Useimmat hyökkääjät tarvitsevat alle 10 tuntia löytääkseen heikkouksia

Keskiverto eettinen hakkeri voi löytää haavoittuvuuden, joka mahdollistaa verkon kehän murtamisen ja sitten ympäristön hyödyntämisen alle 10 tunnissa, jolloin pilviturvallisuuteen keskittyneet penetraatiotestaajat pääsevät nopeimmin käsiksi kohdennettuihin resursseihin. Ja lisäksi, kun haavoittuvuus tai heikkous löydetään, noin 58 % eettisistä hakkereista voi murtautua ympäristöön alle viidessä tunnissa.

Tämä käy ilmi SANS-instituutin ja kyberturvallisuuspalveluyrityksen Bishop Foxin sponsoroimasta 300 asiantuntijan tutkimuksesta, jossa havaittiin myös, että hakkereiden yleisimpiä heikkouksia ovat haavoittuvat kokoonpanot, ohjelmistovirheet ja paljaat verkkopalvelut, kyselyyn vastanneet totesivat.

Tulokset peilaavat todellisten haitallisten hyökkäysten mittareita ja korostavat sitä rajallista aikaa, joka yrityksillä on havaita uhkia ja reagoida niihin, sanoo Tom Eston, Bishop Foxin konsultointiosaston apulaisjohtaja.

"Viisi tai kuusi tuntia murtautua sisään eettisenä hakkerina, se ei ole suuri yllätys", hän sanoo. "Se vastaa sitä, mitä näemme todellisten hakkereiden tekevän, erityisesti sosiaalisen manipuloinnin ja tietojenkalastelun ja muiden realististen hyökkäysvektorien kanssa."

- tutkimus on viimeisin tietopiste kyberturvallisuusyritysten yrityksistä arvioida, kuinka kauan organisaatioiden keskimääräinen aika pysäyttää hyökkääjät ja keskeyttää heidän toimintansa ennen kuin merkittävää vahinkoa tapahtuu.

Esimerkiksi kyberturvallisuuspalveluyritys CrowdStrike havaitsi, että keskimääräinen hyökkääjä "purkaa" alkuperäisestä kompromissistaan ​​tartuttaakseen muita järjestelmiä. alle 90 minuutissa. Aika, jonka hyökkääjät pystyivät toimimaan uhrien verkoissa ennen havaitsemistaan, oli 21 päivää vuonna 2021, mikä on hieman parempi kuin edellisen vuoden 24 päivää. kyberturvallisuuspalveluyrityksen Mandiantin mukaan.

Organisaatiot eivät pysy perässä

Kaiken kaikkiaan lähes kolme neljäsosaa eettisistä hakkereista uskoo, että useimmilla organisaatioilla ei ole tarvittavia havaitsemis- ja reagointivalmiuksia hyökkäysten pysäyttämiseksi, Bishop Fox-SANS-tutkimuksen mukaan. Tietojen pitäisi saada organisaatiot vakuuttuneiksi siitä, että ne eivät keskity pelkästään hyökkäysten estämiseen, vaan pyrkivät havaitsemaan hyökkäykset nopeasti ja reagoimaan niihin vahingon rajoittamiseksi, Bishop Fox's Eston sanoo.

"Jokainen lopulta hakkeroidaan, joten se riippuu tapauksesta ja siitä, kuinka reagoit hyökkäykseen, sen sijaan, että suojaudutaan kaikilta hyökkäysvektorilta", hän sanoo. "On lähes mahdotonta estää yhtä henkilöä napsauttamasta linkkiä."

Lisäksi yrityksillä on vaikeuksia turvata useita osia hyökkäyspinnastaan, raportissa todettiin. Kolmannet osapuolet, etätyö, pilviinfrastruktuurin käyttöönotto ja nopeutunut sovelluskehitys ovat kaikki vaikuttaneet merkittävästi organisaatioiden hyökkäyspintojen laajentamiseen, penetraatiotestaajat sanoivat.

Silti inhimillinen elementti on edelleen ylivoimaisesti kriittisin haavoittuvuus. Sosiaalisen manipuloinnin ja tietojenkalasteluhyökkäykset muodostivat vastaajien mukaan noin puolet (49 %) hakkerointiinvestoinnin parhaiten tuottavista vektoreista. Verkkosovellushyökkäykset, salasanapohjaiset hyökkäykset ja kiristysohjelmat muodostavat toisen neljänneksen suosituimmista hyökkäyksistä.

"Ei pitäisi tulla yllätyksenä, että sosiaalisen manipuloinnin ja tietojenkalasteluhyökkäykset ovat kaksi suurinta vektoria", raportissa todetaan. "Olemme nähneet tämän kerta toisensa jälkeen, vuosi toisensa jälkeen – tietojenkalasteluraportit lisääntyvät jatkuvasti, ja vastustajat löytävät edelleen menestystä näillä vektoreilla."

Vain keskimääräinen hakkeri

Kyselyssä kehitettiin myös keskimääräisen eettisen hakkerin profiili, jossa lähes kahdella kolmasosalla vastaajista on vuoden ja kuuden vuoden kokemus. Vain joka kymmenes eettinen hakkeri on työskennellyt ammatissa alle vuoden, kun taas noin 10 prosentilla oli seitsemän–30 vuoden kokemus.

Useimmilla eettisillä hakkereilla on tutkimuksen mukaan kokemusta verkkoturvallisuudesta (71 %), sisäisestä läpäisytestauksesta (67 %) ja sovellusten turvallisuudesta (58 %). Seuraavaksi eniten ovat punaiset ryhmittymät, pilviturvallisuus ja kooditason tietoturva. suosittuja eettisen hakkeroinnin tyyppejä.

Tutkimuksen tulee muistuttaa yrityksiä siitä, että teknologia ei yksin pysty ratkaisemaan kyberturvallisuusongelmia – ratkaisut edellyttävät työntekijöiden kouluttamista tietoisiksi hyökkäyksistä, Eston sanoo.

"Ei ole olemassa yhtäkään blinky-box-tekniikkaa, joka torjuisi kaikki hyökkäykset ja pitämään organisaatiosi turvassa", hän sanoo. ”Se on ihmisten prosessin ja teknologian yhdistelmä, eikä se ole muuttunut. Organisaatiot pyrkivät uusimpaan ja parhaaseen tekniikkaan… mutta sitten ne sivuuttavat tietoturvatietoisuuden ja kouluttavat työntekijöitään tunnistamaan sosiaalinen suunnittelu.”

Hänen mukaansa hyökkääjät keskittyvät juuri näihin heikkouksiin, joten organisaatioiden on muutettava puolustuskeinoaan.