Varför identitetshantering är nyckeln till att stoppa APT-cyberattacker

Återutgiven av Platon

anhängare: 0

Varför identitetshantering är nyckeln till att stoppa APT Cyberattacks PlatoBlockchain Data Intelligence. Vertikal sökning. Ai.

Dark Reading News Desk intervjuade Adam Meyers, chef för counter adversary operations för CrowdStrike på Black Hat USA 2023. Kolla in News Desk-klippet på Youtube (avskrift nedan).

Dark Reading, Becky Bracken: Hej allihop, och välkommen tillbaka till Dark Reading News Desk som kommer till er live från Black Hat 2023. Jag är Becky Bracken, redaktör för Dark Reading, och jag är här för att välkomna Adam Meyers, chef för counter adversary operations med CrowdStrike, till Dark Reading News Desk.

Tack för att du är med, Adam. Jag uppskattar det. Förra året var alla väldigt fokuserade på APT-grupper i Ryssland, vad de var gör i Ukraina, och hur cybersäkerhetsgemenskapen kunde samlas och hjälpa dem. Det verkar ha skett en ganska stor förändring i marken sedan dess. Kan du ge oss en uppdatering av vad som händer i Ryssland nu jämfört med för kanske ett år sedan?

Adam Meyers: Så jag tror att det finns en hel del oro över det såklart. Visst tror jag att vi såg att de störningar som i allmänhet efter att konflikten startade inte försvinner. Men medan (vi var fokuserade), du vet, på vad som pågick med ryssarna, har kineserna etablerat ett massiv datainsamling runt det.

DR: Använde de (den kinesiska regeringen vid tillhörande APT-grupper) den ryska invasionen som skydd medan alla tittade hit? Gjorde de det innan dess?

AM: Det är en bra fråga. Jag tror att det fungerade att det gav den typen av täckning eftersom alla är så fokuserade på vad som hände i Ryssland och Ukraina. Så det distraherade från det stadiga trumslaget av alla som ropade Kina eller gjorde saker att de var där.

DR: Så vi känner till Rysslands motiv. Vad sägs om Kinesiska APT-grupper? Vilka är deras motiv? Vad försöker de göra?

AM: Så det är en massiv insamlingsplattform. Kina har ett antal olika stora program. De har saker som femårsplanerna dikterade av den kinesiska regeringen med aggressiva utvecklingskrav. De har "Tillverkad i Kina 2025” initiativ, de har Belt och Road Initiative. Och så har de byggt alla dessa olika program för att växa ekonomin för att utveckla ekonomin i Kina.

Några av de viktigaste sakerna som de har riktat in sig på är kring saker som sjukvård. Det är första gången som kineserna har att göra med en ökande medelklass och därför är förebyggande hälsovårdsfrågor (prioriterade), diabetes, cancerbehandlingar, allt det där. Och de hämtar mycket av det från väst. De (kineserna) vill bygga det där. De vill ha produkter som motsvarar inhemska produkter så att de kan betjäna sin egen marknad och sedan växa till det omgivande området, den bredare Asien och Stillahavsregionen. Och genom att göra det bygger de ytterligare inflytande. De bygger de här banden till dessa länder där de kan börja driva kinesiska produkter och handelslösningar och kinesiska program... Så att när man pressar på en fråga - en Taiwan eller något - som de inte gillar i FN, så kan säga "Hej, du borde verkligen rösta på det här sättet. Vi skulle uppskatta det."

DR: Så det är verkligen en intelligens insamling och en immateriella rättigheter för dem. Och vad kommer vi att se under de närmaste åren? Kommer de att operationalisera denna underrättelsetjänst?

AM: Det händer just nu, om man tittar på vad de har gjort med AI. Titta på vad de har gjort med vården och olika chiptillverkning, där de köper de flesta av sina chips externt. Det vill de inte göra.

De tror att folk ser dem som världens verkstad, och den vill verkligen bli en innovatör. Och sättet som de vill göra det är genom att utnyttja Kinesiska APT-grupper och hoppa över (konkurrerande nationer) genom cyberoperationer, cyberspionage, (stjäla) det som för närvarande är toppmodernt, och sedan kan de försöka replikera och förnya sig ovanpå det.

DR: Intressant. OK, så att flytta från Kina, nu går vi över till Nordkorea, och de är i branschen - deras APT-grupper är pengar, eller hur? Det är vad de vill göra.

AM: Ja. Så det är tre delar av det. För det första tjänar de verkligen de diplomatiska, militära och politiska underrättelseinsamlingsprocessen, men det gör de också immateriella rättigheter.

