Οι περισσότεροι επιτιθέμενοι χρειάζονται λιγότερο από 10 ώρες για να βρουν αδυναμίες

Ο μέσος ηθικός χάκερ μπορεί να βρει μια ευπάθεια που επιτρέπει την παραβίαση της περιμέτρου του δικτύου και στη συνέχεια να εκμεταλλευτεί το περιβάλλον σε λιγότερο από 10 ώρες, με τους ελεγκτές διείσδυσης που επικεντρώνονται στην ασφάλεια του cloud να αποκτούν πρόσβαση πιο γρήγορα σε στοχευμένα στοιχεία. Και επιπλέον, μόλις εντοπιστεί μια ευπάθεια ή αδυναμία, περίπου το 58% των ηθικών χάκερ μπορούν να εισβάλουν σε ένα περιβάλλον σε λιγότερο από πέντε ώρες.

Αυτό προκύπτει από έρευνα 300 ειδικών από το SANS Institute και χορηγία από την εταιρεία υπηρεσιών κυβερνοασφάλειας Bishop Fox, η οποία διαπίστωσε επίσης ότι οι πιο κοινές αδυναμίες που εκμεταλλεύονται οι χάκερ περιλαμβάνουν ευάλωτες διαμορφώσεις, ελαττώματα λογισμικού και εκτεθειμένες υπηρεσίες Ιστού, δήλωσαν οι ερωτηθέντες.

Τα αποτελέσματα αντικατοπτρίζουν μετρήσεις για κακόβουλες επιθέσεις στον πραγματικό κόσμο και υπογραμμίζουν τον περιορισμένο χρόνο που έχουν οι εταιρείες για να ανιχνεύσουν και να ανταποκριθούν σε απειλές, λέει ο Tom Eston, αντιπρόεδρος συμβούλων του Bishop Fox.

«Πέντε ή έξι ώρες για να εισβάλω, ως ηθικός χάκερ ο ίδιος, δεν αποτελεί τεράστια έκπληξη», λέει. «Συμφωνεί με αυτό που βλέπουμε να κάνουν οι πραγματικοί χάκερ, ειδικά με την κοινωνική μηχανική και το phishing και άλλους ρεαλιστικούς φορείς επιθέσεων».

Η επισκόπηση είναι το πιο πρόσφατο σημείο δεδομένων από τις προσπάθειες των εταιρειών κυβερνοασφάλειας να υπολογίσουν τον μέσο χρόνο που έχουν οι οργανισμοί να σταματήσουν τους επιτιθέμενους και να διακόψουν τις δραστηριότητές τους πριν προκληθεί σημαντική ζημιά.

Η εταιρεία υπηρεσιών κυβερνοασφάλειας CrowdStrike, για παράδειγμα, διαπίστωσε ότι ο μέσος εισβολέας «ξεσπά» από τον αρχικό συμβιβασμό του για να μολύνει άλλα συστήματα σε λιγότερο από 90 λεπτά. Εν τω μεταξύ, το χρονικό διάστημα που οι επιτιθέμενοι μπορούν να λειτουργήσουν στα δίκτυα των θυμάτων πριν εντοπιστούν ήταν 21 ημέρες το 2021, ελαφρώς καλύτερο από τις 24 ημέρες του προηγούμενου έτους, σύμφωνα με την εταιρεία υπηρεσιών κυβερνοασφάλειας Mandiant.

Οργανισμοί που δεν συμβαδίζουν

Συνολικά, σχεδόν τα τρία τέταρτα των ηθικών χάκερ πιστεύουν ότι οι περισσότεροι οργανισμοί δεν διαθέτουν τις απαραίτητες δυνατότητες ανίχνευσης και απόκρισης για να σταματήσουν τις επιθέσεις, σύμφωνα με την έρευνα Bishop Fox-SANS. Τα δεδομένα θα πρέπει να πείσουν τους οργανισμούς να μην επικεντρώνονται απλώς στην πρόληψη επιθέσεων, αλλά να στοχεύουν στον γρήγορο εντοπισμό και να ανταποκρίνονται σε επιθέσεις ως τρόπος περιορισμού των ζημιών, λέει ο Eston του Bishop Fox.

