Rus elektrik şebekesi saldırısının profesyonellere neler öğretebileceğini

Şu ana kadar Federal Soruşturma Bürosu (FBI) ve ABD İç Güvenlik Bakanlığı’nın ortak soruşturmasının, Rusya’daki işçilerin ABD’deki elektrik şebekesinin bir parçası olan şirketlere girdiğini bildirdiğini bildirdi. Saldırılar, saldırganların enerji tesislerine nasıl girebildiklerini ve çaldıkları bilgilerle ne yaptıklarını açıklayan ABD Bilgisayar Acil Durum Hazırlık Ekibinden (US-CERT) çıkan bir raporda ayrıntılı olarak belirtilmiştir.

Medya raporlarında olmayan, küçük veya orta ölçekli bir işletme (KOBİ) veya daha büyük bir kuruluş için çalışıp çalışmamaları konusunda bir BT uzmanına endişe yaratması gereken bir gerçekti. Bu gerçek: Saldırganların sömürdüğü yol, nihai hedefin daha küçük ortaklarından geçti. Saldırılarına daha küçük ortakların savunmasına girerek başladılar, çünkü daha zayıf savunmaları vardı ve bir sonraki tesise saldırmak için oradan toplanan bilgi ve kaynakları kullandılar.

Akıllı Kimlik Avı Saldırısının Anatomisi

Küçük ortağa erişimin birincil yolu, diğer bilgilerle bir araya getirildiğinde bir sonraki adım için gereken ayrıntı düzeyini sağlayacak olan kamuya açık bilgileri bulmaktı. Örneğin, bir saldırgan, nihai hedefiyle iş yapan bir şirketin web sitesini inceleyebilir ve orada bir üst düzey yöneticinin e-posta adresini ortak şirketin veya nihai hedefinde bulabilir. Daha sonra saldırgan, ilişkinin ne olduğunu, kimin tarafından kimin tarafından verildiğini ve her şirketin yapısı hakkında bir şeyler öğrenmek için her iki şirketin web sitesindeki diğer bilgileri inceleyebilir.

Bu bilgilerle donanmış saldırgan, meşru bir e-posta adresi gibi göründüğü kadar inandırıcı kimlik avı e-postaları göndermeye başlayabilir; Güvenlik duvarında veya yönetilen uç nokta koruma düzeyinde yerleştirilmiş herhangi bir phishing filtresini yenebilecek kadar yeterince ayrıntılı detaylara sahip olanlar. Kimlik avı e-postaları, hedeflenen kişi için oturum açma kimlik bilgilerini toplamak üzere tasarlanır ve herhangi biri başarılı olursa, saldırganlar anında yerinde olabilecek ve hedef ağ içinde olabilecek kimlik yönetimi önlemlerini atlarlar.

Facebook'tan kullanıcı bilgisi toplama konusundaki vahiylerle, tehdidin niteliği genişliyor. 2014 yılında başlayan akademik araştırmalar çerçevesinde yapılan bir ihlalde, bir Rus araştırmacı, yaklaşık 50 milyon Amerikan Facebook üyesinin kullanıcı profiline erişim elde etti. Bu profiller Cambridge Analytica'ya devredildi. Daha sonraki araştırmalar, bu verilerin bu Facebook kullanıcılarının izni olmadan alındığını ve daha sonra kötüye kullanıldığını ortaya koydu.

Dış İletişimi Denetleme

Bu, ihtiyatlı işletmelerin web siteleri aracılığıyla hangi bilgileri sağlamaları gerektiği sorusunu gündeme getirmektedir. Daha da kötüsü, bu sorgunun muhtemelen kuruluşun sosyal medya varlıklarına, Youtube gibi üçüncü taraf pazarlama kanallarına ve hatta yüksek profilli çalışan sosyal medya profillerine yayılması gerekiyor.

FBI'ın New York Şehri saha ofisinin Siber Bölümünden sorumlu eski Özel Ajan Cyxtera ve Eski Özel Ajan Leo Coci, “Şirketlerinin web sitelerinde ne olduğu konusunda şaşırmaları gerektiğini düşünüyorum” dedi. “Bilgileri yanlışlıkla bildirmek için büyük bir potansiyel var.”

