فیشینگ، امتیازات و رمزهای عبور: چرا هویت برای بهبود وضعیت امنیت سایبری حیاتی است؟

هویت یا identity عملاً مرز جدید شبکه است و باید به هر قیمتی از آن محافظت شود. M&Sو گروه کوآپ اخیراً قربانی یک نقض امنیتی بزرگ باج‌افزاری شدند. هر دو همچنین هدف حملات vishing قرار گرفتند که رمزهای عبور شرکت‌ها را استخراج می‌کرد و به مهاجمان امکان دسترسی مهمی در شبکه می‌داد.
این نقض‌های مربوط به هویت، بیش از ۵۰۰ میلیون پوند برای این دو شرکت هزینه داشت، گذشته از آسیب و تأثیر غیرقابل محاسبه بر اعتبار مشتریان و کاربران آنها!

چرا هویت یا identity اهمیت دارد؟

چرا هویت یا identity به چنین عامل حمله‌ی رایجی تبدیل شده است؟ بخشی از آن ناشی از نحوه‌ی کار امروزی شرکت‌ها است. زمانی بود که تمام منابع سازمانی با خیال راحت در فضای بسته یک محیط شبکه قرار داشتند اما محیط فناوری اطلاعات امروزی بسیار توزیع‌شده‌تر است. گسترش سرورهای ابری، کامپیوترهای رومیزی در محل، لپ‌تاپ‌های خانگی و دستگاه‌های تلفن همراه به این معنی است که قطعیت‌های قدیمی از بین رفته‌اند.

هویت یا identity عملاً محیط شبکه‌ی جدید است که اعتبارنامه‌ها را به کالایی بسیار مورد توجه تبدیل می‌کند. طبق گفته‌ی Verizon، سوءاستفاده از اعتبارنامه‌ها عامل تقریباً یک چهارم (22٪) از نقض‌های داده‌ها در سال گذشته بوده است. متأسفانه، آنها از چندین طریق در معرض خطر هستند:

بدافزار سرقت اطلاعات (Infostealer) به سرعت در حال گسترش است. این بدافزار می‌تواند از طریق فیشینگ، برنامه‌های مخرب، دانلودهای ناخواسته، کلاهبرداری‌های رسانه‌های اجتماعی و موارد دیگر بر روی دستگاه‌های قربانیان نصب شود. یک تخمین ادعا می‌کند که ۷۵٪ (۲.۱ میلیارد) از ۳.۲ میلیارد اعتبارنامه سرقت شده در سال گذشته از طریق سرقت اطلاعات (Infostealer) به دست آمده است.

Phishing، smishing و vishing همچنان روشی محبوب برای سرقت اطلاعات، به ویژه در حملات هدفمندتر، هستند. اغلب، مهاجمان برای بهبود میزان موفقیت خود، در مورد فردی که هدف قرار می‌دهند تحقیق می‌کنند. اعتقاد بر این است که M&S و Co-op از طریق حملات vishing به helpdesk برون‌سپاری شده خود مورد نفوذ قرار گرفته‌اند.

نقض داده‌ها که پایگاه‌های داده رمز عبور سازمان‌ها یا برون‌سپاران آنها را هدف قرار می‌دهد، می‌تواند منبع ارزشمند دیگری برای کسب اعتبارنامه برای مهاجمان تهدید باشد. مانند سرقت اطلاعات، این موارد در انجمن‌های جرایم سایبری برای فروش و استفاده بعدی قرار می‌گیرند.

حملات brute-force از ابزارهای خودکار برای امتحان کردن حجم زیادی از اعتبارنامه‌ها تا زمانی که یکی از آنها کار کند، استفاده می‌کنند. حملات Credential stuffing از فهرست‌های ترکیبی از نام کاربری/رمز عبور که قبلاً نقض شده‌اند، علیه تعداد زیادی از حساب‌های کاربری استفاده می‌کنند. حملات Password Spraying نیز همین کار را با فهرست کوچکی از رمزهای عبور رایج انجام می‌دهند و حملات Dictionary از رمزهای عبور، عبارات و رمزهای عبور فاش شده رایج علیه یک حساب کاربری واحد استفاده می‌کنند.
یافتن نمونه‌هایی از حوادث امنیتی فاجعه‌بار ناشی از حملات مبتنی بر هویت کار سختی نیست و هر روز موارد زیادی از این حملات اطلاع رسانی می شود.

تهدیدات Identity در یک نگاه

خطرات ناشی از افشای هویت توسط چندین عامل دیگر تشدید می‌شوند. حداقل امتیاز، یک روش بسیار مهم و بهینه است که در آن اغلب به افراد برای مدت زمان محدود فقط به اندازه کافی امتیاز دسترسی برای انجام نقش خود داده می‌شود و نه بیشتر. متأسفانه، این سیاست معمولا به درستی اعمال نمی‌شود و منجر به ایجاد حساب‌های کاربری با امتیاز بیش از حد می‌شود.

