Como as empresas de tecnologia podem diminuir o pico de violações

As empresas de tecnologia criaram as ferramentas que usamos para construir e administrar negócios, processar transações de consumo, nos comunicar uns com os outros e organizar nossas vidas pessoais e profissionais. A tecnologia moldou o mundo moderno como o conhecemos - e nossa dependência da tecnologia continua a crescer.

A importância da indústria de tecnologia não passou despercebida aos cibercriminosos e grupos de estado-nação, que visam empresas de tecnologia por vários motivos: para cumprir objetivos estratégicos, militares e econômicos; para acessar dados corporativos confidenciais que eles podem manter como resgate ou vender na Dark Web; comprometer as cadeias de abastecimento; e muito mais.

As empresas de tecnologia não são estranhas ao crime cibernético - há muito tempo são alvos de atividades adversárias - mas, no ano passado, esses ataques aumentaram rapidamente. A tecnologia foi a vertical mais visada para invasões cibernéticas entre julho de 2021 e junho de 2022, de acordo com Dados de ameaças CrowdStrike. Isso fez da tecnologia o setor mais popular para atores de ameaças durante um ano em que os caçadores de ameaças CrowdStrike registraram mais de 77,000 invasões em potencial, ou aproximadamente uma intrusão em potencial a cada sete minutos.

Se isso soa familiar, provavelmente é porque você viu essa atividade de ameaça nas notícias — violação de dados afetando o setor de tecnologia dominaram as manchetes em 2022. Empresas de tecnologia de todos os tamanhos devem se preocupar com o potencial de atividade adversária, porque muitas vezes estão tentando roubar dados. Vamos examinar mais de perto as ameaças com as quais as empresas de tecnologia devem se preocupar, como são essas táticas adversárias e como detê-las.

Como os adversários de hoje atacam as empresas de tecnologia

Empresas, pequenas e médias empresas (SMBs) e startups devem estar cientes das ameaças que enfrentam e como se defender delas.

Os adversários estão se afastando cada vez mais do malware em um esforço para evitar a detecção: os dados de ameaças CrowdStrike mostram que a atividade livre de malware foi responsável por 71% de todas as detecções entre julho de 2021 e junho de 2022. Essa mudança está parcialmente relacionada a invasores cada vez mais abuso de credenciais válidas para obter acesso e manter a persistência (ou seja, estabelecer acesso de longo prazo aos sistemas, apesar de interrupções, como reinicializações ou alterações de credenciais) em ambientes de TI. No entanto, há outro fator: a velocidade com que novas vulnerabilidades são divulgadas e a velocidade com que os adversários podem operacionalizar exploits.

O número de vulnerabilidades de dia zero e recém-divulgadas continua a aumentar ano após ano. Os dados de ameaças da CrowdStrike mostram mais de 20,000 novas vulnerabilidades relatadas em 2021 — mais do que em qualquer ano anterior — e mais de 10,000 foram relatadas até o início de junho de 2022. Essa é uma indicação clara de que essa tendência não está diminuindo.

Uma análise mais detalhada das táticas, técnicas e procedimentos (TTPs) usados ​​durante as invasões revela padrões comuns na atividade adversária. Quando uma vulnerabilidade é explorada com sucesso, ela é rotineiramente seguida pela implantação de shells da Web (isto é, scripts maliciosos que permitem que adversários comprometam servidores da Web e lancem ataques adicionais).

O que as empresas de tecnologia podem fazer para impedir as violações?

O setor de tecnologia é desafiado a manter uma forte defesa contra um cenário de ameaças em constante evolução. Os invasores de hoje estão mudando seus TTPs para serem mais sutis, evitar a detecção e causar mais danos. Cabe aos defensores proteger as cargas de trabalho, identidades e dados dos quais seus negócios dependem.

Não existe um modelo único para como os cibercriminosos conduzem seus ataques, nem existe uma única bala de prata para as empresas de tecnologia se defenderem contra todas as invasões. No entanto, uma análise mais detalhada da atividade de invasão revela áreas críticas de foco para as equipes de TI e segurança. Abaixo estão as principais recomendações:

• Volte ao básico: É fundamental que as empresas de tecnologia tenham os fundamentos da higiene de segurança. Isso inclui a implantação de um forte programa de gerenciamento de patches e a garantia de controle robusto de contas de usuário e gerenciamento de acesso privilegiado para mitigar os efeitos de credenciais comprometidas.
• Audite rotineiramente os serviços de acesso remoto: Os adversários aproveitarão qualquer ferramenta de acesso remoto pré-existente à sua disposição ou tentarão instalar software legítimo de acesso remoto na esperança de evitar qualquer detecção automatizada. Auditorias regulares devem verificar se a ferramenta está autorizada e se a atividade está dentro do prazo esperado, como no horário comercial. As conexões feitas da mesma conta de usuário para vários hosts em um curto período de tempo podem ser um sinal de que um adversário comprometeu as credenciais.
• Procure ameaças de forma proativa: Depois que um adversário viola as defesas de uma empresa de tecnologia, pode ser difícil detectá-lo, pois eles coletam dados silenciosamente, procuram informações confidenciais ou roubam credenciais. É aqui que entra a caça às ameaças. Ao procurar proativamente por adversários em seu ambiente, as empresas de tecnologia podem detectar ataques mais cedo e fortalecer sua postura de segurança.
• Priorize a proteção de identidade: Os adversários estão cada vez mais direcionando credenciais para violar empresas de tecnologia. Qualquer usuário, seja um funcionário, fornecedor terceirizado ou cliente, pode ser comprometido sem saber e fornecer um caminho de ataque para adversários. As empresas de tecnologia devem autenticar todas as identidades e autorizar cada solicitação para evitar ataques cibernéticos, como ataque à cadeia de suprimentos, ataque de ransomware ou violação de dados.
• Não se esqueça da prevenção de ameaças: Para empresas de tecnologia, as ferramentas de prevenção contra ameaças podem bloquear ameaças cibernéticas antes que elas penetrem em um ambiente ou causem danos. Detecção e prevenção andam de mãos dadas. Para evitar ameaças cibernéticas, elas devem ser detectadas em tempo real. Quanto maior o ambiente de TI, maior a necessidade de ferramentas que possam ajudar na detecção e prevenção de ameaças.

A evolução do cibercrime e da atividade do estado-nação não mostra sinais de desaceleração. As empresas de tecnologia devem fortalecer suas defesas e entender as técnicas de um adversário para proteger suas cargas de trabalho, identidades e dados e manter suas organizações funcionando.