9.6.23

Faktori reducirane percepcije cyber rizika

U prethodnom tekstu sam ocrtao polazišta za redefiniciju procjene rizika u okruženju cyber prijetnji. Fokusirao sam se na moje zapažanje da su ključni nositelji odluke o rizicima veoma skloni donositi odluke rizicima koje su nešto niže od realnih, drugim riječima skloniji su umanjivati rizike. Vjerujem da i kolege koji se bave procjenom rizika i sudjeluju u procesu upravljanja rizicima dijele isto iskustvo. 

Ujedno, iznio sam mišljenje da je neadekvatna ocjena rizika, koja ne uzima u obzir realne indikatore prijetnji i ranjivosti, glavni razlog za umanjivanje konačne razine rizika u tradicionalnim procjenama rizika.

Zbog čega procjena rizika nije utemeljena na realnim indikatorima?

Trokut prijetnje

U nekim slučajevima se radi o trivijalnim razlozima unatoč poznavanju specifičnosti cyber rizika –  na primjer o potpunom nepoznavanje specifičnosti cyber rizika ili o zadržavanju linije manjeg otpora i nastavku rada s uobičajenim, ali neadekvatnim, matricama rizika. 

No, puno češća su prisutna naša uvjerenja da cyber prijetnje, unatoč njihovoj plastičnoj opipljivosti, ne predstavljanju realnu opasnost za „naše okruženje“, „Neće nas nitko!“. Ova sklonost minoriziranju problema i reduciranoj percepciji cyber rizika već je dugo vremena predmet mojeg interesa.

Prije nego što se udubimo u glavne razloge zbog kojih procjena cyber rizika nije utemeljena na realnim indikatorima, preporučio bih promjenu pogleda na komponente rizika na temelju kojih određujemo izglednost cyber napada.

Tradicionalno, izglednost napada se određuje kao umnožak ocjene visine prijetnje i ocjene prisutnih ranjivosti – poslužimo se ovim pojednostavljenim pogledom. No, da bi dobili precizniji pogled, predlažem da izglednost napada re-definiramo kroz trokut prijetnje (Threat Triangle): njega čine komponente Namjera (Intent), Sposobnost (Capability) i Prilika (Opportunity). Na taj način, tradicionalne komponente rizika pogleda (visine prijetnje i ocjene prisutnih ranjivosti) kontinuirano sagledavamo kroz njihovu među-reakciju, pri čemu se uobičajena visina ranjivosti u velikoj mjeri projicira na komponente Sposobnost (Capability) i Prilika (Opportunity). Drugim riječima, odmah u fazi analize ranjivosti na sustavu potrebno je uzeti u obzir i način na koji napadači mogu materijalizirati takve ranjivosti (sredstvo iskorištavanja ranjivosti, potrebno znanje napadača za iskorištavanje ranjivosti, uvjeti koje napadač mora pripremiti za iskorištavanje ranjivosti). 

Cyber kill-chain i procjena rizika

Iako slijed cyber napada („cyber kill-chain“) možemo danas opisati veoma detaljno i slojevito, kod procjene visine cyber rizika obično se najviše fokusiramo na rizike vezane za inicijalni proboj jer svijest o (ne)izglednosti inicijalnog proboja (odnosno „Neće nas nitko!“ stav) usmjerava sve naše kasnije odluke koje proizlaze iz procjene rizika (osobito one odluke koje nas lažno umiruju). Dobro provedena procjena cyber rizika će uzeti u obzir i sljedeće faze u slijedu cyber napada, osobito one koje se neposredno nadovezuju na inicijalni proboj, no upravo je minoriziranje rizika inicijalnog proboja glavni razlog nesagledavanja sljedećih koraka slijeda cyber napada.

Stoga pitanje s kojim ću se pozabaviti u nastavku ove serije tekstova glasi: koji su razlozi zbog se neadekvatno percipiraju (čitaj: umanjuju) rizici proboja cyber prijetnji? 

