“Give someone a fish and they’ll eat for a day. Teach someone how to phish and they’ll clear out your bank account.”
Зловмисні хакери щорічно завдають багато шкоди репутації та фінансам компаній. Вони добре вміють робити свою справу, ретельно вивчаючи найслабші точки доступу та досліджуючи все середовище перед кібератакою. І вони працюють максимально приховано, залишаючи якнайменше кримінального сліду та використовуючи найбільш стабільні та надійні доступні їм інструменти та методи. Від фішингу до програм-вимагачів і brute-force атак, зловмисники ефективні та невпинні.
Зловмисне хакерство в цифрах:
- До 2025 року зловмисні хакери щороку будуть завдавати збитки світові на близько $10,5 трильйонів
- За підрахунками, лише близько 1% кіберзлочинців спіймано та покарано
- В середньому потрібно 207 днів на виявлення порушення безпеки та 70 днів на розв’язання проблеми
- 83% порушень організовані фінансово мотивованими злочинними угрупуваннями
У 1986 році відомий зловмисний хакер The Mentor опублікував есе «Совість хакера» («The Conscience of a Hacker»), яке стало відомим як «Маніфест хакера» («The Hacker’s Manifesto»). У ньому він писав: «Так, я злочинець. Мій злочин полягає в допитливості. Мій злочин у тому, що я перехитрив вас, чого ви мені ніколи не пробачите. Я хакер, і це мій маніфест. Ви можете зупинити одного, але ви не можете зупинити нас усіх… зрештою, ми всі схожі».
Понад 35 років потому важко не замислюватися над тим, що надміру багато людей сприйняли слова «я злочинець» надто буквально. При ретельному дослідженні поточного стану кібербезпеки стає зрозуміло, що зловмисні хакери дійсно допитливі, їх багато, і вони вміють невпинно працювати разом. Але ми можемо в них повчитися. Багато хакерів, етичних чи ні, які дотримувалися цього маніфесту наприкінці 1980-х і 1990-х років, сьогодні працюють в ІТ. Вони допомагають нам у створенні процесів і процедур завдяки рокам знань і мудрості, які вони накопичили в тій спільноті. Якщо ви звернете увагу на ці звички та найкращі практики, ви також зможете уникнути багатьох проблем з безпекою.
Перша звичка: розумійте та слідкуйте за своїм ІТ-середовищем, і хто до чого має доступ
Зловмисні хакери добре знають середовище своєї цілі. Вони стежать та враховують все можливе, включаючи загальнодоступну інформацію про неї та її інструменти кібербезпеки. Така пильність дозволяє їм отримати вигоду від недоліків і багів і проникнути у фізичну та віртуальну системи навіть глибше. Наприклад, зловмисний хакер може шукати цифровий слід у застарілому ПЗ, яке має вразливості, що можна використати.
AppSec-рекомендації для контролю та видимості:
Окресліть увесь спектр загроз. Це включає цифрову поверхню атаки (програмне забезпечення, під’єднане до мережі організації), вашу фізичну поверхню атаки (пристрої), і співробітників, які можуть стати ціллю соціальної інженерії та фішингу.
- Використовуйте підхід динамічного тестування безпеки додатків (DAST) для автоматизованого захисту.
- Створіть і керуйте інвентаризацією вебактивів, щоб знати про кожну потенційну точку атаки.
- Впровадьте список компонентів програмного забезпечення (SBOM), щоб відстежувати сторонні компоненти.
Керуйте контролем доступу. Автентифікація та авторизація використовуються для підтвердження особи та дозволів і зазвичай перевіряються одночасно. Якщо це все або щось одне скомпрометовано, зловмисники можуть отримати доступ до систем і АРІ з конфіденційними даними, які можуть сприяти подальшим кібератакам.
- Підтримуйте високодеталізований контроль доступу на рівні програми, а не лише сервера.
- Включіть авторизацію й автентифікацію в усе планування та дизайн, а також ретельно керуйте інфраструктурою сторонніх розробників.
- Перевіряйте контроль доступу під час регулярних аудитів коду, аби запевнитися у його наявності.
- Впровадьте спеціалізовані бібліотеки, які вже пройшли перевірку безпеки.
- Дотримуйтесь принципу найменших привілеїв, запевняючись, що програми та люди мають мінімальний достатній рівень доступу для виконання роботи – і не більше.
