Компания Balabit, опубликовала результаты недавно проведенного исследования, в котором приняли участие около 500 специалистов по информационной безопасности. Опрос выявил 10 самых популярных методов взлома, что дает возможность организациям понять, какие способы и уязвимости систем злоумышленники используют чаще всего, когда хотят как можно быстрее получить доступ к конфиденциальным данным.

Основной вывод исследования — хакеры стремятся стать инсайдерами, приложив к этому минимум усилий, а пользователи корпоративной сети помогают им этого добиться (чаще всего случайно).

«Когда злоумышленники получают доступ к корпоративным данным и могут месяцами незаметно находиться в сети, тогда компании находятся в очень рисковой и опасной ситуации. Balabit стремится помочь организациям знать своего врага в лицо, выявляя реальных пользователей учетных записей и выясняя, добропорядочные ли это сотрудники или маскирующиеся под них хакеры. Решение этой задачи должно быть главным приоритетом в стратегии ИТ-безопасности любой организации», — говорит Золтан Дъёрку, генеральный директор компании Balabit.

Более 70% экспертов по информационной безопасности считают, что внутренние угрозы опаснее внешних

54% участников опроса отметили, что организации по-прежнему опасаются хакеров, которые могут проникнуть в корпоративную сеть через межсетевой экран и защищенные периметры сети. В то же время более 40% респондентов говорят о том, что прекрасно понимают, что защитные инструменты первой линии (такие как фаерволы) порой недостаточно эффективны, чтобы остановить злоумышленников. Специалисты Balabit спросили у экспертов по ИТ-безопасности, какие угрозы — внешние или внутренние — они считают более опасными. При этом стоит обратить внимание, что атаки, исходящие извне, главным образом нацелены на получение доступа к учетным записям привилегированных пользователей и поэтому никогда не будут успешными без превращения хакера в инсайдера, также относятся к внутренним. В случае хищения данных, тот факт, что к этому результату привела случайная или намеренная «помощь» сотрудника компании, является вторичным. Результаты исследования подчеркнули важный вывод, который необходимо учесть в эффективной стратегии безопасности: более 70% респондентов ответили, что внутренние угрозы более опасны для корпоративных ИТ-систем.

ТОП-10 самых популярных хакерских методов

Компания Balabit опросила экспертов, специализирующихся на информационной безопасности, какие методы или уязвимости хакеры используют чаще всего, чтобы быстро получить конфиденциальную информацию.

1. Социальная инженерия (например, фишинг)

Большинство хакеров стремятся стать инсайдерами и повысить  привилегии украденной учетной записи. Попытки найти существующий привилегированный  аккаунт и взломать его пароль — процесс не самый быстрый, и он оставляет много следов (например, дополнительных логов, сгенерированных в результате попыток автоматизированных атак), которые значительно увеличивают риск обнаружения подозрительной активности. Именно поэтому хакеры предпочитают использовать приемы социальной инженерии, побуждая пользователей добровольно поделиться своим логином и паролем.

«Последнее хищение данных более 10 000 сотрудников министерств юстиции и национальной безопасности и  взлом более 20 000 аккаунтов сотрудников Федерального бюро расследований (ФБР) еще раз доказывают, что сегодня хакерам намного проще стать «своим» в системе с помощью тактик социальной инженерии, чем писать эксплойты нулевого дня», — говорит Золтан Дъёрку, генеральный директор компании Balabit. Традиционные инструменты контроля доступа и антивирусные решения, безусловно, необходимы, но они защищают важнейшие активы компаний, только когда хакеры находятся за пределами сети. Стоит им один раз проникнуть в систему, даже через низкоуровневый доступ, они могут легко увеличить полномочия и получить уже привилегированный административный доступ в корпоративную сеть. Больший риск — это нахождение хакера внутри сети, когда он становится одним из привилегированных пользователей.

Взломанные учетные записи (когда законные логины и пароли используются в преступных целях) можно обнаружить, заметив изменения в поведении пользователей, например, во времени и места входа в систему, скорости печати на клавиатуре, используемых командах, подозрении на использование учетное записи в скриптах. Инструменты анализа пользовательского поведения, которые создают базовые профили действий реальных сотрудников, могут легко обнаружить аномалии в использовании учетных записей и предупредить об этом специалистов по безопасности или заблокировать пользователя до выяснения всех обстоятельств», — добавляет Золтан Дъёрку.

2. Скомпрометированные учетные записи (например, слабые пароли)

Взлом учетных записей, особенно слабозащищенных, представляют опасность, потому что пользователи обычно предпочитают использовать простые легко запоминающиеся пароли и часто одни и те же для корпоративных и личных учетных записей. Если хакер получит доступ к логину и паролю пользователя в менее защищенной системе (например, от личного аккаунта в социальной сети), он сможет использовать их для входа в сеть компании.

3. Web-атаки (например, инъекции SQL-кода)

Использование дыр безопасности онлайн-приложений (например, внедрение SQL-кода) по-прежнему является очень популярным методом взлома, главным образом, потому, что приложения являются важнейшим интерфейсом доступа к активам компании для большого количества внутренних и внешних пользователей, что делает их привлекательной целью для атак. К сожалению, качество кода приложений по-прежнему вызывает вопросы с точки зрения безопасности. Существует множество автоматических сканеров, которые злоумышленники могут использовать для обнаружения уязвимых приложений.

Остальные методы взлома могут привести хакеров к тем же результатам, но оказаться более сложными в применении или более продолжительными. Например, написание эксплойта занимает больше времени и требует хороших навыков программирования.

Места среди остальных самых популярных хакерских методов распределились следующим образом:

4. Атаки на клиентскую часть (т.е. на программы просмотра документов, браузеры)

5. Использование эксплойтов для популярных серверных обновлений (например, OpenSSL, Heartbleed)

6. Неуправляемые личные устройства (например, при отсутствии политик BYOD в корпоративной среде)

7. Физическое вторжение

8. Теневые ИТ (например, применение пользователем личных облачных сервисов в рабочих целях)

9. Использование поставщиков услуг третьих сторон (например, аутсорсинг инфраструктуры)

10. Хищение данных, загруженных в облако (например, IaaS, PaaS)

Вывод отчета BalabitCSI

Независимо от источника атаки представленный список ТОП-10 самых популярных методов взлома наглядно демонстрирует необходимость мониторинга действий сотрудников в корпоративной сети в режиме реального времени. Определяя, кто получает доступ, с каким логином и паролем, реальный ли это корпоративный пользователь или сторонний злоумышленник использует взломанный аккаунт. Это может быть достигнуто только при дополнении к имеющимся системам информационной безопасности, таким как системы управления доступом или паролями с непрерывным мониторингом. Мониторинг может выделить аномалии в поведении пользователей, которые необходимо исследовать, а не только оповещать в случае подозрительной деятельности, кроме того, оперативно реагировать на опасные действия и блокировать дальнейшие активности. Как показывают результаты исследования, сегодня недостаточно просто держаться подальше от хакеров, нужно опознавать необычное поведение корпоративных пользователей, так как вы никогда не можете знать заранее, кто на самом деле скрывается под аккаунтами внешних пользователей.