Taddeo, geliştirme için hangi araçları kullandığınızı ve hatta hangi güvenlik uzmanlıklarını aradığınızı açığa çıkarabileceğiniz iş ilanlarında olduğunu söyledi. “Şirketlerin kendilerini gösterebilecekleri birçok yol var. Geniş bir yüzey alanı var. Sadece web sitesi değil, sadece kasıtlı iletişim de yok” dedi.

Taddeo, "Sosyal medya bir risktir, " diye açıkladı sosyal medyada çalışan bir çalışanın istemeden büyük ölçüde açığa çıkabileceğini belirtti. Çalışanlarının işlerinden memnun olmadıklarını söyleyerek sömürü için bir hedef ortaya koyabileceğine dikkat çekti. "Çalışmaları veya başarıları hakkında ayrıntılı olarak konuşan çalışanlar riskli. Sosyal medya madenciliği rakipler için çok verimli."

Taddeo, LinkedIn gibi profesyonel medya web sitelerinin aynı zamanda dikkatli olmayanlar için de bir risk olduğu konusunda uyardı. Düşmanların, web sitelerinde, gerçekte kim olduklarını gizleyen ve ardından kişilerinden gelen bilgileri kullanan sahte hesaplar oluşturduklarını söyledi. “Sosyal medya sitelerinde ne yayınlarsa yayınlansınlar işverenini tehlikeye atabilir” dedi.

Sizi hedef alan kötü oyuncuların verilerinizin peşinde olabileceği veya çalıştığınız bir organizasyonun peşinde olabileceği gerçeği göz önüne alındığında, soru yalnızca kendinizi nasıl koruduğunuzu değil aynı zamanda iş ortağınızı da nasıl koruduğunuzu gösterir. Bu, saldırganların verilerinizin peşinden gidip gelmeyeceğini veya bir sonraki saldırı için bir basamak taşı ve belki de sahneleme yeri olarak görüp göremeyeceğinizi bilemeyeceğiniz için karmaşıktır.

Kendinizi Nasıl Korursunuz?

Her iki durumda da, atabileceğiniz bazı adımlar var. Buna yaklaşmanın en iyi yolu bilgi denetimi şeklinde. Şirketinizin dış iletişim, kesinlikle pazarlama, aynı zamanda İK, Halkla İlişkiler ve tedarik zinciri gibi alanlarda kullandığı tüm kanalları sıralayın. Ardından, etkilenen tüm kanallardan paydaşları içeren bir denetim ekibi oluşturun ve dışarıdakileri sistematik olarak ve veri hırsızları için yararlı olabilecek bilgilere dikkat ederek analiz etmeye başlayın. İlk önce şirketinizin web sitesiyle başlayın:

Yaptığınız iş veya kullandığınız araçlar hakkında ayrıntılı bilgi verebilecek herhangi bir şey için şirket web sitenizi inceleyin. Örneğin, fotoğrafta görünen bilgisayar ekranı önemli bilgiler içerebilir. Saldırganlara yararlı olabilecek ipuçları sağlayabilecek üretim ekipmanlarının veya ağ altyapısının fotoğraflarını kontrol edin.

Personel listesine bak. Listelenen kıdemli personeliniz için e-posta adresleriniz var mı? Bu adresler, yalnızca saldırganın giriş yapabileceği bir adrese sahip değil, aynı zamanda diğer çalışanlara gönderilen e-postaları taklit etmenin bir yolunu da sağlar. Bunları bir forma bağlayanlarla değiştirmeyi veya iç tüketime karşı kamu tüketimi için farklı bir e-posta adresi kullanmayı düşünün.

Web siteniz müşterilerinizin veya ortaklarınızın kim olduğunu söylüyor mu? Bu, bir saldırganın, güvenliğinizin üstesinden gelmekte zorlanıyorsa kuruluşunuza saldırması için başka bir yol sağlayabilir.

