Отчет Intel Security раскрывает проблемы реагирования на целевые атаки

Отчет Intel Security раскрывает проблемы реагирования на целевые атаки

Новый отчет Tackling Attack Detection and Incident Response («Как решить проблемы детектирования атак и реагирования на инциденты»), подготовленный Enterprise Strategy Group (ESG) по заказу компании Intel Security, исследует ИБ-стратегии различных организаций; технологические особенности кибератак; проблемы, связанные с поздним реагированием на инциденты; и необходимые меры, которые компании обязаны предпринять с учетом этих реалий.

Исследование показало, что ИБ-сотрудники буквально завалены инцидентами: в прошлом году среднее количество расследований инцидентов составило 78 на компанию, притом 28% от общего числа инцидентов составили целевые атаки – один из самых опасных и потенциально вредоносных видов кибератак. Согласно опросу представителей ИТ- и ИБ-отрасли, основными методами повышения эффективности работы ИБ-персонала являются более совершенные инструменты детектирования и анализа угроз, а также более глубокое изучение природы инцидентов для определения наиболее оптимальной стратегии отражения атаки. 

«Если говорить о детектировании инцидентов и реагировании на них, основным фактором, влияющим на масштаб нанесенного организации урона, является время, - утверждает Джон Ольтсик (Jon Oltsik), старший аналитик в ESG. – Чем больше времени требуется учреждению на отслеживание, расследование и реагирование в случае кибератаки, тем выше вероятность того, что предпринятых мер будет недостаточно для предотвращения утечек конфиденциальной информации, а это, в свою очередь, может стоить организации очень больших денег. Основываясь на этом выводе, директорам по информационной безопасности нужно осознать: сбор и обработка информации об атаке – это шаг к тому, чтобы повысить эффективность детектирования угроз и реагирования на них». 

Более тесная интеграция

Почти 80% опрошенных уверены, что низкая степень интеграции и недостаточная коммуникация между элементами системы безопасности вызывает эффект «бутылочного горлышка» и мешает средствам обеспечения безопасности своевременно распознавать угрозы и реагировать на них. Максимальная прозрачность работы ИБ-систем в реальном времени очень важна для своевременного реагирования на целевые атаки; в этой связи 37% респондентов подчеркнули, что необходимо обеспечивать более тесную интеграцию между системами анализа угроз и ИТ-системами. Кроме того, наиболее затратные с точки зрения времени задачи – определение площади атаки и принятие мер для минимизации ее последствий – можно было бы выполнять более оперативно при условии более тесной интеграции инструментов защиты. Таким образом, в похожих на лоскутное одеяло архитектурах, состоящих из десятков ИБ-продуктов, образуются разрозненные инструменты, консоли, процессы и отчетности, работа с которыми по отдельности занимает очень много времени. Такие архитектуры провоцируют лавинообразный рост данных, генерируемых в прогрессии во время атак, что, в конечном итоге, не позволяет вовремя заметить срабатывание важных индикаторов. 

Прозрачность процессов

ИБ-эксперты, которых опросили в ходе подготовки отчета, утверждают, что способность видеть состояние систем защиты в реальном времени страдает от недостаточного понимания паттернов поведения пользователей, сети, приложений и хостов. Четыре самых часто встречающихся типа собираемых системами безопасности данных связаны с поведением сети, а 30% систем собирают данные об активности пользователей – очевидно, что нельзя ограничиться просто сбором данных. Пользователям требуется помощь для контекстуализации данных и дальнейшего понимания, в каком случае поведение пользователя можно признать подозрительным. Этот разрыв может объяснить, почему почти половина организаций (47%) признала, что определение масштаба или потенциального вреда атаки потребовало так много времени. 

Улучшенные средства аналитики

Пользователи понимают, что нужно перестать концентрироваться на сборе огромных объемов информации о событиях и угрозах, чтобы выделить время для использования этих данных с целью детектирования и анализа инцидентов. 58% респондентов утверждают, что им необходимы более совершенные инструменты детектирования (инструменты статического и динамического анализа, интегрированные с информацией об известных угрозах, хранящейся в облаке, для анализа файлов  на предмет наличия угроз). 53% опрошенных считают, что им нужны более совершенные инструменты аналитики, чтобы превращать данные об угрозах в информацию, необходимую для совершения действий. Треть опрошенных (33%) нуждаются в решениях, позволяющих корректно задать «нормальный» уровень функционирования ИБ-систем, чтобы быстрее распознавать отклонения. 

Наработка опыта

Опрошенные специалисты признали недостаток осведомленности о ландшафте угроз информационной безопасности и низкий уровень навыков в области расследования инцидентов, отметив при этом, что даже более высокий уровень интеграции элементов ИБ-систем или улучшенные средства аналитики не помогут, если ИБ-специалисты не смогут правильно интерпретировать полученную информацию. Например, только 45% участников опроса  считают, что обладают достаточными знаниями в области техник обфускации вредоносного ПО, а 40% признают потребность в повышении своих навыков и осведомленности в области кибербезопасности.  

