Η κακόβουλη δραστηριότητα σε ένα εταιρικό δίκτυο δεν εμφανίζεται πάντα ως μια προφανής «επίθεση». Μπορεί να είναι μια ασυνήθιστη σύνδεση προς το διαδίκτυο, ένας λογαριασμός που επικοινωνεί με συστήματα που συνήθως δεν χρησιμοποιεί, μια μεγάλη μεταφορά δεδομένων ή μια προσπάθεια μετακίνησης από ένα παραβιασμένο σύστημα προς άλλα σημεία του δικτύου.
Για αυτό η αποτελεσματική ασφάλεια δικτύου χρειάζεται ορατότητα. Μια επιχείρηση πρέπει να γνωρίζει ποια συστήματα διαθέτει, ποιες επικοινωνίες θεωρούνται φυσιολογικές, ποια γεγονότα καταγράφονται και ποιος εξετάζει τις ειδοποιήσεις όταν εμφανίζεται κάτι ασυνήθιστο.
Ο στόχος δεν είναι να θεωρείται κάθε ασυνήθιστο packet κακόβουλο. Είναι να υπάρχουν αρκετά δεδομένα και διαδικασίες ώστε ένα πραγματικό περιστατικό να μπορεί να εντοπιστεί και να διερευνηθεί έγκαιρα.
Τι σημαίνει «κακόβουλη κίνηση»;
Κακόβουλη ή ύποπτη δικτυακή κίνηση μπορεί να σχετίζεται με διαφορετικά στάδια μιας κυβερνοεπίθεσης. Παραδείγματα μπορεί να περιλαμβάνουν:
- μη αναμενόμενες εξερχόμενες συνδέσεις προς άγνωστα συστήματα,
- προσπάθειες σύνδεσης σε πολλές υπηρεσίες ή συσκευές,
- ασυνήθιστη επικοινωνία μεταξύ εσωτερικών συστημάτων,
- μεταφορές δεδομένων που δεν ταιριάζουν στη φυσιολογική λειτουργία,
- συνδέσεις από συσκευές ή λογαριασμούς που δεν θα έπρεπε να επικοινωνούν με συγκεκριμένους πόρους,
- δικτυακή δραστηριότητα που συνδέεται χρονικά με ύποπτο login, malware alert ή άλλη ένδειξη παραβίασης.
Κανένα από αυτά δεν αποδεικνύει μόνο του ότι υπάρχει κυβερνοεπίθεση. Η αξιολόγηση χρειάζεται context από το δίκτυο, τους χρήστες, τα endpoints και τις εφαρμογές.
Ξεκινήστε από το τι θεωρείται φυσιολογικό
Η ανίχνευση ανωμαλιών είναι πολύ πιο αποτελεσματική όταν η επιχείρηση γνωρίζει τη φυσιολογική συμπεριφορά των συστημάτων της.
Χρειάζεται βασική εικόνα για:
- ποια συστήματα και συσκευές υπάρχουν στο δίκτυο,
- ποιες υπηρεσίες πρέπει να επικοινωνούν μεταξύ τους,
- ποια εξωτερικά συστήματα και cloud υπηρεσίες χρησιμοποιούνται,
- ποιοι χρήστες έχουν πρόσβαση σε κρίσιμους πόρους,
- ποιες ώρες και από ποιες τοποθεσίες αναμένονται συγκεκριμένες συνδέσεις.
Η CISA συνιστά τη χρήση logging και monitoring ώστε μια επιχείρηση να μπορεί να δημιουργήσει εικόνα της φυσιολογικής συμπεριφοράς και να εντοπίζει αποκλίσεις που χρειάζονται διερεύνηση.
Network monitoring και packet analysis δεν είναι το ίδιο
Ο όρος network monitoring περιλαμβάνει διαφορετικές τεχνικές και εργαλεία. Είναι σημαντικό να μην αντιμετωπίζονται όλα ως ισοδύναμα.
Wireshark
Το Wireshark είναι network protocol analyzer. Επιτρέπει τη λήψη ή ανάγνωση packet captures και τη λεπτομερή εξέταση πρωτοκόλλων και επικοινωνιών.
