Əsas fikir
Əvvəlcə vacib xidmətləri, məlumatları və asılılıqları müəyyən edin. Sonra girişə nəzarət, yeniləmə, ehtiyat nüsxə, monitorinq və insident məşqlərini ən real təsir ssenarilərinə görə seçin.
Kibertəhlükə nədir?
Kibertəhlükə rəqəmsal sistemə və ya məlumata zərər vura bilən hadisə və ya şəraitdir; hücum isə bu zərəri törətməyə yönəlmiş cəhddir. Təhlükə maliyyə qazancı axtaran kibercinayətkarlardan, casusluq və ya siyasi məqsəd daşıya bilən dövlət aktorlarından, ideoloji haktivistlərdən, eləcə də qəsdən və ya səhvən risk yaradan daxili istifadəçilərdən gələ bilər. Aktorun kim olduğu çox vaxt əvvəlcədən bilinmir; müdafiə planını müşahidə olunan davranış və qorunan xidmətlər üzərində qurun.
Zərərli proqram və ransomware
Zərərli proqramlara virus, qurd, Trojan və casus proqram daxildir; reklam proqramı isə reklam göstərir və hər zaman zərərli deyil. Məqsəd və davranış növündən növə dəyişir. Ransomware faylları şifrələyə və ya sistemləri kilidləyə, bəzən məlumatı dərc etməklə hədələyə bilər. Xidmət kimi ransomware (RaaS) hücum infrastrukturunu başqa cinayətkarlara təqdim edə bilər. İlkin giriş fişinq, zərərli yükləmə və ya boşluqdan istifadə ilə yarana bilər. Nəzarətlərə yenilənmiş son nöqtə müdafiəsi, məhdud istifadəçi hüquqları, segmentasiya, e-poçt nəzarəti və şəbəkədən ayrılmış, bərpası sınaqdan keçirilmiş ehtiyat nüsxələr daxildir.
Fişinq və sosial mühəndislik
Sosial mühəndislik istifadəçini parol, ödəniş və ya məxfi məlumatı verməyə inandırmağa çalışır. Fişinq e-poçt, mesaj, zəng və saxta saytdan istifadə edə bilər; spear-phishing konkret şəxsə uyğunlaşdırılmış müraciətdir. Rəhbər adından fırıldaq və bəhanə qurma etibar və təcililik hissini istismar edir; baiting istifadəçini cəlbedici fayl və ya təkliflə tələyə salır. İşçilərə gözlənilməyən sorğunu başqa kanalla təsdiqləməyi, MFA istifadə etməyi və şübhəli mesajı asan bildirməyi öyrədin; texniki filtrlər və ödəniş təsdiq qaydaları ilə bunu tamamlayın.
DDoS və xidmətin əlçatanlığı
Paylanmış xidmətdən imtina (DDoS) hücumu serveri və ya şəbəkə xidmətini həddən artıq trafiklə yükləyərək əlçatanlığı poza bilər. Trafik botnetdən, o cümlədən IoT cihazlarından gələ bilər; belə hücum bəzən başqa fəaliyyətə diqqəti yayındırır. Kritik xidmətlər üçün trafik hədlərini və provayderə eskalasiya yolunu əvvəlcədən razılaşdırın, DDoS mitigasiya xidmətini qiymətləndirin, müştəri və əməkdaşlarla əlaqə planı saxlayın, hücum zamanı trafik filtrləmə və ehtiyat xidmətə keçidi məşq edin.
Sıfır-gün və təchizat zənciri
Zero-day hücumu əvvəllər məlum olmayan aparat, proqram təminatı və ya firmware boşluğundan istifadə edir. Düzəlişi mövcud, lakin hələ quraşdırılmamış məlum boşluq zero-day deyil; bu, yeniləmə gecikməsidir. Zero-day hücumu bulud xidmətini, SaaS təchizatçısını və proqram təchizat zəncirini də hədəfə ala bilər. Aktivləri və təchizatçı asılılıqlarını inventarlaşdırın, yeniləmələri prioritetləşdirin, inteqrasiyalara minimum icazə verin, autentifikasiyanı gücləndirin və şübhəli davranışı izləyin. Təchizatçının insident bildirişi və yeniləmə prosesini əvvəlcədən öyrənin.