«Όλοι τελικά πρόκειται να χακαριστούν, οπότε το θέμα εξαρτάται από την απόκριση του περιστατικού και τον τρόπο απόκρισης σε μια επίθεση, σε αντίθεση με την προστασία από κάθε φορέα επίθεσης», λέει. "Είναι σχεδόν αδύνατο να σταματήσετε ένα άτομο να κάνει κλικ σε έναν σύνδεσμο."

Επιπλέον, οι εταιρείες αγωνίζονται να εξασφαλίσουν πολλά μέρη της επιφάνειας επίθεσης τους, ανέφερε η έκθεση. Τρίτοι, η απομακρυσμένη εργασία, η υιοθέτηση υποδομής cloud και ο αυξημένος ρυθμός ανάπτυξης εφαρμογών συνέβαλαν σημαντικά στην επέκταση των επιφανειών επίθεσης των οργανισμών, είπαν οι ελεγκτές διείσδυσης.

Ωστόσο, το ανθρώπινο στοιχείο εξακολουθεί να είναι η πιο κρίσιμη ευπάθεια, μακράν. Οι επιθέσεις κοινωνικής μηχανικής και phishing, μαζί, αντιπροσώπευαν περίπου το ήμισυ (49%) των φορέων με την καλύτερη απόδοση της επένδυσης στο hacking, σύμφωνα με τους ερωτηθέντες. Οι επιθέσεις διαδικτυακών εφαρμογών, οι επιθέσεις με κωδικό πρόσβασης και το ransomware αντιπροσωπεύουν ένα άλλο τέταρτο των προτιμώμενων επιθέσεων.

«Δεν πρέπει να εκπλήσσομαι που οι επιθέσεις κοινωνικής μηχανικής και phishing είναι οι δύο κορυφαίοι φορείς, αντίστοιχα», ανέφερε η έκθεση. "Το έχουμε δει ξανά και ξανά, χρόνο με το χρόνο - οι αναφορές phishing αυξάνονται συνεχώς και οι αντίπαλοι συνεχίζουν να βρίσκουν επιτυχία σε αυτούς τους φορείς."

Μόνο ο μέσος χάκερ σας

Η έρευνα ανέπτυξε επίσης ένα προφίλ του μέσου ηθικού χάκερ, με σχεδόν τα δύο τρίτα των ερωτηθέντων να έχουν από ένα έτος έως έξι χρόνια εμπειρίας. Μόνο ένας στους 10 ηθικούς χάκερ είχε λιγότερο από ένα χρόνο στο επάγγελμα, ενώ περίπου το 30% είχε μεταξύ επτά και 20 ετών εμπειρία.

Οι περισσότεροι ηθικοί χάκερ έχουν εμπειρία στην ασφάλεια δικτύου (71%), στις δοκιμές εσωτερικής διείσδυσης (67%) και στην ασφάλεια εφαρμογών (58%), σύμφωνα με την έρευνα, με το κόκκινο teaming, την ασφάλεια στο cloud και την ασφάλεια σε επίπεδο κώδικα ως τα επόμενα δημοφιλείς τύποι ηθικής πειρατείας.

Η έρευνα θα πρέπει να υπενθυμίσει στις εταιρείες ότι η τεχνολογία από μόνη της δεν μπορεί να λύσει προβλήματα κυβερνοασφάλειας – οι λύσεις απαιτούν εκπαίδευση των εργαζομένων ώστε να γνωρίζουν τις επιθέσεις, λέει ο Eston.

«Δεν υπάρχει ούτε μία τεχνολογία που να αποκρούει όλες τις επιθέσεις και να κρατά τον οργανισμό σας ασφαλή», λέει. «Είναι ένας συνδυασμός διαδικασίας ανθρώπων και τεχνολογίας και αυτό δεν έχει αλλάξει. Οι οργανισμοί έλκονται προς την πιο πρόσφατη και κορυφαία τεχνολογία… αλλά στη συνέχεια αγνοούν την ευαισθητοποίηση σχετικά με την ασφάλεια και την εκπαίδευση των εργαζομένων τους να αναγνωρίζουν την κοινωνική μηχανική».

Με τους επιτιθέμενους να επικεντρώνονται ακριβώς σε αυτές τις αδυναμίες, λέει, οι οργανισμοί πρέπει να αλλάξουν τον τρόπο με τον οποίο αναπτύσσουν τις άμυνές τους.