Četiri glavne kategorije pogrešne procjene izglednosti cyber prijetnji 

Odgovor leži u nepoznavanju ključnih informacija relevantnih za procjenu cyber rizika, odnosno nedovoljnom upoznatosti osoba koje donose ocjenu o cyber rizicima o faktorima koji pospješuju djelovanje cyber prijetnji.

Ove razloge možemo svrstati u četiri glavne kategorije:

1. Nepoznavanje stvarne motivacije napadača (što uključuje i procjenu dobiti/gubitka za napadače)

2. Nedovoljna svijest o jednostavnosti inicijalnog proboja na mrežu žrtve

3. Prisutnost uvjerenja o svemogućnosti anti-malware zaštite

4. Zanemarivanje mjera kontrole pristupa i dodjele pristupnih prava

Naravno, ovo nisu jedine kategorije pogrešne percepcija cyber rizika. A osobito nisu zadnje tri točke i  jedine slabe točke koje napadači iskorištavaju. Dapače to je tek njihov manji broj, no odluke koje donosimo u procesu procjene rizika su u velikoj mjeri utemeljen upravo na ovim pogrešnim stavovima. Stoga, njihovim dobrim poznavanjem unaprijediti će se naša argumentacija kod ocjene rizika. 

U nastavku ćemo se pozabaviti svakom od ovih kategorija.

23.5.23

Učinimo „risk management“ (ponovo) značajnim

 Davne 2007 kada sam započeo pisanje ovog bloga, dodijelio sam ime „Upravljanje informacijskim rizicima“. Upravljanje rizicima sam shvaćao u svom suštinskom značenju, ne kao regulatornu obavezu. U to je vrijeme risk management još uvijek bio način razmišljanja na kojem se temeljila svaka odluka u, ne samo, informacijskoj sigurnosti. 

U međuvremenu, risk management dobiva značenje regulatorne obaveze, što je naravno samo pripomoglo njegovoj promociji i unaprjeđenju značaja. Ipak, s vremenom je prevladalo regularno značenje, zanemarujući  njegovu suštinsku primjenu. Risk management je postao rutinski proces a odluke najvišeg rukovodstva su ponegdje postale isključivo formalni korak.

Takav risk management je dočekao cyber prijetnje ponajprije na krilima stare slave, ali s neadekvatnim razumijevanjem novih prijetnji. Susreo sam jako puno organizacija koje kroz niz prethodnih godina nisu značajno unaprijedile osnovne mjere za sprječavanje cyber prijetnji, a da u isto vrijeme nisu povećale razinu rizika uslijed eskalacije cyber prijetnji. Glavni razlog vidim u činjenici da visine rizika nisu utvrđene temeljem realnih okolnosti. Zapravo i ne poznajem nikoga tko je adekvatno povisio razinu i pri tome povećao vlastiti apetit za rizika. To bi bilo puno poštenije.

Stoga, pitanje glasi: možemo li u vremenu cyber prijetnji risk management ponovo učiniti značajnim? Smatram da možemo, a postoje dva važna polazišta da se to postigne.

Tradicionalne prijetnje i cyber prijetnje

Prvo, moramo postati svjesni da se tradicionalni risk management (opisan u uvodnom dijelu teksta, a koji je postao mainstream u proteklih desetak do petnaest godina) prije svega bavio tradicionalnim prijetnjama – tehničke nepogode, prirodne nepogode, ljudske greške i romantičarski motivirani hackeri. Ključni element u ocjeni prijetnje bila je frekvencija prethodno registriranih događaja izazvanih ovim prijetnjama. I da –  to je bilo vrijeme dok je perimetar završavao na firewallu, unutarnja mreža je bila svijet za sebe.

