A Cisco közzétette 2019-es CISO Benchmark Study felmérését, amelyben 18 ország több mint 3 000 biztonsági szakértőjét kérdezték meg. A kutatás eredményei azt mutatják, hogy a biztonsági szakemberek a korábbiaknál nagyobb hangsúlyt fektetnek a gyártói konszolidációra, a hálózati és a biztonsági csoportok szorosabb együttműködésére, valamint a biztonsági tréningekre. Az információbiztonságért felelős vezetők (Chief Information Security Officer – CISO) egyre inkább bíznak abban, hogy a felhő alapú működés javítja a védelem hatékonyságát.

„Idén minden eddiginél több biztonsági szakember nyilatkozott úgy, hogy a korábbiakhoz képest sokkal nagyobb hangsúlyt fektet a megelőzésre a konszolidáció, a folyamatos képzés és a biztonsággal kapcsolatos beruházások növelése révén” – mondta Ács György, a Cisco regionális hálózatbiztonsági szakértője. „Itthon is hasonló tendenciákat tapasztalunk, ugyanakkor az olló folyamatosan nyílik az IT biztonsági szempontból jóval felkészültebb nagyvállalatok és a KKV-k között. Ez utóbbiak számára elsősorban a felhő alapú szolgáltatások jelenthetnek megoldást.”

„Pozitív fejlemény, hogy az üzemeltetők egyre nagyobb figyelmet fordítanak a hálózati forgalmuk részletes monitorozására. Ugyanakkor az IT biztonsági területet is sújtó szakemberhiány miatt a kiszervezés, valamint az integrált és automatizált megoldások is egyre inkább előtérbe kerülnek. A tudatosság növelésére pedig léteznek viszonylag egyszerű, de nagyon hatékony módszerek. Az a munkatárs, aki már megnyitott egy gyanús linket, és mögötte egy figyelmeztetést talált, miszerint ez egy phishing támadás is lehetett volna, egyhamar nem felejti el ezt az esetet és sokkal tudatossabbá válik,” – tette hozzá Csordás Szilárd, a vállalat IT biztonsági tanácsadója.

A 10 vagy több gyártó megoldásait alkalmazó összetett biztonsági környezet jelentősen korlátozza a vállalati rendszerek átláthatóságát. A megkérdezett szakemberek 65 százaléka szerint egyáltalán nem könnyű a megtámadott végpontok felderítése, elkülönítése és a károk helyreállítása. A hatékonyabb védelem kialakításának érdekében a válaszadók

• 44%-a növelte a védelmi technológiákkal kapcsolatos beruházásokat,
• 39%-a tart rendszeres, biztonságtudatossággal kapcsolatos képzéseket,
• 39%-a vezetett be kockázatcsökkentési eljárásokat.

A felmérésben résztvevők azt is megjegyezték, hogy a sikeres támadások továbbra is jelentős pénzügyi veszteségekkel járnak. A válaszadók 45 százaléka mondta, hogy az okozott kár meghaladta az 500 000 dollárt. A megkérdezettek több mint 50 százaléka esetében az anyagi kár félmillió dollár alatt maradt, míg a vállalatok 8 százalékánál a legköltségesebb támadások okozta kár meghaladta az 5 millió dollárt.

A kutatás legfontosabb megállapításai:

