ‎проблемы‏ ‎могут ‎включать‏ ‎ограниченность ‎ресурсов, ‎сложность ‎ИТ-среды, ‎потребность‏ ‎в‏ ‎специализированных‏ ‎навыках ‎и‏ ‎сложность ‎балансировки‏ ‎безопасности ‎с‏ ‎бизнес-требованиями.‏ ‎Кроме ‎того,‏ ‎быстро ‎меняющаяся ‎природа ‎киберугроз ‎означает,‏ ‎что ‎стратегии‏ ‎смягчения‏ ‎их ‎последствий ‎должны‏ ‎постоянно ‎пересматриваться‏ ‎и ‎обновляться.

Совместные ‎усилия ‎и‏ ‎обмен‏ ‎информацией

Чтобы ‎преодолеть‏ ‎эти ‎проблемы‏ ‎и ‎повысить ‎эффективность ‎мер ‎по‏ ‎смягчению‏ ‎последствий, ‎организации‏ ‎могут ‎участвовать‏ ‎в ‎совместных ‎усилиях ‎и ‎обмене‏ ‎информацией‏ ‎с‏ ‎отраслевыми ‎партнёрами,‏ ‎государственными ‎учреждениями‏ ‎и ‎сообществами‏ ‎кибербезопасности.‏ ‎Такое ‎сотрудничество‏ ‎обеспечивает ‎доступ ‎к ‎общим ‎знаниям,‏ ‎информации ‎об‏ ‎угрозах‏ ‎и ‎передовым ‎практикам,‏ ‎которые ‎могут‏ ‎информировать ‎и ‎улучшать ‎усилия‏ ‎организации‏ ‎по ‎смягчению‏ ‎последствий.

Читать: 6+ мин
logo Хроники кибер-безопасника

Изощрённость атак в глаза авторов рекомендаций

Отмечался ‎высокий‏ ‎уровень ‎сложности ‎атак, ‎что ‎отражает‏ ‎глубокое ‎понимание‏ ‎киберландшафта‏ ‎и ‎способность ‎адаптироваться‏ ‎в ‎условиях‏ ‎меняющихся ‎мер ‎безопасности. ‎Эта‏ ‎изощрённость‏ ‎очевидна ‎не‏ ‎только ‎в‏ ‎технических ‎возможностях, ‎но ‎и ‎в‏ ‎их‏ ‎стратегическом ‎подходе‏ ‎к ‎кибершпионажу,‏ ‎который ‎включает ‎в ‎себя ‎тщательный‏ ‎выбор‏ ‎целей,‏ ‎планирование ‎и‏ ‎использование ‎передовых‏ ‎тактик, ‎методов‏ ‎и‏ ‎процедур ‎(TTP).

Техническое‏ ‎мастерство ‎и ‎инновации

Кибероперации ‎характеризуются ‎использованием‏ ‎специального ‎вредоносного‏ ‎ПО‏ ‎и ‎уязвимостей ‎нулевого‏ ‎дня. ‎Эксплуатация‏ ‎этих ‎уязвимостей ‎позволяет ‎эффективно‏ ‎проникать,‏ ‎например ‎chain-атака‏ ‎SolarWinds, ‎в‏ ‎результате ‎которой ‎был ‎нарушен ‎процесс‏ ‎разработки‏ ‎ПО ‎путём‏ ‎внедрения ‎вредоноснго‏ ‎кода ‎в ‎обновление ‎ПО, ‎что‏ ‎затронуло‏ ‎клиентов,‏ ‎включая ‎правительственные‏ ‎учреждения ‎и‏ ‎компании ‎из‏ ‎списка‏ ‎Fortune ‎500.

OpSec‏ ‎и ‎скрытность

OpSec ‎является ‎отличительной ‎чертой‏ ‎операций, ‎и‏ ‎атакующие‏ ‎делают ‎все ‎возможное,‏ ‎чтобы ‎замести‏ ‎следы ‎и ‎сохранить ‎скрытность‏ ‎в‏ ‎скомпрометированных ‎сетях.‏ ‎Это ‎включает‏ ‎в ‎себя ‎использование ‎зашифрованных ‎каналов‏ ‎для‏ ‎кражи ‎данных,‏ ‎тщательное ‎управление‏ ‎серверами ‎управления ‎и ‎контроля ‎во‏ ‎избежание‏ ‎обнаружения,‏ ‎а ‎также‏ ‎использование ‎легитимных‏ ‎инструментов ‎и‏ ‎услуг‏ ‎(LOTL), ‎чтобы‏ ‎гармонировать ‎с ‎обычной ‎сетевой ‎деятельностью.‏ ‎Способность ‎вести‏ ‎себя‏ ‎сдержанно ‎в ‎целевых‏ ‎сетях ‎часто‏ ‎позволяет ‎им ‎проводить ‎долгосрочные‏ ‎шпионские‏ ‎операции ‎без‏ ‎обнаружения.

Тактика ‎психологической‏ ‎и ‎социальной ‎инженерии

Помимо ‎технических ‎возможностей,‏ ‎он‏ ‎продемонстрировал ‎искусность‏ ‎в ‎тактике‏ ‎психологической ‎и ‎социальной ‎инженерии. ‎Эти‏ ‎методы‏ ‎предназначены‏ ‎для ‎манипулирования‏ ‎людьми ‎с‏ ‎целью ‎разглашения‏ ‎конфиденциальной‏ ‎информации ‎или‏ ‎выполнения ‎действий, ‎ставящих ‎под ‎угрозу‏ ‎безопасность. ‎Фишинговые‏ ‎кампании,‏ ‎целевой ‎фишинг ‎и‏ ‎другие ‎формы‏ ‎социнженерии ‎часто ‎используются ‎для‏ ‎получения‏ ‎первоначального ‎доступа‏ ‎к ‎целевым‏ ‎сетям ‎или ‎для ‎повышения ‎привилегий‏ ‎внутри‏ ‎них.

Выбор ‎цели‏ ‎и ‎сбор‏ ‎разведданных

Процесс ‎выбора ‎цели ‎носит ‎стратегический‏ ‎характер‏ ‎и‏ ‎соответствует ‎национальным‏ ‎интересам ‎России.‏ ‎Цели ‎тщательно‏ ‎выбираются‏ ‎на ‎основе‏ ‎их ‎потенциала ‎предоставления ‎ценной ‎разведывательной‏ ‎информации, ‎будь‏ ‎то‏ ‎политическая, ‎экономическая, ‎технологическая‏ ‎или ‎военная.‏ ‎Как ‎только ‎цель ‎скомпрометирована,‏ ‎участники‏ ‎сосредотачиваются ‎на‏ ‎долгосрочном ‎доступе‏ ‎и ‎сборе ‎разведданных, ‎отдавая ‎предпочтение‏ ‎скрытности‏ ‎и ‎закреплению‏ ‎вместо ‎немедленной‏ ‎выгоды.

Адаптируемость ‎к ‎ландшафту ‎кибербезопасности

Одним ‎из‏ ‎наиболее‏ ‎определяющих‏ ‎аспектов ‎является‏ ‎его ‎адаптивность.‏ ‎Переход ‎в‏ ‎сторону‏ ‎облачных ‎сервисов‏ ‎и ‎использования ‎сервисных ‎и ‎неактивных‏ ‎учётных ‎записей‏ ‎является‏ ‎свидетельством ‎такой ‎адаптивности.

Базовые‏ ‎механизмы ‎защиты

Контроль‏ ‎доступа: ‎обеспечение ‎того, ‎чтобы‏ ‎только‏ ‎авторизованные ‎пользователи‏ ‎имели ‎доступ‏ ‎к ‎информационным ‎системам ‎и ‎данными‏ ‎чтобы‏ ‎они ‎могли‏ ‎выполнять ‎только‏ ‎те ‎действия, ‎которые ‎необходимы ‎для‏ ‎их‏ ‎роли.

📌Шифрование‏ ‎данных: ‎защита‏ ‎данных ‎при‏ ‎хранении ‎и‏ ‎передаче‏ ‎посредством ‎шифрования,‏ ‎что ‎делает ‎их ‎нечитаемыми ‎для‏ ‎неавторизованных ‎пользователей.

📌Управление‏ ‎исправлениями:‏ ‎регулярное ‎обновление ‎программного‏ ‎обеспечения ‎и‏ ‎систем ‎для ‎устранения ‎уязвимостей‏ ‎и‏ ‎снижения ‎риска‏ ‎эксплуатации.

📌Брандмауэры ‎и‏ ‎системы ‎обнаружения ‎вторжений ‎(IDS): ‎внедрение‏ ‎брандмауэров‏ ‎для ‎блокировки‏ ‎несанкционированного ‎доступа‏ ‎и ‎IDS ‎для ‎мониторинга ‎сетевого‏ ‎трафика‏ ‎на‏ ‎предмет ‎подозрительной‏ ‎активности.

📌Многофакторная ‎аутентификация‏ ‎(MFA): ‎требование‏ ‎от‏ ‎пользователей ‎предоставления‏ ‎двух ‎или ‎более ‎факторов ‎проверки‏ ‎для ‎получения‏ ‎доступа‏ ‎к ‎системам, ‎что‏ ‎значительно ‎повышает‏ ‎безопасность.

📌Обучение ‎по ‎вопросам ‎безопасности:‏ ‎обучение‏ ‎сотрудников ‎рискам‏ ‎кибербезопасности ‎и‏ ‎передовым ‎методам ‎предотвращения ‎атак ‎социальной‏ ‎инженерии‏ ‎и ‎других‏ ‎угроз.

📌Планирование ‎реагирования‏ ‎на ‎инциденты: ‎подготовка ‎к ‎потенциальным‏ ‎инцидентам‏ ‎безопасности‏ ‎с ‎помощью‏ ‎чётко ‎определённого‏ ‎плана ‎реагирования‏ ‎и‏ ‎восстановления.

Роль ‎механизмов‏ ‎в ‎защите ‎от ‎сложных ‎угроз

Многие‏ ‎из ‎кибер-стратегий‏ ‎по-прежнему‏ ‎используют ‎основные ‎недостатки‏ ‎безопасности, ‎такие‏ ‎как ‎плохое ‎управление ‎паролями,‏ ‎необновленное‏ ‎ПО ‎и‏ ‎недостаточный ‎контроль‏ ‎доступа. ‎Придерживаясь ‎базовых ‎механизмов ‎безопасности,‏ ‎организации‏ ‎могут ‎устранить‏ ‎эти ‎уязвимости,‏ ‎значительно ‎усложняя ‎злоумышленникам ‎первоначальный ‎доступ‏ ‎или‏ ‎распространение‏ ‎внутри ‎сети.

Например,‏ ‎реализация ‎MFA‏ ‎может ‎предотвратить‏ ‎несанкционированный‏ ‎доступ, ‎даже‏ ‎если ‎учётные ‎данные ‎скомпрометированы. ‎Регулярное‏ ‎управление ‎исправлениями‏ ‎может‏ ‎закрыть ‎уязвимости ‎до‏ ‎того, ‎как‏ ‎они ‎смогут ‎быть ‎использованы‏ ‎в‏ ‎ходе ‎атаки‏ ‎нулевого ‎дня.‏ ‎Обучение ‎по ‎вопросам ‎безопасности ‎может‏ ‎снизить‏ ‎риск ‎того,‏ ‎что ‎сотрудники‏ ‎станут ‎жертвами ‎фишинга ‎или ‎других‏ ‎тактик‏ ‎социальной‏ ‎инженерии.

Проблемы ‎в‏ ‎поддержании ‎механизмов‏ ‎безопасности

Несмотря ‎на‏ ‎очевидные‏ ‎преимущества, ‎поддержание‏ ‎«прочного ‎фундамента ‎безопасности» ‎может ‎оказаться‏ ‎непростой ‎задачей‏ ‎для‏ ‎организаций. ‎Это ‎связано‏ ‎с ‎множеством‏ ‎факторов, ‎включая ‎ограниченность ‎ресурсов,‏ ‎сложность‏ ‎современной ‎ИТ-среды‏ ‎и ‎быстрые‏ ‎темпы ‎технологических ‎изменений. ‎Кроме ‎того,‏ ‎по‏ ‎мере ‎того,‏ ‎как ‎организации‏ ‎все ‎чаще ‎внедряют ‎облачные ‎сервисы‏ ‎и‏ ‎другие‏ ‎передовые ‎технологии,‏ ‎среда ‎становится‏ ‎более ‎сложной,‏ ‎что‏ ‎требует ‎постоянной‏ ‎адаптации ‎фундаментальных ‎методов ‎обеспечения ‎безопасности.

Стратегии‏ ‎усиления ‎защиты

📌Непрерывная‏ ‎оценка‏ ‎рисков: ‎регулярная ‎оценка‏ ‎состояния ‎безопасности‏ ‎организации ‎для ‎выявления ‎уязвимостей‏ ‎и‏ ‎определения ‎приоритетности‏ ‎усилий ‎по‏ ‎их ‎устранению.

📌Использование ‎структур ‎безопасности: принятие ‎комплексных‏ ‎структур‏ ‎безопасности, ‎таких‏ ‎как ‎NIST‏ ‎Cybersecurity ‎Framework, ‎для ‎руководства ‎внедрением‏ ‎лучших‏ ‎практик‏ ‎и ‎средств‏ ‎контроля.

📌Автоматизация ‎процессов‏ ‎безопасности: ‎использование‏ ‎автоматизации‏ ‎для ‎оптимизации‏ ‎процессов ‎безопасности, ‎таких ‎как ‎управление‏ ‎исправлениями ‎и‏ ‎мониторинг,‏ ‎для ‎повышения ‎эффективности‏ ‎и ‎результативности.

📌Формирование‏ ‎культуры ‎безопасности: ‎создание ‎культуры‏ ‎безопасности‏ ‎внутри ‎организации,‏ ‎где ‎кибербезопасность‏ ‎рассматривается ‎как ‎общая ‎ответственность ‎всех‏ ‎сотрудников.

📌Сотрудничество‏ ‎и ‎обмен‏ ‎информацией: участие ‎в‏ ‎сотрудничестве ‎и ‎обмене ‎информацией ‎с‏ ‎коллегами‏ ‎по‏ ‎отрасли ‎и‏ ‎государственными ‎учреждениями,‏ ‎чтобы ‎оставаться‏ ‎в‏ ‎курсе ‎возникающих‏ ‎угроз ‎и ‎передового ‎опыта.

Читать: 3+ мин
logo Хроники кибер-безопасника

Использование Сервисных и неактивных учётных записей при облачных атаках

Эксплуатация ‎сервисных‏ ‎и ‎неактивных ‎учётных ‎записей ‎кибер-профессионалами‏ ‎представляет ‎собой‏ ‎изощренный‏ ‎и ‎часто ‎упускаемый‏ ‎из ‎виду‏ ‎вектор ‎кибератак. ‎Эти ‎учётные‏ ‎записи,‏ ‎созданные ‎для‏ ‎различных ‎операционных‏ ‎целей ‎в ‎облачных ‎и ‎локальных‏ ‎средах‏ ‎организации, ‎могут‏ ‎предоставить ‎злоумышленникам‏ ‎доступ, ‎необходимый ‎им ‎для ‎достижения‏ ‎своих‏ ‎целей,‏ ‎если ‎они‏ ‎не ‎управляются‏ ‎и ‎не‏ ‎защищаются‏ ‎должным ‎образом.

Учётные‏ ‎записи ‎служб ‎— ‎это ‎специализированные‏ ‎учётные ‎записи,‏ ‎используемые‏ ‎приложениями ‎или ‎службами‏ ‎для ‎взаимодействия‏ ‎с ‎операционной ‎системой ‎или‏ ‎другими‏ ‎службами. ‎Они‏ ‎часто ‎имеют‏ ‎повышенные ‎привилегии ‎для ‎выполнения ‎определённых‏ ‎задач‏ ‎и ‎могут‏ ‎не ‎быть‏ ‎привязаны ‎к ‎личности ‎отдельного ‎пользователя.‏ ‎С‏ ‎другой‏ ‎стороны, ‎неактивные‏ ‎учётные ‎записи‏ ‎— ‎это‏ ‎учётные‏ ‎записи ‎пользователей,‏ ‎которые ‎больше ‎не ‎используются ‎либо‏ ‎потому, ‎что‏ ‎пользователь‏ ‎покинул ‎организацию, ‎либо‏ ‎потому, ‎что‏ ‎цель ‎учётной ‎записи ‎была‏ ‎достигнута.‏ ‎Эти ‎учётные‏ ‎записи ‎особенно‏ ‎опасны, ‎поскольку ‎о ‎них ‎часто‏ ‎забывают,‏ ‎им ‎оставляют‏ ‎больше ‎привилегий,‏ ‎чем ‎необходимо, ‎и ‎они ‎не‏ ‎контролируются‏ ‎так‏ ‎тщательно, ‎как‏ ‎активные ‎учётные‏ ‎записи ‎пользователей.

Почему‏ ‎служебные‏ ‎и ‎неактивные‏ ‎учётные ‎записи ‎подвергаются ‎атаке

📌Повышенные ‎привилегии.‏ ‎Учётные ‎записи‏ ‎служб‏ ‎имеют ‎повышенные ‎привилегии,‏ ‎необходимые ‎для‏ ‎системных ‎задач, ‎которые ‎можно‏ ‎использовать‏ ‎для ‎получения‏ ‎широкого ‎доступа‏ ‎к ‎сети ‎организации.

📌Отсутствие ‎мониторинга. Неактивные ‎учётные‏ ‎записи‏ ‎используются ‎нерегулярно,‏ ‎что ‎снижает‏ ‎вероятность ‎их ‎отслеживания ‎на ‎предмет‏ ‎подозрительной‏ ‎активности‏ ‎делает ‎их‏ ‎привлекательной ‎целью‏ ‎для ‎злоумышленников.

📌Слабые‏ ‎учётные‏ ‎данные ‎или‏ ‎учётные ‎данные ‎по ‎умолчанию. Учётные ‎записи‏ ‎служб ‎могут‏ ‎быть‏ ‎настроены ‎со ‎слабыми‏ ‎учётными ‎данными‏ ‎или ‎учётными ‎данными ‎по‏ ‎умолчанию,‏ ‎которые ‎проще‏ ‎найти ‎с‏ ‎помощью ‎атак ‎методом ‎перебора.

📌Обход ‎аналитики‏ ‎поведения‏ ‎пользователей. ‎Поскольку‏ ‎учётные ‎записи‏ ‎служб ‎выполняют ‎автоматизированные ‎задачи, ‎их‏ ‎модели‏ ‎поведения‏ ‎могут ‎быть‏ ‎предсказуемыми, ‎что‏ ‎позволяет ‎вредоносным‏ ‎действиям‏ ‎сливаться ‎с‏ ‎обычными ‎операциями ‎и ‎уклоняться ‎от‏ ‎обнаружения.

Угроза, ‎которую‏ ‎представляют‏ ‎скомпрометированные ‎учётные ‎записи

📌Распространение:‏ ‎использование ‎привилегий‏ ‎учётной ‎записи ‎для ‎дальнейшего‏ ‎распространения‏ ‎в ‎сети,‏ ‎получая ‎доступ‏ ‎к ‎другим ‎системам ‎и ‎данным.

📌Повышение‏ ‎привилегий:‏ ‎использование ‎учётной‏ ‎записи ‎для‏ ‎повышения ‎привилегий ‎и ‎получения ‎административного‏ ‎доступа‏ ‎к‏ ‎критически ‎важным‏ ‎системам.

📌Закрепление: ‎обеспечение‏ ‎постоянного ‎присутствия‏ ‎в‏ ‎сети, ‎что‏ ‎затрудняет ‎обнаружение ‎и ‎устранение ‎злоумышленника.

📌Эксфильтрация‏ ‎данных: доступ ‎к‏ ‎конфиденциальным‏ ‎данным ‎и ‎их‏ ‎удаление, ‎что‏ ‎приводит ‎к ‎утечке ‎данных‏ ‎и‏ ‎краже ‎интеллектуальной‏ ‎собственности.

Снижение ‎рисков,‏ ‎связанных ‎с ‎сервисными ‎и ‎неактивными‏ ‎счетами

📌Регулярные‏ ‎проверки. Проведение ‎регулярных‏ ‎проверок ‎всех‏ ‎учётных ‎записей ‎для ‎выявления ‎и‏ ‎деактивации‏ ‎неактивных‏ ‎учётных ‎записей‏ ‎и ‎обеспечения‏ ‎того, ‎чтобы‏ ‎учётные‏ ‎записи ‎служб‏ ‎имели ‎минимально ‎необходимые ‎привилегии.

