Реагирование на компьютерные инциденты в 2018 году

Наиболее частой причиной обращения стала атака шифровальщиков. Данная категория атак характеризуется высокой скоростью развития, сложно детектируется на ранних стадиях, а ее последствия, напротив, очевидны.

Специалистами отдела антивирусных исследований Лаборатории Касперского был составлен рейтинг наиболее распространенных образцов шифровальщиков, атакующих организации, за 2018 год.

В случае обнаружения активности шифровальщика необходимо:

• Изолировать компьютер и сегмент сети, в котором произошел инцидент, для исключения дальнейшего развития атаки.
• Cделать снимки оперативной памяти и снять образы жестких дисков для дальнейшего детального расследования.
• Проанализировать зашифрованные файлы с целью выявления типа вредоносной программы, что позволит оперативно принять комплекс мер по первоначальному реагированию.
• Провести расследование инцидента для установления начальных векторов компрометации, а также выявления возможных точек закрепления злоумышленников в инфраструктуре, что позволит избежать повторного заражения.

Топ 7 шифровальщиков по доле заражений

В реальности инцидентов намного больше

Только 22% компаний, у которых были обнаружены признаки вредоносной активности, обратились за услугой по реагированию на инцидент.

Часто клиенты Лаборатории Касперского обращаются за экспертным анализом данных, собранных с использованием автоматических средств мониторинга. В результате исследования предоставленных данных были получены следующие результаты:

81% организаций, предоставивших данные для анализа, имели признаки вредоносной активности во внутренней сети.

У каждой третьей компании обнаружена активность, свидетельствующая о возможной таргетированной атаке.

Для трех ключевых категорий организаций были выявлены основные тенденции, связанные с угрозами безопасности.

Векторы первичной компрометации

В трети инцидентов для начальной компрометации системы использовалась служба удаленного управления RDP. В большинстве случаев злоумышленникам удавалось подобрать учетные данные пользователя, причем на перебор данных у атакующих уходило порядка нескольких часов. Настолько высокая скорость объясняется использованием сотрудниками ненадежных или словарных паролей. Кроме того, в большинстве случаев для аутентификации в различных системах использовались одинаковые учетные данные, в результате чего злоумышленники смогли повторно использовать полученные имена пользователей и пароли для доступа к другим узлам.

Следует также отметить, что в трети случаев атак через службу удаленного управления учетные данные были известны атакующим заранее (попыток подбора пароля обнаружено не было). Вероятно, эти данные были получены с использованием методов социальной инженерии или обнаружены в открытом доступе (например, если сотрудник использовал такой же пароль для регистрации на сторонних ресурсах).

Рекомендуется:

• Ограничить доступ к службам удаленного управления со всех внешних IP адресов. Удаленный доступ к корпоративным ресурсам и рабочим станциям должен быть организован с помощью VPN.
• Придерживаться строгой парольной политики.
• Придерживаться политики минимальных привилегий.
• Применять методы двухфакторной аутентификации.

33% атак произошли вследствие небезопасных действий со стороны работников компании. Сотрудник загружал из недоверенных источников вредоносный файл и запускал его, в результате чего злоумышленники получали контроль над рабочей станцией. Следует отметить, что невозможно полностью исключить влияние человеческого фактора, однако регулярное обучение персонала основам компьютерной безопасности позволяет значительно уменьшить вероятность успешной атаки с использованием методов социальной инженерии.

Рекомендуется:

• Использовать антивирусное решение на всех узлах сети и обеспечить регулярность его обновления.
• Использовать «песочницу» для проверки загружаемых из внешней сети файлов.
• Проводить регулярные тренинги для сотрудников, посвященные информационной безопасности.

Также, для повышения общего уровня безопасности рекомендуется:

• Обеспечить централизованное обновление программного обеспечения, в том числе на компьютерах, не являющихся частью доменной инфраструктуры.
• Внедрить процессы мониторинга подозрительной сетевой активности.
• Автоматически осуществлять резервное копирование данных на носитель, недоступный для записи (кроме процесса копирования).
• Регулярно проводить тестирование на проникновение.

Продолжительность атак

Для ряда инцидентов специалистам «Лаборатории Касперского» удалось установить промежуток времени между началом активных действий со стороны атакующих и завершением атаки. В результате последующего анализа, все инциденты были разделены на три категории по длительности.

Распространенные тактики и техники

Для ряда инцидентов был составлен список используемых техник атак по методологии MITRE. Ниже приведена таблица ATT&CK с указанием частоты, с которой техники встречались в инцидентах. К сожалению, на сегодняшний день лишь немногие компании пользуются преимуществами, которые дает применение методологии ATT&CK или структурированных описаний угроз, таких как STIX. Если вы работаете с таким типом информации, обратите внимание на то, покрываются ли приведенные ниже техники выбранными вами средствами защиты.

Заключение

Полученные данные позволяют сделать вывод, что кибератакам подвержены все компании, вне зависимости от отрасли или региона. Разработка процедур защиты и реагирования на такого рода атаки больше не является необходимой лишь для ограниченного числа организаций, а обязательна для всех компаний, независимо от вида их деятельности.

Поддержка и совершенствование существующих процессов реагирования на инциденты позволяет оперативно устранять угрозы за счет точной локализации, анализа и изоляции зараженных элементов сети. Также, благодаря использованию опыта, полученного в результате расследования каждого инцидента, значительно снижается риск повторного заражения и совершенствуется защита от целевых кибератак.

Наряду со строгими политиками мониторинга и хранением журналов событий на протяжении, по меньшей мере, полугода, разработка процедур для надлежащей работы с цифровыми доказательствами, несомненно, повышает скорость расследования инцидентов и обеспечивает полноту его результатов. Это, в свою очередь, приводит к более быстрой локализации инцидента и, как следствие, снижает возможные финансовые потери, урон репутации компании и объем полученных злоумышленниками данных.

Регулярное проведение работ по анализу защищенности доказало свою эффективность в раннем выявлении слабых мест в инфраструктуре. Это позволяет устранить их до того, как злоумышленники обнаружат выявленные уязвимости и воспользуются ими в ходе реальной атаки.

Кроме того, как видно из статистики, люди все еще являются самым слабым звеном в безопасности. Даже при использовании строгих политик безопасности и внедрении надежных защитных решений, всего лишь один обманутый злоумышленниками сотрудник может стать причиной компрометации значительной части инфраструктуры. Потому так важно уделять особое внимание повышению осведомленности персонала в области информационной безопасности.