Wykorzystanie zewnętrznych usług zdalnych to najczęstsza stosowana przez hakerów metoda do uzyskania dostępu do zasobów firm. Z raportu firmy Sophos wynika, że w aż 90% zakończonych powodzeniem ataków cyberprzestępcy skorzystali z protokołu pulpitu zdalnego. Zdaniem specjalistów ds. ochrony danych zarządzanie usługami realizowanymi „na odległość” powinno być priorytetem przy zapewnianiu cyberbezpieczeństwa dla przedsiębiorstw.
Warto uczyć się także na własnych błędach
W raporcie opracowanym przez zespół Sophos X-Ops przeanalizowano 150 reakcji na przypadki naruszenia bezpieczeństwa w firmach z 26 różnych branż z 23 krajów, w tym z Polski. Podobnie jak w poprzednich raportach Active Adversary z lat 2021 – 2023, jedną z głównych (65% wszystkich zdarzeń) metod uzyskania początkowego dostępu były zewnętrzne usługi zdalne takie jak VPN (Virtual Private Network, wirtualna sieć prywatna) lub RDP (Remote Desktop Protocol, protokół pulpitu zdalnego).
Jednym z opisywanych przykładów był przypadek firmy, do której hakerzy włamali się cztery razy w ciągu zaledwie sześciu miesięcy. Każdy z ataków wyglądał tak samo – cyberprzestępcy uzyskiwali dostęp do firmowych danych przez niezabezpieczone porty usługi pulpitu zdalnego. Będąc już w firmowych systemach, atakujący byli w stanie zainfekować je szkodliwym oprogramowaniem i wyłączać ochronę punktów końcowych, by zdalny dostęp do plików wciąż był możliwy.
– Zewnętrzne usługi zdalne są niezbędnym, ale jednocześnie ryzykownym wymogiem dla wielu firm. Hakerzy za wszelką cenę starają się złamać ich zabezpieczenia, gdyż umożliwia im to dostęp do pożądanych informacji. Atakujący doskonale wiedzą, czego szukają. Włamanie się przez RDP, zwłaszcza taki, który nie jest odpowiednio zabezpieczony, i znalezienie serwera Active Directory, usługi katalogowej systemu Windows, nie zajmie im dużo czasu – ostrzega John Shier, dyrektor ds. technologii w firmie Sophos.
Groźny nie tylko pulpit zdalny
Na szczycie listy najczęstszych sposobów, w jakie cyberprzestępcy uzyskują początkowy dostęp do strzeżonych danych firm, pozostaje kradzież danych uwierzytelniających (77%). W ponad połowie przypadków (56%) były one główną przyczyną ataku. W większości analizowanych incydentów nie udało się ustalić, w jaki sposób hakerzy przejęli dane dostępowe. Według wyliczeń zespołu Sophos X-Ops aż 43% firm nie stosowało podstawowego narzędzia ochrony dostępu, jakim jest uwierzytelnianie wieloskładnikowe. Drugą najczęstszą metodą ataków było wykorzystywanie luk w zabezpieczeniach (16%).
– Zarządzanie ryzykiem to aktywny proces. Jego ważnym aspektem, poza identyfikacją i ustalaniem priorytetów, jest działanie na podstawie informacji. Nie brakuje firm, które zbyt długo, z korzyścią dla atakujących, bagatelizują problem otwartego protokołu RDP. Zabezpieczenie sieci poprzez ograniczenie liczebności narażonych i podatnych na ataki usług oraz uruchomienie uwierzytelniania wieloskładnikowego znacząco wpływają na poprawę cyberbezpieczeństwa i zmniejszają podatność na ataki – komentuje John Shier z Sophos.
Sophos i Tenable – eksperci od skutecznej cyberochrony
Firma Sophos, we współpracy z Tenable, oferuje nową usługę Sophos Managed Risk do zarządzania podatnościami na cyberataki. Rozwiązanie obejmuje usługi zespołu specjalistów Sophos, wspieranych przez technologię Tenable i ekspertów ds. cyberbezpieczeństwa z Sophos Managed Detection and Response (MDR). W ten sposób możliwe jest ciągłe monitorowanie ryzyka, proaktywne wyszukiwanie zagrożeń, zwiększenie widoczności powierzchni ataków oraz zapobieganie im.
Kluczowe korzyści z korzystania z usługi Sophos Managed Risk:
• External Attack Surface Management (EASM): zaawansowana identyfikacja i klasyfikacja zasobów internetowych, takich jak serwery WWW i poczty e-mail, aplikacje internetowe i publiczne punkty końcowe API.
• Ciągłe monitorowanie i proaktywne powiadamianie o zagrożeniach wysokiego ryzyka: proaktywne informowanie o przypadkach zidentyfikowania nowej krytycznej podatności w zasobach internetowych organizacji.
• Priorytetyzowanie podatności i identyfikacja nowych zagrożeń: szybkie wykrywanie luk wysokiego ryzyka i luk typu zero-day
Sophos Managed Risk jest dostępny jako rozszerzona usługa Sophos MDR, która chroni już ponad 21 000 firm z całego świata.
O raporcie
Sophos Active Adversary Report powstał na bazie ponad 150 reakcji na incydenty w firmach z 26 branż z 23 krajów z całego świata, w tym Stanów Zjednoczonych, Kanady, Meksyku, Kolumbii, Wielkiej Brytanii, Szwecji, Szwajcarii, Hiszpanii, Niemiec, Polski, Włoch, Austrii, Belgii, Malezji, Indii, Australii, Arabii Saudyjskiej, RPA i Botswany.