Daxili risklər və məlumat sızması
Daxili risk həm qəsdən məlumat çıxaran, həm də səhvən icazəni açıq qoyan, məlumatı yanlış ünvana göndərən və ya fişinqə düşən əməkdaşdan yarana bilər. Məlumat sızması hücumçu tərəfindən də oğurlanmış hesab və ya səhv konfiqurasiya ilə baş verə bilər. Həssas məlumatı təsnif edin, girişləri rol üzrə məhdudlaşdırın, paylaşım və çıxarılmanı qeydə alın, işdən çıxışda hesabları bağlayın və hadisə bildirişinə dair aydın qayda yaradın. Araşdırmanı faktlara əsaslandırın; şübhəni avtomatik olaraq qəsdən pozuntu saymayın.
Bulud, API və IoT təhlükələri
Yanlış bulud konfiqurasiyası məlumatı açıq edə bilər; API autentifikasiyası və ya giriş nəzarətindəki boşluqlar icazəsiz girişə imkan verə bilər. Bulud xidmətlərindəki API və konteyner mühitləri də hədəf ola bilər; konteyner obrazlarını və icazələri, məxfi açarları, şəbəkə sərhədlərini yoxlayın. IoT cihazları yenilənmədikdə və ya standart parolla qaldıqda botnetə qoşula və şəbəkəyə giriş nöqtəsinə çevrilə bilər. Bulud yaddaşını və API icazələrini mütəmadi nəzərdən keçirin, açarları qoruyun və rotasiya edin, cihazları inventarlaşdırıb yeniləyin, IoT-ni lazım olan şəbəkə hissəsi ilə məhdudlaşdırın və provayder jurnallarını monitorinqə daxil edin.
Yeni yaranan risklər
Süni intellekt fişinq mətninin avtomatlaşdırılmasını və saxta səs-video ilə rəhbər adından fırıldağı asanlaşdıra bilər. Vacib ödəniş və göstəriş sorğularını material inandırıcı görünsə də müstəqil kanal və ayrıca təsdiq qaydası ilə yoxlayın; yalnız deepfake əlamətlərinə arxalanmayın. Kvant kompüterləri gələcəkdə bəzi mövcud şifrələmə üsullarına risk yarada bilər, lakin bu, bugünkü hücumu təsdiqləmir. IoT və konteyner kimi yeni texnologiyalar da konfiqurasiya və yeniləmə məsuliyyəti gətirir. Yeni aləti tətbiq edəndə məlumat axını, sahiblik və təhdid modelini yeniləyin.
Biznesə təsiri qiymətləndirin
Təhlükənin təsirini yalnız mümkün cərimə ilə ölçməyin. Xidmətin dayanması, məlumat itkisi, bərpa müddəti, müştəri və təchizatçı öhdəlikləri, maliyyə fırıldağı və etibar zədəsi də nəzərə alınmalıdır. Hər kritik proses üçün qəbul edilən dayanma müddətini və vaxt baxımından nə qədər məlumat itkisinə dözüləcəyini müəyyən edin; bundan sonra lazımi ehtiyat nüsxə, ehtiyat xidmət və eskalasiya səviyyəsini seçin. Risk reyestrində sübutu, ehtimalı, təsiri, sahibini və növbəti baxış tarixini qeyd edin.
Müdafiə və insident hazırlığı
Nəzarətləri riskə görə birləşdirin: identikliyi yoxlayın və minimum səlahiyyət verin; kritik sistemləri ayırın; zəiflikləri prioritetləşdirib yeniləyin; son nöqtə və bulud fəaliyyətini izləyin; məlumatı şifrələyin və ehtiyat nüsxələri bərpa sınağından keçirin. Zero Trust yanaşması hər sorğuya kontekst üzrə baxmağı və girişə davamlı nəzarəti nəzərdə tutur. Təhdid kəşfiyyatını son nöqtə və bulud jurnalları ilə birləşdirərək xəbərdarlıqları prioritetləşdirin; mövcud olduqda SIEM/SOAR inteqrasiyasının sahibini və eskalasiya qaydasını müəyyən edin. İnsident planında rolları, eskalasiya yolunu, sübutun qorunmasını, qərar verən şəxsləri və bərpa meyarlarını yazın; masaüstü məşqlərlə boşluqları üzə çıxarın.