Είναι ιδιαίτερα χρήσιμο για troubleshooting και στοχευμένη διερεύνηση ενός περιστατικού ή συγκεκριμένης ροής κίνησης. Μπορεί να πραγματοποιήσει live captures, αλλά δεν πρέπει να αντιμετωπίζεται από μόνο του ως πλήρης πλατφόρμα enterprise threat detection.
Zeek
Το Zeek είναι passive network traffic analyzer που χρησιμοποιείται ευρέως ως network security monitor. Αντί να λειτουργεί μόνο ως εργαλείο χειροκίνητης packet inspection, μπορεί να παράγει πλούσια και δομημένα logs για τις συνδέσεις και τα πρωτόκολλα που παρατηρεί.
Αυτά τα δεδομένα μπορούν να χρησιμοποιηθούν για αναζήτηση, correlation και διερεύνηση ύποπτης δραστηριότητας, συχνά σε συνδυασμό με άλλα εργαλεία monitoring ή log management.
Κανένα εργαλείο όμως δεν εξασφαλίζει ότι θα εντοπιστεί κάθε επίθεση. Η αποτελεσματικότητα εξαρτάται από το πού υπάρχει visibility, τι δεδομένα συλλέγονται, πώς έχουν ρυθμιστεί οι κανόνες και αν οι ειδοποιήσεις εξετάζονται πραγματικά.
Τι κάνουν τα IDS και IPS;
Τα Intrusion Detection Systems (IDS) και Intrusion Prevention Systems (IPS) μπορούν να αποτελέσουν μέρος της άμυνας ενός δικτύου, αλλά δεν είναι το ίδιο πράγμα.
Ένα IDS επικεντρώνεται στην ανίχνευση δραστηριότητας που ταιριάζει σε γνωστά patterns, κανόνες ή άλλες συνθήκες και δημιουργεί alerts για αξιολόγηση.
Ένα IPS λειτουργεί σε θέση όπου μπορεί, ανάλογα με την πολιτική και το προϊόν, να εμποδίσει ή να περιορίσει συγκεκριμένη κίνηση.
Δεν χρειάζεται κάθε επιχείρηση την ίδια υλοποίηση IDS/IPS. Η επιλογή εξαρτάται από το μέγεθος του δικτύου, την έκθεση στο διαδίκτυο, την υπάρχουσα υποδομή, τις δυνατότητες του firewall ή άλλων security platforms και το ποιος θα διαχειρίζεται τις ειδοποιήσεις.
Το σημαντικό είναι να υπάρχει κατάλληλη δυνατότητα detection και response — όχι απλώς να εγκατασταθεί ένα ακόμη προϊόν.
Τα logs είναι βασικό εργαλείο διερεύνησης
Η δικτυακή κίνηση είναι μόνο ένα μέρος της συνολικής εικόνας. Μια ύποπτη σύνδεση γίνεται πολύ πιο χρήσιμη όταν μπορεί να συσχετιστεί με άλλα γεγονότα.
Ανάλογα με την υποδομή, χρήσιμα logs μπορούν να προέρχονται από:
- firewalls και network security devices,
- endpoints και servers,
- identity και authentication systems,
- cloud υπηρεσίες,
- VPN ή remote-access συστήματα,
- DNS και άλλες δικτυακές υπηρεσίες,
- business-critical εφαρμογές.
Η CISA συστήνει στις μικρές και μεσαίες επιχειρήσεις να καθορίζουν ποια γεγονότα πρέπει να καταγράφονται, να ενεργοποιούν logging σε κρίσιμα συστήματα και να συγκεντρώνουν τα logs όπου είναι πρακτικό, ώστε να είναι ευκολότερος ο εντοπισμός ασυνήθιστης δραστηριότητας.
Centralized logging και SIEM
Όσο αυξάνονται τα συστήματα, γίνεται δύσκολο να εξετάζονται τα logs ξεχωριστά σε κάθε συσκευή. Μια κεντρική λύση log management ή SIEM μπορεί να βοηθήσει στη συλλογή, αναζήτηση και συσχέτιση γεγονότων από διαφορετικές πηγές.
Ένα SIEM δεν γνωρίζει αυτομάτως ποιο γεγονός είναι πραγματική επίθεση. Χρειάζεται σωστή συλλογή δεδομένων, κατάλληλους detection rules, tuning και διαδικασία triage.