📌Строгий ‎контроль‏ ‎аутентификации. ‎Применение‏ ‎политики‏ ‎надёжных ‎паролей ‎и‏ ‎использование ‎MFA‏ ‎для ‎учётных ‎записей ‎служб,‏ ‎где‏ ‎это ‎возможно.

📌Мониторинг.‏ ‎Внедрение ‎механизмов‏ ‎мониторинга ‎и ‎оповещения ‎для ‎обнаружения‏ ‎необычных‏ ‎действий, ‎связанных‏ ‎со ‎службами‏ ‎и ‎неактивными ‎учётными ‎записями.

📌Разделение ‎ролей.‏ ‎Применение‏ ‎принципа‏ ‎разделения ‎ролей‏ ‎к ‎учётным‏ ‎записям ‎служб,‏ ‎чтобы‏ ‎ограничить ‎объем‏ ‎доступа ‎и ‎снизить ‎риск ‎неправомерного‏ ‎использования.

📌Инструменты ‎автоматического‏ ‎управления. Использование‏ ‎инструментов ‎автоматического ‎управления‏ ‎учётными ‎записями,‏ ‎чтобы ‎отслеживать ‎использование ‎и‏ ‎жизненный‏ ‎цикл ‎учётной‏ ‎записи, ‎гарантируя,‏ ‎что ‎учётные ‎записи ‎будут ‎деактивированы,‏ ‎когда‏ ‎они ‎больше‏ ‎не ‎нужны.

Читать: 3+ мин
logo Хроники кибер-безопасника

Расширение сферы деятельности атакующих

Смещение ‎акцента‏ ‎кибер-профессионалов ‎на ‎облачные ‎сервисы ‎вывело‏ ‎важность ‎обеспечения‏ ‎первоначального‏ ‎доступа ‎на ‎передний‏ ‎план. ‎В‏ ‎облачных ‎средах ‎первоначальный ‎доступ‏ ‎представляет‏ ‎собой ‎критический‏ ‎момент, ‎когда‏ ‎безопасность ‎всей ‎системы ‎становится ‎наиболее‏ ‎уязвимой.‏ ‎В ‎отличие‏ ‎от ‎традиционных‏ ‎локальных ‎сетей, ‎доступ ‎к ‎облачным‏ ‎сервисам‏ ‎осуществляется‏ ‎через ‎Интернет,‏ ‎что ‎делает‏ ‎начальную ‎точку‏ ‎входа‏ ‎основной ‎целью‏ ‎для ‎злоумышленников.

Первоначальный ‎доступ ‎как ‎плацдарм‏ ‎для ‎злоумышленников

Получение‏ ‎первоначального‏ ‎доступа ‎к ‎облачным‏ ‎сервисам ‎позволяет‏ ‎злоумышленникам ‎закрепиться ‎в ‎целевой‏ ‎среде‏ ‎с ‎последующим‏ ‎повышением ‎привилегий,‏ ‎распространения ‎по ‎сети ‎и ‎получения‏ ‎доступа‏ ‎к ‎конфиденциальным‏ ‎данным. ‎Распределённый‏ ‎характер ‎облачных ‎сервисов ‎также ‎означает,‏ ‎что‏ ‎компрометация‏ ‎одной ‎учётной‏ ‎записи ‎может‏ ‎потенциально ‎предоставить‏ ‎доступ‏ ‎к ‎широкому‏ ‎спектру ‎ресурсов ‎и ‎данных.

Проблемы ‎в‏ ‎обеспечении ‎первоначального‏ ‎доступа

📌Удалённый‏ ‎доступ. ‎Облачные ‎сервисы‏ ‎предназначены ‎для‏ ‎удалённого ‎доступа, ‎что ‎увеличивает‏ ‎поверхность‏ ‎атаки.

📌Управление ‎идентификацией‏ ‎и ‎доступом‏ ‎(IAM). ‎В ‎облачных ‎средах ‎IAM‏ ‎становится‏ ‎важнейшим ‎компонентом‏ ‎безопасности. ‎Организации‏ ‎должны ‎обеспечить ‎надёжность ‎политик ‎IAM‏ ‎и‏ ‎предоставление‏ ‎разрешений ‎на‏ ‎основе ‎принципа‏ ‎наименьших ‎привилегий,‏ ‎чтобы‏ ‎минимизировать ‎риск‏ ‎первоначального ‎доступа ‎со ‎стороны ‎неавторизованных‏ ‎лиц.

📌Фишинг ‎и‏ ‎социнженерия.‏ ‎используются ‎методы ‎фишинга‏ ‎и ‎социальной‏ ‎инженерии ‎для ‎получения ‎первоначального‏ ‎доступа.‏ ‎Эти ‎методы‏ ‎используют ‎человеческий‏ ‎фактор, ‎а ‎не ‎технические ‎уязвимости,‏ ‎что‏ ‎затрудняет ‎защиту‏ ‎от ‎них‏ ‎с ‎помощью ‎традиционных ‎мер ‎безопасности.

Примеры‏ ‎методов‏ ‎первоначального‏ ‎доступа

📌Credential ‎Stuffing.‏ ‎Метод ‎предполагает‏ ‎использование ‎ранее‏ ‎взломанных‏ ‎пар ‎имени‏ ‎пользователя ‎и ‎пароля ‎для ‎получения‏ ‎несанкционированного ‎доступа‏ ‎к‏ ‎учётным ‎записям, ‎делая‏ ‎ставку ‎на‏ ‎вероятность ‎того, ‎что ‎люди‏ ‎будут‏ ‎повторно ‎использовать‏ ‎учётные ‎данные‏ ‎в ‎нескольких ‎службах.

📌Использование ‎некорректных ‎конфигураций.‏ ‎Облачные‏ ‎сервисы ‎сложно‏ ‎настроить ‎правильно,‏ ‎и ‎используются ‎некорректные ‎конфигурации: ‎открытые‏ ‎сетевые‏ ‎сегменты‏ ‎или ‎ошибки‏ ‎в ‎настройке‏ ‎управления ‎доступом.

📌Компрометация‏ ‎сторонних‏ ‎сервисов. ‎Злоумышленники‏ ‎могут ‎атаковать ‎сторонние ‎сервисы, ‎которые‏ ‎интегрируются ‎с‏ ‎облачными‏ ‎средами, ‎например ‎приложения‏ ‎SaaS, ‎чтобы‏ ‎получить ‎первоначальный ‎доступ ‎к‏ ‎облачной‏ ‎инфраструктуре.

Снижение ‎рисков‏ ‎первоначального ‎доступа

📌Комплексные‏ ‎политики ‎доступа. Установление ‎и ‎соблюдение ‎комплексных‏ ‎политик‏ ‎доступа ‎может‏ ‎помочь ‎контролировать,‏ ‎кто ‎и ‎на ‎каких ‎условиях‏ ‎имеет‏ ‎доступ‏ ‎к ‎облачным‏ ‎ресурсам.

📌Регулярные ‎аудиты‏ ‎и ‎проверки. Проведение‏ ‎регулярных‏ ‎аудитов ‎и‏ ‎проверок ‎журналов ‎доступа ‎и ‎разрешений‏ ‎может ‎помочь‏ ‎выявить‏ ‎и ‎устранить ‎потенциальные‏ ‎уязвимости ‎до‏ ‎того, ‎как ‎они ‎будут‏ ‎использованы.

📌Обучение‏ ‎по ‎вопросам‏ ‎безопасности. Обучение ‎сотрудников‏ ‎рискам ‎фишинга ‎и ‎социальной ‎инженерии‏ ‎может‏ ‎снизить ‎вероятность‏ ‎компрометации ‎учётных‏ ‎данных.

📌Endpoint ‎Security. ‎Обеспечение ‎безопасности ‎и‏ ‎актуальности‏ ‎всех‏ ‎устройств ‎с‏ ‎доступом ‎к‏ ‎облачным ‎сервисам,‏ ‎может‏ ‎помешать ‎злоумышленникам‏ ‎использовать ‎уязвимости ‎конечных ‎точек ‎для‏ ‎получения ‎первоначального‏ ‎доступа.

📌Обнаружение‏ ‎аномалий. ‎Внедрение ‎систем‏ ‎обнаружения ‎аномалий‏ ‎помогает ‎выявить ‎необычные ‎модели‏ ‎доступа‏ ‎или ‎попытки‏ ‎входа ‎в‏ ‎систему, ‎которые ‎могут ‎указывать ‎на‏ ‎попытку‏ ‎взлома.

Читать: 3+ мин
logo Хроники кибер-безопасника

Первоначальный доступ. Первое впечатление имеет значение

Возросшая ‎важность‏ ‎первоначального ‎доступа ‎в ‎облачной ‎безопасности

Смещение‏ ‎акцента ‎кибер-профессионалов‏ ‎на‏ ‎облачные ‎сервисы ‎вывело‏ ‎важность ‎обеспечения‏ ‎первоначального ‎доступа ‎на ‎передний‏ ‎план.‏ ‎В ‎облачных‏ ‎средах ‎первоначальный‏ ‎доступ ‎представляет ‎собой ‎критический ‎момент,‏ ‎когда‏ ‎безопасность ‎всей‏ ‎системы ‎становится‏ ‎наиболее ‎уязвимой. ‎В ‎отличие ‎от‏ ‎традиционных‏ ‎локальных‏ ‎сетей, ‎доступ‏ ‎к ‎облачным‏ ‎сервисам ‎осуществляется‏ ‎через‏ ‎Интернет, ‎что‏ ‎делает ‎начальную ‎точку ‎входа ‎основной‏ ‎целью ‎для‏ ‎злоумышленников.

Первоначальный‏ ‎доступ ‎как ‎плацдарм‏ ‎для ‎злоумышленников

Получение‏ ‎первоначального ‎доступа ‎к ‎облачным‏ ‎сервисам‏ ‎позволяет ‎злоумышленникам‏ ‎закрепиться ‎в‏ ‎целевой ‎среде ‎с ‎последующим ‎повышением‏ ‎привилегий,‏ ‎распространения ‎по‏ ‎сети ‎и‏ ‎получения ‎доступа ‎к ‎конфиденциальным ‎данным.‏ ‎Распределённый‏ ‎характер‏ ‎облачных ‎сервисов‏ ‎также ‎означает,‏ ‎что ‎компрометация‏ ‎одной‏ ‎учётной ‎записи‏ ‎может ‎потенциально ‎предоставить ‎доступ ‎к‏ ‎широкому ‎спектру‏ ‎ресурсов‏ ‎и ‎данных.

Проблемы ‎в‏ ‎обеспечении ‎первоначального‏ ‎доступа

📌Удалённый ‎доступ. ‎Облачные ‎сервисы‏ ‎предназначены‏ ‎для ‎удалённого‏ ‎доступа, ‎что‏ ‎увеличивает ‎поверхность ‎атаки.

📌Управление ‎идентификацией ‎и‏ ‎доступом‏ ‎(IAM). ‎В‏ ‎облачных ‎средах‏ ‎IAM ‎становится ‎важнейшим ‎компонентом ‎безопасности.‏ ‎Организации‏ ‎должны‏ ‎обеспечить ‎надёжность‏ ‎политик ‎IAM‏ ‎и ‎предоставление‏ ‎разрешений‏ ‎на ‎основе‏ ‎принципа ‎наименьших ‎привилегий, ‎чтобы ‎минимизировать‏ ‎риск ‎первоначального‏ ‎доступа‏ ‎со ‎стороны ‎неавторизованных‏ ‎лиц.

📌Фишинг ‎и‏ ‎социнженерия. ‎используются ‎методы ‎фишинга‏ ‎и‏ ‎социальной ‎инженерии‏ ‎для ‎получения‏ ‎первоначального ‎доступа. ‎Эти ‎методы ‎используют‏ ‎человеческий‏ ‎фактор, ‎а‏ ‎не ‎технические‏ ‎уязвимости, ‎что ‎затрудняет ‎защиту ‎от‏ ‎них‏ ‎с‏ ‎помощью ‎традиционных‏ ‎мер ‎безопасности.

Примеры‏ ‎методов ‎первоначального‏ ‎доступа

📌Credential‏ ‎Stuffing. ‎Метод‏ ‎предполагает ‎использование ‎ранее ‎взломанных ‎пар‏ ‎имени ‎пользователя‏ ‎и‏ ‎пароля ‎для ‎получения‏ ‎несанкционированного ‎доступа‏ ‎к ‎учётным ‎записям, ‎делая‏ ‎ставку‏ ‎на ‎вероятность‏ ‎того, ‎что‏ ‎люди ‎будут ‎повторно ‎использовать ‎учётные‏ ‎данные‏ ‎в ‎нескольких‏ ‎службах.

📌Использование ‎некорректных‏ ‎конфигураций. Облачные ‎сервисы ‎сложно ‎настроить ‎правильно,‏ ‎и‏ ‎используются‏ ‎некорректные ‎конфигурации:‏ ‎открытые ‎сетевые‏ ‎сегменты ‎или‏ ‎ошибки‏ ‎в ‎настройке‏ ‎управления ‎доступом.

📌Компрометация ‎сторонних ‎сервисов. Злоумышленники ‎могут‏ ‎атаковать ‎сторонние‏ ‎сервисы,‏ ‎которые ‎интегрируются ‎с‏ ‎облачными ‎средами,‏ ‎например ‎приложения ‎SaaS, ‎чтобы‏ ‎получить‏ ‎первоначальный ‎доступ‏ ‎к ‎облачной‏ ‎инфраструктуре.

Снижение ‎рисков ‎первоначального ‎доступа

📌Комплексные ‎политики‏ ‎доступа.‏ ‎Установление ‎и‏ ‎соблюдение ‎комплексных‏ ‎политик ‎доступа ‎может ‎помочь ‎контролировать,‏ ‎кто‏ ‎и‏ ‎на ‎каких‏ ‎условиях ‎имеет‏ ‎доступ ‎к‏ ‎облачным‏ ‎ресурсам.

📌Регулярные ‎аудиты‏ ‎и ‎проверки. ‎Проведение ‎регулярных ‎аудитов‏ ‎и ‎проверок‏ ‎журналов‏ ‎доступа ‎и ‎разрешений‏ ‎может ‎помочь‏ ‎выявить ‎и ‎устранить ‎потенциальные‏ ‎уязвимости‏ ‎до ‎того,‏ ‎как ‎они‏ ‎будут ‎использованы.

📌Обучение ‎по ‎вопросам ‎безопасности. Обучение‏ ‎сотрудников‏ ‎рискам ‎фишинга‏ ‎и ‎социальной‏ ‎инженерии ‎может ‎снизить ‎вероятность ‎компрометации‏ ‎учётных‏ ‎данных.

📌Endpoint‏ ‎Security. Обеспечение ‎безопасности‏ ‎и ‎актуальности‏ ‎всех ‎устройств‏ ‎с‏ ‎доступом ‎к‏ ‎облачным ‎сервисам, ‎может ‎помешать ‎злоумышленникам‏ ‎использовать ‎уязвимости‏ ‎конечных‏ ‎точек ‎для ‎получения‏ ‎первоначального ‎доступа.

📌Обнаружение‏ ‎аномалий. ‎Внедрение ‎систем ‎обнаружения‏ ‎аномалий‏ ‎помогает ‎выявить‏ ‎необычные ‎модели‏ ‎доступа ‎или ‎попытки ‎входа ‎в‏ ‎систему,‏ ‎которые ‎могут‏ ‎указывать ‎на‏ ‎попытку ‎взлома.

Читать: 3+ мин
logo Хроники кибер-безопасника

Аутентификация как Ключевой Шаг и не нужны никакие пароли!

В ‎изменяющемся‏ ‎кибер-ландшафте ‎адаптация ‎к ‎целевым ‎облачным‏ ‎сервисам ‎подчёркивает‏ ‎кардинальный‏ ‎сдвиг ‎в ‎тактике‏ ‎кибершпионажа. ‎Переход‏ ‎от ‎использования ‎уязвимостей ‎локальной‏ ‎сети‏ ‎к ‎прямому‏ ‎нацеливанию ‎на‏ ‎облачные ‎инфраструктуры ‎знаменует ‎собой ‎значительную‏ ‎эволюцию‏ ‎киберугроз. ‎В‏ ‎основе ‎этого‏ ‎лежит ‎решающая ‎роль ‎аутентификации ‎как‏ ‎ключевого‏ ‎шага‏ ‎в ‎защите‏ ‎облачных ‎сетей‏ ‎от ‎кибер-профессионалов.

Важность‏ ‎аутентификации‏ ‎в ‎облачных‏ ‎средах

Аутентификация ‎служит ‎шлюзом ‎к ‎облачным‏ ‎сервисам, ‎определяя,‏ ‎следует‏ ‎ли ‎предоставить ‎доступ‏ ‎пользователю ‎или‏ ‎системе. ‎В ‎облачных ‎средах,‏ ‎где‏ ‎ресурсы ‎и‏ ‎данные ‎размещаются‏ ‎за ‎пределами ‎предприятия ‎и ‎доступны‏ ‎через‏ ‎Интернет, ‎невозможно‏ ‎переоценить ‎важность‏ ‎надёжных ‎механизмов ‎аутентификации. ‎В ‎отличие‏ ‎от‏ ‎традиционных‏ ‎локальных ‎систем,‏ ‎где ‎есть‏ ‎меры ‎физической‏ ‎безопасности‏ ‎и ‎внутренняя‏ ‎сетевая ‎защита, ‎облачные ‎сервисы ‎по‏ ‎своей ‎сути‏ ‎более‏ ‎подвержены ‎воздействию ‎Интернета.‏ ‎Такая ‎уязвимость‏ ‎делает ‎начальный ‎этап ‎аутентификации‏ ‎не‏ ‎просто ‎мерой‏ ‎безопасности, ‎а‏ ‎критически ‎важным ‎механизмом ‎защиты ‎от‏ ‎несанкционированного‏ ‎доступа.

Проблемы ‎облачной‏ ‎аутентификации

Переход ‎к‏ ‎облачным ‎сервисам ‎приносит ‎с ‎собой‏ ‎уникальные‏ ‎проблемы‏ ‎в ‎реализации‏ ‎эффективных ‎стратегий‏ ‎аутентификации. ‎Пользователи‏ ‎получают‏ ‎доступ ‎к‏ ‎облачным ‎сервисам ‎из ‎разных ‎мест,‏ ‎устройств ‎и‏ ‎сетей,‏ ‎что ‎требует ‎эффективных‏ ‎механизмов ‎аутентификации.

Масштабируемость‏ ‎облачных ‎сервисов ‎означает, ‎что‏ ‎механизмы‏ ‎аутентификации ‎должны‏ ‎быть ‎в‏ ‎состоянии ‎обрабатывать ‎большое ‎количество ‎запросов‏ ‎на‏ ‎доступ ‎без‏ ‎значительных ‎задержек‏ ‎и ‎ухудшения ‎пользовательского ‎опыта. ‎Это‏ ‎требование‏ ‎масштабируемости‏ ‎и ‎удобства‏ ‎для ‎пользователя‏ ‎часто ‎противоречит‏ ‎необходимости‏ ‎строгих ‎мер‏ ‎безопасности, ‎создавая ‎хрупкий ‎баланс, ‎который‏ ‎должны ‎соблюдать‏ ‎организации.

Стратегии‏ ‎усиления ‎облачной ‎аутентификации

📌Многофакторная‏ ‎аутентификация ‎(MFA).‏ ‎MFA ‎добавляет ‎дополнительный ‎уровень‏ ‎безопасности,‏ ‎требуя ‎от‏ ‎пользователей ‎предоставления‏ ‎двух ‎или ‎более ‎факторов ‎проверки‏ ‎для‏ ‎получения ‎доступа.‏ ‎Подход ‎снижает‏ ‎риск ‎несанкционированного ‎доступа, ‎поскольку ‎значительно‏ ‎сложнее‏ ‎получить‏ ‎несколько ‎факторов‏ ‎аутентификации.

📌Адаптивная ‎аутентификация.‏ ‎Механизмы ‎адаптивной‏ ‎аутентификации‏ ‎корректируют ‎требования‏ ‎в ‎зависимости ‎от ‎контекста ‎запроса‏ ‎доступа. ‎Такие‏ ‎факторы,‏ ‎как ‎местоположение, ‎устройство‏ ‎и ‎поведение‏ ‎пользователя, ‎могут ‎влиять ‎на‏ ‎процесс‏ ‎аутентификации, ‎что‏ ‎позволяет ‎применять‏ ‎более ‎строгий ‎контроль ‎в ‎сценариях‏ ‎повышенного‏ ‎риска.