Təhlükəsizlik mədəniyyəti
Texnologiya gündəlik qərarları əvəz etmir. İşçilərə roluna uyğun fişinq, məlumat paylaşımı və şübhəli hadisə təlimi verin; rəhbərlər riskə sahiblik və büdcə qərarlarında iştirak etsin. Təhlükəsizlik, İT, hüquq, məxfilik və biznes komandaları insidentdən əvvəl əlaqə və qərar qaydasını razılaşdırsın. Hadisədən və məşqdən sonra proseduru yeniləyin, təkrarlanan problemlərə sahib və tarix təyin edin.
Zərərli proqram və digər hücum üsulları
Zərərli proqram sistemdə işləsə də, hələ işə düşməmiş faylda gizlənsə də zərərli koddur; bütün kiberhücumlar proqram quraşdırmır. Fişinq parol və ödəniş məlumatını birbaşa ələ keçirməyə çalışa bilər. MitM hücumunda trafik iki tərəf arasında ələ keçirilir və ya dəyişdirilir. Credential stuffing başqa xidmətlərdən oğurlanmış istifadəçi adı-parol cütlərini eyni məlumatların istifadə olunduğu digər xidmətlərdə sınaqdan keçirir; brute-force hücumu ehtimalları təkrar sınayır. DoS/DDoS xidmətin əlçatanlığına hücumdur, zəiflikdən istifadə isə proqramdakı qüsuru hədəfləyir. Bir insident bir neçə üsulu birləşdirə bilər; görünən nəticə ilə yanaşı ilkin giriş yolunu da araşdırın.
Kredensial hücumları
Credential stuffing və brute-force hücumlarına unikal parollar, MFA, giriş sürətinin məhdudlaşdırılması və şübhəli giriş monitorinqi ilə cavab verin.
Şəbəkə və xidmət hücumları
MitM riski üçün şifrələnmiş bağlantı və sertifikat yoxlamasından istifadə edin. DDoS ssenarisi üçün trafik hədlərini, provayder eskalasiyasını və xidmət bərpasını planlaşdırın.
Proqram zəiflikləri
Aktivləri və versiyaları inventarlaşdırın, təhlükəsizlik yeniləmələrini prioritetləşdirin, istifadə olunmayan xidmətləri bağlayın və zəifliyi həll edən düzəlişin tətbiqini yoxlayın.
Hostinq, yayılma və MaaS fərqli anlayışlardır
Zərərli sayt və fayllar üçün istifadə olunan hostinq infrastrukturu, qurbanlara çatdırılma üsulu və cinayətkar xidmət modeli ayrı anlayışlardır. Hücumçu komprometə olunmuş serverdə fayl yerləşdirə, fişinq məktubu ilə link göndərə və ya botnetə çıxışı başqa cinayətkardan ala bilər. Malware-as-a-Service (MaaS) zərərli proqram və onun istifadəsi üçün pullu modeldir; botnet icarəsi, boşluq istismarı çatdırılması və giriş brokerliyi daha geniş cinayətkar xidmətlərdir. Bunlar hostinq şirkətinin özünün cinayətə ortaq olduğu demək deyil. İnsidentdə konkret domeni, faylı, çatdırılma mesajını və əlaqəli infrastrukturu sübutlarla ayrıca qeydə alın.
Hostinq infrastrukturu
Komprometə olunmuş veb-server zərərli faylı və ya səhifəni yerləşdirə bilər. Hostinq provayderi, server sahibi və hücumçu eyni tərəf olmaya bilər.
Yayılma yolu
Phishing linki, e-poçt əlavəsi, saxta yükləmə və ya zəiflikdən istifadə faylı cihaza çatdıran yollardır. Bunlar özlüyündə xidmət biznes modelini göstərmir.
