CP v2

Tag: Išpirkos reikalavimai

  • Ransomware derybos su nusikaltėliais: kodėl išpirkos mokėjimas retai išsprendžia problemą

    Įsilaužimas dažnai prasideda tyliai

    Ransomware ataka gali akimirksniu sustabdyti gamyklą, tačiau neretai ji ilgai lieka nepastebėta. Pasak incidentų valdymo specialisto Magnuso Jeleno iš „Coveware“ („Veeam“ grupė), įsilaužėliai ne visada apsiriboja failų šifravimu.

    Vis dažniau taikomas ir duomenų vagystės modelis, kai spaudimas daromas grasinant paviešinti jautrią informaciją. Toks derinys organizaciją stumia į sprendimus, kuriuos priimti tenka skubiai ir esant ribotai informacijai.

    Pirmos minutės: stresas ir chaosas

    Ataką organizacijos pastebi skirtingai: vienur dingsta sistemų veikimas ir stoja gamyba, kitur signalų beveik nėra. Kartais apie incidentą praneša saugumo įrankiai, o kartais ateina laiškas ar ekrane pasirodo žinutė su nurodymu susisiekti su užpuolikais.

    Magnusas Jelenas sako, kad tokiose situacijose vadovybė patiria realų spaudimą, o žmonės jaučiasi tarsi greitpuodyje. Jo teigimu, geriau pasirengusiose įmonėse panikos būna mažiau, nes komandos jau žino, kas priima sprendimus ir kaip atkuriama veikla.

    „Gerai pasirengusi įmonė iš anksto susitaria, kas sudarys krizių komandą, kas gali priimti sprendimus ir kaip bus atkurta veikla po atakos“, – sakė Magnusas Jelenas.

    Ar visada reikia derėtis ir mokėti?

    Specialistai pabrėžia, kad pirmas klausimas turi būti ne apie derybas, o apie galimybę atsigauti nemokant išpirkos. Tam svarbiausios veikiančios atsarginės kopijos, patikrinti atkūrimo procesai ir gebėjimas izoliuoti pažeistą aplinką.

    Pasak M. Jeleno, per pastaruosius metus matomas ryškus pokytis: jei anksčiau dauguma nukentėjusių organizacijų rinkdavosi mokėti, dabar vis dažniau ieškoma alternatyvų. Tai siejama su geresniu pasirengimu, efektyvesniu atkūrimu ir didesniu supratimu, kad mokėjimas negarantuoja rezultato.

    Kodėl išpirkos mokėjimas nėra išeitis

    Net jei išpirka sumokama, tai nereiškia, kad duomenys bus atkurti, o pavogta informacija tikrai bus ištrinta. Nusikaltėliai nėra patikima „sutarties šalis“, o įmonė, sumokėjusi kartą, gali tapti patrauklesniu taikiniu ateityje.

    Kitas praktinis aspektas yra laikas: net gavus iššifravimo įrankį, infrastruktūros paruošimas atkūrimui gali užtrukti savaites. Skubėjimas, anot M. Jeleno, dažnai pakenkia labiau nei trumpas tempo sumažinimas ir kryptingas situacijos suvaldymas.

    „Išpirkos sumokėjimas nėra trumpesnis kelias. Nėra garantijos, kad įmonė ką nors gaus“, – sakė Magnusas Jelenas.

    Kas turi būti padaryta po incidento

    Atgavus prieigą prie sistemų ar atstačius duomenis darbas nesibaigia: būtina nustatyti pradinį įsilaužimo kelią, uždaryti spragas ir patikrinti, ar užpuolikai nepaliko nuolatinės prieigos. Priešingu atveju rizika patirti pakartotinę ataką išlieka.

    Specialistai taip pat primena apie teisinius ir atitikties aspektus: prieš svarstant bet kokius mokėjimus reikia įvertinti, ar jie nepažeistų galiojančių sankcijų. Dėl to incidentų valdymui svarbu iš anksto turėti ne tik techninę, bet ir teisinę bei komunikacijos pagalbą.

    „Saugumas negali remtis nusikaltėlių pažadais. Jį reikia atkurti organizacijos viduje“, – sakė Magnusas Jelenas.

  • „Google“ įspėja: DI sutrumpina kibernetinių atakų laiką iki 6 valandų, taikinyje ir įmonių DI turtas

    „Google“ grėsmių žvalgybos komanda perspėja, kad dirbtinis intelektas (DI) sparčiai keičia kibernetinių atakų tempą ir mastą. Naujausiose įžvalgose pabrėžiama, jog užpuolikai vis dažniau remiasi ne vien atskirais užklausų šablonais, o agentais ir automatizacija, leidžiančia greičiau pereiti visą atakos grandinę.