📌Архитектура ‎нулевого‏ ‎доверия. ‎Принятие‏ ‎подхода ‎нулевого ‎доверия ‎к ‎облачной‏ ‎безопасности,‏ ‎при‏ ‎котором ‎ни‏ ‎один ‎пользователь‏ ‎или ‎система‏ ‎не‏ ‎пользуется ‎доверием‏ ‎по ‎умолчанию, ‎может ‎повысить ‎эффективность‏ ‎аутентификации. ‎Эта‏ ‎модель‏ ‎требует ‎строгой ‎проверки‏ ‎личности ‎каждого‏ ‎кто ‎пытается ‎получить ‎доступ‏ ‎к‏ ‎ресурсам, ‎независимо‏ ‎от ‎их‏ ‎местоположения ‎или ‎сети.

📌Использование ‎биометрии. ‎Методы‏ ‎биометрической‏ ‎аутентификации, ‎такие‏ ‎как ‎сканирование‏ ‎отпечатков ‎пальцев ‎или ‎распознавание ‎лиц,‏ ‎обеспечивают‏ ‎высокий‏ ‎уровень ‎безопасности‏ ‎за ‎счёт‏ ‎использования ‎уникальных‏ ‎физических‏ ‎характеристик ‎пользователей.‏ ‎Эти ‎методы ‎могут ‎быть ‎особенно‏ ‎эффективными ‎для‏ ‎предотвращения‏ ‎несанкционированного ‎доступа ‎в‏ ‎облачных ‎средах.

📌Шифрование‏ ‎данных ‎аутентификации. ‎Шифрование ‎данных‏ ‎аутентификации‏ ‎(паролей, ‎токенов‏ ‎аутентификации ‎и‏ ‎другой ‎конфиденциальной ‎информации), ‎как ‎при‏ ‎передаче,‏ ‎так ‎и‏ ‎при ‎хранении,‏ ‎может ‎защитить ‎от ‎перехвата ‎и‏ ‎использования‏ ‎злоумышленниками.

Читать: 8+ мин
logo Хроники кибер-безопасника

TTP. Руководство Кибермага

📌Доступ ‎к‏ ‎учётным ‎данным ‎/ ‎подбор ‎пароля‏ ‎T1110: ‎используются‏ ‎password-spray‏ ‎и ‎подбор ‎паролей‏ ‎в ‎качестве‏ ‎начальных ‎векторов ‎заражения. ‎Подход‏ ‎предполагает‏ ‎попытку ‎ввода‏ ‎нескольких ‎паролей‏ ‎для ‎разных ‎учётных ‎записей ‎или‏ ‎многочисленные‏ ‎попытки ‎для‏ ‎одной ‎учётной‏ ‎записи ‎для ‎получения ‎несанкционированного ‎доступа.

📌Первоначальный‏ ‎доступ‏ ‎/‏ ‎T1078.004 ‎Действительные‏ ‎учётные ‎записи:‏ ‎Облачные ‎учётные‏ ‎записи:‏ ‎получение ‎доступа‏ ‎к ‎облачным ‎сервисам, ‎используя ‎скомпрометированные‏ ‎учётные ‎данные:‏ ‎как‏ ‎системные ‎учётные ‎записи‏ ‎(используемые ‎для‏ ‎автоматизированных ‎задач ‎и ‎служб),‏ ‎так‏ ‎и ‎неактивные‏ ‎учётные ‎записи,‏ ‎учётные ‎которые ‎все ‎ещё ‎остаются‏ ‎в‏ ‎системе.

📌Доступ ‎к‏ ‎учётным ‎данным‏ ‎/ ‎T1528 ‎Кража ‎токена ‎доступа‏ ‎к‏ ‎приложению:‏ ‎злоумышленники ‎используют‏ ‎украденные ‎токены‏ ‎доступа ‎для‏ ‎входа‏ ‎в ‎учётные‏ ‎записи ‎без ‎необходимости ‎ввода ‎паролей.‏ ‎Токены ‎доступа‏ ‎—‏ ‎это ‎цифровые ‎ключи,‏ ‎которые ‎позволяют‏ ‎получить ‎доступ ‎к ‎учётным‏ ‎записям‏ ‎пользователей. ‎Их‏ ‎получение ‎позволяет‏ ‎обойти ‎традиционные ‎механизмы ‎входа ‎в‏ ‎систему.

📌Доступ‏ ‎к ‎учётным‏ ‎данным ‎/‏ ‎Формирование ‎запроса ‎многофакторной ‎аутентификации ‎T1621:‏ ‎метод‏ ‎«бомбардировка‏ ‎MFA» ‎предполагает,‏ ‎что ‎злоумышленники‏ ‎неоднократно ‎отправляют‏ ‎запросы‏ ‎MFA ‎на‏ ‎устройство ‎жертвы. ‎Цель ‎состоит ‎в‏ ‎том, ‎чтобы‏ ‎жертва‏ ‎приняла ‎запрос ‎и‏ ‎таким ‎образом‏ ‎предоставила ‎злоумышленнику ‎доступ.

📌Командование ‎и‏ ‎контроль‏ ‎/ ‎T1090.002‏ ‎Прокси: ‎Внешний‏ ‎прокси: ‎чтобы ‎поддерживать ‎«тайные ‎операции‏ ‎и‏ ‎сливаться ‎с‏ ‎обычным ‎трафиком»,‏ ‎используются ‎открытые ‎прокси, ‎расположенные ‎в‏ ‎частных‏ ‎диапазонах‏ ‎IP-адресов, ‎т.‏ ‎к. ‎вредоносные‏ ‎соединения ‎сложнее‏ ‎отличить‏ ‎от ‎легальной‏ ‎активности ‎пользователей ‎в ‎журналах ‎доступа.

📌Успешная‏ ‎регистрация ‎устройства‏ ‎может‏ ‎обеспечить ‎постоянный ‎доступ‏ ‎к ‎облачной‏ ‎среде.

Доступ ‎через ‎сервисные ‎и‏ ‎спящие‏ ‎учётные ‎записи

Одна‏ ‎из ‎ключевых‏ ‎стратегий, ‎применяемых ‎злоумышленниками, ‎предполагает ‎нацеливание‏ ‎на‏ ‎сервисные ‎и‏ ‎неактивные ‎учётные‏ ‎записи ‎в ‎облачных ‎средах. ‎Учётные‏ ‎записи‏ ‎служб‏ ‎используются ‎для‏ ‎запуска ‎приложений‏ ‎и ‎служб‏ ‎и‏ ‎управления ‎ими‏ ‎без ‎прямого ‎взаимодействия ‎с ‎человеком.‏ ‎Эти ‎учётные‏ ‎записи‏ ‎особенно ‎уязвимы, ‎поскольку‏ ‎их ‎часто‏ ‎невозможно ‎защитить ‎с ‎помощью‏ ‎многофакторной‏ ‎аутентификации ‎(MFA),‏ ‎и ‎они‏ ‎могут ‎иметь ‎высокопривилегированный ‎доступ ‎в‏ ‎зависимости‏ ‎от ‎их‏ ‎роли ‎в‏ ‎управлении ‎приложениями ‎и ‎службами. ‎Получив‏ ‎доступ‏ ‎к‏ ‎этим ‎учётным‏ ‎записям, ‎злоумышленники‏ ‎могут ‎получить‏ ‎привилегированный‏ ‎первоначальный ‎доступ‏ ‎к ‎сети, ‎которую ‎они ‎используют‏ ‎в ‎качестве‏ ‎стартовой‏ ‎площадки ‎для ‎дальнейших‏ ‎операций.

Кампании ‎нацелены‏ ‎на ‎неактивные ‎учётные ‎записи,‏ ‎пользователи‏ ‎которых ‎больше‏ ‎не ‎активны‏ ‎в ‎организации-жертве, ‎но ‎не ‎были‏ ‎удалены‏ ‎из ‎системы.‏ ‎Эти ‎учётные‏ ‎записи ‎могут ‎быть ‎использованы ‎для‏ ‎восстановления‏ ‎доступа‏ ‎к ‎сети,‏ ‎особенно ‎после‏ ‎мер ‎реагирования‏ ‎на‏ ‎инциденты, ‎таких‏ ‎как ‎принудительный ‎сброс ‎пароля. ‎Было‏ ‎замечено, ‎что‏ ‎субъекты‏ ‎входили ‎в ‎эти‏ ‎неактивные ‎учётные‏ ‎записи ‎и ‎следовали ‎инструкциям‏ ‎по‏ ‎сбросу ‎пароля,‏ ‎что ‎позволяло‏ ‎им ‎сохранять ‎доступ ‎даже ‎после‏ ‎того,‏ ‎как ‎группы‏ ‎реагирования ‎на‏ ‎инциденты ‎пытались ‎их ‎«выселить».

Аутентификация ‎токена‏ ‎на‏ ‎основе‏ ‎облака

Ещё ‎один‏ ‎TTP ‎—‏ ‎это ‎использование‏ ‎аутентификации‏ ‎на ‎основе‏ ‎облачных ‎токенов. ‎Замечено, ‎что ‎злоумышленники‏ ‎использовали ‎выданные‏ ‎системой‏ ‎токены ‎доступа ‎для‏ ‎аутентификации ‎в‏ ‎учётных ‎записях ‎жертв ‎без‏ ‎необходимости‏ ‎ввода ‎пароля.‏ ‎Этот ‎метод‏ ‎позволяет ‎обходить ‎традиционные ‎методы ‎аутентификации‏ ‎на‏ ‎основе ‎учётных‏ ‎данных ‎и‏ ‎может ‎быть ‎особенно ‎эффективным, ‎если‏ ‎срок‏ ‎действия‏ ‎этих ‎токенов‏ ‎длительный, ‎или‏ ‎если ‎токены‏ ‎не‏ ‎защищены ‎должным‏ ‎образом.

Брутфорс ‎и ‎password-spray

Использование ‎злоумышленниками ‎атаки‏ ‎(T1110) ‎применяется‏ ‎в‏ ‎качестве ‎начальных ‎векторов‏ ‎заражения. ‎Метод‏ ‎включают ‎попытку ‎доступа ‎к‏ ‎учётным‏ ‎записям ‎путём‏ ‎перебора ‎множества‏ ‎паролей ‎или ‎использования ‎общих ‎паролей‏ ‎для‏ ‎многих ‎учётных‏ ‎записей ‎соответственно.‏ ‎Метод ‎часто ‎бывает ‎успешен ‎из-за‏ ‎использования‏ ‎слабых‏ ‎или ‎повторно‏ ‎используемых ‎паролей‏ ‎для ‎разных‏ ‎учётных‏ ‎записей.

Роль ‎токенов‏ ‎доступа

Токены ‎доступа ‎являются ‎неотъемлемой ‎частью‏ ‎современных ‎систем‏ ‎аутентификации,‏ ‎особенно ‎в ‎облачных‏ ‎средах. ‎Они‏ ‎предназначены ‎для ‎упрощения ‎процесса‏ ‎входа‏ ‎в ‎систему‏ ‎для ‎пользователей‏ ‎и ‎обеспечения ‎безопасного ‎метода ‎доступа‏ ‎к‏ ‎ресурсам ‎без‏ ‎повторного ‎ввода‏ ‎учётных ‎данных. ‎Токены ‎выдаются ‎после‏ ‎того,‏ ‎как‏ ‎пользователь ‎входит‏ ‎в ‎систему‏ ‎с ‎именем‏ ‎и‏ ‎паролем, ‎и‏ ‎их ‎можно ‎использовать ‎для ‎последующих‏ ‎запросов ‎аутентификации.

Риски,‏ ‎связанные‏ ‎с ‎аутентификацией ‎токенов

Хотя‏ ‎аутентификация ‎на‏ ‎основе ‎токенов ‎может ‎обеспечить‏ ‎удобство‏ ‎и ‎безопасность,‏ ‎она ‎также‏ ‎создаёт ‎определённые ‎риски, ‎если ‎ею‏ ‎не‏ ‎управлять ‎должным‏ ‎образом. ‎Если‏ ‎злоумышленники ‎получат ‎эти ‎токены, ‎они‏ ‎смогут‏ ‎получить‏ ‎доступ ‎к‏ ‎учётным ‎записям‏ ‎без ‎необходимости‏ ‎знания‏ ‎пароли, ‎особенно‏ ‎если ‎токены ‎имеют ‎длительный ‎срок‏ ‎действия.

Настройка ‎срока‏ ‎действия‏ ‎токена

Отмечается, ‎что ‎время‏ ‎действия ‎токенов,‏ ‎выпущенных ‎системой, ‎по ‎умолчанию‏ ‎может‏ ‎варьироваться ‎в‏ ‎зависимости ‎от‏ ‎используемой ‎системы. ‎Однако ‎для ‎облачных‏ ‎платформ‏ ‎крайне ‎важно‏ ‎предоставить ‎администраторам‏ ‎возможность ‎регулировать ‎время ‎действия ‎этих‏ ‎токенов‏ ‎в‏ ‎соответствии ‎с‏ ‎их ‎потребностями‏ ‎в ‎безопасности.‏ ‎Сокращение‏ ‎срока ‎действия‏ ‎токенов ‎может ‎уменьшить ‎окно ‎возможностей‏ ‎для ‎несанкционированного‏ ‎доступа,‏ ‎если ‎токены ‎будут‏ ‎скомпрометированы.

Обход ‎аутентификации‏ ‎по ‎паролю ‎и ‎MFA

Отмечается,‏ ‎что‏ ‎обход ‎аутентификации‏ ‎по ‎паролю‏ ‎в ‎учётных ‎записях ‎с ‎помощью‏ ‎повторного‏ ‎использования ‎учётных‏ ‎данных ‎и‏ ‎password-spray. ‎Метод ‎предполагает ‎попытку ‎получить‏ ‎доступ‏ ‎к‏ ‎большому ‎количеству‏ ‎учётных ‎записей‏ ‎с ‎использованием‏ ‎часто‏ ‎используемых ‎паролей,‏ ‎в ‎то ‎время ‎как ‎повторное‏ ‎использование ‎учётных‏ ‎данных‏ ‎позволяет ‎пользователям ‎повторно‏ ‎использовать ‎одни‏ ‎и ‎те ‎же ‎пароли‏ ‎для‏ ‎нескольких ‎учётных‏ ‎записей

Также ‎применяется‏ ‎техника ‎«бомбардировка ‎MFA» ‎(T1621), ‎для‏ ‎обхода‏ ‎систем ‎MFA.‏ ‎Метод ‎предполагает‏ ‎повторную ‎отправку ‎запросов ‎MFA ‎на‏ ‎устройство‏ ‎жертвы‏ ‎до ‎тех‏ ‎пор, ‎пока‏ ‎жертва, ‎перегруженная‏ ‎постоянными‏ ‎уведомлениями, ‎не‏ ‎примет ‎запрос. ‎Метод ‎эффективно ‎использует‏ ‎человеческую ‎психологию‏ ‎и‏ ‎неудобство ‎повторных ‎уведомлений‏ ‎для ‎обхода‏ ‎надёжных ‎мер ‎безопасности.

Регистрация ‎новых‏ ‎устройств‏ ‎в ‎облаке

После‏ ‎преодоления ‎первоначальных‏ ‎барьеров ‎выполняется ‎регистрация ‎собственных ‎устройств‏ ‎в‏ ‎качестве ‎новых‏ ‎(T1098.005). ‎Этот‏ ‎шаг ‎имеет ‎решающее ‎значение ‎для‏ ‎сохранения‏ ‎доступа‏ ‎к ‎облачной‏ ‎среде ‎и‏ ‎облегчения ‎дальнейших‏ ‎вредоносных‏ ‎действий. ‎Успех‏ ‎тактики ‎зависит ‎от ‎отсутствия ‎строгих‏ ‎правил ‎проверки‏ ‎устройств‏ ‎в ‎конфигурации ‎безопасности‏ ‎арендатора ‎облака.‏ ‎Без ‎надлежащих ‎мер ‎проверки‏ ‎устройств‏ ‎крайне ‎легко‏ ‎добавить ‎неавторизованные‏ ‎устройства ‎в ‎сеть, ‎предоставив ‎им‏ ‎доступ‏ ‎к ‎конфиденциальным‏ ‎данным ‎и‏ ‎системам.

Защита ‎от ‎несанкционированной ‎регистрации ‎устройств

Внедряя‏ ‎строгие‏ ‎правила‏ ‎проверки ‎устройств‏ ‎и ‎политики‏ ‎регистрации, ‎организации‏ ‎могут‏ ‎значительно ‎снизить‏ ‎риск ‎несанкционированной ‎регистрации ‎устройств. ‎Известны‏ ‎случаи, ‎когда‏ ‎эти‏ ‎меры ‎были ‎эффективно‏ ‎применены, ‎успешно‏ ‎защитили ‎от ‎злоумышленников, ‎лишив‏ ‎их‏ ‎доступа ‎к‏ ‎арендатору ‎облака.

Резидентные‏ ‎прокси ‎и ‎их ‎использование

Резидентные ‎прокси‏ ‎—‏ ‎это ‎промежуточные‏ ‎службы, ‎которые‏ ‎позволяют ‎пользователям ‎маршрутизировать ‎трафик ‎через‏ ‎IP-адрес,‏ ‎предоставленный‏ ‎интернет-провайдером ‎(ISP),‏ ‎который ‎обычно‏ ‎присваивается ‎резидентному‏ ‎адресу.‏ ‎Из-за ‎этого‏ ‎трафик ‎выглядит ‎так, ‎как ‎будто‏ ‎он ‎исходит‏ ‎от‏ ‎обычного ‎пользователя, ‎что‏ ‎может ‎быть‏ ‎особенно ‎полезно ‎для ‎целей‏ ‎слиться‏ ‎с ‎обычным‏ ‎трафиком ‎и‏ ‎избежать ‎раскрытия.

Использование ‎резидентных ‎прокси-серверов ‎служит‏ ‎целью‏ ‎сокрытия ‎истинного‏ ‎местонахождения ‎и‏ ‎источника ‎их ‎вредоносной ‎деятельности. ‎Создавая‏ ‎впечатление,‏ ‎что‏ ‎их ‎трафик‏ ‎исходит ‎из‏ ‎диапазонов ‎легитмных‏ ‎провайдеров.‏ ‎Тактика ‎усложняет‏ ‎обеспечение ‎безопасности, ‎которые ‎полагаются ‎на‏ ‎репутацию ‎IP-адреса‏ ‎или‏ ‎геолокацию ‎как ‎на‏ ‎индикаторы ‎компрометации.

Проблемы,‏ ‎создаваемые ‎резидентными ‎прокси

Эффективность ‎резидентных‏ ‎прокси-серверов‏ ‎в ‎сокрытии‏ ‎источника ‎трафика‏ ‎представляет ‎собой ‎проблему ‎для ‎сетевой‏ ‎защиты.‏ ‎Традиционные ‎меры‏ ‎безопасности, ‎которые‏ ‎отслеживают ‎и ‎блокируют ‎известные ‎вредоносные‏ ‎IP-адреса,‏ ‎неэффективны‏ ‎против ‎использующих‏ ‎резидентные ‎прокси-серверы,‏ ‎поскольку ‎эти‏ ‎IP-адреса‏ ‎могут ‎не‏ ‎иметь ‎предыстории ‎вредоносной ‎активности ‎и‏ ‎неотличимы ‎от‏ ‎IP-адресов‏ ‎законных ‎пользователей.

Читать: 1+ мин
logo Хроники кибер-безопасника

Адаптация к Облачным Сервисам. Хамелеоны Кибермира

📌Адаптация ‎к‏ ‎облачным ‎сервисам: ‎сместился ‎фокус ‎с‏ ‎эксплуатации ‎уязвимостей‏ ‎локальной‏ ‎сети ‎на ‎прямое‏ ‎воздействие ‎на‏ ‎облачные ‎сервисы. ‎Это ‎изменение‏ ‎является‏ ‎ответом ‎на‏ ‎модернизацию ‎систем‏ ‎и ‎миграцию ‎инфраструктуры ‎в ‎облако.

📌Аутентификация‏ ‎как‏ ‎ключевой ‎шаг:‏ ‎чтобы ‎скомпрометировать‏ ‎облачные ‎сети, ‎необходимо ‎успешно ‎пройти‏ ‎аутентификацию‏ ‎у‏ ‎поставщика ‎облачных‏ ‎услуг. ‎Предотвращение‏ ‎этого ‎первоначального‏ ‎доступа‏ ‎имеет ‎решающее‏ ‎значение ‎для ‎предотвращения ‎компрометации.

