Phishing în cloud: vom avea nevoie de o barcă mai mare

Phishingul a fost mult timp una dintre cele mai bune modalități de a obține acces la o organizație țintă. Nu obișnuia să fie așa. În primele zile ale securității computerelor, exploatarea codului la distanță (RCE) era metoda preferată de obținere a accesului, deoarece nu necesita interacțiunea utilizatorului. De fapt, dacă ceva necesita interacțiunea utilizatorului, nu era considerat o amenințare serioasă. Practicile de securitate mai bune au început să se impună, iar metoda de acces RCE a devenit mult mai dificilă. Și s-a dovedit că a face utilizatorii să interacționeze a fost mai ușor decât ne-am imaginat vreodată.

Același ciclu a început să se repete cu obiectivele locale. Organizațiile au început să facă progrese în securizarea rețelelor interne împotriva utilizării detectării și răspunsului punctului final (EDR), iar alte tehnologii sunt mai bine echipate pentru a detecta malware și mișcarea laterală. Deși atacurile devin din ce în ce mai dificile, nu este încă o strategie ineficientă pentru un atacator. Implementarea ransomware-ului și a altor forme de malware este încă un rezultat comun.

De ce infrastructura dvs. de cloud este o țintă de top pentru atacurile de phishing

Norul le-a oferit phisher-ilor o frontieră complet nouă de atacat și se dovedește că poate fi foarte periculos. Mediile SaaS sunt ținte potrivite pentru atacuri de tip phishing și pot oferi atacatorului mult mai mult decât acces la unele e-mailuri. Instrumentele de securitate sunt încă în curs de maturizare în acest mediu, care oferă atacatorilor o fereastră de oportunitate în care metode precum atacurile de tip phishing pot fi foarte eficiente.

Atacurile de phishing care vizează dezvoltatorii și lanțul de aprovizionare cu software

După cum am văzut recent, Dropbox a avut un incident din cauza unui atac de phishing împotriva dezvoltatorilor săi. Au fost păcăliți dându-și acreditările Github unui atacator printr-un e-mail de phishing și un site web fals, în ciuda autentificare multifactor (MFA). Ceea ce face acest lucru înfricoșător este că acesta nu a fost doar un utilizator aleator din vânzări sau o altă funcție de afaceri, ci au fost dezvoltatori cu acces la o mulțime de date Dropbox. Din fericire, amploarea incidentului nu pare să afecteze datele cele mai critice ale Dropbox.

GitHub și alte platforme din spațiul de integrare continuă/implementare continuă (CI/CD) sunt noile „bijuterii coroanei” pentru multe companii. Cu accesul corect, atacatorii pot fura proprietatea intelectuală, pot scurge codul sursă și alte date sau pot conduce atacurile lanțului de aprovizionare. Merge și mai departe, deoarece GitHub se integrează adesea cu alte platforme, pe care atacatorul le poate pivota. Toate acestea se pot întâmpla fără a atinge niciodată rețeaua locală a victimei sau multe dintre celelalte instrumente de securitate pe care organizațiile le-au achiziționat, deoarece toate sunt software-as-a-service (SaaS)-to-SaaS.

Securitatea în acest scenariu poate fi o provocare. Fiecare furnizor SaaS o face diferit. Vizibilitatea unui client asupra a ceea ce se întâmplă în aceste platforme este adesea limitată. GitHub, de exemplu, oferă acces la API-ul Audit Log numai în cadrul planului său Enterprise. Obținerea vizibilității este doar primul obstacol de depășit, următorul ar fi să faci conținut util de detectare în jurul acestuia. Furnizorii SaaS pot fi destul de diferiți în ceea ce fac și în datele pe care le furnizează. Înțelegerea contextuală a modului în care funcționează va fi necesară pentru a face și a menține detecțiile. Organizația dvs. poate avea multe astfel de platforme SaaS în uz.

Cum atenuați riscurile asociate cu phishing-ul în cloud?

Platformele de identitate, cum ar fi Okta, pot ajuta la atenuarea riscului, dar nu complet. Identificarea autentificărilor neautorizate este cu siguranță una dintre cele mai bune modalități de a descoperi atacurile de tip phishing și de a răspunde la acestea. Acest lucru este mai ușor de spus decât de făcut, deoarece atacatorii au prins modurile comune de a le detecta prezența. Serverele proxy sau VPN-urile sunt folosite cu ușurință pentru a părea cel puțin să provină din aceeași zonă generală ca și utilizatorul pentru a învinge detecțiile de țară sau imposibile de călătorie. Pot fi aplicate modele de învățare automată mai avansate, dar acestea nu sunt încă adoptate sau dovedite pe scară largă.

Detectarea amenințărilor tradiționale începe să se adapteze și la lumea SaaS. Falco, un instrument popular de detectare a amenințărilor pentru containere și cloud, are un sistem plug-in care poate suporta aproape orice platformă. Echipa Falco a lansat deja plug-in-uri și reguli pentru Okta și GitHub, printre altele. De exemplu, plug-in-ul GitHub are o regulă care se declanșează în cazul în care orice comitere prezintă semne ale unui cripto miner. Utilizarea acestor detectări special concepute este o modalitate bună de a începe să introduceți aceste platforme în programul dvs. general de detectare a amenințărilor.

Phishing-ul este aici pentru a rămâne

Phishingul și ingineria socială în general, nu vor fi niciodată lăsate în urmă. A fost o metodă eficientă de atac de ani de zile și va fi atâta timp cât oamenii vor comunica. Este esențial să înțelegeți că aceste atacuri nu se limitează la infrastructura pe care o dețineți sau pe care o gestionați în mod direct. SaaS este mai ales în pericol din cauza lipsei de vizibilitate pe care majoritatea organizațiilor o au față de ceea ce se întâmplă de fapt pe acele platforme. Securitatea lor nu poate fi anulată ca fiind o problemă a altcuiva, deoarece un simplu e-mail și un site web fals sunt tot ce este nevoie pentru a avea acces la acele resurse.