روابط عمومی شرکت ایدکو (توزیع‌کننده‌ی محصولات کسپرسکی در ایران)؛ خطراتی که [1]SMBها و کسب و کارها در هر ابعاد دیگری را از سوی مجرمان سایبری تهدید می‌کند بر هیچ کس پوشیده نیست. اما سوال این است که انگیزه این حملات چیست و ذی‌نفعان امنیت سایبری باید دست به چه اقداماتی بزنند که تا به حال نزده‌اند؟ با ما همراه بمانید تا پاسخ این سوالات را بدهیم.

برای پاسخ به سوالات فوق اخیراً چندین گزارش IR یا همان واکنش به رخداد[2] را به طور مبسوطی تحلیل کردیم. این گزارشات از سوی کسب و کارهای فعال در صنایع مختلف یا موقعیت‌های مکانی و ابعاد متفاوت می باشد. یافته‌های تحلیل غافلگیرکننده بودند و البته نگران‌کننده:

مخرج مشترک: قابلیت دید[3]

عصاره پژوهش روی شرکت‌هایی با بیش از 5 هزار کارمند تا کسب و کارهای کوچک و متوسط که تعداد کارمندانشان از 15 نفر تجاوز نمی‌کند با معماری‌های مختلف شبکه و ابعاد شبکه‌ایِ بسیار متفاوت و نرم‌افزارها و راهکارهای مدیریت شبکه گوناگون این بود که در شبکه قابلیت دید کافی وجود ندارد و این در واقع مخرج مشترک همه مطالعات روی این سازمان‌ها بود. شاید عجیب به نظر برسد اما حقیقت این است که در بسیاری از موارد IR که بررسی کردیم شبکه‌های کلاینت نقاط کور زیادی داشتند و در یک سری از بخش‌ها هیچ قابلیت دیدی وجود نداشت.

نتیجه نهایی: دپارتمان‌های آی‌تی اغلب اطلاع زیادی از اتفاقاتی که می‌افتد ندارند. مشکل کجای کار است؟ به محض اینکه مهاجمی به شبکه سازمانی رخنه می‌کند آزاد است که فعالیت‌های مخرب خود را –از جمله سرقت داده، سرقت اکانت، به کاربردن باج‌افزار یا حتی از بین بردن دارایی سازمان سر مسائل شخصی- آغاز کند. مهاجمین سایبری بدون قابلیت دید شبکه بیشتر احتال دارد ناشناس باقی بمانند و به صورت جانبی در شبکه حرکت کنند- بدین‌ترتیب بدافزار به انتشار خود ادامه می‌دهد، از بررسی‌ها قسر در می‌رود تا زمانیکه دیگر هیچ راهکاری علاج آن نخواهد بود.

سه مانع اصلی برای قابلیت دید

سه مانع اصلی برای قابلیت دید عبارتند از پورت‌ها و سرویس‌هایی دسترسی بهشان ساده است، سیستم‌های پچ‌نشده و از رده خارج و مجموعه ابزارهای امنیتی ناقص.

پورت‌ها و سرویس‌هایی دسترسی بهشان ساده است

64 درصد رخدادهای امنیتی بررسی‌شده، نتیجه‌ی پورت‌ها، سرورها و سرویس‌های مهمی بودند که در معرض دسترسی وب قرار گرفتند. دلیل هم معمولاً این است که وقتی سازمانی رشد می‌کند شبکه‌اش نیز گسترده می‌شود. سرورهایی که توسعه بک‌اند اجرا می‌کنند، تست‌ها، اپ‌ها، سرویس‌ها، وی‌پی‌ان‌ها، بسته‌های سی‌آراِم و خیلی موارد دیگر باید از قابلیت دسترسی بالایی از نت داشته باشند. با این حال، این دارایی‌ها همچنان بخشی از شبکه می‌مانند و اگر به درستی امنیت‌بخشی نشوند ریسک امنیتی با خود به همراه خواهند داشت.

سیستم‌های پچ‌نشده و از رده خارج

در 67 درصد مواردی که تحقیق کردیم، مهاجمین اپ‌ها و سیستم‌عامل‌های پچ‌نشده و از رده‌خارج را اکسپلویت کردند. در بسیاری از این سناریوها، نقطه ورود حمله سروری قدیمی یا دستگاهی بوده که ویندوز 7، 8 یا حتی اکس‌پی اجرا می‌کرده. این سیستم‌ها چندین سال است از شرکت خود آپدیت امنیتی دریافت نکردند (تازه اگر نگوییم چندین دهه است!). اما همچنان قابلیت دسترسی ادامه‌دار آن‌ها به مهاجمین اجازه نفوذ داده است. سایر موارد نیز نتیجه‌ی اپ‌ها و سرورهای وبی بودند که میزبان نسخه‌های منسوخ جنکینز، اوراکل، وب‌لاجیک و آی‌آی‌اس شده بودند. این نسخه‌های منسوخ در برابر حملات RCE (اجرای کد دلخواه[4]) آسیب‌پذیرند و به هکرها کنترل کامل روی سیستم‌های آلوده می‌دهند.