📌Расширение ‎таргетинга: расширена‏ ‎сфера ‎воздействия‏ ‎на‏ ‎сектора, ‎такие ‎как,‏ ‎как ‎авиация,‏ ‎образование, ‎правоохранительные ‎органы, ‎региональные‏ ‎и‏ ‎федеральные ‎организации,‏ ‎правительственные ‎финансовые‏ ‎департаменты ‎и ‎военные ‎организации. ‎Это‏ ‎расширение‏ ‎указывает ‎на‏ ‎стратегическую ‎диверсификацию‏ ‎целей ‎сбора ‎разведывательной ‎информации.

📌Использование ‎служебных‏ ‎и‏ ‎неактивных‏ ‎учётных ‎записей:‏ ‎подчёркивается, ‎что‏ ‎за ‎последние‏ ‎12‏ ‎месяцев ‎использовались‏ ‎брутфорс-атаки ‎для ‎доступа ‎к ‎служебным‏ ‎и ‎неактивным‏ ‎учётным‏ ‎записям. ‎Эта ‎тактика‏ ‎позволяет ‎получить‏ ‎первоначальный ‎доступ ‎к ‎облачным‏ ‎средам.

📌Профессиональный‏ ‎уровень ‎атакующих: выявлена‏ ‎возможность ‎осуществления‏ ‎компрометациии ‎глобальной ‎цепочки ‎поставок, ‎как,‏ ‎например,‏ ‎инцидент ‎с‏ ‎SolarWinds ‎в‏ ‎2020 ‎году.

📌Первая ‎линия ‎защиты: ‎подчёркивается,‏ ‎что‏ ‎первая‏ ‎линия ‎защиты‏ ‎включает ‎предотвращения‏ ‎возможности ‎первичного‏ ‎доступа‏ ‎к ‎сервисам.

Читать: 2+ мин
logo Хроники кибер-безопасника

Современные атаки: Искусство Облачной Хитрости

Документ ‎под‏ ‎названием ‎«cyber ‎actors ‎adapt ‎tactics‏ ‎for ‎initial‏ ‎cloud‏ ‎access», ‎опубликованный ‎Агентством‏ ‎национальной ‎безопасности‏ ‎предупреждает, ‎об ‎адаптации ‎тактики‏ ‎для‏ ‎получения ‎первоначального‏ ‎доступа ‎к‏ ‎облачным ‎сервисам, ‎а ‎не ‎для‏ ‎использования‏ ‎уязвимостей ‎локальной‏ ‎сети.

Переход ‎от‏ ‎локальных ‎решений ‎к ‎облачным ‎является‏ ‎ответом‏ ‎на‏ ‎то, ‎что‏ ‎организации ‎модернизируют‏ ‎свои ‎системы‏ ‎и‏ ‎переходят ‎на‏ ‎облачную ‎инфраструктуру. ‎Также ‎кибер-кампании ‎расширяются‏ ‎в ‎сторону‏ ‎таких‏ ‎секторов, ‎как ‎авиация,‏ ‎образование, ‎секторов,‏ ‎связанных ‎региональными ‎и ‎федеральными,‏ ‎а‏ ‎также ‎госучреждениями,‏ ‎правительственными ‎финансовыми‏ ‎департаментами ‎и ‎военными ‎организациями.

Реальность ‎такова,‏ ‎что‏ ‎для ‎взлома‏ ‎облачных ‎сетей‏ ‎нужно ‎только ‎пройти ‎аутентификацию ‎у‏ ‎поставщика‏ ‎облачных‏ ‎услуг, ‎и‏ ‎в ‎случае‏ ‎успеха, ‎защита‏ ‎будет‏ ‎преодолена. ‎Другими‏ ‎словами, ‎«неожиданный» ‎аспект ‎облачных ‎сред:‏ ‎меньшая ‎уязвимость‏ ‎сети‏ ‎по ‎сравнению ‎с‏ ‎локальными ‎системами‏ ‎парадоксальным ‎образом ‎делает ‎преодоление‏ ‎первоначального‏ ‎доступа ‎наиболее‏ ‎эффективным.

За ‎последний‏ ‎год ‎наблюдаемые ‎TTPs ‎были ‎простыми,‏ ‎и‏ ‎вместе ‎с‏ ‎тем ‎эффективными‏ ‎так ‎как ‎использовались ‎служебные ‎и‏ ‎бездействующие‏ ‎учётные‏ ‎записи. ‎В‏ ‎целом ‎публикация‏ ‎вызывает ‎прохладное‏ ‎утешение,‏ ‎предполагая, ‎что‏ ‎прочная ‎основа ‎основ ‎безопасности ‎всего‏ ‎лишь ‎гонка‏ ‎на‏ ‎опережение ‎специалистов ‎по‏ ‎безопасности ‎с‏ ‎атакующими.

Ключевые ‎выводы

Адаптация ‎к ‎облачным‏ ‎сервисам:‏ ‎сместился ‎фокус‏ ‎с ‎эксплуатации‏ ‎уязвимостей ‎локальной ‎сети ‎на ‎прямое‏ ‎воздействие‏ ‎на ‎облачные‏ ‎сервисы. ‎Это‏ ‎изменение ‎является ‎ответом ‎на ‎модернизацию‏ ‎систем‏ ‎и‏ ‎миграцию ‎инфраструктуры‏ ‎в ‎облако.

📌Аутентификация‏ ‎как ‎ключевой‏ ‎шаг:‏ ‎чтобы ‎скомпрометировать‏ ‎облачные ‎сети, ‎необходимо ‎успешно ‎пройти‏ ‎аутентификацию ‎у‏ ‎поставщика‏ ‎облачных ‎услуг. ‎Предотвращение‏ ‎этого ‎первоначального‏ ‎доступа ‎имеет ‎решающее ‎значение‏ ‎для‏ ‎предотвращения ‎компрометации.

📌Расширение‏ ‎таргетинга: расширена ‎сфера‏ ‎воздействия ‎на ‎сектора, ‎такие ‎как,‏ ‎как‏ ‎авиация, ‎образование,‏ ‎правоохранительные ‎органы,‏ ‎региональные ‎и ‎федеральные ‎организации, ‎правительственные‏ ‎финансовые‏ ‎департаменты‏ ‎и ‎военные‏ ‎организации. ‎Это‏ ‎расширение ‎указывает‏ ‎на‏ ‎стратегическую ‎диверсификацию‏ ‎целей ‎сбора ‎разведывательной ‎информации.

📌Использование ‎служебных‏ ‎и ‎неактивных‏ ‎учётных‏ ‎записей: ‎подчёркивается, ‎что‏ ‎за ‎последние‏ ‎12 ‎месяцев ‎использовались ‎брутфорс-атаки‏ ‎для‏ ‎доступа ‎к‏ ‎служебным ‎и‏ ‎неактивным ‎учётным ‎записям. ‎Эта ‎тактика‏ ‎позволяет‏ ‎получить ‎первоначальный‏ ‎доступ ‎к‏ ‎облачным ‎средам.

📌Профессиональный ‎уровень ‎атакующих: ‎выявлена‏ ‎возможность‏ ‎осуществления‏ ‎компрометациии ‎глобальной‏ ‎цепочки ‎поставок,‏ ‎как, ‎например,‏ ‎инцидент‏ ‎с ‎SolarWinds‏ ‎в ‎2020 ‎году.

📌Первая ‎линия ‎защиты:‏ ‎подчёркивается, ‎что‏ ‎первая‏ ‎линия ‎защиты ‎включает‏ ‎предотвращения ‎возможности‏ ‎первичного ‎доступа ‎к ‎сервисам.

Читать: 3+ мин
logo Хроники кибер-безопасника

АНБ в истерике. AdaptTactics

Приготовьтесь ‎к‏ ‎очередному ‎эпизоду ‎«Кибербезопасности», ‎в ‎котором‏ ‎будут ‎показаны‏ ‎наши‏ ‎любимые ‎кибер-злодеи, ‎и‏ ‎их ‎громкие‏ ‎облачные ‎выходки! ‎На ‎этот‏ ‎раз‏ ‎АНБ ‎и‏ ‎ФБР ‎объединились,‏ ‎чтобы ‎рассказать ‎захватывающую ‎историю ‎о‏ ‎том,‏ ‎что ‎атакующим‏ ‎уже ‎не‏ ‎интересны ‎локальные ‎сети ‎и ‎сервера,‏ ‎когда‏ ‎есть‏ ‎бескрайние ‎просторы‏ ‎облачных ‎сервисов.

Этот‏ ‎документ ‎больше‏ ‎похож‏ ‎на ‎практическое‏ ‎руководство ‎для ‎начинающих ‎киберпреступников, ‎чем‏ ‎на ‎предупреждение.‏ ‎В‏ ‎нем ‎подробно ‎описывается‏ ‎хитроумная ‎смена‏ ‎тактики, ‎когда ‎наглым ‎образом‏ ‎воруются‏ ‎токенов ‎от‏ ‎учётных ‎записей,‏ ‎особенно ‎неиспользуемых, ‎но ‎всё ‎ещё‏ ‎активных,‏ ‎чтобы ‎обойти‏ ‎разом ‎все‏ ‎облачные ‎механизмы ‎защиты.

Если ‎вы ‎думали,‏ ‎что‏ ‎ваши‏ ‎данные ‎в‏ ‎облаке ‎будут‏ ‎в ‎большей‏ ‎безопасности,‏ ‎подумайте ‎ещё‏ ‎раз. ‎А ‎потом, ‎обновите ‎свои‏ ‎пароли, ‎защитите‏ ‎свои‏ ‎учётные ‎записи ‎и,‏ ‎возможно, ‎купите‏ ‎кибер-страховку, ‎этот ‎рынок ‎кибер-продуктов‏ ‎популярнее‏ ‎ИБ-продуктов.

-------

В ‎документе‏ ‎представлен ‎всесторонний‏ ‎анализ ‎публикации, ‎в ‎которой ‎подробно‏ ‎описаны‏ ‎известные ‎тактики,‏ ‎методы ‎и‏ ‎процедуры ‎(TTP), ‎используемые ‎кибер-профессионалами ‎для‏ ‎получения‏ ‎первоначального‏ ‎доступа ‎к‏ ‎облачным ‎системам.‏ ‎Анализ ‎охватывает‏ ‎различные‏ ‎аспекты, ‎включая‏ ‎выявление ‎и ‎использование ‎уязвимостей, ‎различные‏ ‎методы ‎использования‏ ‎облачных‏ ‎технологий, ‎развёртывание ‎специального‏ ‎вредоносного ‎ПО.

Представлены‏ ‎ключевые ‎моменты ‎и ‎полезная‏ ‎информация,‏ ‎которую ‎могут‏ ‎использовать ‎ИБ‏ ‎и ‎ИТ ‎специалисты ‎и ‎специалисты‏ ‎в‏ ‎различных ‎отраслях‏ ‎для ‎улучшения‏ ‎своих ‎защитных ‎стратегий, ‎против ‎спонсируемых‏ ‎государством‏ ‎киберугроз.‏ ‎Понимая ‎адаптированную‏ ‎тактику ‎субъекта‏ ‎для ‎первоначального‏ ‎доступа‏ ‎к ‎облаку,‏ ‎заинтересованные ‎стороны ‎могут ‎лучше ‎предвидеть‏ ‎и ‎снижать‏ ‎потенциальные‏ ‎риски ‎для ‎своей‏ ‎облачной ‎инфраструктуры,‏ ‎тем ‎самым ‎укрепляя ‎свою‏ ‎общую‏ ‎безопасность.


Подробный ‎разбор




Читать: 2+ мин
logo Overkill Security

Benefits and Drawbacks of NSA’s Advisory. The Double-Edged Sword

The ‎document‏ ‎titled ‎“cyber ‎actors ‎adapt ‎tactics‏ ‎for ‎initial‏ ‎cloud‏ ‎access” ‎released ‎by‏ ‎the ‎National‏ ‎Security ‎Agency ‎(NSA) ‎warns‏ ‎of‏ ‎use ‎of‏ ‎cyber ‎actors‏ ‎have ‎adapted ‎their ‎tactics ‎to‏ ‎gain‏ ‎initial ‎access‏ ‎to ‎cloud‏ ‎services, ‎as ‎opposed ‎to ‎exploiting‏ ‎on-premise‏ ‎network‏ ‎vulnerabilities.

Benefits:

Awareness ‎and‏ ‎Understanding: ‎The‏ ‎document ‎raises‏ ‎awareness‏ ‎about ‎the‏ ‎shift ‎in ‎tactics ‎towards ‎cloud‏ ‎services, ‎which‏ ‎is‏ ‎crucial ‎for ‎organizations‏ ‎to ‎understand‏ ‎the ‎current ‎threat ‎landscape.

📌Detailed‏ ‎TTPs: It‏ ‎provides ‎detailed‏ ‎information ‎on‏ ‎the ‎tactics, ‎techniques, ‎and ‎procedures‏ ‎(TTPs)‏ ‎used ‎by‏ ‎actors, ‎including‏ ‎the ‎use ‎of ‎service ‎and‏ ‎dormant‏ ‎accounts,‏ ‎which ‎can‏ ‎help ‎organizations‏ ‎identify ‎potential‏ ‎threats‏ ‎and ‎vulnerabilities.

📌Sector-Specific‏ ‎Insights: The ‎document ‎outlines ‎the ‎expansion‏ ‎of ‎targeting‏ ‎to‏ ‎sectors ‎such ‎as‏ ‎aviation, ‎education,‏ ‎law ‎enforcement, ‎and ‎military‏ ‎organizations,‏ ‎offering ‎sector-specific‏ ‎insights ‎that‏ ‎can ‎help ‎these ‎industries ‎bolster‏ ‎their‏ ‎defenses.

📌Mitigation ‎Strategies: It‏ ‎offers ‎practical‏ ‎mitigation ‎strategies ‎that ‎organizations ‎can‏ ‎implement‏ ‎to‏ ‎strengthen ‎their‏ ‎defenses ‎against‏ ‎initial ‎access‏ ‎by‏ ‎actors, ‎such‏ ‎as ‎implementing ‎MFA ‎and ‎managing‏ ‎system ‎accounts.

📌Emphasis‏ ‎on‏ ‎Fundamentals: The ‎advisory ‎emphasizes‏ ‎the ‎importance‏ ‎of ‎cybersecurity ‎fundamentals, ‎which‏ ‎can‏ ‎help ‎organizations‏ ‎establish ‎a‏ ‎strong ‎baseline ‎defense ‎against ‎sophisticated‏ ‎actors.

📌Global‏ ‎Supply ‎Chain‏ ‎Relevance: ‎The‏ ‎document ‎references ‎the ‎actors’ ‎involvement‏ ‎in‏ ‎the‏ ‎SolarWinds ‎supply‏ ‎chain ‎compromise,‏ ‎highlighting ‎the‏ ‎global‏ ‎implications ‎of‏ ‎such ‎cyber ‎espionage ‎activities.

Drawbacks:

📌Resource ‎Intensity:‏ ‎Implementing ‎the‏ ‎recommended‏ ‎mitigations ‎may ‎require‏ ‎significant ‎resources,‏ ‎which ‎could ‎be ‎challenging‏ ‎for‏ ‎smaller ‎organizations‏ ‎with ‎limited‏ ‎cybersecurity ‎budgets ‎and ‎personnel.

📌Complexity ‎of‏ ‎Cloud‏ ‎Security: ‎The‏ ‎document ‎points‏ ‎out ‎the ‎inherent ‎challenges ‎in‏ ‎securing‏ ‎cloud‏ ‎infrastructure, ‎which‏ ‎may ‎require‏ ‎specialized ‎knowledge‏ ‎and‏ ‎skills ‎that‏ ‎not ‎all ‎organizations ‎possess.

📌Evolving ‎Tactics: While‏ ‎the ‎document‏ ‎provides‏ ‎current ‎TTPs, ‎the‏ ‎actors’ ‎tactics‏ ‎are ‎constantly ‎evolving, ‎which‏ ‎means‏ ‎that ‎defenses‏ ‎based ‎solely‏ ‎on ‎this ‎advisory ‎may ‎quickly‏ ‎become‏ ‎outdated.

📌Potential ‎for‏ ‎Overemphasis ‎on‏ ‎Specific ‎Threats: Focusing ‎too ‎much ‎on‏ ‎such‏ ‎actors‏ ‎could ‎lead‏ ‎organizations ‎to‏ ‎neglect ‎other‏ ‎threat‏ ‎actors ‎or‏ ‎vectors ‎that ‎are ‎equally ‎dangerous‏ ‎but ‎not‏ ‎covered‏ ‎in ‎the ‎document.

📌Shared‏ ‎Responsibility ‎Model:‏ ‎The ‎document ‎implies ‎a‏ ‎shared‏ ‎responsibility ‎model‏ ‎for ‎cloud‏ ‎security, ‎which ‎may ‎lead ‎to‏ ‎confusion‏ ‎about ‎the‏ ‎division ‎of‏ ‎security ‎responsibilities ‎between ‎cloud ‎providers‏ ‎and‏ ‎customers.

📌False‏ ‎Sense ‎of‏ ‎Security: Organizations ‎might‏ ‎develop ‎a‏ ‎false‏ ‎sense ‎of‏ ‎security ‎by ‎relying ‎on ‎the‏ ‎mitigations ‎suggested,‏ ‎without‏ ‎considering ‎the ‎need‏ ‎for ‎a‏ ‎dynamic ‎and ‎adaptive ‎security‏ ‎posture‏ ‎to ‎respond‏ ‎to ‎new‏ ‎threats.

Читать: 8+ мин
logo Overkill Security

The Defense Cybersecurity Workout Plan. The Basics Never Looked So Good

Defense ‎through‏ ‎Cybersecurity ‎Fundamentals ‎in ‎the ‎APT

In‏ ‎the ‎contemporary‏ ‎cybersecurity‏ ‎landscape, ‎marked ‎by‏ ‎the ‎sophisticated‏ ‎operations ‎of ‎actors, ‎the‏ ‎importance‏ ‎of ‎adhering‏ ‎to ‎cybersecurity‏ ‎fundamentals ‎cannot ‎be ‎overstated. ‎While‏ ‎advanced‏ ‎threats ‎continue‏ ‎to ‎evolve,‏ ‎leveraging ‎cutting-edge ‎tactics, ‎techniques, ‎and‏ ‎procedures‏ ‎(TTPs),‏ ‎a ‎strong‏ ‎foundation ‎in‏ ‎cybersecurity ‎fundamentals‏ ‎remains‏ ‎a ‎critical‏ ‎line ‎of ‎defense ‎for ‎organizations‏ ‎across ‎all‏ ‎sectors.‏ ‎This ‎foundational ‎approach‏ ‎to ‎cybersecurity‏ ‎emphasizes ‎the ‎implementation ‎of‏ ‎best‏ ‎practices, ‎policies,‏ ‎and ‎controls‏ ‎that ‎are ‎designed ‎to ‎protect‏ ‎against‏ ‎a ‎wide‏ ‎range ‎of‏ ‎threats, ‎including ‎those ‎from ‎highly‏ ‎sophisticated‏ ‎adversaries.

Understanding‏ ‎Cybersecurity ‎Fundamentals

📌Access‏ ‎Control: ‎Ensuring‏ ‎that ‎only‏ ‎authorized‏ ‎users ‎have‏ ‎access ‎to ‎information ‎systems ‎and‏ ‎data, ‎and‏ ‎that‏ ‎they ‎are ‎only‏ ‎able ‎to‏ ‎perform ‎actions ‎that ‎are‏ ‎necessary‏ ‎for ‎their‏ ‎role.

📌Data ‎Encryption: Protecting‏ ‎data ‎at ‎rest ‎and ‎in‏ ‎transit‏ ‎through ‎encryption,‏ ‎making ‎it‏ ‎unreadable ‎to ‎unauthorized ‎users.

📌Patch ‎Management: Regularly‏ ‎updating‏ ‎software‏ ‎and ‎systems‏ ‎to ‎address‏ ‎vulnerabilities ‎and‏ ‎reduce‏ ‎the ‎risk‏ ‎of ‎exploitation.

📌Firewalls ‎and ‎Intrusion ‎Detection‏ ‎Systems ‎(IDS): Implementing‏ ‎firewalls‏ ‎to ‎block ‎unauthorized‏ ‎access ‎and‏ ‎IDS ‎to ‎monitor ‎network‏ ‎traffic‏ ‎for ‎suspicious‏ ‎activity.

