Скорости и масштабы кибератак увеличиваются в разы

В своем исследовании о кибератаках компания Palo Alto совместно с Unit 24 рассказывает о новых тенденциях, в частности, о росте скорости кибератак в разы в связи с ростом применения искусственного интеллекта. Помимо этого, говорится о росте масштабов атак, размеров выплат вымогателям, кибератак в облаке и инсайдерских угроз.

Аппетиты злоумышленников растут

Средний первоначальный спрос на услуги по вымогательству увеличился почти на 80% до 1,25 миллиона долларов в прошлом году, по сравнению с 695 000 долларов годом ранее.  Хотя программы-вымогатели остаются главной угрозой, злоумышленники перешли от простого шифрования данных к более разрушительным тактикам, таким как преследование заинтересованных сторон и создание угроз для критически важных операций, приводящих к длительным простоям.

Злоумышленники фокусируются на компаниях с обширными сетями партнеров и цепочек поставок. В первую очередь, в сфере здравоохранения, гостиничного бизнеса, производства и критически важной инфраструктуры, с целью вызвать масштабные сбои не только в бизнесе атакуемой компании, но и в работе их партнеров и клиентов.

Почти треть атак (29%) в прошлом году была связана с облаками

Приводится пример, как злоумышленник использовал незащищенные паролями данные в облаке, данные с долго не обновляемыми паролями и там, где отсутствовала архитектура безопасности с наименьшими привилегиями. В итоге злоумышленник смог нацелиться на незащищенные файлы по меньшей мере из 110 000 доменов.

Злоумышленники часто используют скомпрометированные облачные ресурсы для попыток взлома других, не связанных с ними целей. Еще одной развивающейся тенденцией является манипулирование конфигурациями среды с целью дальнейшего расширения возможностей взлома, или сокрытия своей активности.

Скорость кибератак выросла в разы

В прошлом году в четверти случаев время от проникновения до вывода конфиденциальной информации составляло менее пяти часов, это в три раза быстрее, чем четырьмя годами ранее, когда эксфильтрация проводилась менее чем за 15 часов. В каждом пятом случае (19%) время от взлома до удаления данных составило в прошлом году менее одного часа.

Ускорение кибератак происходит, поскольку киберпреступники все чаще используют автоматизацию, модели "программы-вымогатели как услуга" (RaaS) и генеративный искусственный интеллект (GenAI) для оптимизации своих атак. Эти инструменты позволяют злоумышленникам быстро выявлять уязвимости, создавать убедительные приманки для социальной инженерии и, в конечном счете, проводить масштабные атаки быстрее.

Рост инсайдерских угроз

Инсайдерские угрозы представляют собой один из самых неуловимых рисков для любой организации. Способность обходить многие внешние средства защиты делает обнаружение этих угроз исключительно сложным делом.

Злоумышленники могут направлять своих сотрудников в организацию с фальшивыми рекомендациями и удостоверениями личности.  Отмечается, что, как правило, такой изощренной тактикой пользуются APT группировки, связанные с государственными органами.

Атаки с использованием искусственного интеллекта

Вредоносное использование GenAI трансформирует ландшафт киберугроз. Злоумышленники используют методы, основанные на искусственном интеллекте, для проведения более убедительных фишинговых кампаний, автоматизации разработки вредоносных программ и ускорения прохождения цепочки атак, что затрудняет обнаружение и ускоряет выполнение кибератак. Инструменты GenAI, в частности LLMS, используются как APT группировками, так и финансово мотивированными киберпреступниками для оптимизации и усиления атак. Например, LLM могут создавать очень убедительные фишинговые электронные письма, которые с беспрецедентной точностью имитируют законные корпоративные коммуникации, повышая вероятность успеха фишинговых кампаний и усложняя их проведение для обнаружения с помощью традиционных средств защиты. Группы злоумышленников уже продают инструменты, способные создавать убедительные подделки (они варьируются от бесплатных предложений до подделок за 249 долларов в месяц, что не слишком обременительно для хакеров, с учетом эффекта от использования).

Одним из наиболее существенных последствий атак с использованием искусственного интеллекта является увеличение скорости и эффективности кибератак. Задачи, на которые обычно уходили дни или недели, теперь могут быть выполнены за считанные минуты. Чтобы проверить это, исследователи Unit 42 смоделировали атаку программ-вымогателей, интегрирующих GenAI на каждом этапе атаки.  В ходе тестирования время для эксфильтрации данных уменьшилось в 100 раз до 25 минут. Такие быстрые атаки затрудняют своевременное реагирование организаций для уменьшения ущерба.

Рекомендации по киберзащите

• Масштабное и быстрое реагирование. Обеспечение максимума в получении данные о безопасности-телеметрии из облачной инфраструктуры, локальных систем, идентификационных данных, конечных точек и приложений для создания единого источника достоверной информации.
• Обнаружение и определение приоритетности угроз с помощью возможностей искусственного интеллекта и машинного обучения для анализа обширных массивов данных, выявления скрытых угроз и аномального поведения.
• Обеспечение автоматизации реагирования на угрозы в режиме реального времени.  Автоматизация рабочих процессов реагирования на инциденты имеет решающее значение для локализации угроз, прежде чем злоумышленник сможет повысить уровень привилегий или извлечь конфиденциальные данные.
• Переход от реактивной безопасности к проактивной. Моделирование инцидентов и обеспечение непрерывной оценки безопасности для совершенствования логики обнаружения и инструкций по реагированию.
• Идентификация и верификация всех пользователей, устройств и приложений перед предоставлением доступа, как локального, так и удаленного.  Обеспечение доступа с минимальными привилегиями.
• Комплексная проверка безопасности — анализ сетевого трафика, включая зашифрованные потоки, для предотвращения и обнаружения активных угроз без снижения производительности.
• Обеспечение защиты конфиденциальной информации, классифицируя данные и применяя надежные политики обработки. Внедрение технологий предотвращения потери данных (DLP).
• Интеграция средства безопасности на ранних этапах жизненного цикла разработки. Усовершенствование инструментов разработки и DevOps, управление компонентами сторонних производителей и с открытым исходным кодом, а также выполнение непрерывного сканирования в процессе CI/CD.
• Устранение вновь обнаруженных уязвимостей в системе безопасности — постоянное отслеживание облачной инфраструктуры на предмет неправильных настроек, уязвимостей и чрезмерных разрешений.
• Выявление и блокирование атак во время выполнения — защита приложений, API и рабочих нагрузок с помощью обнаружения угроз в режиме реального времени и превентивного контроля.
• Автоматизация обнаружения облачных угроз и реагирование на них — использование собственных облачных сервисов и сторонних средства безопасности для организации автоматизированного реагирования на инциденты. 

Источник: PaloAlto Networks