Hoogtepunten van Security 360: phishing en social engineering

'Net als angst kan risico niet worden geëlimineerd; het kan alleen worden beperkt.' – Onbekend

Het bovenstaande citaat is inderdaad krachtig in de context van cyberbeveiliging. Voor degenen die zich er wel van bewust zijn, is het feit dat de verscheidenheid aan risico's die er bestaan niet iets is dat ooit volledig kan worden geëlimineerd. In plaats daarvan dient het om IT- en beveiligingsteams in staat te stellen om solide beveiligingsstrategieën te gebruiken die even krachtig genoeg zijn om bedreigingen te beperken als flexibel genoeg om zich aan te passen aan subtiele (en niet zo subtiele) veranderingen die worden geïntroduceerd bij het balanceren van ondersteuning voor meerdere apparaattypen, gebruikersgedrag en unieke organisatorische behoeften tegen de achtergrond van een evoluerend bedreigingslandschap.

Een van de sleutels tot het succesvol jongleren met al deze variabelen tegelijkertijd om eindpunten, gebruikers en bedrijfsgegevens veilig te houden, begint met het kennen van je risiconiveaus, waar deze vandaan komen en de verschillende aanvalsvectoren die bedreigingsactoren zouden kunnen gebruiken om de beveiliging van je apparaten en organisatie in gevaar te brengen.

En dat is het doel van deze blogserie. Op basis van het Security 360: Annual Threat Trends Report, zal elke blog in deze korte serie zich richten op één specifieke bedreigingstrend, waarbij onder andere het volgende wordt besproken:

• Wat zijn de verschillende vormen van elke bedreiging
• Waarom ze zo belangrijk zijn voor de beveiliging van eindpunten
• Hoe elk van de bedreigingen in de loop van de tijd evolueert
• Wat zijn de beste methoden om ze te beperken?

Laten we beginnen met social engineering en phishing

Waarom is social engineering zo effectief?

Social engineering vereist weinig middelen, verkenning of planning van de dreigingsactor, maar de uitbetaling is indrukwekkend hoog. Simpel gezegd: voor de relatief kleine inspanning die wordt geleverd, oogsten aanvallers relatief veel succes.

Er zijn ook geen cyberbeveiligingsvaardigheden op expert- of zelfs gemiddeld niveau voor nodig. Gewoon een handigheid om de dreiging overtuigend genoeg over te laten komen zodat slachtoffers de actie(s) uitvoeren die van hen gevraagd wordt.

Belangrijkste bedreiging voor social engineering: phishing

Als je de keuze hebt, wie zou er dan niet liever minder werken en meer verdienen dan harder werken om hetzelfde te verdienen?

Welnu, hetzelfde denkproces is de drijfveer achter social engineering, wat betekent dat bedreigingsactoren op zoek gaan naar kwantiteit, waarbij ze een zo breed mogelijk net proberen uit te werpen om zo veel mogelijk gebruikers aan te vallen. Daar wringt echter de schoen, want er zijn verschillende soorten phishingaanvallen (waarover later meer) die weliswaar op elkaar lijken, maar toch kleine variaties achter hun aanvallen vertonen.

Afhankelijk van wat aanvallers willen bereiken, zijn phishingaanvallen aangepast om doelen gedetailleerder te bereiken. Rollen met een hoog profiel zijn niet alleen het doelwit, maar ze doen zich ook voor als werknemers om bepaalde administratieve handelingen uit te voeren, zoals executive phishing (ook bekend als CEO-fraude) dat wordt gebruikt om gebruikers te verleiden tot het versturen van overschrijvingen vanaf bedrijfsrekeningen. Andere varianten van phishingaanvallen kunnen gericht zijn op een lid van de IT-afdeling of op een specifieke groep gebruikers, zoals gebruikers van sociale media, in tegenstelling tot de algemene berichten die vaak worden gebruikt om gebruikers massaal te benaderen.

Voorbeelden van de meest voorkomende soorten phishingaanvallen zijn:

1. E-mail: e-mailberichten worden verstuurd naar personen die doen alsof ze afkomstig zijn van een gerenommeerde, betrouwbare bron.
2. Smishing: sms-berichten worden gekoppeld aan links of bijlagen om gebruikers van mobiele apparaten in gevaar te brengen.
3. Sociale media: aanvallers doen zich voor als klantenservicemedewerkers met valse profielaccounts op sociale mediadiensten om slachtoffers te bereiken die hulp nodig hebben.
4. Spear: Een granulaire, meer gerichte aanpak van e-mail phishing die zich richt op specifieke personen binnen een organisatie om specifieke informatie en gegevens te verkrijgen.