Друга звичка: діліться знаннями та інструментами з іншими, щоб допомогти їм працювати ефективніше з меншими зусиллями
Зловмисники надзвичайно ефективні в обміні знаннями (ви можете стикнутися з цим навіть у Reddit). Вони знають як працювати в команді, разом займаючись інструментами та робочими процесами, щоб спростити своє життя та злочинну діяльність. І завдяки доступним навчальним матеріалам в Інтернеті та практиці зловмисні хакери можуть достатньо легко стати професіоналами в певних сферах кібербезпеки та розробки.
AppSec-рекомендації для ефективного співробітництва:
Покращте процеси DevSecOps. Дуже часто розробники та спеціалісти з кібербезпеки працюють окремо та між ними відчувається напруга. У них різні інструменти та стилі роботи, і вони не обмінюються знаннями. Співпрацюючи, вони більше розумітимуть діяльність одне одного, володітимуть схожою інформацією і зможуть легше зменшити ризики для безпеки.
- Використовуйте інструменти сумісні з популярними системами відстежування помилок і платформами CI/CD, як-от Jira та Jenkins.
- Організуйте процес чіткої та послідовної комунікації щодо стану безпеки.
- Покращуйте відповідність і точність за допомогою інструментів, які пропонують вбудовані системи перевірки та звітів.
- Встановіть систему безпеки в пайплайн CI/CD і відмовтеся від збірок, якщо в них виявлено критичні недоліки.
Зробіть кібербезпеку завданням кожного. Для будь-якої організації, яка серйозно ставиться до безпеки, вкрай важливо, щоб кожен співробітник розумів, що він також відповідальний за використання рекомендованих практик. Всі мають забезпечувати зменшення ризику для безпеки кожною своєю дією.
- Впровадьте курс із кібербезпеки, щоб залучити експертів з цієї теми та поширити знання.
- Використовуйте набір найкращих практик із регулярними навчальними програмами з кібербезпеки.
- Керівництво має чітко повідомляти інших співробітників про процеси, політику та цілі безпеки.
Третя звичка: ставте під сумнів і перевіряйте всю інформацію
У своєму маніфесті The Mentor має рацію, кажучи, що його злочин полягав у тому, що він перехитрив інших. Багато зловмисних хакерів постійно ставлять під сумнів і перевіряють інформацію, аби запевнитися у тому, що володіють найціннішою. Якщо ми хочемо йти в ногу з часом, нам потрібно також невпинно це робити, як і зловмисні хакери перед кібератакою.
AppSec-рекомендації для постійного вдосконалення:
Надайте пріоритет точності у своєму наборі технологій. Вона є ключовим компонентом кібербезпеки, особливо для вебдодатків, де помилковий крок у вашій стратегії може спричинити ефект доміно з проблем або підвищити «борг» безпеки. Правильні інструменти дозволяють знаходити реальні вразливості до того, як вони стануть справді серйозними проблемами, заощаджуючи час вашій команді.
- Поєднайте динамічне та інтерактивне (DAST+IAST) сканування, щоб виконати перевірку кожного куточка програми.
- Використовуйте автоматизований інструмент, щоб заощадити час, зменшити потребу в додаткових діях і підвищити точність.
- Шукайте рішення для безпеки додатків, щоб знизити кількість помилкових спрацювань.
Зменште поверхню атаки. Після відображення всього вашого спектра загроз та впровадження інвентаризації активів настає час для зменшення поверхні атаки за допомогою точних і підтверджених результатів сканування. Важливо виявити всі можливі слабкі місця та негайно їх усунути, включаючи втрачені, приховані та забуті активи.
- Встановіть безперервне сканування протягом циклу розробки програмного забезпечення (SDLC).
- Постійно оцінюйте ризики та знайте, як збільшити можливості безпеки.
- Впровадьте, підтримуйте та поширюйте систему виявлення та керування вебактивами.
- Якщо роботи надто багато, почніть із найпростіших пунктів у виконанні (як це зробили б зловмисники).
Висновок
Зрештою, зловмисники зацікавлені в прибутковості відносно своїх зусиль. Водночас ціль не буває занадто малою. Особливо, якщо в підсумку вона надасть дані, які можна використати для більшої атаки. Йти в ногу зі зловмисниками може здаватися надто складним, але завдяки поєднанню корисних звичок і правильних інструментів жодна організація не мала б проблем із впровадженням програмного забезпечення для безпеки швидко й ефективно.
Кроки для безпеки вашої організації:
Визначте всі активи організації
Визначте вразливості
Усуньте вразливості
Інтегруйте в SDLC
Скануйте на постійній основі
Хочете дізнатися більше про переваги Invicti? Пишіть сюди: buy@corewin.ua
