Как разворачиваются атаки

Одно подозрительное письмо — это не «атака» целиком. Обычно это лишь первый из нескольких шагов, которые предпринимает противник, каждый со своей целью, от проникновения до выхода с чем-то ценным. MITRE ATT&CK, база знаний, используемая по всей индустрии безопасности, называет эти шаги «тактиками»: как формулирует её собственный справочник для первой из них, «противник пытается проникнуть в вашу сеть» (the adversary is trying to get into your network). Взгляд на всю последовательность облегчает понимание того, где одна хорошая привычка способна разорвать цепочку.

Жизненный цикл, шаг за шагом

1. Первоначальный доступ. Противнику нужен способ проникнуть внутрь. Для отдельных людей, а не крупных сетей, это почти всегда фишинг: сообщение, текст или звонок, составленные так, чтобы заставить вас кликнуть, ответить или что-то установить.
2. Выполнение. То, что теперь контролирует противник, запускается на вашем устройстве или в вашей учётной записи: открыто опасное вложение, установлено фальшивое обновление, выполнился скрипт из-за того, что вы одобрили запрос разрешения, не прочитав его.
3. Закрепление. Противник устраивает так, чтобы сохранить доступ даже после того, как вы закроете приложение, перезагрузите телефон или смените один пароль: второе приложение с действующим входом, незаметно добавленное правило пересылки в вашем почтовом ящике, изменённая резервная почта.
4. Доступ к учётным данным. Противник, по формулировке ATT&CK, «пытается похитить имена учётных записей и пароли» (trying to steal account names and passwords) — часто повторно используя пароль, утёкший из несвязанной утечки, или просто выманивая его через убедительную фальшивую страницу входа.
5. Сбор и вывод данных. Противник собирает то, что ему нужно (документы, контакты, историю сообщений), и перемещает это туда, что он контролирует.
6. Воздействие. Используется конечная цель: публикация ваших данных, вымогательство, выдача себя за вас, чтобы добраться до людей, которых вы знаете, или передача собранного тому, кто заказал операцию.

Фишинг: всё ещё самый распространённый способ проникновения

Руководство CISA по фишингу объясняет, почему первый шаг так часто срабатывает: атакующие используют «срочный или эмоционально притягательный язык» (urgent or emotionally appealing language) и выдают себя за организации, которым вы уже доверяете, подталкивая вас действовать, не подумав. Оно также отмечает, что полагаться на поиск грамматических ошибок больше не работает, поскольку атакующие всё чаще пишут убедительные сообщения. Совет CISA умещается в три слова: распознавайте приём давления, воздерживайтесь от клика или ответа и удаляйте или сообщайте о письме через собственные инструменты вашего почтового провайдера, а не через ссылку «отписаться» в самом письме.

Кража учётных данных редко требует взлома

Большинство захватов учётных записей не связаны со взломом шифрования. Они связаны с паролем, который уже был раскрыт в несвязанной утечке и использован повторно, или с фальшивой страницей входа, выглядящей идентично настоящей и просто просящей ввести в неё пароль. Как только у противника оказываются действительные учётные данные, системы, созданные не пускать злоумышленников, часто принимают его за законного пользователя, поэтому мысль следующего урока о соразмерных мерах контроля — и, в курсе криптографии, об устойчивых к фишингу методах входа — важна не меньше любого отдельного инструмента.

Опасные приложения и фальшивые обновления

Шаг «выполнение» часто маскируется под что-то обычное: приложение для обмена сообщениями, продвигаемое вне официального магазина, «обязательное обновление», присланное по почте, а не самим устройством, или выглядящий законным инструмент, запрашивающий гораздо больше разрешений на устройстве, чем требует его заявленное назначение. Проверка того, что приложение реально может видеть и делать — контакты, местоположение, микрофон, файлы — перед установкой напрямую закрывает этот шаг, а периодическая повторная проверка ловит приложения, незаметно запросившие больше позже.

Почему важен взгляд на жизненный цикл

Ни одна отдельная мера не останавливает каждый шаг. Удачно выбранный менеджер паролей ослабляет доступ к учётным данным. Проверка разрешений приложений ослабляет выполнение. Многофакторная аутентификация (рассматривается в курсе криптографии) ослабляет и первоначальный доступ, и закрепление. Следующий урок превращает это в воспроизводимый процесс: определение того, что вам реально есть терять, какой из этих шагов наиболее вероятен именно против вас, и соразмерность ваших усилий этому, а не попытка защититься от всего сразу.