Cinayətkar xidmət modeli
MaaS zərərli proqram və onun istifadəsi üçün pullu modeldir; botnet icarəsi, boşluq istismarı çatdırılması və giriş brokerliyi başqa cinayətkar xidmətlərdir. Operator infrastrukturu idarə edə, digər iştirakçı isə onu ayrı kampaniyada istifadə edə bilər.
Tarixi nümunə: TrickBot
CISA və FBI-nin 2021-ci il martın 17-də yenilənmiş birgə xəbərdarlığı TrickBot-u çoxmərhələli, modullu zərərli proqram kimi təsvir edir. Həmin xəbərdarlıqda fişinq mesajları, o cümlədən yol hərəkəti cəriməsi bəhanəsi, məlumat oğurluğu, SMB vasitəsilə şəbəkədə yayılma və Ryuk/Conti kimi fidyə proqramlarının sonradan çatdırılması qeyd olunur.
İlkin giriş
CISA/FBI məsləhəti xüsusi hazırlanmış phishing əlavələri və linklərini, o cümlədən komprometə olunmuş serverdən endirilən JavaScript faylını qeyd edirdi. Mesaj və qoşmanı açmadan başqa kanalla yoxlayın.
Modullar və şəbəkə fəaliyyəti
Məsləhətə görə, modullar məlumat oğurlaya, hostu araşdıra, SMB-dən lateral yayılma üçün istifadə edə və əlavə zərərli proqram endirə bilirdi. Jurnalları, identiklik siqnallarını və şəbəkə əlaqələrini bir yerdə araşdırın.
Müdafiə və cavab
Yoluxma şübhəsində insident planına uyğun cavab verin: təhlükəsiz təcridi cavab qrupu ilə razılaşdırın, aidiyyəti sübutları qoruyun, təsirlənmiş hesab və sistemlərin əhatəsini araşdırın. Yeniləmələri, MFA-nı, seqmentasiyanı, e-poçt nəzarətini və yoxlanmış ehtiyat nüsxələri riskə uyğun tətbiq edin.
Uzunmüddətli gizli giriş: kampaniya nümunələri
Dövlətlə əlaqələndirilən kampaniyalar casusluq, təchizat zənciri vasitəsilə giriş və mühüm xidmətlərə gələcək təsir üçün istifadə oluna bilər. Aşağıdakı tarixli nümunələr müdafiə komandasına fərqli giriş və davamlılıq üsullarını müqayisə etməyə kömək edir. Zəiflikləri və təchizatçı çıxışını qiymətləndirin, yoxlanmamış proqramların icrasını məhdudlaşdırın, səlahiyyət artımı və şəbəkə daxilində başqa sistemlərə keçid izlərini araşdırın.
Volt Typhoon · 2024
7 fevral 2024-cü ildə CISA, NSA və FBI Volt Typhoon-un ABŞ-nin kritik infrastrukturunda girişini saxlaması barədə xəbərdarlıq yayımladı. Kampaniyada sistemin mövcud alətlərindən istifadə — living off the land — vurğulanır.
APT41 · 2020
ABŞ Ədliyyə Nazirliyi 2020-ci ilin sentyabrında APT41 fəaliyyəti ilə əlaqələndirilən ittihamları elan etdi. İttihamlara görə, iddia olunan müdaxilələrə proqram kodu və imzalama sertifikatlarının oğurlanması, həmçinin proqram təchizatçılarının komprometasiyası daxil idi.
APT10 · 2018
FBI-nin APT10 qeydi 2018-ci ilin dekabrında kompüter müdaxiləsi, elektron fırıldaqçılıq və şəxsiyyət oğurluğu üzrə elan edilmiş ittihamları təsvir edir. Üçüncü tərəflərin hesab və bağlantılarını öz mühitinizin çıxış nəzarəti və monitorinqinə daxil edin.
Zərərli proqram ailələri
MITRE ATT&CK ShadowPad-i modul backdoor, PlugX-i uzaqdan giriş aləti kimi təsvir edir. FortiGuard-un 2019 Zegost araşdırması məlumat oğurluğunu və klaviatura qeydlərini göstərir. Ailə adını təkbaşına aktor sübutu saymayın; proses, hesab, şəbəkə və fayl izlərini birlikdə araşdırın.