Social engineering-aanvallen in de kiem smoren

We hebben het al eerder gezegd en zullen op dezelfde toon blijven hameren op de voordelen van een defense-in-depth strategie die vertrouwt op meerdere beveiligingscontroles die samenwerken om bedreigingen op te vangen en verschillende aanvalstypen tegen te houden. Als het gaat om social engineering, zijn een voorbeeld van de besturingselementen die kunnen worden gebruikt om een beschermingslaag aan te brengen:

• Beheer van mobiele apparaten (MDM) om:
  • apparaatconfiguraties centraal te beheren en standaardiseren
  • automatisch de voorraad van apparatuur bij te houden
  • apparaten te leveren met behulp van zero-touch om ze sneller in handen van eindgebruikers te krijgen
  • verloren/gestolen apparaten te beveiligen en traceren, zodat ze op afstand kunnen worden vergrendeld/wist
  • beheerde apps te implementeren en de beveiligingsinstellingen van apps/services versterken, zoals volumes versleutelen en Firewall-items te configureren
  • patchbeheer uit te voeren om alle apparaten, besturingssystemen en apps up-to-date te houden
  • MDM- en eindpuntbeveiligingsoplossingen integreren om gegevens over apparaatgezondheid veilig te delen om geautomatiseerde mitigatieworkflows te ontwikkelen
  • apparaten holistisch te beheren gedurende de gehele levenscyclus van apparaten en toepassingen
• Integratie vaneen cloud-gebaseerde identiteitsprovider (IdP) om:
  • identiteiten voor gebruikers en machtigingen voor apparaten en bedrijfsbronnen beschikbaar te stellen
  • MFA te vereisen voor verificatie van verificatiepogingen en aanvragen van resources
  • te integreren met telemetriegegevens van eindpuntbeveiliging om de gezondheidsstatus van gebruikers en apparaten te verifiëren voordat toegang tot aangevraagde resources wordt verleend als onderdeel van een Zero Trust Network Access (ZTNA)-framework
  • beleidsregels voor wachtwoorden en gebruikersgegevens af te stemmen en af te dwingen om de risico's van zwakke wachtwoorden of gecompromitteerde accounts te minimaliseren en tegelijkertijd de toegang tot bedrijfsgegevens te beperken
• Beveiligingssoftware voor eindpunten die apparaten beschermt door:
  • malware en aanvallen op apparaten te voorkomen door bekende bedreigingen en kwetsbaarheden in kaart te brengen met gedragsanalyses
  • externe verbindingen te beveiligen via versleutelde microtunnels over alle netwerkverbindingen
  • gebruik te maken van machine learning (ML) om incidentrespons te automatiseren en onbekende bedreigingen op te sporen via threat hunting
  • actief bewaken van de gezondheid van het apparaat
  • realtime meldingen te genereren van wijzigingen aan apparaten
  • automatische workflows te creëren om bedreigingen in quarantaine te plaatsen, te beperken en te herstellen
  • controles in het netwerk te bieden om bedreigingen af te handelen, zoals het blokkeren van phishing URL's en Man-in-the-Middle-aanvallen
  • telemetriegegevens te verzamelen van eindpunten, waardoor in realtime inzicht wordt verkregen in de gezondheidsstatus van apparaten
• Stem cyberbeveiligingsplannen af op bekende frameworks, zoals NIST, CIS en MITRE, en houd je aan best practices voor alle apparaten en besturingssystemen in je infrastructuur
• Handhaaf compliance door gebruik te maken van op beleid gebaseerd beheer om te voldoen aan de wettelijke vereisten van je organisatie
• Beperk het uitlekken of exfiltratie van gegevens door de toegang tot gecategoriseerde gegevens en de toegestane media om beschermde gegevens op te slaan te beperken, bijvoorbeeld door te voorkomen dat gegevens op externe schijven worden opgeslagen of door te eisen dat ze worden versleuteld
• Verplichten dat apparaten die worden gebruikt voor toegang tot bedrijfsmiddelen voldoen aan minimumvereisten, inclusief beheer en handhaving door MDM en de aanwezigheid van eindpuntbeveiliging
• Flexibele MDM-oplossing die bescherming kan afdwingen om gegevens veilig te houden in alle modellen voor apparaateigendom (BYOD/CYOD/COPE)
• Behoud de privacy van gebruikers door persoonlijk gebruik direct naar het internet te routeren, terwijl bedrijfsgegevens en apps in een apart, veilig volume worden opgeslagen en communicatie wordt versleuteld
• Logging data naar een gecentraliseerde SIEM-oplossing streamen om gezondheidsstatussen, trends en gegevens te sorteren, categoriseren en rapporteren die nodig zijn om ervoor te zorgen dat apparaten en gegevens veilig blijven
• Vaststellen van procedures voor buitengebruikstelling om gegevens veilig te wissen van apparaten die zijn gemarkeerd voor verwijdering uit de vloot
• Oplossingen voor noodherstel implementeren en regelmatig testen om back-ups te maken van kritieke gegevens, te controleren of back-ups geldig zijn en gegevens kunnen worden hersteld
• Integraties van eerste en derde partijen delen telemetriegegevens veilig via API's, zodat alle oplossingen up-to-date blijven met de meest recente gezondheidsgegevens van apparaten
• Datapools beheren op mobiele apparaten die gebruikmaken van mobiele netwerken om de aansprakelijkheid voor illegale of ongepaste content te beperken en er tegelijkertijd voor te zorgen dat alle gebruikers toegang hebben tot de bandbreedte die nodig is om productief te blijven
• Ervoor zorgen dat alle apparaat-, gebruikers- en gegevensbescherming zich uitstrekt over de hele infrastructuur en beheerbaar is vanaf elke locatie, op elk moment en op elk ondersteund apparaat
• Regelgeving op één lijn brengen met het bedrijfsbeleid door middel van een beleid voor acceptabel gebruik (Acceptable Use Policy, AUP) waarin de verwachtingen van de werkgever ten aanzien van het gedrag van werknemers worden uiteengezet wanneer zij apparatuur van het bedrijf gebruiken en/of met gegevens en resources van het bedrijf werken