• Folytatódik a biztonságtechnológiai beszállítók konszolidációja - 2017-ben a vállalatok 54 százaléka 10 vagy kevesebb gyártóval működött együtt, ez a szám 2018-ra 63 százalékra emelkedett.
  • Számos vállalatnál a különböző gyártók megoldásait nem integrálják, így a riasztások és a priorizálás sem egy helyen történik. A felmérés azt mutatta, hogy azok a biztonsági vezetők, akik akár kevesebb IT biztonsági megoldást alkalmaznak, de azokat egy architektúrába integrálják, hatékonyabban képesek kezelni a riasztásokat.
• A leginkább együttműködő szervezetek veszítik a legkevesebb pénzt. A silók felszámolása kézzelfogható pénzügyi előnyökkel jár:
  • A biztonsági szakemberek 95 százaléka arról számolt be, hogy hálózati és biztonsági csapatok között szoros az együttműködés.
  • A válaszadók 59 százaléka szerint, ahol a hálózati és biztonsági csoport nagyon vagy rendkívül együttműködő volt, a legsúlyosabb adatvesztések okozta kár is 100 000 dollár alatt maradt.
• Egyre nagyobb a bizalom a felhő alapú biztonsági megoldásokkal és a felhőbiztonsággal kapcsolatban.
  • A biztonsági szakemberek 93 százaléka arról számolt be, hogy a felhő alapú működés növelte a hatékonyságot és az eredményességet.
  • A felhőinfrastruktúrák védelmének összetettségével kapcsolatos aggodalmak csökkentek – 2018-ban még 55 százalék találta problémásnak a felhő védelmét, 2019-re ez a szám 52 százalékra csökkent.
• „Belefáradni a kiberbiztonságba” - 2018-ban még a válaszadók 46 százaléka mondta, hogy nem képes mindig egy lépéssel a kiberbűnözők előtt járni, ez a szám azonban 2019-re 30 százalékra csökkent.

A legfontosabb kihívások és lehetőségek az információbiztonságért felelős vezetők szempontjából:

• A felhasználók és munkavállalók biztonságtudata továbbra is a legnagyobb kihívást jelenti az CISO-k számára – a rendszeres oktatás elengedhetetlen.
  • A vezetők csupán 51 százaléka mondta, hogy kiemelkedő munkát végzett a munkavállalói biztonság megteremtésének területén.
• Az e-mail továbbra is az első számú fenyegetési irány.
  • Az adathalászat és a felelőtlen felhasználói magatartás (például rosszindulatú hivatkozásokra kattintás az e-mailben vagy egy weboldalon) továbbra is magas, és a CISO-k egyik legnagyobb problémája. Az ezzel kapcsolatos aggodalom mértéke egyenletes volt az elmúlt három évben (56-57 százalék).
• A riasztások kezelése és a helyreállítás továbbra is jelentős kihívás a szakemberek számára. 2018-ban még a valós riasztások 50,5 százalékát tudták kivizsgálni és a problémát helyreállítani, ez 2019-re 42,7 százalékra csökkent. A trend aggasztó, mivel a válaszadók nagy része szerint a helyreállítás a biztonság hatékonyságának legfontosabb mérőszáma.
  • A biztonsággal kapcsolatos mérőszámok változnak. Azoknak a válaszadóknak az aránya, akik csupán a felderítés idejét (Time To Detection – TTD) tartották a hatékonyság mérőszámának, a 2018-ban mért 61 százalékról 2019-re 51 százalékra csökkent. A javításra fordított idő jelentősége a 2018-as 57 százalékról 2019-re 40 százalékra csökkent. A helyreállítás idejének fontossága viszont emelkedett: a válaszadók 48 százaléka említette, míg 2018-ban ez csupán 30 százalék volt.

Cisco Talos: 5 kiberbiztonsági trend 2018-ból, és miért figyeljünk rájuk 2019-ben is?

• Emotet, VPNFilter, mobileszköz-kezelés, Cryptomining (kriptovaluta bányászat), Olympic Destroyer
• Támadási típusok és miként védekezzünk ellenük?

A Cisco  “Defending against today´s critical threats” című jelentése a 2018-as fenyegetettségi helyzetre tekint vissza, elemezve és kiemelve az elmúlt év néhány legveszélyesebb fenyegetését, amelyeket a Cisco Talos csoport kutatott és publikált.

