Większość atakujących potrzebuje mniej niż 10 godzin, aby znaleźć słabości

Przeciętny etyczny haker może znaleźć lukę w zabezpieczeniach, która umożliwia naruszenie obwodu sieci, a następnie wykorzystać środowisko w mniej niż 10 godzin, a testerzy penetracji skupieni na bezpieczeństwie chmury najszybciej uzyskują dostęp do docelowych zasobów. Co więcej, po wykryciu luki lub słabości około 58% etycznych hakerów może włamać się do środowiska w mniej niż pięć godzin.

Tak wynika z ankiety przeprowadzonej wśród 300 ekspertów przez instytut SANS i sponsorowanej przez firmę Bishop Fox świadczącą usługi w zakresie cyberbezpieczeństwa, która wykazała również, że najczęstsze słabości wykorzystywane przez hakerów obejmują podatne konfiguracje, wady oprogramowania i odsłonięte usługi internetowe – stwierdzili respondenci ankiety.

Wyniki odzwierciedlają dane dotyczące złośliwych ataków w świecie rzeczywistym i podkreślają ograniczoną ilość czasu, jaką firmy mają na wykrywanie zagrożeń i reagowanie na nie” – mówi Tom Eston, zastępca wiceprezesa ds. doradztwa w Bishop Fox.

„Pięć lub sześć godzin na włamanie, co dla mnie jako etycznego hakera nie jest wielką niespodzianką” – mówi. „Odpowiada to temu, co widzimy u prawdziwych hakerów, szczególnie w zakresie socjotechniki, phishingu i innych realistycznych wektorów ataków”.

Połączenia badanie to najnowsze dane pochodzące z prób firm zajmujących się cyberbezpieczeństwem, mających na celu oszacowanie średniego czasu, jaki organizacje muszą zatrzymać atakujących i przerwać ich działania, zanim wyrządzą znaczące szkody.

Na przykład firma CrowdStrike świadcząca usługi w zakresie cyberbezpieczeństwa odkryła, że ​​przeciętny atakujący „wyłamuje się” z początkowego kompromisu i infekuje inne systemy w mniej niż 90 minut. Tymczasem czas, przez który napastnicy mogą działać w sieciach ofiar, zanim zostaną wykryci, w 21 r. wyniósł 2021 dni, czyli był nieco dłuższy niż 24 dni w roku poprzednim. – twierdzi firma Mandiant, świadcząca usługi w zakresie cyberbezpieczeństwa.

Organizacje nie nadążają

Ogółem, jak wynika z ankiety Bishop Fox-SANS, prawie trzy czwarte etycznych hakerów uważa, że ​​większości organizacji brakuje niezbędnych możliwości wykrywania i reagowania, aby powstrzymać ataki. Dane powinny przekonać organizacje, aby nie tylko skupiły się na zapobieganiu atakom, ale także dążyły do ​​szybkiego wykrywania ataków i reagowania na nie w celu ograniczenia szkód, mówi Eston z Bishop Fox.

„Każdy w końcu zostanie zhakowany, więc wszystko sprowadza się do reakcji na incydent i sposobu, w jaki zareagujesz na atak, a nie do ochrony przed każdym wektorem ataku” – mówi. „Prawie niemożliwe jest powstrzymanie jednej osoby przed kliknięciem łącza”.

Ponadto, jak stwierdzono w raporcie, firmy mają trudności z zabezpieczeniem wielu części swojej powierzchni ataku. Testerzy penetracji stwierdzili, że strony trzecie, praca zdalna, przyjęcie infrastruktury chmurowej i zwiększone tempo tworzenia aplikacji znacząco przyczyniły się do zwiększenia powierzchni ataków organizacji.

Jednak zdecydowanie najbardziej krytyczną podatnością pozostaje czynnik ludzki. Według respondentów ataki wykorzystujące socjotechnikę i phishing stanowiły łącznie około połowę (49%) wektorów zapewniających najlepszy zwrot z inwestycji w ataki hakerskie. Ataki na aplikacje internetowe, ataki oparte na hasłach i oprogramowanie ransomware stanowią kolejną czwartą preferowanych ataków.

„Nie powinno być zaskoczeniem, że dwa główne wektory to odpowiednio socjotechnika i ataki phishingowe” – stwierdzono w raporcie. „Zaobserwowaliśmy to wielokrotnie, rok po roku — liczba zgłoszeń dotyczących phishingu stale rośnie, a przeciwnicy nadal odnoszą sukcesy w ramach tych wektorów”.

Po prostu Twój przeciętny haker

W badaniu opracowano także profil przeciętnego etycznego hakera, przy czym prawie dwie trzecie respondentów ma od roku do sześciu lat doświadczenia. Tylko jeden na dziesięciu etycznych hakerów miał staż pracy w zawodzie krótszy niż rok, a około 10% miało od siedmiu do 30 lat doświadczenia.

Jak wynika z ankiety, większość etycznych hakerów ma doświadczenie w bezpieczeństwie sieci (71%), wewnętrznych testach penetracyjnych (67%) i bezpieczeństwie aplikacji (58%), a na kolejnych miejscach znajdują się red teaming, bezpieczeństwo w chmurze i bezpieczeństwo na poziomie kodu. popularne rodzaje etycznego hakowania.

Badanie powinno przypomnieć firmom, że sama technologia nie jest w stanie rozwiązać problemów związanych z cyberbezpieczeństwem — rozwiązania wymagają przeszkolenia pracowników w zakresie świadomości ataków, twierdzi Eston.

„Nie ma jednej technologii typu Blinky Box, która odparłaby wszystkie ataki i zapewniła bezpieczeństwo Twojej organizacji” – mówi. „Jest to połączenie procesów ludzkich i technologii i to się nie zmieniło. Organizacje skłaniają się ku najnowszym i najlepszym technologiom… ale potem ignorują świadomość bezpieczeństwa i szkolą swoich pracowników w zakresie inżynierii społecznej”.

Jego zdaniem skoro atakujący skupiają się właśnie na tych słabych stronach, organizacje muszą zmienić sposób, w jaki rozwijają swoje mechanizmy obronne.