Pojava cyber napada izaziva i promjenu prije načina procjene izglednosti prijetnje. Dok se kod tradicionalnog risk managementa nije moralo detaljnije ulaziti u svojstva prijetnji (npr. osoba koja je vodila procjenu rizika nije morala poznavati geofizičke zakonitosti da bi uzela u obzir mogućnost nastupanja potresa procjene rizika niti je trebala biti stručnjak za prijenos električne energije da bi procijenila mogućnost ispada sustava prijenosa u lokalnoj trafostanici) kod cyber prijetnji se stvari temeljito mijenjaju. Bez dobrog poznavanja i bez prethodne analize samih izvora i motiva prijetnji, načina njihove manifestacije, kao i bez dobrog poznavanja svojih slabosti povezanih s pojedinim prijetnjama nije moguću kvalificirano procijeniti izglednost nastupanja cyber prijetnji. 

Pozicioniranje cyber rizika na strateškoj, operativnoj i taktičkoj razini

Druga bitna točka je pozicioniranje risk managementa. Inzistirajući na regulatornom značaju, promakla nam je činjenica da se svaka odluke o provedbi neke zaštitne mjere – od vezivanja pojasa u automobilu preko konfiguracije domenskih Group Policy postavki pa do primjene najnaprednijih sigurnosnih tehnologija, temelji na procjeni rizika. Samo je dio tih odluka rezervirano za najviši management – tu govorimo o strateškoj procjeni rizika, no procjena rizika se svakodnevno primjenjuje na taktičkim i operativnim razina.  

Stoga, nužno je znati da se odluke o odgovoru na cyber prijetnje koje se donose na taktičkoj i operativnoj razini temelje na procjeni rizika ali ne moramo nužno govoriti o metodologijama i standardima i ne moramo razmišljati u matricama, iako se dobar dio odluka može uvjetovati specifičnim algoritmima i kriterijima. Ovdje nam je puno važnija realna i točna informacija o motivima napadača, poznavanje anatomije cyber napada, identifikacija nedostataka i ranjivosti koji pogoduju širenju prijetnji, a procjena izglednosti se donosi u okvirima dnevnog operativnog djelovanja. Ili, slikovitije rečeno, da bi odredili realnu visinu rizika, a potom odabrali adekvatnu zaštitnu mjeru, morate razmišljati kao napadači. A kad su cyber napadači u pitanju, onda je to znanje sve drugo samo ne suhoparno.

Kada taktički i operativni procesi počnu upijati ove informacije, te kada taktičko i operativno djelovanje bude utemeljeno na ovim informacijama, onda će tako redefinirana procjena pozitivno djelovati na odluke o rizicima koje se donose na strateškim razinama u redovitim godišnjim intervalima.

Ipak, čini se da ova jednostavna preporuka za donošenje realne ocjene o cyber rizicima uglavnom ne nailazi na plodno tlo. Stoga, u sljedećim nastavcima ću se detaljnije baviti razlozima zbog kojih smo skloni umanjivati rizike uzrokovane cyber prijetnjama.

8.6.22

"Vulnerability Management" - nekad i sad

U pripremi ovogodišnje korisničke konferencije Qualys Security Day, prisjetio sam se dolaska Qualys-a na hrvatsko tržište, u čemu sam neposredno sudjelovao. Bilo je to 2006. godine, mrežno skeniranje je bila jedina dostupna tehnika otkrivanja ranjivosti. Tipično, predmet interesa su bili mrežni poslužitelji, uglavnom perimetarski, a pretplate su obuhvaćale ne više od stotinjak poslužitelja, ponekad i znatno manje. Tipični driver koji je stajao iza „Vulnerability Management“ procesa bio je „Compliance“, a tek su rijetki korisnici bili vizionarski motivirani pravilnom percepcijom sigurnosnih rizika. Cyber prijetnje nisu imale ono značenje koje imaju danas.

Nadležnost „infosec“ odjela za računalne ranjivosti, ako smo uopće mogli govoriti o „infosec“ odjelima krajem prvog desetljeća ovog stoljeća, bila je tek izvještavanje o detektiranim ranjivostima, a zadatak njihovog otklanjanja je preusmjeravan na IT operativu. Primjena popravaka i/ili instalacije novih verzija softvera smatrala se uskom odgovornošću specijaliziranih timova (od operative, razvoja, help-deska…), a strah od neuspješne primjene popravaka, od prekida rada aplikacija nakon primjene novog popravka ili nakon promjene konfiguracijske postavke bio je puno veći od straha uzrokovanog pojavom sigurnosnih prijetnji, pa je i postupak primjene bio znatno sporiji.

