Hur attackerna utvecklas

Ett enda misstänkt mejl är inte "attacken". Det är vanligtvis det första av flera steg en motståndare tar, var och en med sitt eget mål, från att komma in till att komma ut med något värdefullt. MITER ATT&CK, en kunskapsbas som används inom säkerhetsbranschen, kallar dessa steg "taktik": som dess egen referens uttrycker det för det första, "motståndaren försöker komma in i ditt nätverk." Att se hela sekvensen gör det lättare att upptäcka var en enda god vana kan bryta kedjan.

Livscykeln, ett steg i taget

1. Första åtkomst. Motståndaren behöver en väg in. För människor snarare än stora nätverk är detta nästan alltid nätfiske: ett meddelande, text eller samtal skapat för att få dig att klicka, svara eller installera något.
2. Utförande. Något som motståndaren kontrollerar nu körs på din enhet eller ditt konto - en skadlig bilaga öppnad, en falsk uppdatering installerad, ett skript som kördes för att du godkände en tillståndsuppmaning utan att läsa den.
3. Uthållighet. Motståndaren ordnar med att behålla åtkomst även efter att du stänger appen, startar om telefonen eller ändrar ett lösenord: en andra app med en giltig inloggning, en vidarebefordransregel som tyst läggs till din inkorg, ett återställningsmeddelande ändrat.
4. Autentiseringsåtkomst. Motståndaren är, med ATT&CK:s ord, "försöker stjäla kontonamn och lösenord" - ofta genom att återanvända ett lösenord som läckt från ett orelaterade brott, eller genom att helt enkelt be om det genom en övertygande falsk inloggningssida.
5. Samling och exfiltrering. Motståndaren samlar in vad den vill ha (dokument, kontakter, meddelandehistorik) och flyttar ut det till någonstans de kontrollerar.
6. Inverkan. Det slutliga målet används: att publicera dina uppgifter, utpressa dig, utge dig för att nå de personer du känner, eller överlämna det som samlades in till den som beordrade operationen.

Nätfiske: fortfarande det vanligaste sättet att komma in

CISA:s vägledning om nätfiske beskriver varför det första steget så ofta fungerar: angripare använder "brådskande eller känslomässigt tilltalande språk" och utger sig för att vara organisationer som du redan litar på, vilket tvingar dig att agera innan du tänker efter. Den noterar också att det inte längre fungerar att förlita sig på att upptäcka dålig grammatik, eftersom angripare i allt högre grad skriver övertygande meddelanden. Dess råd är tre ord: känna igen trycktaktiken, motstå att klicka eller svara och ta bort eller rapportera via din e-postleverantörs egna verktyg snarare än meddelandets egen "avsluta prenumeration"-länk.

Behörighetsstöld behöver sällan ett inbrott

De flesta kontoövertaganden innebär inte att kryptering bryts. De involverar ett lösenord som redan har avslöjats i ett orelaterade intrång och återanvänts, eller en falsk inloggningssida som ser identisk ut med den riktiga och bara ber dig att skriva in ditt lösenord i den. När en motståndare väl har giltiga referenser, behandlar system byggda för att hålla inkräktare ute dem ofta som en legitim användare, vilket är anledningen till att nästa lektions punkt om proportionella kontroller – och, i kryptografikursen, om phishing-resistenta inloggningsmetoder – spelar lika stor roll som vilket enskilt verktyg som helst.

Skadliga appar och falska uppdateringar

Steget "utförande" kommer ofta förklädd som något vanligt: ​​en meddelandeapp som marknadsförs utanför en officiell butik, en "obligatorisk uppdatering" som skickas via e-post istället för av enheten själv, eller ett legitimt verktyg som kräver mycket fler enhetsbehörigheter än vad dess angivna syfte behöver. Att granska vad en app faktiskt kan se och göra – kontakter, plats, mikrofon, filer – innan du installerar den tar upp det här steget direkt, och granskar det igen med jämna mellanrum fångar appar som tyst frågade efter mer senare.

Varför livscykelsynen är viktig

Ingen enskild kontroll stoppar varje steg. En väl vald lösenordshanterare försvagar behörighetsåtkomsten. Granskning av appbehörigheter försvagar exekveringen. Multifaktorautentisering (som omfattas av kryptografikursen) försvagar både initial åtkomst och uthållighet. Nästa lektion förvandlar detta till en process som kan upprepas: att identifiera vad du faktiskt har att förlora, vilket av dessa steg som är mest troligt mot dig, och matcha din ansträngning till det, snarare än att försöka försvara dig mot allt på en gång.