نتیجه این است که عوامل تهدید با استفاده از اعتبارنامه‌های به خطر افتاده می‌توانند به سازمان مورد نفوذ دسترسی بیشتری پیدا کنند – به صورت جانبی حرکت کنند و به سیستم‌های حساس برسند. این امر باعث ایجاد “شعاع انفجار” بسیار بزرگتری پس از نقض و آسیب بالقوه بیشتر می‌شود. همین مسئله نیز می‌تواند خطر ناشی از تهدیدات داخلی را تشدید کند.

گسترش هویت یکی دیگر از چالش‌های بزرگ است. اگر به درستی حساب‌ها، اعتبارنامه‌ها و امتیازات کاربران و ماشین‌های خود را مدیریت نشوند، نقاط کور امنیتی به وجود خواهد آمد. این امر سطح حمله را برای عوامل تهدید افزایش می‌دهد، حملات brute-force را موفق‌تر می‌کند و احتمال حساب‌های کاربری با امتیاز بیش از حد را افزایش می‌دهد. ظهور عوامل هوش مصنوعی و رشد مداوم اینترنت اشیا، تعداد هویت‌های ماشینی را که باید به صورت مرکزی مدیریت شوند، به میزان زیادی افزایش می‌دهد.

در نهایت، تهدید شرکا و تأمین‌کنندگانی وجود دارد که باید در نظر گرفته شوند. این موضوع می‌تواند در برگیرنده برون‌سپارهایی باشد که به سیستم‌های شرکتی شما دسترسی دارند، یا حتی یک تأمین‌کننده نرم‌افزار. هرچه زنجیره‌های تأمین فیزیکی و دیجیتال سازمان بزرگتر و پیچیده‌تر باشند، خطر افشای هویت بیشتر می‌شود.

چگونه امنیت هویت را افزایش دهیم؟

یک رویکرد چندلایه و سنجیده برای امنیت هویت می‌تواند به کاهش خطر جدی نفوذ کمک کند. موارد زیر را در نظر بگیرید:

• اصل حداقل امتیاز را اتخاذ کنید و مرتباً این مجوزها را بررسی/اصلاح کنید. این کار شعاع آسیب حملات را به حداقل می‌رساند.
• با اعمال سیاستهای رمزهای عبور قوی و منحصر به فرد برای همه کارمندان که در راهکارهای مدیریت پسورد، ذخیره شده‌اند، حداقل امتیاز را اعمال کنید.
• امنیت رمز عبور را با احراز هویت چند عاملی (MFA) افزایش دهید تا حتی اگر هکری به اعتبارنامه شرکتی دسترسی پیدا کند، نتواند به آن حساب دسترسی پیدا کند. به جای کدهای پیامکی، از برنامه‌های احراز هویت یا رویکردهای مبتنی بر کلید عبور استفاده کنید.
• مدیریت چرخه عمر هویت قوی را انجام دهید، در طول ورود و خروج کارمندان به صورت خودکار حساب های کاربری تأمین یا لغو شوند. با اسکن‌های منظم حساب‌های غیرفعال را که اغلب توسط عوامل تهدید ربوده می‌شوند، شناسایی و حذف نمایید.
• حساب‌های ممتاز را با رویکرد مدیریت دسترسی ممتاز (PAM)، ایمن کنید. آموزش‌های امنیتی را برای همه کارمندان، از مدیرعامل گرفته تا سطوح بعدی، دوباره مرور کنید تا مطمئن شوید که همه اهمیت امنیت هویت را می‌دانند و می‌توانند جدیدترین تاکتیک‌های فیشینگ را شناسایی کنند. تمرین‌های شبیه‌سازی می‌تواند در مورد دوم مفید باشد.

بیشتر توصیه‌های فوق، رویکردی مبتنی بر Zero Trust  را تشکیل می‌دهند: رویکردی که حول محور مفهوم «هرگز به طور پیش فرض اعتماد نکنیم، همواره نیاز به تأیید دارد» مطرح می‌شود. این بدان معناست که هر تلاش برای دسترسی (انسان و ماشین) چه در داخل و چه در خارج از شبکه، احراز هویت، مجاز و اعتبارسنجی می‌شود و سیستم‌ها و شبکه‌ها به طور مداوم برای فعالیت‌های مشکوک تحت نظارت قرار می‌گیرند.

اینجاست که اهمیت ابزارهای تشخیص و پاسخ خودکار (XDR) و تشخیص و پاسخ مدیریت‌شده (MDR) مشخص شده و این راهکارها می‌تواند ارزش فوق‌العاده‌ای به شبکه سازمان بیفزاید. به عنوان مثال در راهکارهای MDR یک تیم متخصص 24/7 شبکه شما را به دقت زیر نظر دارند و هرگونه نفوذ احتمالی را به سرعت علامت‌گذاری می‌کنند تا بتوان آن را مهار و مدیریت کرد. بهترین شیوه امنیت هویت با ذهنیت پیشگیری آغاز می‌شود.

منبع: 
welivesecurity