Центр мониторинга и поведение удалённых пользователей: что не так с аномалиями?
Удаленный режим работы стал частью нашей жизни. Исследование, проведенное Ассоциацией электронных коммуникаций (РАЭК) совместно с НИУ ВШЭ и Microsoft в России показало, что 54% российских компаний полностью перешли на удаленный режим работы.
Многие компании были вынуждены переводить своих работников на личные персональные устройства для работы из дома, что привело к утечке информации и увеличению хакерских атак - атаки на цепочку поставок, одна из самых популярных тактик, которую используют хакерские APT группировки последние два года. Домашние персональные компьютеры менее защищены в отличие от корпоративных систем.
Одно дело использовать АРМ в рамках контролируемой зоны, где у вас используется комплекс решений на уровне сетевого доступа, средств защиты информации с использование Deep Packer Inspection, Sandbox, DLP, MDM решения, антивирусная защита, пропатченная сетевая и серверная инфраструктура и, естественно, консолидация логов системами SIEM. Они позволяют детектировать 80% действий злоумышленников при реализации целевых атак.
Другое дело — домашний персональный компьютер с устаревшей операционной системой Windows XP, либо пиратской версией Windows 10, которая не обновляется и что страшнее находится уже в ботнете. Как правило многие пользователи дома не следят за обновлением прошивки роутеров, используя дефолтовые пароли и в большинстве случаев не используют лицензионные антивирусные средства, как правило больше всего подвержены фишинговым компаниям злоумышленников с использованием социальной инженерии, эти техники в связке с вредоносным программным обеспечением уже второй год находятся в топе хакерских техник при компрометации инфраструктур в рамках целевых атак, только меняясь местами.
Но проблему, связанную с техническим состоянием домашней инфраструктуры удаленных сотрудников, дополняет отсутствие возможности устанавливать агентные решения средств защиты информации, так как это выходит из правового поля трудового договора и, как правило, является нарушением лицензионного соглашения. При организации удаленного доступа с использованием сертифицированной криптографии, при выполнении требований формуляра, происходит нарушение модели угроз, так как средство криптографической защиты используется вне контролируемой зоны и, зачастую, в согласованных с регулятором моделях удаленный доступ сотрудников не был предусмотрен ранее.
Как следствие этого, мы видим факты утечки информации и увеличенное число хакерских атак на удаленных пользователей с дальнейшим развитием атаки на внутреннюю инфраструктуру многих компаний. Поэтому мониторинг инфраструктуры заказчика при организации удаленного доступа требует пристального внимания со стороны служб обеспечения информационной безопасности на предприятии, как в части разграничения сетевого доступа к ресурсам, так и разграничения по группам при реализации дискреционного и мандатного доступа к чувствительным данным компании и, тем более, при передаче данных на личные устройства сотрудников, многие компании не были готовы фактически организовать линии реагирования центров мониторинга информационной безопасности (Security Operation Center) на предприятии.
Работа с документами и базами данных при организации удаленного доступа, а также файловый аудит становится наиболее востребованной в части персонализации действий сотрудников и выставление специфических меток в файлах для дальнейшей идентификации в случае обнаружения утечки информации на внешних ресурсах. Профилирование действий пользователя при работе с чувствительными данными должно осуществляться как на уровне файловой системы, так и на сетевом уровне. При этом системы профилирования должны быть интегрированы со смежными системами мониторинга информационной безопасности, класса SIEM/SOAR, для автоматизации решающих правил при выявлении аномалий в действиях удаленных пользователей и при реагировании на инциденты информационной безопасности.
Однако, помимо наличия технических средств для организации удаленного доступа, перед офицерами информационной безопасности стоят угрозы Misconfiguration, неправильная конфигурация оборудования на внешних ресурсах. Неправильно сконфигурированные ресурсы на внешних IP адресах, могут привести к необратимым последствиям. К примеру, ввод в эксплуатацию криптошлюза с дефолтовыми настройками, включает NTP службу для синхронизации времени, следствием чего организация может стать участником распределенной атаки усиления NTP (NTP-amplification). Поэтому контроль конфигураций и постоянный аудит инфраструктуры подразумевает наличие средств анализа защищенности, подкрепленный процессным подходом организационно-распорядительной документацией внутри компании по патч-менеджменту.
Анализ защищенности и процесс патч-менеджмента еще одна превентивная мера противостояния современным киберугрозам. Своевременная установка обновлений программного обеспечения и бюллетеней безопасности позволяют сопротивляться действиям злоумышленников на различных этапах взлома в рамках выявления дополнительных векторов атак. Как показывает статистика 70% успешных атак происходит за счет эксплуатации уязвимостей и порой могут эксплуатироваться CVE трехлетней давности. Уязвимости могут встречаться в сервисах, которые тестировались на этапе опытной эксплуатации, были неправильно выведены из эксплуатации или о них попросту забыли.
Инвентаризация инфраструктуры должна осуществляться как процесс в любой организации, причем средствами автоматизации, чтобы исключить человеческий фактор. Данному процессу могут способствовать как профильные системы инвентаризации, так и смежные, такие как SIEM/SOAR в связке с системами анализа защищенности. В рамках обогащения данных активов SIEM решений, можно использовать поток данных сети (netflow) с активного сетевого оборудования или модулей DPI, с целью выявления активности от незарегистрированных источников в корпоративной сети. Сам процесс позволяет обратить внимание на активность новых источников, а правила корреляции SIEM решений позволят оперативно реагировать на появление неавторизованных устройств в системе менеджмента активов. К примеру, если пользователь осуществляет свою деятельность в нерабочее время, правила корреляции SIEM решения могут инициировать сценарий реагирования в SOAR системе и передать решающее правило в систему мониторинга сетевого доступа, последняя, в свою очередь, применит ограниченные правила сетевого доступа и автоматически переведет пользователя в уникальный vlan корпоративного сегмента сети.
Таким образом, организация удаленного доступа в компании накладывает дополнительные риски, связанные с контролем доступа к чувствительной информации и мониторинга сессий удаленных пользователей к инфраструктуре организации. В свою очередь, минимизации этих рисков способствует особое внимание офицеров информационной безопасности при разграничении доступа к чувствительным данным на прикладном и сетевом уровнях, регулярный процесс анализа защищенности и патч-менеджмент инфраструктуры, контроль и анализ конфигураций, поведенческий анализ сессий удаленных пользователей и мониторинг инфраструктуры в целом.
Автор: Ильяс Киреев, ведущий менеджер по продвижению компании Cross Technologies
Опубликовано 14.12.2020