📌Multi-Factor ‎Authentication‏ ‎(MFA): ‎Requiring ‎users ‎to ‎provide‏ ‎two‏ ‎or ‎more‏ ‎verification ‎factors‏ ‎to ‎gain ‎access ‎to ‎systems,‏ ‎significantly‏ ‎enhancing‏ ‎security.

📌Security ‎Awareness‏ ‎Training: Educating ‎employees‏ ‎about ‎cybersecurity‏ ‎risks‏ ‎and ‎best‏ ‎practices ‎to ‎prevent ‎social ‎engineering‏ ‎attacks ‎and‏ ‎other‏ ‎threats.

📌Incident ‎Response ‎Planning:‏ ‎Preparing ‎for‏ ‎potential ‎security ‎incidents ‎with‏ ‎a‏ ‎well-defined ‎plan‏ ‎for ‎response‏ ‎and ‎recovery.

The ‎Role ‎of ‎Fundamentals‏ ‎in‏ ‎Defending ‎Against‏ ‎Sophisticated ‎Threats

While‏ ‎sophisticated ‎cyber ‎actors ‎like ‎the‏ ‎actors‏ ‎employ‏ ‎advanced ‎techniques‏ ‎to ‎bypass‏ ‎security ‎measures,‏ ‎many‏ ‎of ‎their‏ ‎strategies ‎still ‎exploit ‎basic ‎security‏ ‎weaknesses—such ‎as‏ ‎poor‏ ‎password ‎management, ‎unpatched‏ ‎software, ‎and‏ ‎insufficient ‎access ‎controls. ‎By‏ ‎adhering‏ ‎to ‎cybersecurity‏ ‎fundamentals, ‎organizations‏ ‎can ‎address ‎these ‎vulnerabilities, ‎making‏ ‎it‏ ‎significantly ‎more‏ ‎difficult ‎for‏ ‎attackers ‎to ‎gain ‎initial ‎access‏ ‎or‏ ‎move‏ ‎laterally ‎within‏ ‎a ‎network.

For‏ ‎example, ‎the‏ ‎implementation‏ ‎of ‎MFA‏ ‎can ‎prevent ‎unauthorized ‎access ‎even‏ ‎if ‎credentials‏ ‎are‏ ‎compromised. ‎Regular ‎patch‏ ‎management ‎can‏ ‎close ‎off ‎vulnerabilities ‎before‏ ‎they‏ ‎can ‎be‏ ‎exploited ‎in‏ ‎a ‎zero-day ‎attack. ‎Security ‎awareness‏ ‎training‏ ‎can ‎reduce‏ ‎the ‎risk‏ ‎of ‎employees ‎falling ‎victim ‎to‏ ‎phishing‏ ‎or‏ ‎other ‎social‏ ‎engineering ‎tactics.

Challenges‏ ‎in ‎Maintaining‏ ‎Cybersecurity‏ ‎Fundamentals

Despite ‎the‏ ‎clear ‎benefits, ‎maintaining ‎a ‎strong‏ ‎foundation ‎in‏ ‎cybersecurity‏ ‎fundamentals ‎can ‎be‏ ‎challenging ‎for‏ ‎organizations. ‎This ‎can ‎be‏ ‎due‏ ‎to ‎a‏ ‎variety ‎of‏ ‎factors, ‎including ‎resource ‎constraints, ‎the‏ ‎complexity‏ ‎of ‎modern‏ ‎IT ‎environments,‏ ‎and ‎the ‎rapid ‎pace ‎of‏ ‎technological‏ ‎change.‏ ‎Additionally, ‎as‏ ‎organizations ‎increasingly‏ ‎adopt ‎cloud‏ ‎services‏ ‎and ‎other‏ ‎advanced ‎technologies, ‎the ‎cybersecurity ‎landscape‏ ‎becomes ‎more‏ ‎complex,‏ ‎requiring ‎continuous ‎adaptation‏ ‎of ‎fundamental‏ ‎security ‎practices.

Strategies ‎for ‎Strengthening‏ ‎Fundamental‏ ‎Defenses

📌Continuous ‎Risk‏ ‎Assessment: Regularly ‎assessing‏ ‎the ‎organization's ‎security ‎posture ‎to‏ ‎identify‏ ‎vulnerabilities ‎and‏ ‎prioritize ‎remediation‏ ‎efforts.

📌Leveraging ‎Security ‎Frameworks: Adopting ‎comprehensive ‎security‏ ‎frameworks,‏ ‎such‏ ‎as ‎the‏ ‎NIST ‎Cybersecurity‏ ‎Framework, ‎to‏ ‎guide‏ ‎the ‎implementation‏ ‎of ‎best ‎practices ‎and ‎controls.

📌Automating‏ ‎Security ‎Processes:‏ ‎Utilizing‏ ‎automation ‎to ‎streamline‏ ‎security ‎processes,‏ ‎such ‎as ‎patch ‎management‏ ‎and‏ ‎monitoring, ‎to‏ ‎enhance ‎efficiency‏ ‎and ‎effectiveness.

📌Fostering ‎a ‎Culture ‎of‏ ‎Security:‏ ‎Building ‎a‏ ‎strong ‎security‏ ‎culture ‎within ‎the ‎organization, ‎where‏ ‎cybersecurity‏ ‎is‏ ‎viewed ‎as‏ ‎a ‎shared‏ ‎responsibility ‎among‏ ‎all‏ ‎employees.

📌Collaboration ‎and‏ ‎Information ‎Sharing: ‎Engaging ‎in ‎collaboration‏ ‎and ‎information‏ ‎sharing‏ ‎with ‎industry ‎peers‏ ‎and ‎government‏ ‎agencies ‎to ‎stay ‎informed‏ ‎about‏ ‎emerging ‎threats‏ ‎and ‎best‏ ‎practices.

Mitigations ‎to ‎Strengthen ‎Defense ‎Against‏ ‎APT

In‏ ‎the ‎context‏ ‎of ‎heightened‏ ‎cyber ‎threats ‎from ‎sophisticated ‎actors,‏ ‎organizations‏ ‎must‏ ‎employ ‎a‏ ‎comprehensive ‎set‏ ‎of ‎mitigations‏ ‎to‏ ‎strengthen ‎their‏ ‎defenses. ‎These ‎mitigations ‎are ‎designed‏ ‎to ‎address‏ ‎vulnerabilities‏ ‎across ‎various ‎aspects‏ ‎of ‎an‏ ‎organization's ‎infrastructure ‎and ‎operations,‏ ‎thereby‏ ‎reducing ‎the‏ ‎risk ‎of‏ ‎successful ‎cyber-attacks. ‎Implementing ‎these ‎mitigations‏ ‎requires‏ ‎a ‎strategic‏ ‎approach ‎that‏ ‎encompasses ‎both ‎technical ‎solutions ‎and‏ ‎organizational‏ ‎processes.

Key‏ ‎Mitigation ‎Strategies

📌Implement‏ ‎Multi-Factor ‎Authentication‏ ‎(MFA): MFA ‎is‏ ‎one‏ ‎of ‎the‏ ‎most ‎effective ‎controls ‎for ‎securing‏ ‎user ‎accounts‏ ‎against‏ ‎compromise. ‎By ‎requiring‏ ‎multiple ‎forms‏ ‎of ‎verification, ‎MFA ‎makes‏ ‎it‏ ‎significantly ‎more‏ ‎difficult ‎for‏ ‎attackers ‎to ‎gain ‎unauthorized ‎access,‏ ‎even‏ ‎if ‎they‏ ‎have ‎obtained‏ ‎a ‎user's ‎credentials.

📌Regular ‎Patching ‎and‏ ‎Updates:‏ ‎Keeping‏ ‎software ‎and‏ ‎systems ‎up‏ ‎to ‎date‏ ‎with‏ ‎the ‎latest‏ ‎patches ‎is ‎crucial ‎for ‎closing‏ ‎security ‎gaps‏ ‎that‏ ‎could ‎be ‎exploited‏ ‎by ‎attackers.‏ ‎A ‎regular ‎patch ‎management‏ ‎process‏ ‎should ‎be‏ ‎established ‎to‏ ‎ensure ‎timely ‎application ‎of ‎updates.

📌Network‏ ‎Segmentation: Dividing‏ ‎the ‎network‏ ‎into ‎smaller,‏ ‎controlled ‎segments ‎can ‎limit ‎an‏ ‎attacker's‏ ‎ability‏ ‎to ‎move‏ ‎laterally ‎within‏ ‎the ‎network‏ ‎and‏ ‎access ‎sensitive‏ ‎areas. ‎Segmentation ‎also ‎helps ‎contain‏ ‎potential ‎breaches‏ ‎to‏ ‎a ‎smaller ‎subset‏ ‎of ‎the‏ ‎network.

📌Endpoint ‎Protection: ‎Deploying ‎advanced‏ ‎endpoint‏ ‎protection ‎solutions‏ ‎can ‎help‏ ‎detect ‎and ‎prevent ‎malicious ‎activities‏ ‎on‏ ‎devices ‎that‏ ‎access ‎the‏ ‎organization's ‎network. ‎This ‎includes ‎the‏ ‎use‏ ‎of‏ ‎antivirus ‎software,‏ ‎host-based ‎intrusion‏ ‎prevention ‎systems,‏ ‎and‏ ‎endpoint ‎detection‏ ‎and ‎response ‎(EDR) ‎tools.

📌Security ‎Awareness‏ ‎Training: Educating ‎employees‏ ‎about‏ ‎cybersecurity ‎risks ‎and‏ ‎best ‎practices‏ ‎is ‎essential ‎for ‎preventing‏ ‎social‏ ‎engineering ‎attacks,‏ ‎such ‎as‏ ‎phishing. ‎Regular ‎training ‎can ‎help‏ ‎create‏ ‎a ‎culture‏ ‎of ‎security‏ ‎awareness ‎within ‎the ‎organization.

📌Least ‎Privilege‏ ‎Access‏ ‎Control: Ensuring‏ ‎that ‎users‏ ‎have ‎only‏ ‎the ‎access‏ ‎rights‏ ‎necessary ‎for‏ ‎their ‎role ‎helps ‎minimize ‎the‏ ‎potential ‎impact‏ ‎of‏ ‎account ‎compromise. ‎Access‏ ‎controls ‎should‏ ‎be ‎regularly ‎reviewed ‎and‏ ‎adjusted‏ ‎as ‎necessary.

📌IR‏ ‎Planning: ‎Having‏ ‎a ‎well-defined ‎and ‎tested ‎incident‏ ‎response‏ ‎plan ‎enables‏ ‎organizations ‎to‏ ‎respond ‎quickly ‎and ‎effectively ‎to‏ ‎security‏ ‎incidents,‏ ‎minimizing ‎damage‏ ‎and ‎restoring‏ ‎operations ‎as‏ ‎soon‏ ‎as ‎possible.

📌Continuous‏ ‎Monitoring ‎and ‎Detection: Implementing ‎continuous ‎monitoring‏ ‎and ‎detection‏ ‎capabilities‏ ‎can ‎help ‎identify‏ ‎suspicious ‎activities‏ ‎early ‎on. ‎This ‎includes‏ ‎the‏ ‎use ‎of‏ ‎security ‎information‏ ‎and ‎event ‎management ‎(SIEM) ‎systems,‏ ‎intrusion‏ ‎detection ‎systems‏ ‎(IDS), ‎and‏ ‎network ‎traffic ‎analysis.

📌Secure ‎Configuration ‎and‏ ‎Hardening:‏ ‎Systems‏ ‎should ‎be‏ ‎securely ‎configured‏ ‎and ‎hardened‏ ‎against‏ ‎attacks. ‎This‏ ‎involves ‎disabling ‎unnecessary ‎services, ‎applying‏ ‎secure ‎configuration‏ ‎settings,‏ ‎and ‎ensuring ‎that‏ ‎security ‎features‏ ‎are ‎enabled.

📌Backup ‎and ‎Recovery:‏ ‎Regular‏ ‎backups ‎of‏ ‎critical ‎data‏ ‎and ‎systems, ‎along ‎with ‎robust‏ ‎recovery‏ ‎procedures, ‎are‏ ‎essential ‎for‏ ‎resilience ‎against ‎ransomware ‎and ‎other‏ ‎destructive‏ ‎attacks.‏ ‎Backups ‎should‏ ‎be ‎tested‏ ‎regularly ‎to‏ ‎ensure‏ ‎they ‎can‏ ‎be ‎relied ‎upon ‎in ‎an‏ ‎emergency.

Challenges ‎in‏ ‎Implementing‏ ‎Mitigations

While ‎these ‎mitigations‏ ‎are ‎effective‏ ‎in ‎theory, ‎organizations ‎often‏ ‎face‏ ‎challenges ‎in‏ ‎their ‎implementation.‏ ‎These ‎challenges ‎can ‎include ‎limited‏ ‎resources,‏ ‎the ‎complexity‏ ‎of ‎IT‏ ‎environments, ‎the ‎need ‎for ‎specialized‏ ‎skills,‏ ‎and‏ ‎the ‎difficulty‏ ‎of ‎balancing‏ ‎security ‎with‏ ‎business‏ ‎requirements. ‎Additionally,‏ ‎the ‎rapidly ‎evolving ‎nature ‎of‏ ‎cyber ‎threats‏ ‎means‏ ‎that ‎mitigation ‎strategies‏ ‎must ‎be‏ ‎continually ‎reassessed ‎and ‎updated.

Collaborative‏ ‎Efforts‏ ‎and ‎Information‏ ‎Sharing

To ‎overcome‏ ‎these ‎challenges ‎and ‎enhance ‎the‏ ‎effectiveness‏ ‎of ‎mitigations,‏ ‎organizations ‎can‏ ‎engage ‎in ‎collaborative ‎efforts ‎and‏ ‎information‏ ‎sharing‏ ‎with ‎industry‏ ‎partners, ‎government‏ ‎agencies, ‎and‏ ‎cybersecurity‏ ‎communities. ‎This‏ ‎collaboration ‎can ‎provide ‎access ‎to‏ ‎shared ‎knowledge,‏ ‎threat‏ ‎intelligence, ‎and ‎best‏ ‎practices ‎that‏ ‎can ‎inform ‎and ‎improve‏ ‎an‏ ‎organization's ‎mitigation‏ ‎efforts.

Читать: 3+ мин
logo Overkill Security

Sophistication of Cyber Actors. The James Bonds of the Digital Realm

The ‎actors‏ ‎according ‎to ‎document ‎“cyber ‎actors‏ ‎adapt ‎tactics‏ ‎for‏ ‎initial ‎cloud ‎access”‏ ‎has ‎demonstrated‏ ‎a ‎high ‎level ‎of‏ ‎sophistication‏ ‎in ‎its‏ ‎cyber ‎operations,‏ ‎reflecting ‎a ‎deep ‎understanding ‎of‏ ‎the‏ ‎global ‎cyber‏ ‎landscape ‎and‏ ‎an ‎ability ‎to ‎adapt ‎and‏ ‎innovate‏ ‎in‏ ‎the ‎face‏ ‎of ‎evolving‏ ‎security ‎measures.‏ ‎This‏ ‎sophistication ‎is‏ ‎not ‎only ‎evident ‎in ‎the‏ ‎technical ‎capabilities‏ ‎but‏ ‎also ‎in ‎their‏ ‎strategic ‎approach‏ ‎to ‎cyber ‎espionage, ‎which‏ ‎involves‏ ‎careful ‎target‏ ‎selection, ‎meticulous‏ ‎planning, ‎and ‎the ‎use ‎of‏ ‎advanced‏ ‎tactics, ‎techniques,‏ ‎and ‎procedures‏ ‎(TTPs).

Technical ‎Prowess ‎and ‎Innovation

Cyber ‎operations‏ ‎are‏ ‎characterized‏ ‎by ‎the‏ ‎use ‎of‏ ‎custom ‎malware‏ ‎and‏ ‎zero-day ‎vulnerabilities—previously‏ ‎unknown ‎software ‎vulnerabilities ‎that ‎haven't‏ ‎been ‎disclosed‏ ‎to‏ ‎the ‎software ‎maker‏ ‎or ‎the‏ ‎public. ‎The ‎exploitation ‎of‏ ‎these‏ ‎vulnerabilities ‎allows‏ ‎them ‎to‏ ‎infiltrate ‎target ‎networks ‎undetected. ‎An‏ ‎example‏ ‎of ‎this‏ ‎is ‎the‏ ‎SolarWinds ‎supply ‎chain ‎attack, ‎where‏ ‎is‏ ‎believed‏ ‎to ‎have‏ ‎compromised ‎the‏ ‎software ‎development‏ ‎process‏ ‎to ‎insert‏ ‎malicious ‎code ‎into ‎a ‎software‏ ‎update, ‎affecting‏ ‎thousands‏ ‎of ‎SolarWinds' ‎clients,‏ ‎including ‎government‏ ‎agencies ‎and ‎Fortune ‎500‏ ‎companies.

Operational‏ ‎Security ‎and‏ ‎Stealth

Operational ‎security‏ ‎(OpSec) ‎is ‎a ‎hallmark ‎of‏ ‎operations,‏ ‎with ‎the‏ ‎agency ‎going‏ ‎to ‎great ‎lengths ‎to ‎cover‏ ‎its‏ ‎tracks‏ ‎and ‎maintain‏ ‎stealth ‎within‏ ‎compromised ‎networks.‏ ‎This‏ ‎includes ‎the‏ ‎use ‎of ‎encrypted ‎channels ‎for‏ ‎exfiltrating ‎data,‏ ‎the‏ ‎careful ‎management ‎of‏ ‎command-and-control ‎servers‏ ‎to ‎avoid ‎detection, ‎and‏ ‎the‏ ‎use ‎of‏ ‎legitimate ‎tools‏ ‎and ‎services ‎(a ‎technique ‎known‏ ‎as‏ ‎"living ‎off‏ ‎the ‎land")‏ ‎to ‎blend ‎in ‎with ‎normal‏ ‎network‏ ‎activity.‏ ‎The ‎ability‏ ‎to ‎maintain‏ ‎a ‎low‏ ‎profile‏ ‎within ‎target‏ ‎networks ‎often ‎allows ‎them ‎to‏ ‎conduct ‎long-term‏ ‎espionage‏ ‎operations ‎without ‎detection.

Psychological‏ ‎and ‎Social‏ ‎Engineering ‎Tactics

Beyond ‎technical ‎capabilities,‏ ‎it‏ ‎has ‎shown‏ ‎adeptness ‎in‏ ‎psychological ‎and ‎social ‎engineering ‎tactics.‏ ‎These‏ ‎methods ‎are‏ ‎designed ‎to‏ ‎manipulate ‎individuals ‎into ‎divulging ‎sensitive‏ ‎information‏ ‎or‏ ‎performing ‎actions‏ ‎that ‎compromise‏ ‎security. ‎Phishing‏ ‎campaigns,‏ ‎spear-phishing, ‎and‏ ‎other ‎forms ‎of ‎social ‎engineering‏ ‎are ‎frequently‏ ‎used‏ ‎to ‎gain ‎initial‏ ‎access ‎to‏ ‎target ‎networks ‎or ‎to‏ ‎escalate‏ ‎privileges ‎once‏ ‎inside.

Target ‎Selection‏ ‎and ‎Intelligence ‎Gathering

The ‎target ‎selection‏ ‎process‏ ‎is ‎strategic‏ ‎and ‎aligned‏ ‎with ‎Russia's ‎national ‎interests. ‎Targets‏ ‎are‏ ‎carefully‏ ‎chosen ‎based‏ ‎on ‎their‏ ‎potential ‎to‏ ‎provide‏ ‎valuable ‎intelligence,‏ ‎whether ‎it ‎be ‎political, ‎economic,‏ ‎technological, ‎or‏ ‎military.‏ ‎Once ‎a ‎target‏ ‎is ‎compromised,‏ ‎the ‎actors ‎focus ‎on‏ ‎long-term‏ ‎access ‎and‏ ‎intelligence ‎gathering,‏ ‎prioritizing ‎stealth ‎and ‎persistence ‎over‏ ‎immediate‏ ‎gains. ‎This‏ ‎approach ‎allows‏ ‎them ‎to ‎collect ‎a ‎comprehensive‏ ‎picture‏ ‎of‏ ‎the ‎target's‏ ‎activities, ‎relationships,‏ ‎and ‎plans.