Ο στόχος είναι να μειωθεί ο χρόνος που απαιτείται για να συνδεθούν διαφορετικά σημάδια ενός περιστατικού — για παράδειγμα ένα ύποπτο login, μια νέα administrative ενέργεια και μια ασυνήθιστη εξερχόμενη σύνδεση.
Περιορίστε το lateral movement με segmentation
Η ανίχνευση είναι σημαντική, αλλά εξίσου σημαντικό είναι να περιορίζεται τι μπορεί να συμβεί μετά από μια αρχική παραβίαση.
Σε ένα εντελώς επίπεδο δίκτυο, ένα παραβιασμένο endpoint μπορεί να έχει περισσότερες πιθανές διαδρομές προς άλλα συστήματα. Η κατάλληλη network segmentation μπορεί να περιορίσει την επικοινωνία μεταξύ διαφορετικών ομάδων συστημάτων και να μειώσει τις δυνατότητες lateral movement.
Η CISA συνιστά segmentation ως μέτρο που μπορεί να περιορίσει τον αντίκτυπο μιας παραβίασης και τη δυνατότητα μετακίνησης ενός κακόβουλου actor μέσα στον οργανισμό.
Η segmentation πρέπει να βασίζεται στις πραγματικές ροές δεδομένων και επιχειρηματικές ανάγκες. Δεν αρκεί η δημιουργία πολλών VLAN χωρίς σαφείς access policies και έλεγχο των επικοινωνιών μεταξύ τους.
Least privilege και Network Access Control
Η προστασία του δικτύου δεν αφορά μόνο IP addresses και ports. Έχει επίσης σημασία ποιος χρήστης ή ποια συσκευή επιτρέπεται να αποκτήσει πρόσβαση σε έναν πόρο.
Η αρχή του least privilege περιορίζει την πρόσβαση σε ό,τι είναι πραγματικά απαραίτητο για τον ρόλο ενός χρήστη ή συστήματος.
Σε περιβάλλοντα όπου χρειάζεται αυστηρότερος έλεγχος των συσκευών που συνδέονται στο δίκτυο, τεχνολογίες Network Access Control μπορούν να αποτελέσουν μέρος της λύσης. Περισσότερα μπορείτε να δείτε στον οδηγό Network Access Control (NAC).
Firewall: σημαντικό, αλλά όχι αρκετό
Το firewall αποτελεί βασικό control για τη διαχείριση επιτρεπόμενης και μη επιτρεπόμενης δικτυακής επικοινωνίας, αλλά δεν μπορεί να θεωρηθεί πλήρης μηχανισμός ανίχνευσης κάθε κακόβουλης δραστηριότητας.
Η αποτελεσματικότητα εξαρτάται από τις πολιτικές, το architecture και τις δυνατότητες της συγκεκριμένης λύσης. Για περισσότερες λεπτομέρειες δείτε το άρθρο Firewall για Μικρές Επιχειρήσεις.
Zero Trust και δικτυακή ορατότητα
Το Zero Trust δεν αντικαθιστά το network monitoring. Προσθέτει όμως μια σημαντική αρχή: η πρόσβαση δεν πρέπει να θεωρείται αξιόπιστη μόνο επειδή προέρχεται από το εσωτερικό εταιρικό δίκτυο.
Η αξιολόγηση identity, device, authorization και context μπορεί να περιορίσει την πρόσβαση σε κρίσιμους πόρους και να μειώσει τις συνέπειες ενός παραβιασμένου λογαριασμού ή endpoint.
Για το συγκεκριμένο θέμα υπάρχει ξεχωριστός οδηγός: Zero Trust και ZTNA: Ασφαλής Πρόσβαση στο Εταιρικό Δίκτυο.
Τι πρέπει να εξετάζετε σε ένα alert;
Όταν εμφανίζεται μια ειδοποίηση, το πρώτο βήμα δεν είναι πάντα το άμεσο blocking. Χρειάζεται να κατανοηθεί αν το γεγονός είναι πραγματικά κακόβουλο και ποια είναι η έκτασή του.
Μια αρχική διερεύνηση μπορεί να εξετάζει:
- ποια συσκευή και ποιος χρήστης σχετίζονται με το συμβάν,
- αν η επικοινωνία είναι αναμενόμενη για τη συγκεκριμένη λειτουργία,
- τι συνέβη πριν και μετά το alert,
- αν υπάρχουν αντίστοιχα events σε endpoint, identity ή firewall logs,
- αν το σύστημα επικοινώνησε με άλλους εσωτερικούς πόρους,
- αν υπάρχουν ενδείξεις persistence, credential misuse ή data exfiltration.
