Конвергенция ИТ и OT ведет к росту киберугроз в удаленных средах

Вымогатели являются основной киберугрозой предприятий. Большинство организаций чаще сталкиваются с масштабируемыми киберугрозами, чем с заказным государственным шпионажем.

Исследование компании Marlink “Cyber Intelligence report for remote operations” сообщает, что примерно 92% выявленных киберугроз выходят за рамки традиционных классификаций APT (Advanced Persistent Threat), в то время как 8% классифицируются как участники APT.

Использование программ-вымогателей возросло с 5740 атак в позапрошлом году до 7793 в прошлом году, причем более половины из них затронули важнейшие отрасли, такие как обрабатывающая промышленность, здравоохранение, энергетика, транспорт и финансы.

Многие кампании основаны на отработанных операционных моделях "программы-вымогатели как услуга", где разные участники специализируются на первоначальном доступе, развертывании вредоносного ПО и монетизации.

Основной риск заключается в том, что системы информационных технологий (ИТ) и операционных технологий (ОТ), разрабатывались с учетом различных требований к безопасности. ИТ-среды предполагают изменения и управляемый компромисс, в то время как в системах ОТ приоритет отдается стабильности и безопасности.

В исследовании сообщается, что:

• 60% организаций использовали общую инфраструктуру ИТ и ОТ.
• Более 70% имели недокументированные или плохо защищенные подключения к ИТ или внешним сетям.
• 30-40% ресурсов OT изначально были неизвестны или не имели документов.
• Менее 25% организаций четко определили права собственности на средства обеспечения безопасности OT.
• Более 50% полагались на сторонние решения удаленного доступа, которые не контролировались централизованно.

Таким образом, эффективное управление рисками зависит от сегментации сети, контролируемого удаленного доступа и общей видимости.

Большинство успешных атак основаны на повторяющихся путях доступа, таких как компрометация учетных данных, использование удаленного доступа, использование уязвимостей.

Идентификация стала основным объектом атаки. Мониторинг кибератак показывает, что 69% выявленных рисков связаны с незащищенными или скомпрометированными учетными данными, тогда как использование уязвимостей занимает 12%.

В исследуемых организациях кибератаки базировались на неправильном использовании учетных данных, законных инструментов и надежных путей доступа, а не на разрушительных кампаниях вредоносных программ.

Мониторинг SOC показывает, что злоумышленники все больше внимания уделяют разведке и расширению привилегий после первоначального доступа.

Таким образом, основной риск заключается не в единичной ошибке пользователя, а в том, что скомпрометированные учетные данные могут быть использованы для получения привилегированного доступа. В распределенных операционных средах скомпрометированные учетные записи могут объединять бизнес- и операционные домены.

Поведение человека остается одной из наиболее часто используемых точек входа. Моделирование контролируемого фишинга, подтверждает, что социальная инженерия по-прежнему предоставляет злоумышленникам масштабируемый путь доступа.

Примерно 20% получателей перешли по вредоносным ссылкам, в то время как 11% из тех, кто перешел по ним, раскрыли свои учетные данные. Только 11% получателей сообщили о подозрительном сообщении.

Злоумышленники все чаще используют надежные сервисы, такие как SharePoint, DocuSign, PayPal и Zoom, для повышения доверия к ним. Во многих случаях эти сервисы не подвергаются компрометации, а просто используются для размещения вредоносного контента.

Для злоумышленников искусственный интеллект снижает затраты на разведку, генерирование фишинговых сообщений, сбор учетных данных и методы уклонения. Это позволяет более широкому кругу участников проводить сложные кампании по вторжению и сокращает время между разведкой и эксплуатацией.

С точки зрения защиты, возможности ИИ все чаще внедряются в инструменты безопасности благодаря поведенческой аналитике, обнаружению аномалий и автоматизированному поиску угроз.

Ключевыми рекомендациями по итогам исследования являются:

Усиление управлением идентификацией

• Устранение общего доступа к учетным данным в различных средах.
• Применение многофакторной аутентификации для удаленного доступа.
• Регулярная проверка привилегированных учетных записей.
• Централизованное утверждение и мониторинг доступа поставщиков.

Обеспечение сегментации между ИТ и ОТ

• Сегментация сетей. Разделение ИТ и ОТ сетей, бизнес-систем и операционных доменов.
• Ограничение двунаправленных доверительных отношений.

Регулирование рисков, исходящих от третьих сторон и от цепочки поставок

• Введение требований к кибербезопасности контрактов.
• Проведение комплексной проверки поставщиков.
• Мониторинг целостности программного обеспечения и путей обновления.

Улучшение видимости OT

• Внедрение мониторинга, адаптированного к устаревшим ограничениям.
• Подготовка карты критических системных зависимостей.
• Определение неподдерживаемых или неконтролируемых компонентов OT

Интегрирование кибербезопасности в систему управления безопасностью

• Организация проведения учений по кибербезопасности ОТ.
• Тестирование обнаружение и реагирование в реальных условиях.
• Проведение независимого тестирования на проникновение.
• Моделирование сценариев компрометации личных данных и злоупотребления удаленным доступом

Источник: Marlink