CERT-UA: експлойти використовувалися лише у 21% складних атак
Аналіз пів сотні складних кіберінцидентів, які розслідувала CERT-UA, показує, що експлойти відіграють меншу роль в атаках, ніж зазвичай припускають. Їх використання на етапі початкового доступу підтвердили лише у 21% випадків. Після проникнення в мережу цей показник падає до нуля: зловмисники використовують легітимні облікові записи та штатні інструменти організації.
Такі дані Володимир Стиран, спеціальний помічник Голови Держспецзв’язку, представив на міжнародній конференції Cyber Mission Assurance II у Брно. На їхній основі він запропонував концепцію Offense Death Cycle – підхід, у якому захист будується навколо постійної зміни середовища, в якому працює нападник.
За даними Стирана, самі атакувальники очікують використання експлойтів значно частіше, ніж це відбувається насправді: у 76% випадків проти фактичних 21%. Натомість після отримання доступу вони спираються на стабільність ІТ-інфраструктури – незмінні налаштування, облікові записи та інструменти, які залишаються доступними протягом тривалого часу.
Як приклади Стиран навів злами Equifax, Marriott, Національного комітету Демократичної партії США та Управління кадрами США. За його словами, ці компрометації виявили не системи безпекового контролю, а зміни в операційному середовищі.
Протилежний підхід продемонстрував ПриватБанк під час атаки NotPetya. Банк зміг пройти масштабну атаку завдяки архітектурним обмеженням, закладеним ще до інциденту.
Offense Death Cycle передбачає регулярне руйнування умов, на які розраховує нападник. Захисник має визначити, які характеристики середовища потрібні хакеру, змінити їх, спостерігати за реакцією та повторювати цей процес. Таким чином, ставка робиться не на пошук кожної потенційної вразливості, а на позбавлення атакувальника стабільного середовища для розвитку атаки.
Источник: KO
Поделиться