فیشینگ در ابر: ما به یک قایق بزرگتر نیاز داریم

فیشینگ برای مدت طولانی یکی از بهترین راه ها برای دسترسی به یک سازمان هدف بوده است. قبلا اینجوری نبود در روزهای اولیه امنیت رایانه، بهره برداری از کد راه دور (RCE) روش ارجح برای دستیابی به دسترسی بود، زیرا نیازی به تعامل کاربر نداشت. در واقع، اگر چیزی نیاز به تعامل با کاربر داشت، یک تهدید جدی در نظر گرفته نمی شد. شیوه های امنیتی بهتر شروع به کار کردند و روش دسترسی RCE بسیار چالش برانگیزتر شد. و معلوم شد، تعامل کاربران آسان‌تر از تصور قبلی بود.

همین چرخه شروع به تکرار با اهداف داخلی کرده است. سازمان ها شروع به پیشرفت در ایمن سازی شبکه های داخلی خود در برابر استفاده از تشخیص و پاسخ نقطه پایانی (EDR) کرده اند و سایر فناوری ها برای شناسایی بدافزار و حرکت جانبی مجهزتر هستند. در حالی که حملات سخت تر می شوند، هنوز برای یک مهاجم یک استراتژی بی اثر نیست. استقرار باج افزار و سایر اشکال بدافزار هنوز یک نتیجه رایج است.

چرا زیرساخت ابری شما یک هدف اصلی برای حملات فیشینگ است؟

ابر به فیشرها مرز کاملا جدیدی برای حمله داده است و معلوم است که می تواند بسیار خطرناک باشد. محیط‌های SaaS هدف‌های رسیده‌ای برای حملات فیشینگ هستند و می‌توانند چیزی بیشتر از دسترسی به برخی از ایمیل‌ها را در اختیار مهاجم قرار دهند. ابزارهای امنیتی هنوز در این محیط در حال رشد هستند، که فرصتی را برای مهاجمان فراهم می کند که در آن روش هایی مانند حملات فیشینگ می توانند بسیار مؤثر باشند.

حملات فیشینگ توسعه دهندگان و زنجیره تامین نرم افزار را هدف قرار می دهد

همانطور که اخیرا دیدیم، دراپ باکس اتفاقی افتاد به دلیل حمله فیشینگ علیه توسعه دهندگان آن. آنها فریب خوردند اعتبار Github خود را می دهند به یک مهاجم توسط ایمیل فیشینگ و وب سایت جعلی، با وجود احراز هویت چند عاملی (MFA). چیزی که این را ترسناک می کند این است که این فقط یک کاربر تصادفی از فروش یا عملکرد دیگری نبود، بلکه توسعه دهندگانی بودند که به بسیاری از داده های Dropbox دسترسی داشتند. خوشبختانه، به نظر نمی رسد دامنه این حادثه بر حیاتی ترین داده های Dropbox تأثیر بگذارد.

GitHub و دیگر پلتفرم‌ها در فضای یکپارچه‌سازی/ استقرار پیوسته (CI/CD)، «جواهرات تاج» جدید برای بسیاری از شرکت‌ها هستند. با دسترسی مناسب، مهاجمان می توانند دارایی های معنوی را سرقت کنند، کد منبع و سایر داده ها را درز کنند یا رفتار کنند. حملات زنجیره تامین. این حتی فراتر می رود، زیرا GitHub اغلب با پلتفرم های دیگر ادغام می شود، که مهاجم ممکن است بتواند آنها را محور قرار دهد. همه این‌ها می‌توانند بدون دست زدن به شبکه اولیه قربانی، یا بسیاری از ابزارهای امنیتی دیگر که سازمان‌ها به دست آورده‌اند، اتفاق بیفتد، زیرا همه آنها نرم‌افزار به‌عنوان سرویس (SaaS)-to-SaaS هستند.

امنیت در این سناریو می تواند یک چالش باشد. هر ارائه دهنده SaaS این کار را متفاوت انجام می دهد. دید مشتری نسبت به آنچه در این پلتفرم ها اتفاق می افتد اغلب محدود است. به عنوان مثال، GitHub فقط به API حسابرسی Log خود تحت برنامه Enterprise خود دسترسی می دهد. دیده شدن تنها اولین مانعی است که باید بر آن غلبه کرد، مانع بعدی ساخت محتوای شناسایی مفید در اطراف آن است. ارائه دهندگان SaaS می توانند از نظر کاری که انجام می دهند و داده هایی که ارائه می دهند کاملاً متفاوت باشند. درک زمینه ای از نحوه کار آنها برای ایجاد و حفظ تشخیص ها مورد نیاز است. سازمان شما ممکن است از این قبیل پلتفرم های SaaS در حال استفاده باشد.

چگونه خطرات مرتبط با فیشینگ در فضای ابری را کاهش می دهید؟

پلتفرم های هویتی مانند Okta می توانند به کاهش خطر کمک کنند. اما نه به طور کامل. شناسایی لاگین های غیرمجاز مطمئناً یکی از بهترین راه ها برای کشف حملات فیشینگ و پاسخ به آنها است. گفتن این کار آسان تر از انجام آن است، زیرا مهاجمان به روش های متداول تشخیص حضور خود پی برده اند. از سرورهای پروکسی یا VPN ها به راحتی استفاده می شود تا حداقل به نظر برسد که از همان منطقه عمومی کاربر می آیند تا شناسایی سفرهای غیرممکن یا کشور را شکست دهند. مدل‌های پیشرفته‌تر یادگیری ماشینی را می‌توان به کار برد، اما این مدل‌ها هنوز به طور گسترده پذیرفته یا ثابت نشده‌اند.

تشخیص تهدید سنتی نیز در حال تطبیق با دنیای SaaS است. Falco، یک ابزار محبوب تشخیص تهدید برای کانتینرها و ابر، دارای یک سیستم پلاگین است که می تواند تقریباً از هر پلتفرمی پشتیبانی کند. تیم فالکو قبلاً افزونه‌ها و قوانینی را برای Okta و GitHub منتشر کرده است. مثلا، پلاگین GitHub قانونی دارد که در صورت بروز هرگونه ارتکاب نشانه هایی از ماینر کریپتو باعث می شود. استفاده از این تشخیص های هدفمند راه خوبی برای شروع وارد کردن این پلتفرم ها به برنامه تشخیص تهدید کلی شما است.

فیشینگ اینجاست که بماند

فیشینگ، و به طور کلی مهندسی اجتماعی، هرگز عقب نخواهند ماند. این یک روش حمله موثر برای سال ها بوده است، و تا زمانی که مردم ارتباط برقرار کنند، وجود خواهد داشت. درک این نکته ضروری است که این حملات به زیرساختی که شما مالک یا مدیریت مستقیم آن هستید محدود نمی شود. SaaS به‌ویژه به دلیل عدم دید بیشتر سازمان‌ها نسبت به آنچه واقعاً در آن پلتفرم‌ها اتفاق می‌افتد در معرض خطر است. امنیت آنها را نمی توان به عنوان مشکل شخص دیگری حذف کرد، زیرا یک ایمیل ساده و وب سایت جعلی برای دسترسی به آن منابع کافی است.