A u ovih 16 godina (zapravo, konferenciju smo planirali na donekle okruglu obljetnicu u 2021. ali zbog poznatih uvjeta je događaj odgođen), došlo je do izuzetnih promjena na području računalnih prijetnji.

Krenimo od promjena koje su utjecale na povećanje visine rizika:

  • Perimetar se preselio sa stvarnog ruba mreže na unutarnji dio mreže. Sada ga čine osobna računala, ali i nove forme obrade podataka kroz kontejnere.
  • Broj ranjivosti rapidno raste iz godinu u godinu, način njihove detekciji postaje sve učinkovitiji, tako da i broj detektiranih ranjivosti postaje sve veći (npr. detekcija pomoću agenata kao što je Qualys Cloud Agent) 
  • Eksploatacija ranjivosti je postala ili dobro utemeljena industrijska djelatnost ili bogato sponzorirana državna agentura. Nekad dominantni hobisti tako su integrirani u sustav, uz redovite i obilne prihode, iako su poneki od njih prešli na svijetlu stranu.

Ukratko, „cyber“ prijetnje su pružile jasan razlog svog interesa za računalne ranjivosti.

Nažalost, disciplina upravljanja računalnim ranjivostima u novo-nastaloj situaciji nije pružila adekvatan odgovor, barem ne u onom ritmu kojeg su nametnule cyber prijetnje.  Nadležnost za primjenu popravaka i dalje ostaje u odjelima IT operative, uz sve njihove rezerve koje su postojale i ranije.

Promjene koje gore navodim nisu nimalo pomogle popraviti situaciju. Povećanje broja ranjivosti koje treba otkloniti samo je dodatno frustriralo timove iz IT operative. Frontalni i neselektivni pristup primjeni popravaka je pojačao uobičajenu, blago rečeno, rezervu koju IT operativa ima prema „compliance“ obavezama, kako ovi timovi primarno percipiraju proces primjene popravaka. Kombinirano s uobičajenim strahovima, to je zapravo značilo još nižu razinu učinkovitosti procesa primjene popravaka.

U isto vrijeme, „infosec“ odjeli se i dalje smatraju odgovornim u slučaju kada dođe do proboja cyber prijetnji, a s obzirom na sve veću frekvenciju cyber napada i sve veći broj ranjivosti koje ovi napadi iskorištavaju, sasvim je izvjesno da će CISO biti prva osoba čija će se glava tražiti nakon cyber incidenta.  

Ukratko: „infosec“ odjeli su izloženi puno nepovoljnijim posljedicama zbog sve izglednijih proboja cyber napada, a istovremeno su lišeni mogućnosti primjene jedne od najznačajnijih preventivnih mjera: efikasnog otklanjanja ranjivosti.

Izlaz iz takve situacije treba potražiti u sljedećoj doktrini:

  • „Infosec“ mora dobro poznavati cjeloviti obuhvat imovine izložene cyber prijetnjama (tradicionalni „Asset management“ procesi ne pružaju nužno adekvatnu razinu ažurnosti i detaljnosti, često su odvojeni od „infosec“ procesa, ponekad i nedostupni jer funkcioniraju po principu silosa)
  • Potrebno je prioritizirati detektirane ranjivosti sukladno prisutnosti Threat Intelligence faktora, kao što su prisutnost exploita, iskorištavanje ranjivosti u evidentiranim i ostvarenim prijetnjama, kumulativni potencijal detektirane ranjivosti (CVSS ipak pokazuje manjkavosti u odnosu na dosljednu primjenu ovih zahtjeva)…
  • Potrebno je prioritizirati ranjivosti s obzirom na značaj, smještaj te poslovni kontekst resursa na kojem je detektirana ranjivost…
  • Dobrodošlo je pružiti polugu (alat) „infosec“ odjelu za primjenu programskih popravaka i korekcija postavki

