Як розгортаються напади

Один підозрілий електронний лист не є «атакою». Зазвичай це перший із кількох кроків, які робить супротивник, кожен із яких має власну мету, від проникнення до виходу з чимось цінним. MITRE ATT&CK, база знань, яка використовується в індустрії безпеки, називає ці кроки «тактикою»: як зазначено у власному довіднику для першого, «супротивник намагається проникнути у вашу мережу». Побачивши всю послідовність, легше виявити, де одна корисна звичка може перервати ланцюжок.

Життєвий цикл, крок за кроком

1. Початковий доступ. Зловмиснику потрібен вихід. Для людей, а не для великих мереж, це майже завжди фішинг: повідомлення, текст або дзвінок, створені так, щоб змусити вас клацнути, відповісти або встановити щось.
2. Виконання. Щось, що контролює зловмисник, тепер виконується на вашому пристрої або в обліковому записі — відкрите шкідливе вкладення, встановлено підроблене оновлення, запущений сценарій, оскільки ви схвалили запит на дозвіл, не прочитавши його.
3. Наполегливість. Зловмисник організовує збереження доступу навіть після того, як ви закрили програму, перезапустили телефон або змінили один пароль: другу програму з дійсним логіном, правило пересилання тихо додано до вашої папки "Вхідні", змінено електронну адресу для відновлення.
4. Обліковий доступ. Зловмисник, за словами ATT&CK, «намагається викрасти імена облікових записів і паролі» — часто шляхом повторного використання пароля, отриманого через непов’язаний злом, або просто запитуючи його через переконливу підроблену сторінку входу.
5. Збір і ексфільтрація. Зловмисник збирає те, що йому потрібно (документи, контакти, історію повідомлень), і переміщує це в місце, яке він контролює.
6. Вплив. Використовується кінцева мета: публікація ваших даних, вимагання вас, видавання за вас, щоб досягти людей, яких ви знаєте, або передача зібраного тому, хто замовив операцію.

Фішинг: все ще найпоширеніший спосіб входу

У рекомендаціях CISA щодо фішингу пояснюється, чому перший крок так часто спрацьовує: зловмисники використовують «термінову або емоційно привабливу мову» та видають себе за організації, яким ви вже довіряєте, спонукаючи вас діяти, перш ніж ви подумаєте. Також зазначається, що покладатися на виявлення поганої граматики більше не працює, оскільки зловмисники все частіше пишуть переконливі повідомлення. Її порада складається з трьох слів: розпізнайте тактику тиску, не натискайте чи не відповідайте, видаліть або повідомте про це за допомогою власних інструментів вашого постачальника електронної пошти, а не за посиланням «відписатися» у повідомленні.

Крадіжка облікових даних рідко потребує злому

Більшість захоплень облікових записів не передбачає порушення шифрування. Вони включають пароль, який уже було розкрито під час непов’язаного злому та використано повторно, або фальшиву сторінку входу, яка виглядає ідентично справжній і просто просить вас ввести свій пароль. Коли зловмисник має дійсні облікові дані, системи, створені для запобігання зловмисникам, часто розглядають його як законного користувача, тому пункт наступного уроку про пропорційний контроль — і, у курсі криптографії, про методи входу, стійкі до фішингу, — має таке ж значення, як будь-який окремий інструмент.

Шкідливі програми та підроблені оновлення

Етап «виконання» часто приходить замаскованим під щось звичайне: програма обміну повідомленнями, рекламована поза офіційним магазином, «необхідне оновлення», надіслане електронною поштою, а не самим пристроєм, або законний на вигляд інструмент, який запитує набагато більше дозволів пристрою, ніж потрібно для його заявленої мети. Перевірка того, що програма насправді може бачити та робити — контакти, місцезнаходження, мікрофон, файли — перед установкою стосується безпосередньо цього кроку, а повторна перевірка періодично виявляє програми, які тихо запитували більше пізніше.

Чому життєвий цикл має значення

Жоден контроль не зупиняє кожен крок. Добре підібраний менеджер паролів послаблює доступ облікових даних. Перегляд дозволів програми послаблює виконання. Багатофакторна автентифікація (про яку йдеться в курсі криптографії) послаблює як початковий доступ, так і стійкість. Наступний урок перетворює це на повторюваний процес: визначте, що ви насправді маєте втратити, який із цих кроків, швидше за все, проти вас, і зіставте свої зусилля з цим, а не намагайтеся захиститися від усього відразу.