W 2017 roku Equifax, jedna z największych na świecie agencji informacji kredytowej, doznała cyberprzestrzeni o bezprecedensowym wpływie i skali. Ponad 145 milionów rekordów danych osobowych zostało skradzionych przez cyberprzestępców. Ze względu na charakter tego naruszenia dyrektor generalny Equifax złożył rezygnację, rozpoczęło się dochodzenie w Kongresie, akcje Equifax spadły i wniesiono pozew zbiorowy w 50 stanach.
Naruszenie
2 marca 2017 roku badacz ds . bezpieczeństwa odkrył lukę w zabezpieczeniach aplikacji internetowej o nazwie Apache Tomcat Struts 2 i zidentyfikował ją jako lukę CVE-2017-5638. Ta aplikacja internetowa była używana przez Equifax, aby umożliwić klientom zgłaszanie rozbieżności w raportach kredytowych. Kilka dni po odkryciu luki udostępniono łatkę oprogramowania 7 marca 2017 roku i została ona opublikowana. W ciągu 24 godzin od odkrycia luki na stronie internetowej pojawił się wpis na blogu o tym, jak wykorzystać tę lukę, aby uzyskać zdalny dostęp do komputerów z niezałatanym oprogramowaniem. 10 marca 2017 roku exploit został wydany jako wtyczka do popularnego zestawu narzędzi open source o nazwie Metasploit, a hakerzy zaczęli używać tego narzędzia do skanowania Internetu w poszukiwaniu serwerów, które miały tę lukę. W połowie maja 2017 roku hakerzy dokonali ataku, a serwer okazał się należeć do Equifax. Hakerzy uzyskali nieautoryzowany dostęp i pozostali w sieci Equifax, wykradając dane aż do momentu ich wykrycia 29 lipca 2017 r.
Dlaczego nastąpiło naruszenie?
Można by pomyśleć, że organizacja wielkości Equifax i odpowiedzialna za ochronę danych 145 milionów Amerykanów byłaby w stanie wykryć to naruszenie, zanim dane zostałyby skradzione, nie mówiąc już o tym, że byłaby nieprofesjonalna przez 2.5 miesiąca. Więc co się stało? Według doniesień Equifax został poinformowany o luce w zabezpieczeniach, jednak nie podjął działań w celu załatania serwera. Gdy serwer nie został załatany, a hakerzy zaczęli wykorzystywać lukę, wyłączyły się „podejrzane alerty”, ale Equifax nie podjął żadnych działań. Parafrazując byłego dyrektora generalnego Equifax, co roku otrzymują tysiące alertów i trudno jest określić ilościowo te ważne od mniej ważnych. To wyraźnie wskazuje na problem z narzędziami bezpieczeństwa i problemem z ludźmi. Narzędzia, które organizacje wdrażają dzisiaj, mają trudności z identyfikacją krytycznych zdarzeń na podstawie mniej krytycznych zdarzeń i zawsze będzie istniał błąd ludzki i niewystarczająca liczba ludzi, aby zareagować na zagrożenia.
Co mogliśmy zrobić?
Po pierwsze, błędów ludzkich można by uniknąć, gdyby Equifax zwrócił uwagę na biuletyn dotyczący luk w zabezpieczeniach oznaczony jako CVE-2017-5638 i szybko załatał swoje serwery. Po drugie, organizacje muszą zacząć wycofywać przestarzałe narzędzia, które dają im złudne poczucie bezpieczeństwa, i zastępować je nowymi, które rozwiązują współczesny problem. Narzędzia takie jak systemy wykrywania włamań (IDS) czy Security Information & Event Managers (SIEM) i piaskownice złośliwego oprogramowania, które działają niezależnie od siebie i są rozmieszczone w sposób nierozprzestrzeniający się w infrastrukturze, doprowadzą jedynie do szumu alarmowego, martwych punktów i ograniczonej możliwości wykrywania. Systemy IDS są w dużej mierze projektowane w oparciu o detekcję opartą na sygnaturach, co oznacza, że mogą wykrywać znane ataki. Systemy IDS nie nadają się do wykrywania luk typu zero-day, w których nie ma dostępnej sygnatury dla nowej metody ataku. SIEM Narzędzia stały się wysypiskami kłód, kłód i jeszcze więcej kłód. Te SIEM Narzędzia, choć przydatne, muszą być zaprogramowane do uruchamiania zapytań w celu znalezienia tego, co chcemy znaleźć. Ale co z nieznanymi, złośliwymi rzeczami, które chcemy znaleźć?
Jedną z metod, którą można było zastosować, jest wdrożenie struktury widoczności wszędzie w całej infrastrukturze Equifax, aby wyeliminować martwe punkty, zebrać wiele typów danych infrastruktury, a następnie uruchomić algorytmy uczenia maszynowego na szczycie zbioru danych w celu wykrycia nieprawidłowości. Te nowe ramy nazywane są systemami wykrywania naruszeń i są budowane w oparciu o technologię dużych zbiorów danych i sztuczną inteligencję.
UWAGI KOŃCOWE
W branży cyberbezpieczeństwa wszyscy nauczyliśmy się, że naruszenia danych są nieuniknione, sieci podlegają ciągłym zmianom, nigdy nie będzie stuprocentowej ochrony, a z roku na rok będziemy obserwować wzrost liczby cyberataków. W związku z tym organizacje muszą stale poszukiwać nowych sposobów ochrony swoich cennych danych. W Stellar Cyber wierzymy, że narzędzia do wykrywania naruszeń, takie jak IDS, APT i… SIEM, w niedalekiej przyszłości ulegnie transformacji i będzie wyglądać zupełnie inaczej.