A jelentés legfontosabb megállapításai

• Az e-mail még mindig a kiberbűnözők legelterjedtebb támadási felülete. Ez 2018-ban is jól látható volt a kriptovaluta bányászattól (cryptomining) kezdve az Emotet terjesztéséig.
  • A biztonsági vezetőknek folyamatosan szemmel kell tartaniuk a vállalat postaládáit, és érdemes rendszeres oktatásokat szervezni az e-mailek biztonságával kapcsolatban. Az e-mailes támadások azért olyan népszerűek továbbra is, mert még mindig ez a leghatékonyabb támadási forma.
• A 2018-ban lezajlott támadások többsége a pénzszerzésre irányult, amely továbbra is a támadók elsődleges motivációja.
  • A zsarolóvírus támadásokat a rosszindulatú kriptovaluta bányászat váltotta fel. Bár a zsarolóvírusok az elmúlt években nagy ismertségre tettek szert, de anyagi szempontból nem voltak feltétlenül hatékonyak: csak az áldozatok kis százaléka fizette ki a váltságdíjat, és ezek csak egyszeri bevételt jelentettek a kiberbűnözőknek.
  • A rosszindulatú cryptomining tevékenység ugyanakkor gyakran a háttérben zajlik a felhasználó tudta nélkül, így kevésbé valószínű, hogy felkelti a hatóságok figyelmét. Mint minden számítógépes szoftver, a cryptomining is hatással van a rendszer teljesítményére, valamint a tevékenység extra energiát is igényel. Lehet, hogy egyetlen gép esetében elenyésző a költség, de egy vállalat minden végpontját figyelembe véve jelentős növekedés várható az energiaköltségek területén. Továbbá a szabályozásoknak való megfelelés szempontjából is komoly következményekkel járhat, ha a kriptovaluta bányászók a vállalat hálózatán keresztül tesznek szert bevételre. Ez különösen igaz a pénzügyi szektor esetében, ahol szigorú szabályok vonatkozhatnak a vállalati forrásokból származó bevételekre, függetlenül attól, hogy a felelősök tudatában vannak-e a káros tevékenységnek. Azonban a legnagyobb probléma, hogy a hálózat üzemeltetői számára észrevétlen cryptomining fertőzés rávilágít a vállalati biztonságon tátongó résekre, amelyeket a támadók más célokra is felhasználhatnak.
  • Az Emotet banki trójai program idővel olyan moduláris platformmá fejlődött, amelynek révén különböző támadások hajthatók végre. Néhány modul ellopja az e-mailek hitelesítő adatait, míg mások a böngészőben tárolt felhasználói nevekre és jelszavakra vadásznak. Bizonyos támadások elosztott szolgáltatásmegtagadási (DDoS) funkciókat biztosítanak a támadóknak, de akár zsarolóvírusokat is terjeszthetnek. Ez a fejlődés teszi lehetővé a támadók számára a bevételek maximalizálását. Amiben az Emotet valójában eltér a többi kibertámadástól, az nemcsak a modularitása, hanem az a tény, hogy a támadás mögött álló bűnözők más csoportok számára is értékesítik a kártevőket. Ma az Emotet az egyik legsikeresebb kártevőcsalád.
• A moduláris támadások manapság egyre népszerűbbek. Ezeket a kiberbűnözők az igényeikre képesek szabni, így a támadási módszer a fertőzött eszköztől és a támadás tervezett céljától függően alakítható.
  • Az Emotet mellett a VPNFilter is a 2018-ban „sikerrel” lezajlott moduláris támadások közé sorolható. Ez utóbbi 54 országban legalább félmillió eszközt fertőzött meg. Lehet, hogy a VPNFilter már a múlt, azonban a biztonsági rések továbbra is megtalálhatók az IoT eszközökben. Elkerülhetetlen, hogy a jövőben ismét megjelenjen egy IoT eszközöket célzó fenyegetés, ezért elengedhetetlen lesz a berendezések átfogó védelme.
• A Mobile Device Management (MDM) lehetővé teszi a szervezetek számára, hogy ellenőrizzék a hálózatra csatlakozó mobileszközeiket. Azonban a Cisco Talos 2018-ban felfedezte, hogy ez a technológia kibertámadásokra is lehetőséget nyújt. A Talos által feltárt esetben Indiában lévő eszközöket “törtek fel” egy nyílt forráskódú MDM rendszer használatával. A támadóknak sikerült rosszindulatú profilokat juttatniuk az eszközökre, és olyan alkalmazásokat telepíteniük, amelyek célja az adatok lehallgatása, az SMS üzenetek ellopása, a fényképek és a kapcsolatok letöltése, valamint az eszközök földrajzi nyomon követése volt. Érdekes ellentmondás, hogy a rosszindulatú MDM elleni legjobb védelem a legitim MDM. A szervezeteknek gondoskodniuk kell arról, hogy a vállalati eszközökre kizárólag olyan profilok kerüljenek, amelyek nyomon követhetők és megakadályozhatják a rosszindulatú profilok vagy a külső alkalmazásboltokból származó programok telepítését.
• Néhány támadás célja csupán a károkozás, ahogy ez az Olympic Destroyer esetében is látható volt. A Cisco Talos csoport számos ilyen fenyegetéssel találkozott az elmúlt évben, de egyikük sem tűnt fel a címlapokon, kivéve az Olympic Destroyert, amelynek egyetlen célja a téli olimpia megzavarása volt.

