Jak przebiegają ataki

Pojedynczy podejrzany e-mail nie jest „atakiem”. Zwykle jest to pierwszy z kilku kroków, które podejmuje przeciwnik, każdy mający swój własny cel – od wejścia do wyjścia z czymś wartościowym. Baza wiedzy MITRE ATT&CK, wykorzystywana w branży zabezpieczeń, nazywa te kroki „taktyką”: jak podaje pierwsza z nich, „przeciwnik próbuje dostać się do Twojej sieci”. Widząc całą sekwencję, łatwiej jest dostrzec, gdzie pojedynczy dobry nawyk może przerwać łańcuch.

Cykl życia, krok po kroku

1. Wstępny dostęp. Przeciwnik musi się przedostać. W przypadku ludzi, a nie dużych sieci, jest to prawie zawsze phishing: wiadomość, SMS lub połączenie utworzone w celu nakłonienia Cię do kliknięcia, odpowiedzi lub zainstalowania czegoś.
2. Wykonanie. Coś, co atakujący kontroluje teraz na Twoim urządzeniu lub koncie — otwarty szkodliwy załącznik, zainstalowana fałszywa aktualizacja, skrypt, który uruchomił się, ponieważ zatwierdziłeś monit o pozwolenie bez jego przeczytania.
3. Trwałość. Przeciwnik stara się zachować dostęp nawet po zamknięciu aplikacji, ponownym uruchomieniu telefonu lub zmianie jednego hasła: drugiej aplikacji z ważnym loginem, reguły przekazywania po cichu dodanej do Twojej skrzynki odbiorczej, zmiany adresu pomocniczego.
4. Dostęp poświadczeń. Przeciwnik, według słów ATT&CK, „próbuje ukraść nazwy kont i hasła” — często poprzez ponowne użycie hasła wyciekającego w wyniku niepowiązanego naruszenia lub po prostu prosząc o nie za pośrednictwem przekonującej fałszywej strony logowania.
5. Zbiórka i eksfiltracja. Przeciwnik gromadzi to, czego chce (dokumenty, kontakty, historię wiadomości) i przenosi to w kontrolowane przez siebie miejsce.
6. Uderzenie. Wykorzystywany jest ostateczny cel: opublikowanie Twoich danych, wyłudzenie Cię, podszywanie się pod Ciebie w celu dotarcia do znanych Ci osób lub przekazanie zebranych danych osobie zlecającej operację.

Phishing: wciąż najczęstszy sposób

W wytycznych CISA dotyczących phishingu opisano, dlaczego pierwszy krok tak często działa: napastnicy używają „pilnego lub atrakcyjnego emocjonalnie języka” i podszywają się pod organizacje, którym już ufasz, zmuszając Cię do działania, zanim pomyślisz. Zauważa również, że poleganie na wykrywaniu błędów gramatycznych już nie działa, ponieważ napastnicy coraz częściej piszą przekonujące wiadomości. Jej rada składa się z trzech słów: rozpoznaj taktykę wywierania nacisku, powstrzymaj się od klikania lub odpowiadania oraz usuwaj lub zgłaszaj za pomocą narzędzi swojego dostawcy poczty e-mail, a nie za pomocą linku „anuluj subskrypcję” w wiadomości.

Kradzież danych uwierzytelniających rzadko wymaga włamania

Większość przejęć kont nie wiąże się z łamaniem szyfrowania. Obejmują one hasło, które zostało już ujawnione w wyniku niepowiązanego naruszenia i użyte ponownie, lub fałszywą stronę logowania, która wygląda identycznie jak prawdziwa i po prostu prosi o wpisanie na niej hasła. Gdy przeciwnik posiada ważne dane uwierzytelniające, systemy zbudowane w celu powstrzymywania intruzów często traktują go jak legalnego użytkownika, dlatego też uwaga z następnej lekcji dotycząca proporcjonalnych kontroli — oraz, w kursie kryptografii, metod logowania odpornych na phishing — jest tak samo ważna jak każde pojedyncze narzędzie.

Szkodliwe aplikacje i fałszywe aktualizacje

Krok „wykonania” często pojawia się pod przykrywką czegoś zwyczajnego: aplikacji do przesyłania wiadomości promowanej poza oficjalnym sklepem, „wymaganej aktualizacji” przesyłanej e-mailem zamiast przez samo urządzenie lub legalnie wyglądającego narzędzia, które pyta o znacznie więcej uprawnień urządzenia, niż jest to wymagane w deklarowanym celu. Sprawdzanie, co aplikacja faktycznie widzi i robi – kontakty, lokalizacja, mikrofon, pliki – przed jej zainstalowaniem bezpośrednio odnosi się do tego kroku i okresowe przeglądanie jej ponownie wyłapuje aplikacje, które później po cichu prosiły o więcej.

Dlaczego widok cyklu życia ma znaczenie

Żadna pojedyncza kontrola nie zatrzymuje każdego kroku. Dobrze wybrany menedżer haseł osłabia dostęp do danych uwierzytelniających. Przeglądanie uprawnień aplikacji osłabia wykonanie. Uwierzytelnianie wieloskładnikowe (omówione w kursie kryptografii) osłabia zarówno początkowy dostęp, jak i trwałość. Następna lekcja zamienia to w powtarzalny proces: określenie, co tak naprawdę masz do stracenia, który z tych kroków najprawdopodobniej jest przeciwko tobie, i dostosowanie do tego swoich wysiłków, zamiast próbować bronić się przed wszystkim na raz.