De lanserade ett program som heter National Economic Development Strategy, eller NEDS. Och med det finns det sex kärnområden som fokuserar på saker som energi, gruvdrift, jordbruk, tunga maskiner, allt som är associerat med den nordkoreanska ekonomin.

De måste höja kostnaderna och livsstilen för den genomsnittliga nordkoreanska medborgaren. Endast 30 % av befolkningen har pålitlig ström, så saker som förnybar energi och sätt att få energi (är den typen av data Nordkoreanska APT-grupper letar efter).

Och sedan generering av intäkter. De blev avskurna från det internationella SWIFT-systemet och internationella finansekonomier. Och nu måste de hitta sätt att generera intäkter. De har något som kallas det tredje kontoret, som genererar intäkter med regimen och även till familjen.

Och så gör de (tredje kontoret) många saker, saker som droger, människohandel och även cyberbrottslighet. Så Nordkoreanska APT-grupper varit mycket effektiva när det gäller att rikta in sig på traditionella finanser såväl som kryptovalutaföretag. Och vi har sett det - en av sakerna i vår rapport som precis kom ut igår visar att den näst mest riktade vertikalen förra året var ekonomi, som ersatte telekom. Så det slår igenom.

DR: De tjänar massor av pengar. Låt oss snurra runt, vilket jag antar är den andra stora pelaren för APT-handling, är i Iran. Vad händer bland Iranska APT-grupper?

AM: Så vi har sett, i många fall, falska personligheter som riktar sig mot sina (iranska) fiender – att gå efter Israel och USA, typ av västländer. APT-grupper med stöd av Iran skapa dessa falska personas och distribuera ransomware, men det är egentligen inte ransomware eftersom de inte bryr sig om att samla in pengarna nödvändigtvis. De (Iranska APT-grupper) vill bara orsaka den störningen och sedan samla in känslig information. Allt detta gör att människor tappar tron eller tron på politiska organisationer eller företag som de riktar sig till. Så det är verkligen en störande kampanj som utger sig som ransomware för Iranska hotaktörer.

DR: Det måste vara så knepigt att försöka motivera många av dessa attacker. Hur gör man det? Jag menar, hur vet du att det bara är en front för störningar och inte en operation som tjänar pengar?

AM: Det är en bra fråga, men det är faktiskt inte så svårt för om man tittar på vad som faktiskt händer, eller hur? – vad händer – om de är kriminella och de är ekonomiskt motiverade kommer de att göra betalningar. Det är målet, eller hur?

Om de inte riktigt verkar bry sig om att tjäna pengar, som NotPetya det är till exempel ganska uppenbart för oss. Vi kommer att rikta in oss på infrastruktur, och sedan tittar vi på själva motivet.

DR: Och generellt, bland APT-grupper, vilka är några av attackerna du jour? Vad förlitar de sig på just nu?

AM: Så vi har sett en hel del APT-grupper gå efter apparater av nätverkstyp. Det har skett många fler attacker mot enheter utsatta för olika molnsystem och nätverksapparater, saker som vanligtvis inte har moderna slutpunktssäkerhetsstackar på sig.

Och det är inte bara APT-grupper. Vi ser detta oerhört med ransomware-grupper. Så 80 % av attackerna använder legitima referenser för att komma in. De lever av landet och flyttar i sidled därifrån. Och sedan om de kan, i många fall, kommer de att försöka distribuera ransomware till en hypervisor som inte stöder ditt DVR-verktyg, och sedan kan de låsa alla servrar som körs på det hypervisor och sätta organisationen i konkurs.

DR: Tyvärr har vi inte tid. Jag skulle verkligen vilja diskutera detta mycket längre, men kan du bara snabbt ge oss dina förutsägelser? Vad kommer vi att titta på i APT-utrymmet, tror du, om 12 månader?

AM: Utrymmet har varit ganska konsekvent. Jag tror att vi kommer att se dem (APT-grupper) fortsätta att utveckla sårbarhetslandskapet.

Om man tittar på Kina, till exempel, måste i praktiken all sårbarhetsforskning gå genom ministeriet för statlig säkerhet. Fokus på underrättelseinsamling där. Det är det primära motivet i vissa fall; det är störningar också.

Och sedan, som en förutsägelse, är det som alla behöver tänka på identitetshantering, på grund av de hot vi ser. Dessa intrång involverar identitet. Vi har något som kallas "utbrottstiden", som mäter hur lång tid det tar för en skådespelare att flytta från det första fotfästet till sin miljö till ett annat system. Den snabbaste (breakout-tiden) vi såg var sju minuter. Så dessa skådespelare rör sig snabbare. Den största takeaway som är att de (APT-grupper) använder legitima referenser, kommer in som en legitim användare. Och för att skydda mot det är det viktigt att skydda identiteten. Inte bara slutpunkter.