    Pasak „Google Threat Intelligence Group“, po infrastruktūros perėmimo nusikaltėliai gali sukurti ir įvykdyti masinę prisijungimo duomenų vagystės kampaniją per mažiau nei šešias valandas. Tai reiškia, kad organizacijų aptikimo ir reagavimo laikas traukiasi, o tradiciniai saugumo procesai vis dažniau nespėja paskui realų incidento greitį.

    Kaip DI trumpina atakos ciklą?

    „Google“ analitikai teigia stebintys aiškų poslinkį: užpuolikai automatizuoja ne tik turinio kūrimą ar socialinę inžineriją, bet ir veiksmų seką nuo žvalgybos iki išnaudojimo. DI agentai padeda greitai parengti scenarijus, keisti jų variacijas, testuoti masinio siuntimo šablonus, o kai kuriais atvejais ir vykdyti veiksmus su mažesniu žmogaus įsitraukimu.

    Vienas ryškiausių pavyzdžių – atvejis, kai per antrąjį metų ketvirtį po debesijos resursų perėmimo buvo suspėta suplanuoti, sukurti ir paleisti didelės apimties duomenų vagystės kampaniją per trumpiau nei šešias valandas. Ekspertai pabrėžia, kad tokia sparta mažina galimybes laiku sustabdyti plitimą ir apriboti žalą.

    „DI agentų pritaikymas sukuria priešininką, kuris veikia dideliu mastu ir greičiau nei iki šiol, todėl reakcija tampa dar sudėtingesnė“, – sakė Johnas Hultquistas, „Google Threat Intelligence Group“ vyriausiasis analitikas.

    Naujas taikinys – įmonių DI turtas

    Kartu su greitėjančiomis atakomis keičiasi ir taikiniai: „Google“ pastebi augantį susidomėjimą tuo, ką organizacijos kuria ir kaupia DI srityje. Tai apima nuosavus modelius, jų mokymo ar veikimo aplinką, šaltinio kodą, užklausų formuluotes, prieigas prie skaičiavimo resursų, taip pat tyrimų rezultatus.

    Tokie ištekliai tampa vertingi ne tik šnipinėjimui ar duomenų vagystėms, bet ir šantažui. „Google“ nurodo fiksavusi atvejus, kai išpirkos reikalauta mainais už pažadą neviešinti organizacijos DI projektų detalių, įskaitant kodą, užklausas ar vidinius scenarijus.

    Kai kuriais atvejais, pasak analitikų, skirtingų motyvų grupės – tiek finansinės, tiek ideologinės ar susijusios su valstybiniais interesais – gali taikytis į tuos pačius DI išteklius. Tai rodo, kad DI turtas organizacijose tampa savarankiška rizikos kategorija, kuriai nebeužtenka tradicinių IT apsaugos priemonių.

    Ką tai reiškia verslui ir viešajam sektoriui?

    „Google“ išskiria kelias kryptis, kurios formuoja šiandienos rizikos profilį: didėjantį pavojų programinės įrangos tiekimo grandinėse, atakas į su DI susijusią intelektinę nuosavybę ir DI naudojimą keliuose atakos etapuose. Praktikoje tai reiškia, kad vienas incidentas gali vienu metu apimti prieigų vagystę, kodo kompromitavimą ir bandymą pasinaudoti debesijos resursais neteisėtoms užduotims vykdyti.

    Ekspertai atkreipia dėmesį ir į neteisėtą paskyrų perėmimą bei bandymus užgrobti skaičiavimo resursus, kad būtų išvengta didelių modeliavimo kaštų. Toks scenarijus ypač pavojingas organizacijoms, kurios leidžia DI įrankiams jungtis prie vidinių sistemų, automatizuoti procesus ar vykdyti užduotis su plačiomis teisėmis.

    „Google“ vertinimu, DI naudojimas nusikaltėlių veikloje tampa praktiškai universaliu reiškiniu, o didžiausia grėsmė slypi ne pačiame turinio generavime, bet greityje ir automatizacijos mastelyje. Dėl to organizacijoms vis svarbiau inventorizuoti DI turtą, griežtinti prieigų valdymą ir stebėti ne tik tradicinius IT, bet ir DI modelių bei duomenų srautus.

    Ataskaitoje taip pat primenama, kad DI diegimo tempai skirtingose šalyse nevienodi. Nors technologijos prieinamumas auga, reali saugumo branda priklauso nuo valdymo kokybės, procesų ir to, ar organizacijos DI taiko strategiškai, o ne fragmentiškai.