Adaptability‏ ‎to‏ ‎the ‎Cybersecurity‏ ‎Landscape

One ‎of ‎the ‎most ‎defining‏ ‎aspects ‎is‏ ‎its‏ ‎adaptability. ‎The ‎shift‏ ‎towards ‎targeting‏ ‎cloud ‎services ‎and ‎exploiting‏ ‎service‏ ‎and ‎dormant‏ ‎accounts ‎is‏ ‎a ‎testament ‎to ‎this ‎adaptability.‏ ‎By‏ ‎continuously ‎refining‏ ‎their ‎methods‏ ‎and ‎exploring ‎new ‎vectors ‎of‏ ‎attack,‏ ‎the‏ ‎actors ‎remain‏ ‎a ‎persistent‏ ‎and ‎evolving‏ ‎threat‏ ‎in ‎the‏ ‎cyber ‎domain.

Читать: 3+ мин
logo Overkill Security

Use of Service and Dormant Accounts. Sleeping Giants

The ‎exploitation‏ ‎of ‎service ‎and ‎dormant ‎accounts‏ ‎by ‎cyber‏ ‎actors‏ ‎represents ‎a ‎sophisticated‏ ‎and ‎often‏ ‎overlooked ‎vector ‎of ‎cyber-attacks.‏ ‎These‏ ‎accounts, ‎which‏ ‎are ‎created‏ ‎for ‎various ‎operational ‎purposes ‎within‏ ‎an‏ ‎organization's ‎cloud‏ ‎and ‎on-premises‏ ‎environments, ‎can ‎provide ‎attackers ‎with‏ ‎the‏ ‎access‏ ‎they ‎need‏ ‎to ‎carry‏ ‎out ‎their‏ ‎objectives‏ ‎if ‎not‏ ‎properly ‎managed ‎and ‎secured.

Understanding ‎Service‏ ‎and ‎Dormant‏ ‎Accounts

Service‏ ‎accounts ‎are ‎specialized‏ ‎accounts ‎used‏ ‎by ‎applications ‎or ‎services‏ ‎to‏ ‎interact ‎with‏ ‎the ‎operating‏ ‎system ‎or ‎other ‎services. ‎They‏ ‎often‏ ‎have ‎elevated‏ ‎privileges ‎to‏ ‎perform ‎specific ‎tasks ‎and ‎may‏ ‎not‏ ‎be‏ ‎tied ‎to‏ ‎an ‎individual‏ ‎user's ‎identity.‏ ‎Dormant‏ ‎accounts, ‎on‏ ‎the ‎other ‎hand, ‎are ‎user‏ ‎accounts ‎that‏ ‎are‏ ‎no ‎longer ‎actively‏ ‎used, ‎either‏ ‎because ‎the ‎user ‎has‏ ‎left‏ ‎the ‎organization‏ ‎or ‎the‏ ‎account's ‎purpose ‎has ‎been ‎fulfilled.‏ ‎These‏ ‎accounts ‎are‏ ‎particularly ‎risky‏ ‎because ‎they ‎are ‎frequently ‎forgotten,‏ ‎left‏ ‎with‏ ‎more ‎privileges‏ ‎than ‎necessary,‏ ‎and ‎not‏ ‎monitored‏ ‎as ‎closely‏ ‎as ‎active ‎user ‎accounts.

Why ‎Service‏ ‎and ‎Dormant‏ ‎Accounts‏ ‎Are ‎Targeted

📌Elevated ‎Privileges: Service‏ ‎accounts ‎often‏ ‎have ‎elevated ‎privileges ‎necessary‏ ‎for‏ ‎system ‎tasks,‏ ‎which ‎can‏ ‎be ‎exploited ‎to ‎gain ‎wide‏ ‎access‏ ‎to ‎an‏ ‎organization's ‎network.

📌Lack‏ ‎of ‎Monitoring: ‎Dormant ‎accounts ‎are‏ ‎not‏ ‎regularly‏ ‎used, ‎making‏ ‎them ‎less‏ ‎likely ‎to‏ ‎be‏ ‎monitored ‎for‏ ‎suspicious ‎activity, ‎and ‎thus ‎an‏ ‎attractive ‎target‏ ‎for‏ ‎attackers.

📌Weak ‎or ‎Default‏ ‎Credentials: ‎Service‏ ‎accounts ‎may ‎be ‎configured‏ ‎with‏ ‎weak ‎or‏ ‎default ‎credentials‏ ‎that ‎are ‎easier ‎for ‎attackers‏ ‎to‏ ‎guess ‎or‏ ‎find ‎through‏ ‎brute ‎force ‎attacks.

📌Bypassing ‎User ‎Behavior‏ ‎Analytics:‏ ‎Since‏ ‎service ‎accounts‏ ‎perform ‎automated‏ ‎tasks, ‎their‏ ‎behavior‏ ‎patterns ‎can‏ ‎be ‎predictable, ‎allowing ‎malicious ‎activities‏ ‎to ‎blend‏ ‎in‏ ‎with ‎normal ‎operations‏ ‎and ‎evade‏ ‎detection.

The ‎Threat ‎Posed ‎by‏ ‎Compromised‏ ‎Accounts

📌Move ‎Laterally: Use‏ ‎the ‎account's‏ ‎privileges ‎to ‎move ‎laterally ‎within‏ ‎the‏ ‎network, ‎accessing‏ ‎other ‎systems‏ ‎and ‎data.

📌Escalate ‎Privileges: Leverage ‎the ‎account‏ ‎to‏ ‎escalate‏ ‎privileges ‎and‏ ‎gain ‎administrative‏ ‎access ‎to‏ ‎critical‏ ‎systems.

📌Maintain ‎Persistence:‏ ‎Establish ‎a ‎persistent ‎presence ‎within‏ ‎the ‎network,‏ ‎making‏ ‎it ‎more ‎difficult‏ ‎to ‎detect‏ ‎and ‎remove ‎the ‎attacker.

📌Exfiltrate‏ ‎Data:‏ ‎Access ‎and‏ ‎exfiltrate ‎sensitive‏ ‎data, ‎leading ‎to ‎data ‎breaches‏ ‎and‏ ‎intellectual ‎property‏ ‎theft.

Mitigating ‎the‏ ‎Risks ‎Associated ‎with ‎Service ‎and‏ ‎Dormant‏ ‎Accounts

📌Regular‏ ‎Audits: ‎Conduct‏ ‎regular ‎audits‏ ‎of ‎all‏ ‎accounts‏ ‎to ‎identify‏ ‎and ‎deactivate ‎dormant ‎accounts ‎and‏ ‎ensure ‎that‏ ‎service‏ ‎accounts ‎have ‎the‏ ‎minimum ‎necessary‏ ‎privileges.

📌Strong ‎Authentication ‎Controls: ‎Enforce‏ ‎strong‏ ‎password ‎policies‏ ‎and ‎use‏ ‎multi-factor ‎authentication ‎(MFA) ‎for ‎service‏ ‎accounts‏ ‎where ‎possible.

📌Monitoring‏ ‎and ‎Alerting: Implement‏ ‎monitoring ‎and ‎alerting ‎mechanisms ‎to‏ ‎detect‏ ‎unusual‏ ‎activities ‎associated‏ ‎with ‎service‏ ‎and ‎dormant‏ ‎accounts.

📌Segregation‏ ‎of ‎Duties: Apply‏ ‎the ‎principle ‎of ‎segregation ‎of‏ ‎duties ‎to‏ ‎service‏ ‎accounts ‎to ‎limit‏ ‎the ‎scope‏ ‎of ‎access ‎and ‎reduce‏ ‎the‏ ‎risk ‎of‏ ‎misuse.

📌Automated ‎Management‏ ‎Tools: Utilize ‎automated ‎account ‎management ‎tools‏ ‎to‏ ‎keep ‎track‏ ‎of ‎account‏ ‎usage ‎and ‎lifecycle, ‎ensuring ‎that‏ ‎accounts‏ ‎are‏ ‎deactivated ‎when‏ ‎no ‎longer‏ ‎needed.

Читать: 3+ мин
logo Overkill Security

Expansion of Targeting. The More, the Merrier

The ‎strategic‏ ‎expansion ‎of ‎targeting ‎by ‎cyber‏ ‎actors ‎to‏ ‎a‏ ‎broader ‎range ‎of‏ ‎sectors ‎is‏ ‎a ‎concerning ‎development ‎in‏ ‎the‏ ‎realm ‎of‏ ‎global ‎cybersecurity.‏ ‎This ‎diversification ‎of ‎targets ‎reflects‏ ‎a‏ ‎calculated ‎approach‏ ‎by ‎these‏ ‎actors ‎to ‎exploit ‎the ‎interconnected‏ ‎nature‏ ‎of‏ ‎modern ‎industries‏ ‎and ‎the‏ ‎increasing ‎reliance‏ ‎on‏ ‎cloud ‎services‏ ‎across ‎various ‎sectors.

Broadening ‎the ‎Scope‏ ‎of ‎Espionage

The‏ ‎expansion‏ ‎into ‎sectors ‎such‏ ‎as ‎aviation,‏ ‎education, ‎law ‎enforcement, ‎local‏ ‎and‏ ‎state ‎councils,‏ ‎government ‎financial‏ ‎departments, ‎and ‎military ‎organizations ‎demonstrates‏ ‎their‏ ‎intent ‎to‏ ‎gather ‎intelligence‏ ‎from ‎a ‎wide ‎spectrum ‎of‏ ‎sources.‏ ‎This‏ ‎broad ‎targeting‏ ‎strategy ‎suggests‏ ‎that ‎the‏ ‎is‏ ‎not ‎only‏ ‎interested ‎in ‎traditional ‎national ‎security-related‏ ‎information ‎but‏ ‎also‏ ‎in ‎acquiring ‎a‏ ‎diverse ‎set‏ ‎of ‎data ‎that ‎could‏ ‎provide‏ ‎economic, ‎political,‏ ‎or ‎technological‏ ‎advantages.

Implications ‎for ‎Different ‎Sectors

📌Aviation: The ‎aviation‏ ‎industry‏ ‎involves ‎a‏ ‎complex ‎ecosystem‏ ‎of ‎airlines, ‎airports, ‎manufacturers, ‎and‏ ‎support‏ ‎services,‏ ‎all ‎of‏ ‎which ‎handle‏ ‎sensitive ‎data‏ ‎related‏ ‎to ‎national‏ ‎security, ‎safety, ‎and ‎proprietary ‎technology.

📌Education:‏ ‎Universities ‎and‏ ‎research‏ ‎institutions ‎are ‎rich‏ ‎sources ‎of‏ ‎cutting-edge ‎research ‎and ‎intellectual‏ ‎property.‏ ‎They ‎are‏ ‎often ‎targeted‏ ‎for ‎their ‎groundbreaking ‎work ‎in‏ ‎science,‏ ‎technology, ‎and‏ ‎defense-related ‎areas.

📌Law‏ ‎Enforcement: ‎Law ‎enforcement ‎agencies ‎hold‏ ‎sensitive‏ ‎data‏ ‎on ‎criminal‏ ‎investigations, ‎national‏ ‎security ‎matters,‏ ‎and‏ ‎personal ‎information‏ ‎of ‎citizens, ‎making ‎them ‎a‏ ‎high-value ‎target‏ ‎for‏ ‎espionage.

📌Local ‎and ‎State‏ ‎Councils: ‎Local‏ ‎and ‎state ‎government ‎entities‏ ‎manage‏ ‎critical ‎infrastructure,‏ ‎citizen ‎services,‏ ‎and ‎have ‎access ‎to ‎vast‏ ‎amounts‏ ‎of ‎personal‏ ‎data, ‎which‏ ‎can ‎be ‎exploited ‎for ‎various‏ ‎malicious‏ ‎purposes.

📌Government‏ ‎Financial ‎Departments:‏ ‎These ‎departments‏ ‎handle ‎sensitive‏ ‎economic‏ ‎data ‎and‏ ‎have ‎insights ‎into ‎national ‎financial‏ ‎strategies ‎and‏ ‎policies,‏ ‎which ‎can ‎be‏ ‎valuable ‎for‏ ‎foreign ‎intelligence ‎services.

📌Military ‎Organizations: Military‏ ‎targets‏ ‎are ‎of‏ ‎high ‎interest‏ ‎due ‎to ‎their ‎strategic ‎importance‏ ‎and‏ ‎access ‎to‏ ‎classified ‎information‏ ‎on ‎defense ‎capabilities, ‎operations, ‎and‏ ‎technologies.

Challenges‏ ‎in‏ ‎Defending ‎a‏ ‎Wide ‎Range‏ ‎of ‎Targets

📌Diverse‏ ‎Security‏ ‎Postures: Different ‎sectors‏ ‎have ‎varying ‎levels ‎of ‎cybersecurity‏ ‎maturity ‎and‏ ‎resources,‏ ‎making ‎some ‎more‏ ‎vulnerable ‎to‏ ‎sophisticated ‎cyber ‎threats.

📌Interconnectedness: ‎The‏ ‎interconnected‏ ‎nature ‎of‏ ‎these ‎sectors‏ ‎means ‎that ‎a ‎breach ‎in‏ ‎one‏ ‎area ‎can‏ ‎have ‎cascading‏ ‎effects ‎on ‎others, ‎as ‎seen‏ ‎in‏ ‎supply‏ ‎chain ‎attacks.

Strategies‏ ‎for ‎Mitigating‏ ‎Expanded ‎Targeting‏ ‎Risks

📌Sector-Specific‏ ‎Cybersecurity ‎Frameworks: Developing‏ ‎and ‎implementing ‎cybersecurity ‎frameworks ‎tailored‏ ‎to ‎the‏ ‎unique‏ ‎needs ‎and ‎risks‏ ‎of ‎each‏ ‎sector ‎can ‎enhance ‎overall‏ ‎security.

📌Information‏ ‎Sharing: ‎Sharing‏ ‎threat ‎intelligence‏ ‎and ‎best ‎practices ‎within ‎and‏ ‎between‏ ‎sectors ‎can‏ ‎help ‎organizations‏ ‎stay ‎ahead ‎of ‎emerging ‎threats‏ ‎and‏ ‎coordinate‏ ‎responses ‎to‏ ‎incidents.

📌Regular ‎Security‏ ‎Assessments: ‎Conducting‏ ‎regular‏ ‎security ‎assessments‏ ‎and ‎penetration ‎testing ‎can ‎help‏ ‎organizations ‎identify‏ ‎and‏ ‎address ‎vulnerabilities ‎before‏ ‎they ‎are‏ ‎exploited.

📌Supply ‎Chain ‎Security: ‎Strengthening‏ ‎the‏ ‎security ‎of‏ ‎the ‎supply‏ ‎chain ‎is ‎critical, ‎as ‎attackers‏ ‎often‏ ‎target ‎less‏ ‎secure ‎elements‏ ‎within ‎the ‎supply ‎chain ‎to‏ ‎gain‏ ‎access‏ ‎to ‎larger‏ ‎organizations.

📌Incident ‎Response‏ ‎Planning: ‎Having‏ ‎a‏ ‎well-defined ‎incident‏ ‎response ‎plan ‎can ‎ensure ‎that‏ ‎organizations ‎are‏ ‎prepared‏ ‎to ‎quickly ‎and‏ ‎effectively ‎respond‏ ‎to ‎a ‎breach.

Читать: 3+ мин
logo Overkill Security

Increased Importance of Cloud Initial Access. First Impressions Matter

The ‎shift‏ ‎in ‎focus ‎by ‎cyber ‎actors‏ ‎to ‎cloud‏ ‎services‏ ‎has ‎brought ‎the‏ ‎importance ‎of‏ ‎securing ‎initial ‎access ‎to‏ ‎the‏ ‎forefront ‎of‏ ‎cybersecurity ‎efforts.‏ ‎In ‎cloud ‎environments, ‎initial ‎access‏ ‎represents‏ ‎the ‎critical‏ ‎juncture ‎at‏ ‎which ‎the ‎security ‎of ‎the‏ ‎entire‏ ‎system‏ ‎is ‎most‏ ‎vulnerable. ‎Unlike‏ ‎traditional ‎on-premises‏ ‎networks,‏ ‎where ‎multiple‏ ‎layers ‎of ‎security ‎can ‎be‏ ‎deployed, ‎cloud‏ ‎services‏ ‎are ‎accessed ‎over‏ ‎the ‎internet,‏ ‎making ‎the ‎initial ‎point‏ ‎of‏ ‎entry ‎a‏ ‎prime ‎target‏ ‎for ‎attackers.

Initial ‎Access ‎as ‎a‏ ‎Foothold‏ ‎for ‎Attackers

Gaining‏ ‎initial ‎access‏ ‎to ‎cloud ‎services ‎allows ‎attackers‏ ‎to‏ ‎establish‏ ‎a ‎foothold‏ ‎within ‎the‏ ‎target ‎environment.‏ ‎From‏ ‎this ‎position,‏ ‎they ‎can ‎potentially ‎escalate ‎privileges,‏ ‎move ‎laterally‏ ‎across‏ ‎the ‎network, ‎and‏ ‎access ‎sensitive‏ ‎data. ‎The ‎distributed ‎nature‏ ‎of‏ ‎cloud ‎services‏ ‎also ‎means‏ ‎that ‎compromising ‎a ‎single ‎account‏ ‎can‏ ‎have ‎far-reaching‏ ‎consequences, ‎potentially‏ ‎giving ‎attackers ‎access ‎to ‎a‏ ‎wide‏ ‎array‏ ‎of ‎resources‏ ‎and ‎data.

Challenges‏ ‎in ‎Securing‏ ‎Initial‏ ‎Access

📌Remote ‎Access: Cloud‏ ‎services ‎are ‎designed ‎to ‎be‏ ‎accessed ‎remotely,‏ ‎which‏ ‎inherently ‎increases ‎the‏ ‎attack ‎surface.‏ ‎Remote ‎access ‎points ‎must‏ ‎be‏ ‎secured ‎against‏ ‎unauthorized ‎entry‏ ‎while ‎still ‎providing ‎legitimate ‎users‏ ‎with‏ ‎the ‎necessary‏ ‎access.

📌Identity ‎and‏ ‎Access ‎Management ‎(IAM): In ‎cloud ‎environments,‏ ‎IAM‏ ‎becomes‏ ‎a ‎critical‏ ‎component ‎of‏ ‎security. ‎Organizations‏ ‎must‏ ‎ensure ‎that‏ ‎IAM ‎policies ‎are ‎robust ‎and‏ ‎that ‎permissions‏ ‎are‏ ‎granted ‎based ‎on‏ ‎the ‎principle‏ ‎of ‎least ‎privilege ‎to‏ ‎minimize‏ ‎the ‎risk‏ ‎of ‎initial‏ ‎access ‎by ‎unauthorized ‎entities.

📌Phishing ‎and‏ ‎Social‏ ‎Engineering: ‎Attackers‏ ‎often ‎use‏ ‎phishing ‎and ‎social ‎engineering ‎tactics‏ ‎to‏ ‎gain‏ ‎initial ‎access.‏ ‎These ‎methods‏ ‎exploit ‎human‏ ‎factors‏ ‎rather ‎than‏ ‎technical ‎vulnerabilities, ‎making ‎them ‎difficult‏ ‎to ‎defend‏ ‎against‏ ‎with ‎traditional ‎security‏ ‎measures.

Examples ‎of‏ ‎Initial ‎Access ‎Techniques

📌Credential ‎Stuffing:‏ ‎This‏ ‎technique ‎involves‏ ‎using ‎previously‏ ‎breached ‎username ‎and ‎password ‎pairs‏ ‎to‏ ‎gain ‎unauthorized‏ ‎access ‎to‏ ‎accounts, ‎banking ‎on ‎the ‎likelihood‏ ‎that‏ ‎individuals‏ ‎reuse ‎credentials‏ ‎across ‎multiple‏ ‎services.

📌Exploiting ‎Misconfigurations:‏ ‎Cloud‏ ‎services ‎can‏ ‎be ‎complex ‎to ‎configure ‎correctly,‏ ‎and ‎attackers‏ ‎often‏ ‎exploit ‎misconfigurations, ‎such‏ ‎as ‎open‏ ‎storage ‎buckets ‎or ‎improperly‏ ‎set‏ ‎access ‎controls,‏ ‎to ‎gain‏ ‎initial ‎access.

📌Compromising ‎Third-Party ‎Services: ‎Attackers‏ ‎may‏ ‎target ‎third-party‏ ‎services ‎that‏ ‎integrate ‎with ‎cloud ‎environments, ‎such‏ ‎as‏ ‎SaaS‏ ‎applications, ‎to‏ ‎gain ‎initial‏ ‎access ‎to‏ ‎the‏ ‎cloud ‎infrastructure.