مجموعه ابزارهای امنیتی ناقص

78 درصد شبکه‌ها که رخدادهای سایبری‌شان را بررسی کردیم روی نقاط ورودی‌شان هیچ راهکار ضدبدافزار یا EDR نصب نشده بود . 35 درصد از این‌ها راهکارهای IPS یا IDS هم نداشتند. بدون مجموعه ابزار درست و به‌روزشده امنیت سایبری، قابلیت دید به شدت دچار مانع می‌شود و حملات می‌توانند بیداد کنند. اگر راهکار EDR روی دستگاه‌های مورد هدف نصب‌شده بود می‌توانستند می‌شد جلوی بیشتر رخدادهایی را که بررسی کردیم گرفت.

نکاتی چند

براساس موانع قابلیت‌دید که صحبتش را کردیم هر شرکت یا SMB نیاز دارد سه معیار ساده زیر را لحاظ کند:

• بداند که چه چیزی دارد
• بداند چطور از آن محافظت کند
• به طور مؤثری تهدیدها را نظارت کرده و بدان‌ها پاسخ دهد

البته لحاظ کردن این معیارها از ترسیم کردن صرف‌ آن‌ها پیچیده‌تر است. با این حال نقطه شروع همیشه قابلیت دید است. تحقیق ما نشان داد که کسب وکارهایی که در بخش اندپوینت‌ها، پورت‌های در معرض‌قرار گرفته، سرورها، سرویس‌های مهم، سیستم‌ها و اپ‌های منسوخ و قدیمی از نظارت و قابلیت دید پایینی برخوردارند یا اصلاً این دو استاندارد را ندارند بیشتر مورد حمله قرار گرفتند. و وقتی چنین حملاتی رخ می‌دهد شرایط عود می‌کند- زیرا نظارت همه دارایی‌ها و سیستم‌های شرکت، شناسایی سریع و واکنش به رخداد را تسهیل می‌کند. بدون این، تیم‌های IR حتی سر درک اتفاق پیش‌آمده هم به چالش کشیده می‌شوند- چه برسد بخواهند پروسه مهار، ریشه‌کنی و اصلاح[5] را کلید بزنند.

برای رسیدن به قابلیت دید، تحلیلگران متوجه شدند نیاز به «مشِ امنیت سایبری»[6] است. سازمان‌ها باید به جای تمرکز روی صرف ابزارها تضمین دهند که راهکارها دارند در کنار هم خوب کار می‌کنند. وقتی راهکارهایی چون پلت‌فرم soc با لایه‌های دفاعی موجود در شبکه ادغام شدند می‌توانند گپ‌های شبکه‌ای را پر کرده، ضعف‌ها را شناسایی کرده و مطمئن شوند لایه‌های دفاعی به شرایط هر اندپوینت به صورت در لحظه دسترسی دارند. توانایی در اتصال همه سیستم‌ها و ابزارهای امنیتی به یک فرمان واحد در مرکز سطح بی‌سابقه‌ای از قابلیت دید را ارائه می‌دهد و بدین‌ترتیب رخدادهای شبکه‌ای به شفافیت می‌رسند. زیرا درامنیت شبکه هرآنچه بشود دید اغلب دیگر آسیبی نمی‌رساند.

[1] سازمان‌هایی با ابعاد کوچک و متوسط

[2] incident response

[3] VISIBILITY

[4] Remote Code Execution

[5] The process of containment, eradication, and remediation    

[6]Cyber security mesh، امنیت سایبری مبتنی بر الگوی مش یک رویکرد توزیعی برای کنترل و حفظ امنیت فضای سایبری به گونه‌ای مقیاس پذیر، انعطاف پذیر و مطمئن است. الگوی مش که همانند یک تار عنکبوت عمل می‌کند، به جای اینکه روی محافظت از یک محیط IT سنتی و محدود تمرکز کند، توجه خود را به رویکردی بزرگتر معطوف کرده است؛ به این ترتیب با وجود اینکه هماهنگی سیاست‌ها به صورت متمرکز انجام می‌شود، اما مرحله اجرا به صورت توزیعی و پراکنده خواهد بود.

منبع: کسپرسکی آنلاین (ایدکو)

کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکای، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکی نام دارد.