Cilj je provući sve detektirane ranjivosti kroz ljevak prema jasno definiranim kriterijima te izvući dio ranjivosti, možda tek desetinu u odnosu na ukupni broj, na koje se IT operativa mora fokusirati. Ovo je jako liješpo ilustrirano na sljedećoj slici (prema Transitioning to a Risk-based Approach to Cybersecurity):


I ne samo to: bilo bi dobro  „infosec“ odjelu dati alat koji će im omogućiti da se sami obračunaju s ovim ranjivostima. Qualys je objavio zanimljiv podataka: analizom vremena otklanjanja detektiranih ranjivosti utvrđeno je da korisnici koji primjenjuju popravke kroz modul Qualys Patch Management (sustav integriran s  Qualys VMDR modulom), popravke primjenjuju 60% brže u odnosu na korisnike koji upotrebljavaju suatve za primjenu popravaka koji nisu integirani s Vulnerability Management modulom.

Ova doktrina nas konačno vodi do mogućnosti stvarne kvantifikacije težine računalnih ranjivosti te do kvantifikacije rizika s obzirom na stvarno stanje ranjivosti i prisutni prijetnji. Primjenom ove doktrine, „infosec“ odjel odbacuju „compliance“ ruho, te postaje kreator odluka temeljenih na realnim rizicima. 

Qualys Cloud Platform je jedan od primjera na tržištu koje ukazuje na usvajanje navedene doktrine. Ova platforma kontinuirano uključuje nove module i nove sposobnosti, a upravljanje ranjivosti na temelju rizika postaje ključan mehanizam za provedbu „workflow-a“ ojačanja informacijskih sustava. 

A sve je krenulo od običnog skeniranja mreže prije dvadesetak godina…


3.5.21

Nadogradnja okvira MITRE ATT&CK

 Prošlog tjedna je objavljena značajna nadogradnja – verzija 9 – okvira MITRE ATT&CK, okvira za analizu cyber napada o kojem sam ranije pisao i predstavio na redovitom mjesečnom sastanku ISACA Croatia Chapter. Osim uobičajenih dopuna ili nadogradnji tehnika i sub-tehnika te podataka o napadačkim grupama, verzija 9 uvodi taktike i tehnike napada koje se odnose na tehnologiju kontejnera te značajno nadograđuje taktike i tehnike napada koji se odnose na „Cloud“ tehnologije. No, najznačajnija novost u verziji 9 je novi pristup u opisu i obradi „Data Sources“ informacija.

Prema okviru MITRE ATT&CK, „Data Sources“ su točke ishodišta podataka na temelju kojih je moguće detektirati pojedine tehnike (i sub-tehnike) napada. U pre-v9 verzijama okvira ATT&CK ovi podaci su definirani kao nestrukturirana svojstva pojedinih tehnika i sub-tehnika, a ima ih preko 60. „Data Sources“ informacije su i u takvom obliku izuzetno korisne, osobito za stručnjake i timove koji su fokusirani na tehnike detekcije cyber napada (npr. tzv. „blue team“ grupe). Pomoću ovih informacije moguće je primijeniti dodatne konfiguracijske napore i/ili arhitekturne nadogradnje kako bi se obogatila učinkovitost telemetrijskih podataka neophodnih za detekciju napada. Ipak, iako zamišljeni s dobrom namjenom, realizacija „Data Sources“ informacija u pre-v9 verzijama je zaostajala za drugim komponentama ATT&CK okvira, upravo zbog svoje nestrukturiranosti ali i mjestimične nekonzistentnosti koja je bila rezultat izostanka dobro definiranog modela ove kategorije podataka. Tako na primjer,  „Data Sources“ podacima su označeni i „Process monitoring“ i „Process command-line parameters“ i „Process use of network“, iako se u suštini radi o različitim aspektima informacija koje se generiraju na temelju istih događaja - pokretanja i izvođenja Windows procesa. Drugi primjer je i „Windows event logs“ kao zasebna „Data Sources“ točka iako bi ovu kategoriju bilo bolje definirati kao kanal kroz koji se dostavljaju suštinski „Data Sources“ telemetrijski podaci a ne kao „Data Sources“.

