У 2017 році Equifax, одне з найбільших у світі агентств кредитної інформації, зазнало кібератаки безпрецедентного масштабу та впливу. Кіберзлочинці викрали понад 145 мільйонів записів персональних даних. Через характер цієї атаки генеральний директор Equifax пішов у відставку, розпочалося розслідування в Конгресі, акції Equifax зазнали удару, і було подано колективний позов у 50 штатах.
Порушення
2 березня 2017 року дослідник з безпеки виявив вразливість у веб-застосунку під назвою Apache Tomcat Struts 2 та ідентифікував її як вразливість CVE-2017-5638. Цей веб-застосунок використовувався компанією Equifax, щоб дозволити споживачам надсилати інформацію про розбіжності в кредитних звітах. Через кілька днів після виявлення вразливості, 7 березня 2017 року, було випущено програмне забезпечення з патчем, яке було оприлюднено. Протягом 24 годин після виправлення на веб-сайті з'явився допис у блозі про те, як використати цю вразливість для отримання віддаленого доступу до комп'ютерів, на яких працює невиправлене програмне забезпечення. 10 березня 2017 року експлойт був випущений як плагін до популярного інструментарію з відкритим кодом під назвою Metasploit, і хакери почали використовувати цей інструмент для сканування Інтернету на наявність серверів, які мали цю вразливість. Десь у середині травня 2017 року хакери отримали вразливість, і сервер виявився належати Equifax. Було отримано несанкціонований доступ, і хакери залишалися в мережі Equifax, викрадаючи дані, доки їх не викрили 29 липня 2017 року.
Чому сталося порушення?
Можна було б подумати, що організація розміром з Equifax, яка відповідає за захист даних 145 мільйонів американців, змогла б виявити це порушення до того, як дані було викрадено, не кажучи вже про те, щоб вони залишалися невідомими протягом 2.5 місяців. То що ж сталося? Згідно з повідомленнями, Equifax дізналася про вразливість, проте не вжила заходів для виправлення сервера. Після того, як сервер був видалений з патчу, і хакери почали використовувати вразливість, з'явилися «підозрілі сповіщення», але Equifax не вжила жодних заходів. Перефразуючи колишнього генерального директора Equifax, вони отримують тисячі сповіщень щороку, і важко відрізнити важливі від не дуже важливих. Це чітко вказує на проблему інструментів безпеки та проблему персоналу. Інструменти, які організації використовують сьогодні, мають труднощі з визначенням критичних подій від не дуже критичних, і завжди будуть людські помилки та недостатня кількість людей для реагування на загрози.
Що можна було зробити?
По-перше, людських помилок можна було б уникнути, якби Equifax звернув увагу на бюлетень про вразливості з позначкою CVE-2017-5638 та швидко виправив свої сервери. По-друге, організаціям потрібно почати замінювати застарілі інструменти, які дають організаціям хибне відчуття безпеки, на нові, що вирішують сучасну проблему. Такі інструменти, як системи виявлення вторгнень (IDS), менеджери інформації про безпеку та подій (SIEM) & Пісочниці шкідливого програмного забезпечення, що працюють незалежно одна від одної та розміщені неповсюдно в інфраструктурі, призведуть лише до шуму сповіщень, сліпих зон та обмежених можливостей виявлення. Системи IDS значною мірою розроблені для виявлення на основі сигнатур, що означає, що вони можуть виявляти відомі атаки. Системи IDS неадекватні для виявлення вразливостей нульового дня, коли немає сигнатури для нового методу атаки. SIEM інструменти перетворилися на звалище для колод, колод і ще раз колод. Ці SIEM Інструменти, хоча й корисні, мають бути запрограмовані на виконання запитів для пошуку потрібних вам знахідок. Але знову ж таки, як щодо невідомих, шкідливих речей, які ви хочете знайти?
Один із методів, який можна було б застосувати, — це розгорнути систему видимості по всій інфраструктурі Equifax, щоб усунути сліпі зони, зібрати різні типи даних інфраструктури, а потім запускати алгоритми машинного навчання поверх набору даних для виявлення аномалій. Ці нові системи називаються системами виявлення порушень і будуються на основі технології великих даних та штучного інтелекту.
ЗАКЛЮЧНИМИ ЗАУВАЖЕННЯМИ
Чого ми всі навчилися в галузі кібербезпеки, так це того, що витоки даних неминучі, мережі постійно змінюються, ніколи не буде 100% захисту, і щороку ми спостерігатимемо збільшення кількості кібератак. З огляду на це, організаціям потрібно постійно шукати нові способи захисту своїх цінних даних. У Stellar Cyber ми вважаємо, що інструменти виявлення порушень, які використовуються сьогодні, такі як IDS, APT та SIEM, трансформується та виглядатиме радикально інакше найближчим часом.