Автоматизация для активных действий

Растущее количество расследований инцидентов и ограниченные ресурсы и навыки побуждают респондентов повысить эффективность детектирования угроза и реагирования на инциденты. 42% опрошенных отметили, что принятие мер по минимизации последствий атаки – это самая затратная с точки зрения времени задача. 27% хотели бы в больше степени автоматизировать аналитику угроз на базе полученных от ИБ-систем данных, чтобы сделать возможным реагирование в реальном времени. 15% хотели бы использовать средства автоматизации, чтобы высвободить больше времени ИБ-сотрудников для более важных дел. 

«Аналогично тому, как в области медицины критически важно доставить пациента с сердечным приступом в больницу в течение максимально короткого времени, чтобы повысить шансы на удачный исход, так и ИБ-специалистам важно сократить время, требуемое на обнаружение и отражение атаки, чтобы максимально снизить урон, - подчеркивает Крис Янг (Chris Young), генеральный менеджер Intel Security. – Чтобы  добиться этого, нужно найти ответа на сложные вопросы, чтобы понять, где мы недорабатываем, и переосмыслить принципы, на которых мы строим защиту систем». 

По мнению ESG, исследование позволяет выделить рекомендации, позволяющие сократить время выявления атаки и принять своевременные меры для нивелирования возможного ущерба: 

  • Создать архитектуру ИБ, отличающуюся высокой степенью интеграции: Отдельные ИБ-решения стоит интегрировать в единую ИБ-архитектуру. Такая стратегия позволяет иметь общую картину об атаке, основываясь на сведениях, полученных с различных ИБ-устройств, а также увидеть проявления угрозы на различных уровнях в рамках корпоративной инфраструктуры: на уровне поведения пользователя, оконечной точки и сети. Необходимо достичь более высокой степени координации и релевантности реагирования. 
  • Основывать работу стратегии кибербезопасности на мощной аналитике, делая упор на качество, а не на количество информации: Стратегии кибербезопасности нужно базировать на мощных средствах аналитики. Это значит сбор, обработку и анализ обширной внутренней (журналы действий (логи), потоки данных, пакеты, проверка оконечной точки, статический и динамический анализ зловредов, паттерны поведения пользователя или приложения) и внешней (анализ угроз, уведомления о уязвимостях) информации. 
  • Максимально автоматизировать процессы детектирования инцидентов и реагирования на них: Так как организациям придется постоянно противодействовать усложняющимся с каждым днем атакам, ИБ-руководители должны опираться на автоматизированные средства защиты: передовые средства анализа вредоносного ПО, интеллектуальные алгоритмы, машинное обучение, а также сравнение паттернов в нормальном поведении корпоративных систем с тактиками, техниками и процедурами, используемыми киберпреступниками в ходе атак. 
  • Постоянно усваивать новую информацию об угрозах: ИБ-руководители должны организовывать регулярные тренинги для сотрудников ИБ-отделов с целью повышения уровня осведомленности о природе угроз и наработанных практиках для эффективного отражения угроз. 
Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

11-летняя уязвимость в Linux-команде wall позволяла утащить sudo-пароли

Последние 11 лет в команде «wall» пакета «util-linux», являющегося частью операционной системы Linux, присутствовала уязвимость, позволяющая атакующему без высоких прав утащить пароли пользователя или изменить содержимое буфера обмена.

Проблему отслеживают под идентификатором CVE-2024-28085, эксперты дали ей имя WallEscape. Согласно описанию, брешь можно найти во всех версиях пакета за последние 11 лет, вплоть до выпущенной на днях 2.40.

К счастью, эксплуатация бага возможна только при определённых сценариях, однако она демонстрирует незаурядный способ кражи учётных данных целевого пользователя.

У атакующего должен быть доступ к Linux-серверу, на котором уже сидят несколько юзеров, подключившись в терминале. Такое бывает, например, когда студенты выполняют задания в режиме онлайн.

На WallEscape указал исследователь в области кибербезопасности Скайлер Ферранте (TXT). По его словам, это проблема некорректной нейтрализации escape-последовательностей команды «wall».

Это команда используется в Linux для передачи сообщений на терминалы всех пользователей, вошедших в одну систему (например, тот же сервер). Из-за некорректной фильтрации при обработке ввода неаутентифицированный злоумышленник может использовать escape-символы для создания фейкового запроса SUDO.

Если целевой пользователь клюнет на уловку и введёт пароль в запрос, атакующий спокойно получит его. Следует учитывать, что эксплуатация возможна только в том случае, если утилита «mesg» активна и у команды «wall» есть права на setgid.

Код демонстрационного эксплойта доступен на GitHub. Чтобы устранить уязвимость, администраторам достаточно забрать права на setgid у команды «wall» или же урезать функциональность передачи сообщений в терминал (использовать флаг «n» с командой «mesg»).

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru