Rozličné informace o hrozbách jsou klíčem ke kybernetické obraně proti útokům národních států

Organizace musí vylepšit své bezpečnostní strategie, chtějí-li udržet špatné aktéry mimo.

Identifikace hlavních aktérů národního státu může záviset na tom, koho se zeptáte, což podtrhuje potřebu shromažďovat informace o hrozbách z různých zdrojů dat.

V klimatu, kdy geopolitické problémy nyní mohou vést k diskusím v odvětví, budou organizace lépe poslouží, když budou formulovat svou strategii kybernetické bezpečnosti na základě informací, které odrážejí aktivity hrozeb v mezinárodním měřítku.

Pro některé organizace tento požadavek znamená shromažďování informací o hrozbách, které jsou komplexní a zejména různorodé.

Většina zpravodajských jednotek v současnosti pochází ze Západu nebo je orientována na západ, což může mít za následek zaujaté nebo zkreslené zobrazení prostředí hrozeb, poznamenal Minhan Lim, vedoucí výzkumu a vývoje Ensign Labs. Prodejce kybernetické bezpečnosti se sídlem v Singapuru vznikl prostřednictvím společného podniku mezi místní telekomunikační společností StarHub a státní investiční společností Temasek Holdings.

"Musíme zachovat neutralitu, takže si dáváme pozor na to, kde čerpáme naše datové zdroje," řekl Lim v rozhovoru pro ZDNET. "Máme zdroje dat ze všech renomovaných zdrojů dat [intel intel], což je důležité, abychom pochopili, co se děje na globální úrovni."

Ensign také provozuje vlastní telemetrii a SOC (bezpečnostní operační centra), mimo jiné v Malajsii a Hong Kongu, shromažďující data ze senzorů rozmístěných po celém světě. Lim dodal, že klientelu dodavatele tvoří nadnárodní korporace (MNC), včetně regionálních a čínských společností, které mají kanceláře v USA, Evropě a Jižní Africe.

Poznamenal, že aktivity v oblasti hrozeb nemusí být nutně motivovány geopolitickými problémy, protože některé aktivity v oblasti hrozeb pocházejí z regionu, ve kterém jsou umístěny jejich cíle. Čínští zákazníci prodejce například zažili kybernetické útoky pocházející z Asie.

Spíše než politicky řízen, dodal, že většina útoků bývá finančně motivována.

Když jsou zapojeni aktéři ohrožení národními státy, tři hlavní země, odkud útoky pocházejí, jsou často Čína, Rusko a USA, řekl Candid Wuest, viceprezident výzkumu kybernetické ochrany společnosti Acronis.

Severní Korea a Írán završují prvních pět míst, odkud útoky na národní státy pocházejí, a v zemích, které vedou tento balík, došlo jen k malým změnám, řekl Wuest s odkazem na datové body z monitorovací sítě Acronis. Prodejce zabezpečení dat byl založen v Singapuru a v současnosti sídlí ve Švýcarsku. Její zakladatel Serguei Beloussov se narodil v Rusku, ale v roce 2001 získal singapurské občanství. V roce 2021 opustil roli generálního ředitele a v současné době působí jako vedoucí výzkumu společnosti Acronis.

V návaznosti na Limovy názory Wuest řekl ZDNET, že aktéři ohrožení národních států v USA jsou často nedostatečně zastoupeni, protože většina hlavních zpravodajských organizací je západních a obecně se nebudou zmiňovat o této specifické skupině aktérů národního státu.

Poznamenal, že útoky podporované státem USA jsou také velmi cílené, zahrnují jednu až dvě oběti spíše než stovky a často zůstávají nepovšimnuty. Ve srovnání s tím se objem útoků na národní státy z Číny může zdát vyšší, protože existuje více organizací, které hledají tuto skupinu aktérů hrozeb, řekl.

Dodal však, že útoky ze strany čínských národních státních aktérů byly také vyšší co do objemu a četnosti. Zejména došlo k nárůstu útoků zaměřených na sítě VPN a firewally a známé zranitelnosti v systémech, jako je Microsoft Exchange Server.

