ผู้โจมตีส่วนใหญ่ต้องการเวลาไม่ถึง 10 ชั่วโมงเพื่อค้นหาจุดอ่อน

แฮ็กเกอร์ที่มีจริยธรรมโดยเฉลี่ยสามารถค้นหาช่องโหว่ที่ทำให้เกิดการละเมิดขอบเขตเครือข่าย จากนั้นจึงใช้ประโยชน์จากสภาพแวดล้อมได้ภายในเวลาไม่ถึง 10 ชั่วโมง โดยผู้ทดสอบการเจาะระบบที่มุ่งเน้นไปที่การรักษาความปลอดภัยของระบบคลาวด์จะสามารถเข้าถึงสินทรัพย์เป้าหมายได้รวดเร็วที่สุด นอกจากนี้ เมื่อพบช่องโหว่หรือจุดอ่อน แฮกเกอร์ที่มีจริยธรรมประมาณ 58% สามารถเจาะเข้าไปในสภาพแวดล้อมได้ภายในเวลาไม่ถึงห้าชั่วโมง

จากการสำรวจผู้เชี่ยวชาญ 300 คนโดยสถาบัน SANS และได้รับการสนับสนุนจากบริษัทบริการรักษาความปลอดภัยทางไซเบอร์ Bishop Fox ซึ่งยังพบว่าจุดอ่อนที่พบบ่อยที่สุดที่แฮกเกอร์ใช้ประโยชน์ ได้แก่ การกำหนดค่าที่มีช่องโหว่ ข้อบกพร่องของซอฟต์แวร์ และบริการบนเว็บที่ถูกเปิดเผย ผู้ตอบแบบสำรวจระบุ

ผลลัพธ์จะสะท้อนตัวชี้วัดสำหรับการโจมตีที่เป็นอันตรายในโลกแห่งความเป็นจริง และเน้นย้ำถึงระยะเวลาที่จำกัดที่บริษัทต่างๆ ต้องตรวจจับและตอบสนองต่อภัยคุกคาม Tom Eston รองรองประธานฝ่ายที่ปรึกษาของ Bishop Fox กล่าว

“ห้าหรือหกชั่วโมงในการบุกรุก ในฐานะแฮ็กเกอร์ที่มีจริยธรรม นั่นไม่ใช่เรื่องน่าแปลกใจเลย” เขากล่าว “มันสอดคล้องกับสิ่งที่เราเห็นแฮกเกอร์ตัวจริงทำ โดยเฉพาะอย่างยิ่งกับวิศวกรรมสังคม ฟิชชิ่ง และเวกเตอร์การโจมตีที่สมจริงอื่น ๆ”

พื้นที่ การสำรวจ เป็นจุดข้อมูลล่าสุดจากความพยายามของบริษัทรักษาความปลอดภัยทางไซเบอร์ในการประเมินเวลาเฉลี่ยที่องค์กรต้องหยุดผู้โจมตีและขัดขวางกิจกรรมของตนก่อนที่ความเสียหายร้ายแรงจะเสร็จสิ้น

ตัวอย่างเช่น บริษัทบริการรักษาความปลอดภัยทางไซเบอร์ CrowdStrike พบว่าผู้โจมตีโดยเฉลี่ย “แยกตัว” จากการประนีประนอมครั้งแรกเพื่อแพร่เชื้อไปยังระบบอื่น ๆ ในเวลาน้อยกว่า 90 นาที. ในขณะเดียวกัน ระยะเวลาที่ผู้โจมตีสามารถดำเนินการบนเครือข่ายของเหยื่อก่อนที่จะถูกตรวจพบคือ 21 วันในปี 2021 ซึ่งดีกว่า 24 วันในปีที่แล้วเล็กน้อย ตามรายงานของ Mandiant บริษัทผู้ให้บริการด้านความปลอดภัยทางไซเบอร์.

องค์กรไม่ตามทัน

โดยรวมแล้วเกือบสามในสี่ของแฮ็กเกอร์ที่มีจริยธรรมคิดว่าองค์กรส่วนใหญ่ขาดความสามารถในการตรวจจับและตอบสนองที่จำเป็นเพื่อหยุดการโจมตี ตามการสำรวจของ Bishop Fox-SANS ข้อมูลควรโน้มน้าวองค์กรต่างๆ ไม่เพียงแต่มุ่งเน้นไปที่การป้องกันการโจมตีเท่านั้น แต่ยังมุ่งเป้าไปที่การตรวจจับและตอบสนองต่อการโจมตีอย่างรวดเร็วเพื่อจำกัดความเสียหาย Eston จาก Bishop Fox กล่าว