U zajednici koja prati i surađuje na razvoju okvira ATT&CK pojavile su se stoga sugestije za modifikaciju „Data Sources“ informacija. 

Verzija 9 donosi ovu dobrodošlu nadogradnju. Točnije, u ovoj verziji imamo prvu fazu nadogradnje, kroz koju su definirani „Data Sources“ te „data components“ - komponente vezane za pojedini izvor, tj. specifikacija izvora iz kojih moramo prikupljati detekcije podatke, ali sada na strukturiran i normaliziran način. Za sada još uvijek nedostaju konkretni detekcijski podaci koji bi se mapirali za pojedine tehnike napada, no to se očekuje u verziji koja je planirana za listopad. 

Odnos među navedenim dijelovima ovog modela podataka su vidljivi na priloženoj slici, koju sam posudio iz teksta na službenom ATT&CK blogu.  



Također treba napomenuti da su novi „Data Sources“ podaci za sada katalogizirani kroz Github a ne kao objekt unutar ATT&CK okvira. Razlozi su opravdani razvojnim aktivnostima, a uključivanje u ravnopravne ATT&CK objekte je također planirano za listopad. No, bez obzira na prisutan “work-in-progress“ dojam, postojeće dopune mogu značajno olakšati posao svima nama koji smo fokusirani na tehnike detekcije ili na DFIR aktivnosti.

8.3.21

Ranjivost koju treba shvatiti ozbiljno

Prošlo je šest dana od objave podataka o veoma nezgodnoj ranjivosti na Microsoft Exchange serveru, koja zahvaća sve novije verzije ovog servera konfiguriranog tako omogućuje OWA pristup, tj. tako da omogućuju pristup elektroničkoj pošti preko Internet preglednika. Nadam se da su svi koji su takav servis omogućili za pristup iz javnog Internet prostora već primijenili popravak koji je Microsoft objavio 2. ožujka, istog dana kada je i tvrtka Volexity objavila informaciju o ovom nedostatku. Naime, tvrtka Volexity je još od početka siječnja uočila anomalije u korištenju servisa elektroničke pošte u korisnika kod kojih je upotrebi Exchange – velika količina poruka bila je eksfiltrirana na adrese koje nisu povezane s poslovanjem korisnika. Daljnja analiza problema je ukazala na prisutnost tzv. server-side request forgery (SSRF) ranjivosti koja je omogućila izvođenje proizvoljnog koda. Ukratko, mailbox odabranih osoba na mail serveru žrtve bio je kopiran na vanjske servere pod kontrolom napadača. Napadač je morao znati, ovisno od konfiguracije Exchange servera, mail adresu ciljane žrtve ili njegov Active Directory račun, što naravno nije nimalo nepremostiv zadatak. 

No, to nije bilo sve. Ujedno su bile iskorištene i neke druge do tada nepoznate ranjivosti koje su omogućile daljnju eskalaciju inicijalnog proboja. U toj drugoj fazi napadač uspijeva doći u posjed dodatnih informacija o radu Active Directory sustava (u najgorem scenariju, to su podaci o domenskim računima i podacima za autentikaciju). Također, napadač uspijeva kreirati „webshell“ okolinu na Exchange serveru, tj. specifični „backdoor“ program koji mu omogućuje izvođenje proizvoljnih programa na kompromitiranom Exchange serveru. U kombinaciji s podacima s AD sustava, to predstavlja idealnu podlogu za daljnje lateralno kretanje po mreži žrtve.

