في عام 2017 ، عانت Equifax ، إحدى أكبر وكالات الإبلاغ عن الائتمان في العالم ، من خرق إلكتروني ذي تأثير وحجم غير مسبوقين. سرق مجرمو الإنترنت أكثر من 145 مليون سجل من معلومات التعريف الشخصية. بسبب طبيعة هذا الخرق ، استقال الرئيس التنفيذي لشركة Equifax ، وبدأ تحقيق في الكونجرس ، وتعرض سهم Equifax لضربة وتم رفع دعوى قضائية جماعية من 50 دولة.
الخرق
في الثاني من مارس /آذار 2017، اكتشف باحث أمني ثغرة أمنية في تطبيق ويب يُدعى Apache Tomcat Struts 2، وحددها بالثغرة CVE-2017-5638. كان هذا التطبيق يُستخدم من قِبل شركة Equifax لتمكين المستهلكين من الإبلاغ عن أي اختلافات في تقاريرهم الائتمانية. بعد أيام من اكتشاف الثغرة، تم توفير تحديث برمجي في السابع من مارس/آذار 2017 ونشره للعموم. وفي غضون 24 ساعة من نشر التحديث، نُشرت مدونة على أحد المواقع الإلكترونية تشرح كيفية استغلال هذه الثغرة للوصول عن بُعد إلى أجهزة الكمبيوتر التي تعمل بنظام تشغيل غير مُحدّث. في العاشر من مارس/ آذار 2017، تم إصدار أداة الاستغلال كإضافة لمجموعة أدوات الاستغلال مفتوحة المصدر الشهيرة Metasploit، وبدأ المخترقون باستخدامها لمسح الإنترنت بحثًا عن خوادم تحتوي على هذه الثغرة. في منتصف مايو/أيار 2017 تقريبًا، تمكن المخترقون من اختراق أحد الخوادم، وتبين أنه تابع لشركة Equifax. تم الحصول على وصول غير مصرح به وبقي المتسللون داخل شبكة Equifax، وقاموا بتسريب البيانات حتى تم اكتشافهم في 29 يوليو 2017.
لماذا حدث الخرق؟
قد يعتقد المرء أن مؤسسة بحجم Equifax ومسؤولة عن حماية بيانات 145 مليون أمريكي ، كانت قادرة على اكتشاف هذا الانتهاك قبل سرقة البيانات ، ناهيك عن كونها غير برامج لمدة 2.5 شهرًا. اذا ماذا حصل؟ وفقًا للتقارير ، تم إبلاغ Equifax بالثغرة الأمنية ، ومع ذلك لم يتخذ أي إجراء لتصحيح الخادم. بمجرد عدم إصلاح الخادم وبدأ المتسللون في استغلال الثغرة الأمنية ، انطلقت "التنبيهات المشبوهة" ولكن Equifax لم تتخذ أي إجراء. لإعادة صياغة الرئيس التنفيذي السابق لـ Equifax ، فإنهم يتلقون آلاف التنبيهات كل عام ومن الصعب تحديد التنبيهات المهمة من التنبيهات غير المهمة. هذا يسلط الضوء بوضوح على مشكلة أدوات الأمان ومشكلة الأشخاص. تواجه الأدوات التي تنشرها المؤسسات اليوم وقتًا عصيبًا في تحديد الأحداث الحرجة من الأحداث غير الحرجة ، وسيكون هناك دائمًا خطأ بشري ولن يكون هناك عدد كافٍ من الأشخاص للاستجابة للتهديدات.
ما الذي كان يمكن فعله؟
بدايةً، كان من الممكن تجنب الخطأ البشري لو أن شركة Equifax انتبهت إلى نشرة الثغرة الأمنية CVE-2017-5638 وقامت بتحديث خوادمها بسرعة. ثانيًا، تحتاج المؤسسات إلى البدء في استبدال الأدوات القديمة التي تُعطيها شعورًا زائفًا بالأمان بأدوات جديدة تعالج المشكلة الحالية. أدوات مثل أنظمة كشف التسلل (IDS) وأنظمة إدارة معلومات وأحداث الأمان (SIEMإنّ بيئات الاختبار المعزولة للبرمجيات الخبيثة، التي تعمل بشكل مستقل عن بعضها البعض وموزعة بشكل غير شامل ضمن البنية التحتية، لن تؤدي إلا إلى كثرة التنبيهات، ونقاط عمياء، وقدرة محدودة على الكشف. أما أنظمة كشف التسلل (IDS)، فهي مصممة بشكل أساسي للكشف القائم على التوقيعات، ما يعني قدرتها على كشف الهجمات المعروفة. إلا أن أنظمة كشف التسلل غير كافية لكشف ثغرات اليوم الصفر، حيث لا يتوفر توقيع لأسلوب هجوم جديد. SIEM أصبحت الأدوات بمثابة مكبّات للسجلات، والسجلات، والمزيد من السجلات. SIEM على الرغم من فائدة الأدوات، إلا أنها تحتاج إلى برمجة لتنفيذ الاستعلامات والبحث عن الأشياء المطلوبة. ولكن ماذا عن الأشياء غير المعروفة التي قد تكون ضارة والتي ترغب في اكتشافها؟
إحدى الطرق التي كان من الممكن اتباعها ، هي أن يكون لديك إطار رؤية منتشر على نطاق واسع في جميع أنحاء البنية التحتية Equifax للتخلص من النقاط العمياء ، وجمع أنواع متعددة من بيانات البنية التحتية ، ثم تشغيل خوارزميات التعلم الآلي أعلى مجموعة البيانات لاكتشاف التشوهات. يطلق على هذه الأطر الجديدة أنظمة الكشف عن الخرق ويتم بناؤها حول تقنية البيانات الضخمة والذكاء الاصطناعي.
ملاحظات ختامية
لقد تعلمنا جميعًا في مجال الأمن السيبراني أن اختراقات البيانات أمر لا مفر منه، وأن الشبكات في حالة تغير مستمر، ولن يكون هناك حماية كاملة بنسبة 100%، وسنشهد كل عام زيادة في الهجمات السيبرانية. وبناءً على ذلك، تحتاج المؤسسات إلى البحث باستمرار عن طرق جديدة لحماية بياناتها القيّمة. في ستيلار سايبر، نعتقد أن أدوات كشف الاختراقات المستخدمة اليوم، مثل أنظمة كشف التسلل (IDS) وأنظمة التهديد المتقدم المستمر (APT)، و SIEM، ستتحول وتبدو مختلفة جذرياً في المستقبل القريب.