Αν υπάρχουν σοβαρές ενδείξεις παραβίασης, το περιστατικό πρέπει να περάσει στη διαδικασία incident response της επιχείρησης.
Αποφύγετε το alert overload
Περισσότερα alerts δεν σημαίνουν απαραίτητα καλύτερη ασφάλεια. Αν ένα monitoring σύστημα παράγει συνεχώς ειδοποιήσεις που κανείς δεν μπορεί να εξετάσει, υπάρχει κίνδυνος τα σημαντικά γεγονότα να χαθούν μέσα στον θόρυβο.
Οι detection rules χρειάζονται tuning με βάση το πραγματικό περιβάλλον. Οι ειδοποιήσεις πρέπει να έχουν προτεραιότητες και να υπάρχει σαφές ownership για το ποιος τις εξετάζει και πότε.
Πρακτικό checklist για ελληνικές ΜΜΕ
- Καταγράψτε το δίκτυο: γνωρίζετε ποιες συσκευές, υπηρεσίες, cloud συνδέσεις και τρίτοι έχουν πρόσβαση.
- Κατανοήστε τις φυσιολογικές ροές: ποια συστήματα πρέπει πραγματικά να επικοινωνούν μεταξύ τους.
- Ενεργοποιήστε logging: τουλάχιστον στα κρίσιμα firewalls, endpoints, identity systems, servers και cloud services.
- Συγκεντρώστε τα κρίσιμα logs: ώστε να μπορούν να αναζητηθούν και να συσχετιστούν όταν υπάρχει περιστατικό.
- Ορίστε alerts υψηλής αξίας: privilege escalation, ασυνήθιστα logins, ύποπτες συνδέσεις και σημαντικές αλλαγές ρυθμίσεων.
- Χρησιμοποιήστε κατάλληλα network detection controls: IDS, IPS ή άλλες δυνατότητες όπου δικαιολογούνται από τον κίνδυνο και την υποδομή.
- Εφαρμόστε segmentation: περιορίστε μη απαραίτητη επικοινωνία μεταξύ διαφορετικών τμημάτων του δικτύου.
- Εφαρμόστε least privilege: τόσο για χρήστες όσο και για συστήματα.
- Διατηρήστε ενημερωμένο network diagram: βοηθά τόσο στην καθημερινή διαχείριση όσο και στην αντιμετώπιση περιστατικών.
- Ορίστε διαδικασία response: να είναι σαφές ποιος εξετάζει ένα alert και πότε απαιτείται containment ή escalation.
Πώς μπορεί να βοηθήσει η DataShield
Η σωστή δικτυακή ορατότητα δεν σημαίνει εγκατάσταση όσο το δυνατόν περισσότερων εργαλείων. Σημαίνει να συλλέγονται τα σωστά δεδομένα, να υπάρχουν κατάλληλα controls και να μπορεί η επιχείρηση να αντιδρά όταν εμφανιστεί πραγματικά ύποπτη δραστηριότητα.
Η DataShield μπορεί να βοηθήσει στην αξιολόγηση της υπάρχουσας δικτυακής υποδομής, των firewall και access controls, των διαθέσιμων logs, του monitoring και των σημείων όπου χρειάζεται καλύτερη δυνατότητα detection ή segmentation.
Συμπέρασμα
Ο εντοπισμός κακόβουλης κίνησης δεν βασίζεται σε ένα μόνο εργαλείο. Χρειάζεται συνδυασμός network visibility, logging, detection controls, σωστής διαχείρισης πρόσβασης, segmentation και διαδικασίας incident response.
Το σημαντικότερο είναι η επιχείρηση να μπορεί να καταλάβει τι είναι φυσιολογικό, να εντοπίσει εγκαίρως σημαντικές αποκλίσεις και να διαθέτει τα δεδομένα που χρειάζονται για να διερευνήσει και να περιορίσει ένα πραγματικό περιστατικό.
Επικοινωνήστε με τη DataShield.gr για μια αρχική αξιολόγηση της ασφάλειας και της δικτυακής ορατότητας της επιχείρησής σας.