Americká vláda minulý měsíc vydala zprávu upozorňující na hlavní zranitelnosti softwaru běžně využívané v roce 2022. Mezi ně patřilo několik nedostatků, které byly dříve zdůrazněny v roce 2021 a které využívají čínskí státem podporovaní kybernetické subjekty, podle prohlášení ze 3. srpna vydaného americkými bezpečnostními agenturami a jejich pěti Oční spojenci zahrnující Austrálii, Nový Zéland, Kanadu a Spojené království

Čínská vláda na druhou stranu obvinila americké zpravodajské agentury z kybernetického bezpečnostního útoku na Wuhanské centrum pro sledování zemětřesení z července 2023 s odkazem na „velmi složitý“ malware použitý při incidentu. Peking uvedl, že útok podle všeho pochází od hackerů podporovaných vládou v USA a zaměřoval se na síťové zařízení, které shromažďovalo údaje o seismické intenzitě. Datové soubory obsahovaly informace týkající se národní bezpečnosti, jako jsou podrobnosti o vojenských obranných zařízeních, které jsou brány v úvahu při určování seismické intenzity.

Čínští představitelé navrhují, že přístup k relevantním datům ze seismických monitorovacích center může hackerům umožnit odhadnout podzemní struktury konkrétní oblasti a posoudit, zda se jedná o vojenskou základnu. Tato data budou užitečná pro zahraniční vojenské zpravodajské agentury, jako je ministerstvo obrany USA.

Američtí prodejci technologií se však domnívají, že aktéři čínského národního státu jsou vyzbrojeni sofistikovanějšími nástroji a taktikami.

„Čínská kybernetická špionáž má za sebou dlouhou cestu od taktiky smeč a chycení, kterou mnozí z nás znají,“ řekl John Hultquist, hlavní analytik Google Cloud Mandiant. "Změnili své schopnosti z těch, kterým dominovaly široké, hlasité kampaně, které bylo mnohem snazší odhalit. Dříve byly drzé, ale nyní se jasně zaměřují na utajení."

"Výsledkem je protivník, který je mnohem těžší vystopovat a odhalit. Realita je taková, že čelíme sofistikovanějšímu protivníkovi než kdy jindy a budeme muset pracovat mnohem tvrději, abychom s ním drželi krok," napsal Hultquist v komentáři k filmu. nedávné narušení zabezpečení společnosti Microsoft, o kterém se předpokládá, že je dílem kybernetických útočníků sídlících v Číně.

Protivník s kódovým označením Storm-0558 získal podle Microsoftu přístup k e-mailovým systémům Microsoftu pro shromažďování zpravodajských informací. Technologický gigant uvedl, že porušení zasáhlo 25 organizací, včetně amerických vládních agentur a účtů jednotlivců pravděpodobně spojených s těmito agenturami.

Čínské kyberšpionážní aktivity stále více využívají počáteční přístup a post-kompromisní strategie zaměřené na minimalizaci detekce, jak je uvedeno v příspěvku Google Cloud Mandiant z července 2023. „Zneužívání čínských skupin hrozeb nultých dnů v bezpečnostním, síťovém a virtualizačním softwaru a zaměřování směrovačů a dalších metod k přenosu a maskování provozu útočníků vně i uvnitř sítí obětí,“ uvedl americký prodejce. "S vysokou jistotou hodnotíme, že čínské skupiny kybernetické špionáže používají tyto techniky, aby se vyhnuly odhalení a zkomplikovaly připisování."

V rozhovoru pro ZDNET Hultquist zopakoval zvýšenou sofistikovanost útoků ze strany čínských národních státních aktérů, které byly výrazně nenápadnější a hůře odhalitelné. Poukázal na komplexní útok vyvolaný Storm-0558 jako ukazatel dovedností, které se dramaticky zlepšily.