Mitigating‏ ‎the ‎Risks ‎of ‎Initial ‎Access

📌Comprehensive‏ ‎Access ‎Policies: Establishing‏ ‎and‏ ‎enforcing ‎comprehensive ‎access‏ ‎policies ‎can‏ ‎help ‎control ‎who ‎has‏ ‎access‏ ‎to ‎cloud‏ ‎resources ‎and‏ ‎under ‎what ‎conditions.

📌Regular ‎Audits ‎and‏ ‎Reviews:‏ ‎Conducting ‎regular‏ ‎audits ‎and‏ ‎reviews ‎of ‎access ‎logs ‎and‏ ‎permissions‏ ‎can‏ ‎help ‎identify‏ ‎and ‎rectify‏ ‎potential ‎vulnerabilities‏ ‎before‏ ‎they ‎are‏ ‎exploited.

📌Security ‎Awareness ‎Training: ‎Educating ‎employees‏ ‎about ‎the‏ ‎risks‏ ‎of ‎phishing ‎and‏ ‎social ‎engineering‏ ‎can ‎reduce ‎the ‎likelihood‏ ‎of‏ ‎credentials ‎being‏ ‎compromised.

📌Endpoint ‎Security:‏ ‎Ensuring ‎that ‎all ‎devices ‎used‏ ‎to‏ ‎access ‎cloud‏ ‎services ‎are‏ ‎secure ‎and ‎up-to-date ‎can ‎prevent‏ ‎attackers‏ ‎from‏ ‎exploiting ‎endpoint‏ ‎vulnerabilities ‎to‏ ‎gain ‎initial‏ ‎access.

📌Anomaly‏ ‎Detection: ‎Implementing‏ ‎anomaly ‎detection ‎systems ‎can ‎help‏ ‎identify ‎unusual‏ ‎access‏ ‎patterns ‎or ‎login‏ ‎attempts ‎that‏ ‎may ‎indicate ‎an ‎attempted‏ ‎breach.

Читать: 3+ мин
logo Overkill Security

Authentication as a Key Step. We Don't Need No Stinkin' Passwords!

Authentication ‎as‏ ‎a ‎Key ‎Step ‎in ‎Cloud‏ ‎Security

In ‎the‏ ‎evolving‏ ‎landscape ‎of ‎cybersecurity,‏ ‎the ‎adaptation‏ ‎of ‎cyber ‎actors ‎to‏ ‎target‏ ‎cloud ‎services‏ ‎underscores ‎a‏ ‎pivotal ‎shift ‎in ‎the ‎tactics‏ ‎of‏ ‎cyber ‎espionage.‏ ‎This ‎transition‏ ‎from ‎exploiting ‎on-premises ‎network ‎vulnerabilities‏ ‎to‏ ‎directly‏ ‎targeting ‎cloud-based‏ ‎infrastructures ‎marks‏ ‎a ‎significant‏ ‎evolution‏ ‎in ‎cyber‏ ‎threats. ‎At ‎the ‎heart ‎of‏ ‎this ‎shift‏ ‎is‏ ‎the ‎critical ‎role‏ ‎of ‎authentication‏ ‎as ‎a ‎key ‎step‏ ‎in‏ ‎securing ‎cloud-hosted‏ ‎networks ‎against‏ ‎sophisticated ‎cyber ‎actors.

The ‎Importance ‎of‏ ‎Authentication‏ ‎in ‎Cloud‏ ‎Environments

Authentication ‎serves‏ ‎as ‎the ‎gateway ‎to ‎cloud‏ ‎services,‏ ‎determining‏ ‎whether ‎access‏ ‎should ‎be‏ ‎granted ‎to‏ ‎a‏ ‎user ‎or‏ ‎system. ‎In ‎cloud ‎environments, ‎where‏ ‎resources ‎and‏ ‎data‏ ‎are ‎hosted ‎off-premises‏ ‎and ‎accessed‏ ‎over ‎the ‎internet, ‎the‏ ‎importance‏ ‎of ‎robust‏ ‎authentication ‎mechanisms‏ ‎cannot ‎be ‎overstated. ‎Unlike ‎traditional‏ ‎on-premises‏ ‎setups, ‎where‏ ‎physical ‎security‏ ‎measures ‎and ‎internal ‎network ‎defenses‏ ‎can‏ ‎provide‏ ‎layers ‎of‏ ‎security, ‎cloud‏ ‎services ‎are‏ ‎inherently‏ ‎more ‎exposed‏ ‎to ‎the ‎internet. ‎This ‎exposure‏ ‎makes ‎the‏ ‎initial‏ ‎step ‎of ‎authentication‏ ‎not ‎just‏ ‎a ‎security ‎measure, ‎but‏ ‎a‏ ‎critical ‎defense‏ ‎mechanism ‎against‏ ‎unauthorized ‎access.

Challenges ‎in ‎Cloud ‎Authentication

The‏ ‎shift‏ ‎towards ‎cloud‏ ‎services ‎brings‏ ‎with ‎it ‎unique ‎challenges ‎in‏ ‎implementing‏ ‎effective‏ ‎authentication ‎strategies.‏ ‎One ‎of‏ ‎the ‎primary‏ ‎challenges‏ ‎is ‎the‏ ‎diverse ‎and ‎dynamic ‎nature ‎of‏ ‎cloud ‎environments.‏ ‎Users‏ ‎access ‎cloud ‎services‏ ‎from ‎various‏ ‎locations, ‎devices, ‎and ‎networks,‏ ‎necessitating‏ ‎flexible ‎yet‏ ‎secure ‎authentication‏ ‎mechanisms ‎that ‎can ‎adapt ‎to‏ ‎different‏ ‎contexts ‎without‏ ‎compromising ‎security.

Moreover,‏ ‎the ‎scalability ‎of ‎cloud ‎services‏ ‎means‏ ‎that‏ ‎authentication ‎mechanisms‏ ‎must ‎be‏ ‎able ‎to‏ ‎handle‏ ‎a ‎large‏ ‎number ‎of ‎access ‎requests ‎without‏ ‎introducing ‎significant‏ ‎latency‏ ‎or ‎reducing ‎the‏ ‎user ‎experience.‏ ‎This ‎requirement ‎for ‎scalability‏ ‎and‏ ‎user-friendliness ‎often‏ ‎conflicts ‎with‏ ‎the ‎need ‎for ‎stringent ‎security‏ ‎measures,‏ ‎creating ‎a‏ ‎delicate ‎balance‏ ‎that ‎organizations ‎must ‎navigate.

Strategies ‎for‏ ‎Strengthening‏ ‎Cloud‏ ‎Authentication

To ‎address‏ ‎the ‎challenges‏ ‎of ‎cloud‏ ‎authentication‏ ‎and ‎protect‏ ‎against ‎sophisticated ‎cyber ‎actors, ‎organizations‏ ‎can ‎adopt‏ ‎several‏ ‎strategies:

📌Multi-Factor ‎Authentication ‎(MFA):‏ ‎MFA ‎adds‏ ‎an ‎extra ‎layer ‎of‏ ‎security‏ ‎by ‎requiring‏ ‎users ‎to‏ ‎provide ‎two ‎or ‎more ‎verification‏ ‎factors‏ ‎to ‎gain‏ ‎access. ‎This‏ ‎approach ‎significantly ‎reduces ‎the ‎risk‏ ‎of‏ ‎unauthorized‏ ‎access, ‎as‏ ‎obtaining ‎multiple‏ ‎authentication ‎factors‏ ‎is‏ ‎considerably ‎more‏ ‎difficult ‎for ‎attackers.

📌Adaptive ‎Authentication: ‎Adaptive‏ ‎authentication ‎mechanisms‏ ‎adjust‏ ‎the ‎authentication ‎requirements‏ ‎based ‎on‏ ‎the ‎context ‎of ‎the‏ ‎access‏ ‎request. ‎Factors‏ ‎such ‎as‏ ‎the ‎user's ‎location, ‎device, ‎and‏ ‎behavior‏ ‎can ‎influence‏ ‎the ‎authentication‏ ‎process, ‎allowing ‎for ‎stricter ‎controls‏ ‎in‏ ‎higher-risk‏ ‎scenarios.

📌Zero ‎Trust‏ ‎Architecture: Adopting ‎a‏ ‎zero-trust ‎approach‏ ‎to‏ ‎cloud ‎security,‏ ‎where ‎no ‎user ‎or ‎system‏ ‎is ‎trusted‏ ‎by‏ ‎default, ‎can ‎enhance‏ ‎the ‎effectiveness‏ ‎of ‎authentication. ‎This ‎model‏ ‎requires‏ ‎strict ‎identity‏ ‎verification ‎for‏ ‎every ‎user ‎and ‎device ‎trying‏ ‎to‏ ‎access ‎resources,‏ ‎regardless ‎of‏ ‎their ‎location ‎or ‎network.

📌Use ‎of‏ ‎Biometrics:‏ ‎Biometric‏ ‎authentication ‎methods,‏ ‎such ‎as‏ ‎fingerprint ‎scans‏ ‎or‏ ‎facial ‎recognition,‏ ‎offer ‎a ‎high ‎level ‎of‏ ‎security ‎by‏ ‎leveraging‏ ‎unique ‎physical ‎characteristics‏ ‎of ‎users.‏ ‎These ‎methods ‎can ‎be‏ ‎particularly‏ ‎effective ‎in‏ ‎preventing ‎unauthorized‏ ‎access ‎in ‎cloud ‎environments.

📌Encryption ‎of‏ ‎Authentication‏ ‎Data: ‎Ensuring‏ ‎that ‎all‏ ‎authentication ‎data ‎is ‎encrypted, ‎both‏ ‎in‏ ‎transit‏ ‎and ‎at‏ ‎rest, ‎can‏ ‎protect ‎against‏ ‎interception‏ ‎and ‎misuse‏ ‎by ‎attackers. ‎This ‎includes ‎encryption‏ ‎of ‎passwords,‏ ‎authentication‏ ‎tokens, ‎and ‎other‏ ‎sensitive ‎information‏ ‎involved ‎in ‎the ‎authentication‏ ‎process.

Читать: 8+ мин
logo Overkill Security

Cloud TTPs Details. The Cyber Magician's Handbook

Key ‎TTPs‏ ‎of ‎document ‎“cyber ‎actors ‎adapt‏ ‎tactics ‎for‏ ‎initial‏ ‎cloud ‎access"

📌Credential ‎Access‏ ‎/ ‎T1110‏ ‎Brute ‎Forcing: actors ‎utilize ‎password‏ ‎spraying‏ ‎and ‎brute‏ ‎forcing ‎as‏ ‎initial ‎infection ‎vectors. ‎This ‎approach‏ ‎involves‏ ‎attempting ‎multiple‏ ‎passwords ‎against‏ ‎different ‎accounts ‎(password ‎spraying) ‎or‏ ‎numerous‏ ‎password‏ ‎attempts ‎on‏ ‎a ‎single‏ ‎account ‎(brute‏ ‎forcing)‏ ‎to ‎gain‏ ‎unauthorized ‎access.

📌Initial ‎Access ‎/ ‎T1078.004‏ ‎Valid ‎Accounts:‏ ‎Cloud‏ ‎Accounts: ‎The ‎actors‏ ‎gains ‎access‏ ‎to ‎cloud ‎services ‎by‏ ‎using‏ ‎compromised ‎credentials.‏ ‎This ‎includes‏ ‎targeting ‎both ‎system ‎accounts ‎(used‏ ‎for‏ ‎automated ‎tasks‏ ‎and ‎services)‏ ‎and ‎dormant ‎accounts ‎(inactive ‎accounts‏ ‎that‏ ‎still‏ ‎remain ‎on‏ ‎the ‎system).

📌Credential‏ ‎Access ‎/‏ ‎T1528‏ ‎Steal ‎Application‏ ‎Access ‎Token: ‎Actors ‎exploit ‎stolen‏ ‎access ‎tokens‏ ‎to‏ ‎log ‎into ‎accounts‏ ‎without ‎needing‏ ‎the ‎passwords. ‎Access ‎tokens‏ ‎are‏ ‎digital ‎keys‏ ‎that ‎allow‏ ‎access ‎to ‎user ‎accounts, ‎and‏ ‎obtaining‏ ‎these ‎can‏ ‎bypass ‎traditional‏ ‎login ‎mechanisms.

📌Credential ‎Access ‎/ ‎T1621‏ ‎Multi-Factor‏ ‎Authentication‏ ‎Request ‎Generation: Known‏ ‎as ‎'MFA‏ ‎bombing' ‎or‏ ‎'MFA‏ ‎fatigue,' ‎this‏ ‎technique ‎involves ‎actors ‎repeatedly ‎sending‏ ‎MFA ‎requests‏ ‎to‏ ‎a ‎victim's ‎device.‏ ‎The ‎goal‏ ‎is ‎to ‎overwhelm ‎or‏ ‎fatigue‏ ‎the ‎victim‏ ‎into ‎accepting‏ ‎the ‎request, ‎thus ‎granting ‎the‏ ‎attacker‏ ‎access.

📌Command ‎and‏ ‎Control ‎/‏ ‎T1090.002 ‎Proxy: ‎External ‎Proxy: ‎To‏ ‎maintain‏ ‎covert‏ ‎operations ‎and‏ ‎blend ‎in‏ ‎with ‎normal‏ ‎traffic,‏ ‎actors ‎use‏ ‎open ‎proxies ‎located ‎in ‎residential‏ ‎IP ‎ranges.‏ ‎This‏ ‎makes ‎malicious ‎connections‏ ‎harder ‎to‏ ‎distinguish ‎from ‎legitimate ‎user‏ ‎activity‏ ‎in ‎access‏ ‎logs.

📌Persistence ‎/‏ ‎T1098.005 ‎Account ‎Manipulation: ‎Device ‎Registration:‏ ‎After‏ ‎gaining ‎access‏ ‎to ‎accounts,‏ ‎actors ‎attempt ‎to ‎register ‎their‏ ‎own‏ ‎devices‏ ‎on ‎the‏ ‎cloud ‎tenant.‏ ‎Successful ‎device‏ ‎registration‏ ‎can ‎provide‏ ‎persistent ‎access ‎to ‎the ‎cloud‏ ‎environment.

Access ‎via‏ ‎Service‏ ‎and ‎Dormant ‎Accounts

One‏ ‎of ‎the‏ ‎key ‎strategies ‎employed ‎by‏ ‎actors‏ ‎involves ‎targeting‏ ‎service ‎and‏ ‎dormant ‎accounts ‎within ‎cloud ‎environments.‏ ‎Service‏ ‎accounts ‎are‏ ‎used ‎to‏ ‎run ‎and ‎manage ‎applications ‎and‏ ‎services‏ ‎without‏ ‎direct ‎human‏ ‎interaction. ‎These‏ ‎accounts ‎are‏ ‎particularly‏ ‎vulnerable ‎because‏ ‎they ‎often ‎cannot ‎be ‎protected‏ ‎with ‎multi-factor‏ ‎authentication‏ ‎(MFA) ‎and ‎may‏ ‎have ‎highly‏ ‎privileged ‎access ‎depending ‎on‏ ‎their‏ ‎role ‎in‏ ‎managing ‎applications‏ ‎and ‎services. ‎By ‎gaining ‎access‏ ‎to‏ ‎these ‎accounts,‏ ‎threat ‎actors‏ ‎can ‎obtain ‎privileged ‎initial ‎access‏ ‎to‏ ‎a‏ ‎network, ‎which‏ ‎they ‎can‏ ‎use ‎as‏ ‎a‏ ‎launchpad ‎for‏ ‎further ‎operations

The ‎document ‎also ‎highlights‏ ‎that ‎campaigns‏ ‎have‏ ‎targeted ‎dormant ‎accounts—accounts‏ ‎belonging ‎to‏ ‎users ‎who ‎are ‎no‏ ‎longer‏ ‎active ‎within‏ ‎the ‎victim‏ ‎organization ‎but ‎have ‎not ‎been‏ ‎removed‏ ‎from ‎the‏ ‎system. ‎These‏ ‎accounts ‎can ‎be ‎exploited ‎by‏ ‎attackers‏ ‎to‏ ‎regain ‎access‏ ‎to ‎a‏ ‎network, ‎especially‏ ‎following‏ ‎incident ‎response‏ ‎measures ‎such ‎as ‎enforced ‎password‏ ‎resets. ‎actors‏ ‎have‏ ‎been ‎observed ‎logging‏ ‎into ‎these‏ ‎inactive ‎accounts ‎and ‎following‏ ‎password‏ ‎reset ‎instructions,‏ ‎allowing ‎them‏ ‎to ‎maintain ‎access ‎even ‎after‏ ‎incident‏ ‎response ‎teams‏ ‎have ‎attempted‏ ‎to ‎evict ‎them

Cloud-Based ‎Token ‎Authentication

Another‏ ‎TTP‏ ‎mentioned‏ ‎in ‎the‏ ‎document ‎is‏ ‎the ‎use‏ ‎of‏ ‎cloud-based ‎token‏ ‎authentication. ‎Actors ‎have ‎been ‎observed‏ ‎using ‎system-issued‏ ‎access‏ ‎tokens ‎to ‎authenticate‏ ‎victims' ‎accounts‏ ‎without ‎needing ‎a ‎password.‏ ‎This‏ ‎technique ‎bypasses‏ ‎traditional ‎credential-based‏ ‎authentication ‎methods ‎and ‎can ‎be‏ ‎particularly‏ ‎effective ‎if‏ ‎the ‎validity‏ ‎period ‎of ‎these ‎tokens ‎is‏ ‎long‏ ‎or‏ ‎if ‎the‏ ‎tokens ‎are‏ ‎not ‎properly‏ ‎secured‏ ‎and ‎managed

Brute‏ ‎Forcing ‎and ‎Password ‎Spraying

The ‎document‏ ‎also ‎describes‏ ‎the‏ ‎use ‎of ‎brute‏ ‎forcing ‎(T1110)‏ ‎and ‎password ‎spraying ‎by‏ ‎actors‏ ‎as ‎initial‏ ‎infection ‎vectors.‏ ‎These ‎techniques ‎involve ‎attempting ‎to‏ ‎access‏ ‎accounts ‎by‏ ‎trying ‎many‏ ‎passwords ‎or ‎using ‎common ‎passwords‏ ‎against‏ ‎many‏ ‎accounts, ‎respectively.‏ ‎Such ‎methods‏ ‎are ‎often‏ ‎successful‏ ‎due ‎to‏ ‎the ‎use ‎of ‎weak ‎or‏ ‎reused ‎passwords‏ ‎across‏ ‎different ‎accounts

The ‎Role‏ ‎of ‎Access‏ ‎Tokens

Access ‎tokens ‎are ‎an‏ ‎integral‏ ‎part ‎of‏ ‎modern ‎authentication‏ ‎systems, ‎especially ‎in ‎cloud ‎environments.‏ ‎They‏ ‎are ‎designed‏ ‎to ‎simplify‏ ‎the ‎login ‎process ‎for ‎users‏ ‎and‏ ‎provide‏ ‎a ‎secure‏ ‎method ‎of‏ ‎accessing ‎resources‏ ‎without‏ ‎repeatedly ‎entering‏ ‎credentials. ‎Tokens ‎are ‎typically ‎issued‏ ‎after ‎a‏ ‎user‏ ‎logs ‎in ‎with‏ ‎a ‎username‏ ‎and ‎password, ‎and ‎they‏ ‎can‏ ‎be ‎used‏ ‎for ‎subsequent‏ ‎authentication ‎requests.

Risks ‎Associated ‎with ‎Token‏ ‎Authentication

While‏ ‎token-based ‎authentication‏ ‎can ‎offer‏ ‎convenience ‎and ‎security, ‎it ‎also‏ ‎introduces‏ ‎specific‏ ‎risks ‎if‏ ‎not ‎properly‏ ‎managed. ‎If‏ ‎threat‏ ‎actors ‎obtain‏ ‎these ‎tokens, ‎they ‎can ‎gain‏ ‎access ‎to‏ ‎accounts‏ ‎without ‎needing ‎to‏ ‎know ‎the‏ ‎passwords. ‎This ‎can ‎be‏ ‎particularly‏ ‎problematic ‎if‏ ‎the ‎tokens‏ ‎have ‎a ‎long ‎validity ‎period‏ ‎or‏ ‎if ‎they‏ ‎are ‎not‏ ‎adequately ‎secured.