Ovaj scenarij zvuči izuzetno jednostavan, što se i pokazalo u praksi. Naravno, značajan trud je uložen u otkrivanje ranjivosti i u razvoj exploita, no operativna provedba je bila praktički automatizirana i zato su forenzičke analize provedene nakon objave ranjivosti pokazale oko 30.000 žrtava (to su zadnje informacije dostupne u trenutku pisanja ovog teksta). Ova brojka obuhvaća one servere kod kojih su pronađeni tragovi djelovanja exploita, tek trebamo saznati koliko je korisnika zapravo bilo izloženo i krajnjem djelovanju, tj. krađi mail poruka ili daljnjim aktivnostima napadača na internoj mreži.

Iza napada, kako je objavljeno, stoji kineska cyber-obavještajna grupa Hafnium. Ova se grupa do sada uglavnom bavila preuzimanjem podataka s različitih istraživačkih institucija, sveučilišnih ustanova i instituta raznih profila. Također, registrirano je i djelovanje nekih drugih kineskih grupa za koje nije utvrđeno jesu li u organizacijski ili poslovno povezane. Identificiran je jako veliki broj žrtava među institucijama i agencijama američke vlade, no i među brojnim tvrtkama.

Donekle olakšavajuću okolnost predstavlja činjenica da su mnoge velike korporacije uveliko migrirale na cloud verziju Exchange-a, tj. na mail servis koji pruža Microsoft, a koji nije zahvaćen recentnom ranjivosti koju ovdje opisujem.

No, mjesta za opuštanje nema, čak i ako ste primijenili popravak. Obavezno morate provjeriti jeste li možda prethodno ipak bili kompromitirani. Prema veoma detaljnom upozorenju i uputama za forenzičku analizu koje je uputila važna agencija američke vlade - Cybersecurity and Infrastructure Security Agency (CISA), prava bi se analiza morala temeljiti na pouzdanom forenzičkom postupku i trijaži podataka o incidentu kroz koju bi se trebali pretražiti točke interesa te verificirati prisutnost/odsutnost karakterističnih indikatora kompromisa. Tek jednostavan uvid u sadržaj IIS foldera i vizualno pretraživanje karakterističnih podataka nije dovoljno. Također, i Microsoft je objavio skripte za otkrivanje dijela kompromitiranih podataka.

Bojim se da ovime priča oko Exchange problema nije ni približno gotova, što ponajviše temeljim na činjenici da forenzičke istrage još nisu završene te da prave informacije o opsegu ovo napada tek slijede. Nekoliko je i suštinskih razloga koji idu u prilog ovoj tvrdnji:

  • Tek trebamo saznati kada jesu li ovi napadi registrirani i prije siječnja 2021. i jesu li do sada možda iza napada stajale i neke druge cyber grupe koje su birale puno diskretniju taktiku napada.
  • Iako se trenutno spominje 30.000 žrtava, radi se o uglavnom američkim žrtvama. Tek moramo saznati koliko su zahvaćene tvrtke/organizacije iz drugih dijelova svijeta.
  • Ranjivost je postala dostupna javnosti prošlog tjedna. Iako su se pojavili Proof-of-Concept verzije napada, novi maliciozni „exploit-i“ u trenutku pisanja ovog teksta još nisu dostupni, no samo je pitanje vremena kada će se pojaviti.
  • Ranjivosti koje opisujemo u ovom tekstu imaju potencijal za iskorištavanje u slijednom lancu događaja na automatizirani način te mogu poslužiti za razvoj scenarija ransomware napada.
  • Tek trebamo saznati kolika je dinamika primjene popravaka, no ako za ilustraciju uzmemo neke druge slučajeve iz bliže povijesti, poznato je da neke organizacije mogu biti veoma lijene u primjeni popravaka (vidi primjer tvrtke Equifax i epohalno neuspješan popravak Struts ranjivosti).

Ukoliko vam bude zatrebala pomoć oko forenzičke analize stanja potencijalnog kompromitiranog servera, pogledajte našu ponudu forenzičkih usluga i javite nam se.