“ในที่สุดทุกคนก็จะถูกแฮ็ก ดังนั้นมันจึงขึ้นอยู่กับการตอบสนองต่อเหตุการณ์และวิธีที่คุณตอบสนองต่อการโจมตี ซึ่งต่างจากการป้องกันเวกเตอร์การโจมตีทุกครั้ง” เขากล่าว “แทบจะเป็นไปไม่ได้เลยที่จะห้ามคนๆ หนึ่งไม่ให้คลิกลิงก์”

นอกจากนี้ บริษัทต่างๆ กำลังดิ้นรนเพื่อรักษาความปลอดภัยพื้นที่การโจมตีหลายส่วน รายงานระบุ บุคคลที่สาม การทำงานระยะไกล การนำโครงสร้างพื้นฐานคลาวด์มาใช้ และการพัฒนาแอปพลิเคชันที่เพิ่มขึ้น ล้วนมีส่วนสำคัญในการขยายพื้นที่การโจมตีขององค์กร ผู้ทดสอบการเจาะระบบกล่าว

แต่องค์ประกอบของมนุษย์ยังคงเป็นจุดอ่อนที่สำคัญที่สุด การโจมตีทางวิศวกรรมสังคมและฟิชชิ่งรวมกันคิดเป็นประมาณครึ่งหนึ่ง (49%) ของพาหะที่ให้ผลตอบแทนจากการลงทุนในการแฮ็กดีที่สุด ตามข้อมูลของผู้ตอบแบบสอบถาม การโจมตีเว็บแอปพลิเคชัน การโจมตีด้วยรหัสผ่าน และแรนซัมแวร์เป็นสาเหตุของการโจมตีที่ต้องการอีกสี่ส่วน

“[ฉัน] ไม่น่าแปลกใจเลยที่การโจมตีทางวิศวกรรมสังคมและฟิชชิ่งเป็นปัจจัยสองอันดับแรกตามลำดับ” รายงานระบุ “เราได้เห็นกันครั้งแล้วครั้งเล่า ปีแล้วปีเล่า — รายงานฟิชชิ่งเพิ่มขึ้นอย่างต่อเนื่อง และฝ่ายตรงข้ามยังคงประสบความสำเร็จในพาหะเหล่านั้น”

แค่แฮ็กเกอร์ธรรมดาของคุณ

การสำรวจยังได้พัฒนาโปรไฟล์ของแฮ็กเกอร์ที่มีจริยธรรมโดยเฉลี่ย โดยเกือบสองในสามของผู้ตอบแบบสอบถามมีประสบการณ์ระหว่างหนึ่งปีถึงหกปี แฮกเกอร์ที่มีจริยธรรมเพียง 10 ใน 30 เท่านั้นที่ทำงานนี้น้อยกว่าหนึ่งปี ในขณะที่ประมาณ 20% มีประสบการณ์ระหว่างเจ็ดถึง XNUMX ปี

แฮกเกอร์ที่มีจริยธรรมส่วนใหญ่มีประสบการณ์ด้านความปลอดภัยเครือข่าย (71%) การทดสอบการเจาะระบบภายใน (67%) และความปลอดภัยของแอปพลิเคชัน (58%) ตามการสำรวจ โดย Red teaming ความปลอดภัยบนคลาวด์ และความปลอดภัยระดับรหัสเป็นรองลงมา การแฮ็กอย่างมีจริยธรรมประเภทยอดนิยม

การสำรวจควรเตือนบริษัทต่างๆ ว่าเทคโนโลยีเพียงอย่างเดียวไม่สามารถแก้ปัญหาความปลอดภัยทางไซเบอร์ได้ โซลูชันจำเป็นต้องได้รับการฝึกอบรมพนักงานให้ตระหนักถึงการโจมตี Eston กล่าว

“ไม่มีเทคโนโลยีกล่องกระพริบตาสักเครื่องเดียวที่จะขับไล่การโจมตีทั้งหมดและทำให้องค์กรของคุณปลอดภัย” เขากล่าว “มันเป็นการผสมผสานระหว่างกระบวนการคนและเทคโนโลยี และนั่นไม่ได้เปลี่ยนแปลง องค์กรต่างๆ หันไปหาเทคโนโลยีใหม่ล่าสุดและยิ่งใหญ่ที่สุด … แต่แล้วพวกเขาก็เพิกเฉยต่อความตระหนักด้านความปลอดภัย และฝึกอบรมพนักงานให้รู้จักวิศวกรรมสังคม”

เนื่องจากผู้โจมตีมุ่งความสนใจไปที่จุดอ่อนเหล่านั้นอย่างแท้จริง เขากล่าว องค์กรต่างๆ จำเป็นต้องเปลี่ยนวิธีพัฒนาการป้องกันของตน