İş ilanlarını kontrol et. Şirketinizin araçları, dilleri veya diğer yönleri hakkında ne kadar açıklarlar? Kendinizi bu bilgiden ayırmak için bir işe alım firması aracılığıyla çalışmayı düşünün.

Düşmanlarınızın kesinlikle bu kanal üzerinden bilgi vermeye çalışacağını akılda tutarak sosyal medya varlığınıza bakın. Ayrıca, kıdemli personel tarafından ilanlarda şirketinizle ilgili ne kadar bilgi açığa çıkarıldığına bakın. Çalışanlarınızın sosyal medyadaki faaliyetleriyle ilgili her şeyi kontrol edemezsiniz, ancak buna göz kulak olabilirsiniz.

Ağ mimarinizi düşünün. Taddeo, yalnızca erişime ihtiyaç duyulduğunda ve yalnızca dikkat gerektiren sistem için yönetici erişimine izin verilen gerektiği gibi bir yaklaşım önerir. İlk başta ABD Savunma Bakanlığı tarafından geliştirilen bir yazılım tanımlı çevre (SDP) kullanmanızı önerir. “Sonuçta, her kullanıcının erişim hakları kimliğe, cihaza, ağa ve uygulama hassasiyetine göre dinamik olarak değiştiriliyor” dedi. “Bunlar kolayca yapılandırılan politikalar tarafından yönlendiriliyor. Ağ erişimini uygulama erişimi ile aynı hizada tutarak, kullanıcılar saldırı yüzey alanı önemli ölçüde azalırken tamamen üretken kalıyorlar.”

• Şimdi bulut hizmetlerinizi de aynı şekilde düşünün. Örneğin şirketinizin Google Analytics veya Salesforce hesapları gibi üst düzey şirket yöneticilerini üçüncü taraf şirket bulut hizmetleri konusunda yöneticiler yapmak genellikle varsayılan bir yapılandırmadır. Bu erişim düzeyine ihtiyaçları yoksa, bunları kullanıcı durumuna getirmeyi ve e-posta girişlerini bulmayı zorlaştıracak BT personeline idari erişim seviyelerini bırakmayı düşünün.

Sonunda, Taddeo, gölge BT tarafından oluşturulan güvenlik açıklarını aradığını söyledi. Bakmazsanız, ofisinize kablosuz bir yönlendirici taktığından, işyerinde kişisel iPad'lerini daha kolay kullanabilmeleri için zor güvenlik çalışmalarınızı atlatabilirsiniz. Bilinmeyen üçüncü taraf bulut hizmetleri de bu kategoriye girer. Büyük organizasyonlarda, departman başkanlarının BT departmanlarını "bürokrasi" olarak gördüklerini atlamak için uygun bulut hizmetlerine kolayca kaydolmaları nadir değildir.

Bu, Dropbox Business'ı ağ depolama alanı olarak kullanmak veya farklı bir pazarlama otomasyon hizmeti kullanmak gibi temel BT hizmetlerini içerebilir, çünkü resmi kurumsal destekli araca kaydolmak çok yavaş ve çok fazla form doldurmayı gerektirir. Bunun gibi yazılım hizmetleri, BT'nin farkında bile olmadan, hassas veri gruplarını açığa çıkarabilir. Kuruluşunuzda hangi uygulamaların, kimler tarafından kullanıldığını ve kimin erişiminin sıkı şekilde kontrol altında olduğunu bildiğinizden emin olun.

Böyle bir denetim işi sıkıcı ve zaman alıcıdır, ancak uzun vadede büyük kar payları ödeyebilir. Düşmanların peşinden gelene kadar, neyin çalınmaya değeceğini bilmezsin. Bu nedenle, güvenlik konusunda esnek bir yaklaşımla yaklaşırken ihtiyacınız olan şeylere dikkat etmelisiniz; ve bunu yapmanın tek yolu, ağınızda nelerin yayınlandığı hakkında ayrıntılı olarak bilgilendirilmek.