Риски цифрового взаимодействия. Как контролировать кибербезопасность поставщиков и партнеров?
Изображение: Pla2na/shutterstock.com
На сегодняшний день существует более 200 техник, позволяющих злоумышленникам нанести вред инфраструктурам организаций. Некоторые из них позволяют добираться до инфраструктуры компаний через поставщиков или партнеров путем внедрения вредоносного кода в распространяемое программное обеспечение (ПО) или сбора легитимных учетных данных в скомпрометированной инфраструктуре для проникновения в целевую инфраструктуру. Например, если говорить на языке матрицы MITRE ATT&CK*, «Использование доверенных отношений» (T1199) и «Компрометация цепочки поставок» (T1195) актуальны практически для всех сфер будь то строительство, информационные технологии или здравоохранение. Техники позволяют злоумышленникам обойти традиционные методы защиты, такие как межсетевые экраны или системы обнаружения вторжений, поскольку атаки исходят от доверенного источника.
Эффективность атак заключается в первую очередь в сложности обнаружения, имея, например, легитимные учетные данные злоумышленники минуют промежуточные этапы атаки и сразу переходят к нанесению ущерба. Поэтому меры внутренней безопасности не могут полностью защитить от угрозы, если только эти меры не включают строгий контроль и мониторинг взаимодействий с внешними партнерами.
Один из путей снижения рисков при взаимодействии со сторонней организацией - оценить ее цифровой след, т.е. совокупность данных, которые образуются в результате деятельности организации в цифровом пространстве (веб-ресурсы, аккаунты в социальных сетях, рекламные кампании и др.). Данный подход позволяет понять объем и критичность данных, которые злоумышленник может использовать для атаки. Чем больше данных поставщика или партнера находится в сети Интернет, тем больше шансов на проведение успешной атаки и меньше вероятность своевременного детектирования и предотвращения ущерба. 80% группировок, нацеленных на Российскую Федерацию, не взаимодействуют с жертвой на этапе сбора данных.
При оценке цифрового следа следует обратить внимание на присутствие следующей информации:
- Наличие данных поставщика или партнера в базах утечек. Такие данные позволяют злоумышленникам получить прямой доступ к инфраструктуре.
- Наличие фишинговых доменов или веб-страниц. Чаще всего данный тип применяется злоумышленниками для рассылки фишинговых писем или сбора данных сотрудников или клиентов.
- Наличие фишинговых страниц в социальных сетях и мессенджерах. Аналогично предыдущему пункту, злоумышленники создают страницы ключевых лиц организации для дальнейшей мошеннической активности.
- Наличие внутренних документов в открытом доступе. В зависимости от документов злоумышленники могут получить информацию о сотрудниках и должностях, закупках, финансовых показателях, а также стратегии и планах развития компании.
- Уязвимые сервисы и протоколы, которые опубликованы на ресурсах поставщика, а также страницы, доступные без авторизации. С помощью применения дополнительных техник, данные ресурсы позволяют злоумышленнику проникнуть внутрь инфраструктуры.
- Объявления на покупку данных поставщика или партнера, или поиск сотрудников, размещенные на специализированных форумах. При обнаружении таких данных необходимо оценить внутреннюю атмосферу, проанализировав отзывы и комментарии сотрудников компании в социальных сетях или на ресурсах-отзовиках для исключения риска внутреннего инсайдера.
- Наличие чувствительной информации в социальных сетях и мессенджерах. Сотрудники поставщика или партнера могут по неосторожности опубликовать чувствительную информацию на личных страницах, а также создать публичные чаты, доступ к которым может получить и злоумышленник.
- Наличие информации об инфраструктуре на ресурсах сторонних организаций. При маркетинговых активностях, компании-партнеры публикуют на свои официальные страницы информацию о кейсах, где могут разместить некоторые чувствительные данные, которые злоумышленники также могут использовать.
В случае, если перечисленные данные или ресурсы присутствуют в сети, необходимо оценить, как быстро поставщик отреагировал на их публикацию и какие меры были приняты после.
Еще один способ снижения рисков – запросить у поставщика или партнера проведение комплексной проверки его информационной инфраструктуры на наличие факта компрометации (Compromise Assessment). Данная проверка позволит оценить уровень безопасности инфраструктуры и риски при взаимодействии.
Помимо перечисленных способов рекомендуется разделить инфраструктуру на независимые сегменты и предоставить поставщику доступ только к необходимым данным, чтобы минимизировать поверхность атаки, а также настроить систему логирования событий, чтобы иметь возможность своевременно обнаружить аномалии в поведении пользователей.
По возможности, внедрить многофакторную аутентификацию, особенно при доступе к критически важным системам и данным.
В случае если поставщик предоставляет ПО, то рекомендуется внедрить регламент обновления до новых версий. Обновляемое ПО уже должно быть протестировано и проверено специалистом по анализу кода на возможные уязвимости.
Также неотъемлемой частью общего подхода к управлению рисками является разработка планов на случай инцидентов, связанными с поставщиками. Сотрудники должны знать как реагировать в случае наступления инцидента.
Проведя исследование и внедрив дополнительные меры безопасности, компания сможет оценить риски взаимодействия с конкретным поставщиком и снизить вероятность успешности атаки. Это особенно важно в условиях растущего числа кибератак.
*Матрица MITRE ATT&CK - структурированный список известных типов поведения злоумышленников, которые объединены в тактики и техники
Опубликовано 23.08.2024