Adjusting ‎Token ‎Validity

The ‎document‏ ‎notes‏ ‎that‏ ‎the ‎default‏ ‎validity ‎time‏ ‎of ‎system-issued‏ ‎tokens‏ ‎can ‎vary‏ ‎depending ‎on ‎the ‎system ‎in‏ ‎use. ‎However,‏ ‎it‏ ‎is ‎crucial ‎for‏ ‎cloud ‎platforms‏ ‎to ‎provide ‎administrators ‎with‏ ‎the‏ ‎ability ‎to‏ ‎adjust ‎the‏ ‎validity ‎time ‎of ‎these ‎tokens‏ ‎to‏ ‎suit ‎their‏ ‎security ‎needs.‏ ‎Shortening ‎the ‎validity ‎period ‎of‏ ‎tokens‏ ‎can‏ ‎reduce ‎the‏ ‎window ‎of‏ ‎opportunity ‎for‏ ‎unauthorized‏ ‎access ‎if‏ ‎tokens ‎are ‎compromised.

Bypassing ‎Password ‎Authentication‏ ‎and ‎MFA

The‏ ‎document‏ ‎details ‎how ‎actors‏ ‎have ‎successfully‏ ‎bypassed ‎password ‎authentication ‎on‏ ‎personal‏ ‎accounts ‎through‏ ‎techniques ‎such‏ ‎as ‎password ‎spraying ‎and ‎credential‏ ‎reuse.‏ ‎Password ‎spraying‏ ‎involves ‎attempting‏ ‎to ‎access ‎a ‎large ‎number‏ ‎of‏ ‎accounts‏ ‎using ‎commonly‏ ‎used ‎passwords,‏ ‎while ‎credential‏ ‎reuse‏ ‎exploits ‎the‏ ‎tendency ‎of ‎users ‎to ‎recycle‏ ‎the ‎same‏ ‎passwords‏ ‎across ‎multiple ‎accounts.‏ ‎These ‎methods‏ ‎exploit ‎weaknesses ‎in ‎password-based‏ ‎authentication‏ ‎systems ‎to‏ ‎gain ‎initial‏ ‎access ‎to ‎accounts.

Furthermore, ‎actors ‎have‏ ‎employed‏ ‎a ‎technique‏ ‎known ‎as‏ ‎'MFA ‎bombing' ‎or ‎'MFA ‎fatigue'‏ ‎(T1621)‏ ‎to‏ ‎bypass ‎multi-factor‏ ‎authentication ‎(MFA)‏ ‎systems. ‎This‏ ‎technique‏ ‎involves ‎repeatedly‏ ‎sending ‎MFA ‎requests ‎to ‎a‏ ‎victim's ‎device‏ ‎until‏ ‎the ‎victim, ‎overwhelmed‏ ‎or ‎frustrated‏ ‎by ‎the ‎constant ‎notifications,‏ ‎accepts‏ ‎the ‎request.‏ ‎This ‎method‏ ‎effectively ‎exploits ‎human ‎psychology ‎and‏ ‎the‏ ‎inconvenience ‎of‏ ‎repeated ‎notifications‏ ‎to ‎circumvent ‎an ‎otherwise ‎robust‏ ‎security‏ ‎measure.

Enrolling‏ ‎New ‎Devices‏ ‎to ‎the‏ ‎Cloud

Once ‎past‏ ‎these‏ ‎initial ‎security‏ ‎barriers, ‎the ‎document ‎reports ‎that‏ ‎actors ‎have‏ ‎been‏ ‎observed ‎registering ‎their‏ ‎own ‎devices‏ ‎as ‎new ‎devices ‎on‏ ‎the‏ ‎cloud ‎tenant‏ ‎(T1098.005). ‎This‏ ‎step ‎is ‎critical ‎for ‎maintaining‏ ‎access‏ ‎to ‎the‏ ‎cloud ‎environment‏ ‎and ‎facilitating ‎further ‎malicious ‎activities.‏ ‎The‏ ‎success‏ ‎of ‎this‏ ‎tactic ‎hinges‏ ‎on ‎the‏ ‎absence‏ ‎of ‎stringent‏ ‎device ‎validation ‎rules ‎within ‎the‏ ‎cloud ‎tenant's‏ ‎security‏ ‎configuration. ‎Without ‎proper‏ ‎device ‎validation‏ ‎measures, ‎attackers ‎can ‎easily‏ ‎add‏ ‎unauthorized ‎devices‏ ‎to ‎the‏ ‎network, ‎granting ‎them ‎access ‎to‏ ‎sensitive‏ ‎data ‎and‏ ‎systems.

Defense ‎Against‏ ‎Unauthorized ‎Device ‎Enrollment

The ‎document ‎highlights‏ ‎the‏ ‎importance‏ ‎of ‎configuring‏ ‎the ‎network‏ ‎with ‎robust‏ ‎device‏ ‎enrollment ‎policies‏ ‎as ‎a ‎defense ‎mechanism ‎against‏ ‎such ‎attacks.‏ ‎By‏ ‎implementing ‎strict ‎device‏ ‎validation ‎rules‏ ‎and ‎enrollment ‎policies, ‎organizations‏ ‎can‏ ‎significantly ‎reduce‏ ‎the ‎risk‏ ‎of ‎unauthorized ‎device ‎registration. ‎Instances‏ ‎where‏ ‎these ‎measures‏ ‎have ‎been‏ ‎effectively ‎applied ‎have ‎successfully ‎defended‏ ‎against‏ ‎actors,‏ ‎denying ‎them‏ ‎access ‎to‏ ‎the ‎cloud‏ ‎tenant.

Residential‏ ‎Proxies ‎and‏ ‎Their ‎Use ‎by ‎Actors

Residential ‎proxies‏ ‎are ‎intermediary‏ ‎services‏ ‎that ‎allow ‎users‏ ‎to ‎route‏ ‎their ‎internet ‎traffic ‎through‏ ‎an‏ ‎IP ‎address‏ ‎provided ‎by‏ ‎an ‎internet ‎service ‎provider ‎(ISP)‏ ‎that‏ ‎is ‎typically‏ ‎assigned ‎to‏ ‎a ‎residential ‎address. ‎This ‎makes‏ ‎the‏ ‎traffic‏ ‎appear ‎as‏ ‎if ‎it‏ ‎is ‎originating‏ ‎from‏ ‎a ‎regular‏ ‎home ‎user, ‎which ‎can ‎be‏ ‎particularly ‎useful‏ ‎for‏ ‎cyber ‎actors ‎looking‏ ‎to ‎blend‏ ‎in ‎with ‎normal ‎internet‏ ‎traffic‏ ‎and ‎avoid‏ ‎raising ‎red‏ ‎flags.

The ‎use ‎of ‎residential ‎proxies‏ ‎by‏ ‎actors ‎serves‏ ‎to ‎obfuscate‏ ‎their ‎true ‎location ‎and ‎the‏ ‎source‏ ‎of‏ ‎their ‎malicious‏ ‎activities. ‎By‏ ‎making ‎their‏ ‎traffic‏ ‎appear ‎to‏ ‎come ‎from ‎legitimate ‎ISP ‎ranges‏ ‎used ‎by‏ ‎residential‏ ‎broadband ‎customers, ‎they‏ ‎can ‎significantly‏ ‎reduce ‎the ‎likelihood ‎of‏ ‎their‏ ‎connections ‎being‏ ‎flagged ‎as‏ ‎malicious. ‎This ‎tactic ‎complicates ‎the‏ ‎efforts‏ ‎of ‎cybersecurity‏ ‎defenses ‎that‏ ‎rely ‎on ‎IP ‎address ‎reputation‏ ‎or‏ ‎geolocation‏ ‎as ‎indicators‏ ‎of ‎compromise.

Challenges‏ ‎Posed ‎by‏ ‎Residential‏ ‎Proxies

The ‎effectiveness‏ ‎of ‎residential ‎proxies ‎in ‎hiding‏ ‎the ‎origin‏ ‎of‏ ‎traffic ‎presents ‎a‏ ‎challenge ‎for‏ ‎network ‎defenses. ‎Traditional ‎security‏ ‎measures‏ ‎that ‎track‏ ‎and ‎block‏ ‎known ‎malicious ‎IP ‎addresses ‎may‏ ‎not‏ ‎be ‎effective‏ ‎against ‎attackers‏ ‎using ‎residential ‎proxies, ‎as ‎these‏ ‎IP‏ ‎addresses‏ ‎may ‎not‏ ‎have ‎a‏ ‎prior ‎history‏ ‎of‏ ‎malicious ‎activity‏ ‎and ‎are ‎indistinguishable ‎from ‎those‏ ‎of ‎legitimate‏ ‎users.

Читать: 2+ мин
logo Overkill Security

Adaptation to Cloud Services. Chameleons of the Cyber World

The ‎adaptation‏ ‎of ‎attacks ‎to ‎target ‎cloud‏ ‎services ‎marks‏ ‎a‏ ‎significant ‎evolution ‎in‏ ‎the ‎landscape‏ ‎of ‎cyber ‎espionage ‎and‏ ‎cyber‏ ‎warfare. ‎This‏ ‎shift ‎is‏ ‎not ‎merely ‎a ‎change ‎in‏ ‎target‏ ‎but ‎represents‏ ‎a ‎deeper‏ ‎strategic ‎adaptation ‎to ‎the ‎changing‏ ‎technological‏ ‎environment‏ ‎and ‎the‏ ‎increasing ‎reliance‏ ‎of ‎governments‏ ‎and‏ ‎corporations ‎on‏ ‎cloud ‎infrastructure. ‎The ‎move ‎towards‏ ‎cloud ‎services‏ ‎by‏ ‎organizations ‎is ‎driven‏ ‎by ‎the‏ ‎benefits ‎of ‎scalability, ‎cost-efficiency,‏ ‎and‏ ‎the ‎ability‏ ‎to ‎rapidly‏ ‎deploy ‎and ‎update ‎services. ‎However,‏ ‎this‏ ‎transition ‎also‏ ‎presents ‎new‏ ‎vulnerabilities ‎and ‎challenges ‎for ‎cybersecurity.

Strategic‏ ‎Shift‏ ‎to‏ ‎Cloud

As ‎organizations‏ ‎have ‎modernized‏ ‎their ‎systems‏ ‎and‏ ‎migrated ‎to‏ ‎cloud-based ‎infrastructure, ‎actors ‎have ‎adapted‏ ‎their ‎tactics,‏ ‎techniques,‏ ‎and ‎procedures ‎(TTPs)‏ ‎to ‎this‏ ‎new ‎environment. ‎This ‎adaptation‏ ‎is‏ ‎driven ‎by‏ ‎the ‎realization‏ ‎that ‎cloud ‎services, ‎by ‎centralizing‏ ‎vast‏ ‎amounts ‎of‏ ‎data ‎and‏ ‎resources, ‎present ‎a ‎lucrative ‎target‏ ‎for‏ ‎espionage‏ ‎and ‎intelligence‏ ‎gathering. ‎The‏ ‎cloud's ‎architecture,‏ ‎while‏ ‎offering ‎numerous‏ ‎advantages ‎to ‎organizations, ‎also ‎necessitates‏ ‎a ‎reevaluation‏ ‎of‏ ‎security ‎strategies ‎to‏ ‎address ‎unique‏ ‎vulnerabilities.

Tactics, ‎Techniques, ‎and ‎Procedures‏ ‎(TTPs)

The‏ ‎adaptation ‎of‏ ‎actors ‎to‏ ‎cloud ‎services ‎involves ‎a ‎range‏ ‎of‏ ‎sophisticated ‎TTPs‏ ‎designed ‎to‏ ‎exploit ‎the ‎specific ‎characteristics ‎of‏ ‎cloud‏ ‎environments.‏ ‎One ‎of‏ ‎the ‎primary‏ ‎methods ‎of‏ ‎gaining‏ ‎initial ‎access‏ ‎to ‎cloud-hosted ‎networks ‎involves ‎authenticating‏ ‎to ‎the‏ ‎cloud‏ ‎provider. ‎This ‎can‏ ‎be ‎achieved‏ ‎through ‎various ‎means, ‎including‏ ‎brute‏ ‎forcing ‎and‏ ‎password ‎spraying‏ ‎to ‎access ‎services ‎and ‎dormant‏ ‎accounts.‏ ‎These ‎accounts,‏ ‎often ‎used‏ ‎to ‎run ‎and ‎manage ‎applications‏ ‎without‏ ‎direct‏ ‎human ‎oversight,‏ ‎are ‎particularly‏ ‎vulnerable ‎as‏ ‎they‏ ‎may ‎not‏ ‎be ‎protected ‎by ‎multi-factor ‎authentication‏ ‎(MFA) ‎and‏ ‎may‏ ‎possess ‎high ‎levels‏ ‎of ‎privilege.

Furthermore,‏ ‎actors ‎have ‎been ‎observed‏ ‎using‏ ‎system-issued ‎tokens‏ ‎for ‎authentication,‏ ‎bypassing ‎the ‎need ‎for ‎passwords.‏ ‎They‏ ‎have ‎also‏ ‎exploited ‎the‏ ‎process ‎of ‎enrolling ‎new ‎devices‏ ‎to‏ ‎the‏ ‎cloud, ‎bypassing‏ ‎MFA ‎through‏ ‎techniques ‎such‏ ‎as‏ ‎"MFA ‎bombing"‏ ‎or ‎"MFA ‎fatigue." ‎Additionally, ‎the‏ ‎use ‎of‏ ‎residential‏ ‎proxies ‎to ‎obscure‏ ‎their ‎internet‏ ‎presence ‎and ‎make ‎malicious‏ ‎activity‏ ‎harder ‎to‏ ‎detect ‎represents‏ ‎another ‎layer ‎of ‎sophistication ‎in‏ ‎their‏ ‎operations.

Implications ‎and‏ ‎Mitigations

The ‎adaptation‏ ‎of ‎actors ‎to ‎target ‎cloud‏ ‎services‏ ‎has‏ ‎significant ‎implications‏ ‎for ‎cybersecurity.‏ ‎It ‎underscores‏ ‎the‏ ‎need ‎for‏ ‎organizations ‎to ‎implement ‎robust ‎security‏ ‎measures ‎tailored‏ ‎to‏ ‎the ‎cloud ‎environment.‏ ‎This ‎includes‏ ‎enforcing ‎strong ‎password ‎policies,‏ ‎implementing‏ ‎MFA, ‎managing‏ ‎and ‎monitoring‏ ‎service ‎and ‎dormant ‎accounts, ‎and‏ ‎configuring‏ ‎device ‎enrollment‏ ‎policies ‎to‏ ‎prevent ‎unauthorized ‎access. ‎Additionally, ‎adjusting‏ ‎the‏ ‎validity‏ ‎time ‎of‏ ‎system-issued ‎tokens‏ ‎and ‎employing‏ ‎network-level‏ ‎defenses ‎to‏ ‎detect ‎and ‎mitigate ‎the ‎use‏ ‎of ‎residential‏ ‎proxies‏ ‎are ‎critical ‎steps‏ ‎in ‎defending‏ ‎against ‎these ‎threats.

Показать еще

Обновления проекта

Метки

хроникикибербезопасника 143 хроникикибербезопасникаpdf 50 новости 47 заметки 38 АНБ 27 разбор 26 fbi 25 nsa 25 фбр 25 adapt tactics 11 LOTL 11 уязвимость 11 кибер атаки 10 lolbin 9 lolbins 9 EdgeRouters 8 ubiquiti 8 дайджест 8 исследование 8 модель зрелости 8 IoT 7 кибер безопасность 7 soho 6 вредоносный код 6 Ransomware 5 криминалистика 5 фишинг 5 authToken 4 BYOD 4 MDM 4 OAuth 4 медицина 4 распаковка 4 IoMT 3 malware 3 аутентификация 3 Интернет вещей 3 потребление энергии 3 AnonSudan 2 console architecture 2 cve 2 Google 2 Living Off the Land 2 MITM 2 mqtt 2 Velociraptor 2 vmware 2 windows 2 антивирус 2 архитектура консолей 2 видео 2 Винтаж 2 ИИ 2 инцидент 2 инциденты 2 ключи доступа 2 машинное обучение 2 переполнение буфера 2 Реагирование на инциденты 2 ретро 2 1981 1 8bit 1 ADCS 1 ai 1 airwatch 1 AlphV 1 AMSI 1 android 1 Android-устройства 1 Android15 1 AntiPhishStack 1 Apple 1 Atlassian 1 AttackGen 1 av 1 BatBadBut 1 BianLian 1 bite 1 bitlocker 1 bitlocker bypass 1 Black Lotus Labs 1 blackberry 1 blizzard 1 BucketLoot 1 Buffer Overflow 1 BYOVD 1 checkpoint 1 chisel 1 cpu 1 CVE-2023-22518 1 CVE-2023-35080 1 CVE-2023-38043 1 CVE-2023-38543 1 CVE-2024-0204 1 CVE-2024-21111 1 CVE-2024-21345 1 cve-2024-21447 1 CVE-2024-24919 1 CVE-2024-26218 1 cve-2024-27129 1 cve-2024-27130 1 cve-2024-27131 1 cve-2024-3400 1 cvss 1 Cyber Toufan Al-Aqsa 1 D-Link 1 dark pink apt 1 dcrat 1 DevSecOps 1 Dex 1 DOS 1 EDR 1 EntraID 1 ESC8 1 Event ID 4663 1 Event ID 4688 1 Event ID 5145 1 Evilginx 1 EvilLsassTwin 1 FBI IC3 1 FIDO2 1 filewave 1 Firebase 1 fortra goanywhere mft 1 fuxnet 1 game console 1 GeminiNanoAI 1 genzo 1 go 1 GoogleIO2024 1 GooglePlayProtect 1 GoPhish 1 gpu 1 ICS 1 ICSpector 1 IDA 1 jazzer 1 jvm 1 KASLR 1 KillNet 1 LeftOverLocals 1 Leviathan 1 LG SmartTV 1 lockbit 1 LSASS 1 m-trends 1 Mallox 1 MalPurifier 1 mandiant 1 MediHunt 1 Meta Pixel 1 mobileiron 1 nes 1 nexus 1 Nim 1 Nimfilt 1 NtQueryInformationThread 1 OFGB 1 panos 1 PingFederate 1 PlayIntegrityAPI 1 PlayStation 1 playstation 2 1 playstation 3 1 plc 1 ps2 1 ps3 1 PulseVPN 1 qcsuper 1 qemu 1 Raytracing 1 rodrigo copetti 1 rust 1 Sagemcom 1 sandworm 1 SharpADWS 1 SIEM 1 Siemens 1 skimming 1 Smart Devices 1 snes 1 SSO 1 TA427 1 TA547 1 TDDP 1 Telegram 1 telerik 1 TeleTracker 1 TEMP.Periscope 1 Terminator 1 threat intelligence 1 threat intelligence analysis 1 tp-link 1 UserManagerEoP 1 virtualbox 1 VPN 1 webos 1 What2Log 1 Windows 11 1 Windstream 1 WSUS 1 wt-2024-0004 1 wt-2024-0005 1 wt-2024-0006 1 xbox 1 xbox 360 1 xbox original 1 xss 1 Yubico 1 Z80A 1 ZXSpectrum 1 Анализ мобильных сетей 1 анализ поведения 1 анализ угроз 1 анонс 1 антифишинг 1 безопасность 1 Безопасность телекоммуникаций 1 биокибербезопасность 1 биометрия 1 ботнет 1 ВВС США 1 веб аутентификация 1 великобритания 1 ВМС 1 Геймификация 1 Демосцена 1 дизассемблер 1 женщины 1 игровые консоли 1 имитация угроз 1 Исследование сетей 5G 1 категории контента 1 кибер операции 1 китай 1 контент 1 кража данных 1 Лом 1 модели угроз 1 модификация реестра 1 нко 1 обучение сотрудников 1 осведомленность о безопасности 1 перехват радиокадров 1 Платные уровни 1 Подкаст 1 Протокол Qualcomm Diag 1 прошивка 1 риск 1 роутер 1 роутеры 1 сетевой анализ 1 скам 1 софт 1 удаление рекламы 1 управление рисками 1 устойчивость к фишингу 1 утечка 1 утилиты 1 учётные данные 1 Уявзимость 1 фаззер 1 фрод 1 ЦРУ 1 шеллкод 1 Больше тегов

Фильтры

Подарить подписку

Будет создан код, который позволит адресату получить бесплатный для него доступ на определённый уровень подписки.

Оплата за этого пользователя будет списываться с вашей карты вплоть до отмены подписки. Код может быть показан на экране или отправлен по почте вместе с инструкцией.

Будет создан код, который позволит адресату получить сумму на баланс.

Разово будет списана указанная сумма и зачислена на баланс пользователя, воспользовавшегося данным промокодом.

Добавить карту
0/2048