En toch, zelfs met een uitgebreid beveiligingsplan vinden bedreigingsactoren nog steeds manieren om de bescherming schijnbaar te omzeilen. De reden hiervoor is dat, zolang gebruikers ten prooi blijven vallen aan social engineering-bedreigingen en eenvoudigweg hun gegevens of andere gevoelige informatie overhandigen, deze bedreigingstypes een geprefereerde methode zullen blijven van bedreigingsactoren die op zoek zijn naar het 'laaghangende fruit' van talloze slachtoffers.

Ondanks de alomtegenwoordigheid en het succes als een kritieke bedreiging voor de beveiliging van eindpunten, de veiligheid van gebruikers en de beveiliging van gegevens, heeft social engineering één opvallende, mogelijk fatale tekortkoming: het is afhankelijk van het slachtoffer om de payload van de aanval uit te voeren om zijn doel met succes te bereiken. Nogmaals, de verantwoordelijkheid voor het succesvol uitvoeren van een social engineering-campagne ligt bij de eindgebruiker, niet bij de dreigingsactor.

Dit is misschien wel de grootste zwakte van social engineering-aanvallen, omdat het vereist dat het slachtoffer actief deelneemt aan het proces door de verzoeken van de aanvaller uit te voeren. Maar wat gebeurt er als het doelwit geen slachtoffer is, d.w.z. als de eindgebruiker de poging herkent en niets anders doet dan het aan IT te melden?

De aanval wordt effectief gestopt terwijl IT op de hoogte wordt gebracht van het bestaan ervan, zodat ze compenserende controles kunnen inzetten om de bedreiging te beperken.

"Kennis is macht – Sir Francis Bacon

Het is dit vermogen om social engineering-aanvallen te herkennen, of er op zijn minst genoeg achterdochtig over te zijn om doelwitten te laten nadenken, dat de sleutel is tot het verslaan van social engineering-aanvallen van verschillende soorten en vormen. In één woord: training. Bewustzijnstrainingen voor beveiliging die gebruikers informeren over bestaande bedreigingen en bedreigingen die zich ontwikkelen op basis van informatie over bedreigingen en trends, kunnen gebruikers in staat stellen dit soort bedreigingen te detecteren en te stoppen voordat het volledige aanvallen worden die uitgroeien tot beveiligingsincidenten.