Támadástípusok és a megfelelő védelem

Mindig tanácsos többrétegű biztonságot alkalmazni. Az alábbi lista áttekintést nyújt a legfontosabb kiberbiztonsági technológiákról és arról, hogyan lehet őket az integrált biztonsági architektúra részeként telepíteni.

A fejlett kártevő-észlelési és védelmi technológiák, mint például a Cisco AMP for Endpoints, megakadályozzák a rosszindulatú programok telepítését és futtatását a végpontokon. Segítenek a fertőzött végpontok izolálásában, kivizsgálásában és kijavításában, még a legerősebb védelmi megoldásokon átjutott támadások esetében is.

A hálózatbiztonsági megoldások, mint például a Cisco következő generációs tűzfalai (NGFW) és behatolásmegelőzési rendszerei (NGIPS) észlelhetik a hálózatba bejutni próbáló rosszindulatú fájlokat, vagy a hálózaton belüli szokatlan tevékenységeket. A hálózat átláthatósága és az olyan biztonsági elemző platformok révén, mint például a Cisco Stealthwatch, észlelhetők az anomáliák, amelyek akár egy kártevő aktiválásához szükséges adatcsomagra is utalhatnak. A szegmentálás megakadályozhatja a fenyegetések oldalirányú mozgását a hálózaton belül, és blokkolhatja a támadások elterjedését.

A Secure Internet Gateway (SIG) megoldás, mint például a Cisco Umbrella, blokkolja a rosszindulatú domainekhez, IP-khez és URL-ekhez való kapcsolódást, függetlenül attól, hogy a felhasználók a vállalati hálózaton belül vagy kívül vannak. Így elkerülhető, hogy a vállalat dolgozói véletlenül hozzáférést adjanak a kártevőknek a hálózathoz, illetve megakadályozzák, hogy a rosszindulatú programok kapcsolódjanak a Command & Control (C2) szerverekhez.

Az e-mail biztonsági megoldások (például Cisco Email Security) akár a telephelyen, akár a felhőben telepíthetőek és blokkolják a kiberbűnözők által küldött rosszindulatú e-maileket. Csökken a kéretlen levelek mennyisége, emellett ez a technológia eltávolítja a rosszindulatú üzeneteket, és átvizsgálja az e-mailek összes komponensét (a feladót, a tárgyat, a mellékleteket és a beágyazott URL-eket) is.

Cisco 2019 CISO Benchmark Study