Čínu, Rusko, Severní Koreu a Írán označil za hlavní aktéry národních států, se kterými se zákazníci Google Cloud Mandiant nejčastěji setkávají. Tito aktéři hrozeb se také zaměřují na kritické informační infrastruktury a v některých případech spolupracují s vládami nebo vládou financovanými nepřátelskými skupinami a poskytují zpravodajským agenturám kompromitované informace.

Wuest však považoval USA za nejpropracovanější mezi národními státními aktéry a poznamenal, že skupina Equation Group - věřila, že je součástí aliance Five Eyes - použila před deseti lety v sérii cílených útoků specifický šifrovací algoritmus. , dodnes zůstává nerozbitná.

Poté zařadil útoky ruských národních státních aktérů na druhé místo z hlediska sofistikovanosti, následované jejich protějšky v Číně.

Čínští aktéři hrozeb často volí objem, pokud jde o jejich útoky, které obvykle nejsou sofistikované, řekl a naznačil, že tato jednoduchost může být způsobena tím, že existuje jen malý důvod ke zlepšení jejich taktiky, pokud budou tyto útoky i nadále účinné. Například čínští aktéři hrozeb stále používají spear phishing, který není obtížné provést a je do značné míry závislý na lidech jako na nejslabším článku, řekl.

A zatímco Wuest uznal, že čínské útoky jsou nyní pokročilejší, poznamenal, že jde o přirozený vývoj, protože většina dovedností se obvykle zlepší během dvou desetiletí.

Popisování čínských národních státních aktérů jako sofistikovanějších může být přeháněním hrozeb a rétorikou používanou západními vládami ke zvýšení celkového povědomí organizací o potřebě dobré kybernetické obrany, řekl Wuest.

Dodal, že většina kybernetických útoků se dnes stále zaměřuje na staré zranitelnosti, které organizace zůstaly neopravené.

Lim také poznamenal, že aktéři hrozeb se zaměřují na bezpečnostní zařízení a pokoušejí se vyhnout detekci. Řekl, že aktéři jsou nyní více cílení a vědomi si zařízení používaných konkrétně vládními agenturami, a proto vědí, na která zařízení se zaměřit.

Útočníci také neustále aktualizují své taktiky, používají nejnovější metody a zaměřují se na oblíbené nástroje, jako jsou aplikace pro videokonference a VPN, dodal.

Rostoucí hrozba podtrhuje potřebu organizací dělat základy a přijímat osvědčené postupy, řekl Wuest, který poznamenal, že některým společnostem se stále nedaří opravit známá zranitelnost. Vzhledem k tomu, že spear phishing a 90 % útoků přichází prostřednictvím e-mailu, zdůraznil také důležitost zabezpečení e-mailu a dalších opatření pro boj proti takovým útokům.

Tato obrana bude obzvláště kritická, protože stále více hackerů využívá generativní umělou inteligenci (AI), aby chrlilo přesvědčivější phishingové e-mailové zprávy a sbíralo osobní údaje z účtů sociálních médií, aby vytvořili falešné persony, řekl.

Lim souhlasil a poznamenal, že jeho tým začal odhalovat generativní umělou inteligenci a nástroje strojového učení používané k vytváření e-mailů a také k obcházení ověřování a řízení přístupu.

Wuest dodal, že počítačoví zločinci mohou využít AI k získání rozsahu a rychlosti při spouštění útoků a ztížit ověřování a ověřování uživatelů.

Vyjádřil obavy, že generativní umělá inteligence naruší mnoho průmyslových odvětví a výrazně změní způsob provádění útoků. Pokud se například generativní umělá inteligence použije ke spuštění falešných příkazů, bude riziko a potenciální hrozba značné, řekl.

Hultquist naléhal na lídry v oboru, aby změnili své praktiky vedle protivníků hrozeb nebo rizika zaostávání. "Potřebujeme více dat, lepší inženýrství, lepší nástroje a lepší [obranné] plány," řekl. "Technologie se neustále mění, stejně jako protivníci. Musíme tvrdě pracovat, abychom na tom zůstali."