Gjenkjenne sikkerhetsbrudd og indikatorer

En vanlig angrepsvektor er phishing. Det innebærer å lure personer til å avsløre sensitiv informasjon eller installere skadevare.

• E-poster som utgir seg for å komme fra pålitelige kilder.
• Falske innloggingssider som stjeler påloggingsinformasjon.
• Sosial manipulering får mennesker til å utføre handlinger eller avsløre konfidensiell informasjon.

Skadevare (ondsinnet programvare) er en annen viktig angrepsvektor. Det omfatter virus, ormer, trojanere og løsepengevirus.

Løsepengevirus krypterer dataene Deres og krever betaling for å frigjøre dem. Skadevare kan leveres via e-postvedlegg, ondsinnede nettsteder eller infiserte USB-stasjoner.

Angripere leter ofte etter sårbarheter – svakheter i programvare, maskinvare eller konfigurasjoner – som de kan utnytte.

• Programvare som ikke er oppdatert, med kjente sikkerhetssvakheter.
• Standardpassord eller svake passord.
• Feilkonfigurerte skytjenester eller nettverksenheter.

Regelmessig oppdatering og sikkerhetsrevisjoner er avgjørende.

En kompromitteringsindikator (IoC) er rettsmedisinske data som finnes i et nettverk eller operativsystem, og som tyder på et sannsynlig innbrudd.

IoC-er fungerer som spor en angriper har etterlatt seg. Ved å gjenkjenne dem raskt kan De begrense skadeomfanget.

Følg med på nettverkstrafikken for å oppdage alt som skiller seg ut.

• Uventet høy utgående trafikk.
• Tilkoblinger til mistenkelige IP-adresser.
• Uvanlig portaktivitet eller bruk av protokoller.
• Gjentatte mislykkede påloggingsforsøk fra eksterne kilder.

Dette kan tyde på dataeksfiltrering eller kommando- og kontrollkommunikasjon.

Endringer i brukerkontoer er sterke indikatorer på et sikkerhetsbrudd.

• Nye, uautoriserte brukerkontoer som dukker opp.
• Eksisterende kontoer med endrede tillatelser.
• Påloggingsforsøk fra uvanlige geografiske steder eller på uvanlige tidspunkter.
• Forespørsler om tilbakestilling av passord for privilegerte kontoer uten at brukeren har initiert dem.

Overvåk autentiseringsloggene nøye.

Angripere endrer ofte filer eller systemkonfigurasjoner for å opprettholde tilgang eller skjule sporene sine.

• Uventede endringer i kritiske systemfiler.
• Nye, ukjente filer som dukker opp i uvanlige kataloger.
• Antivirusprogramvare som deaktiveres eller stoppes.
• Uforklarlige systemkrasj eller omstarter.

Overvåking av filintegritet kan bidra til å oppdage disse endringene.

Et system som er under angrep, kan vise tegn på belastning.

• Plutselige, uforklarlige økninger i CPU- eller minnebruk.
• Langsomme svartider i applikasjoner.
• Økt disk-I/O-aktivitet.

Dette kan tyde på at ondsinnede prosesser kjører, at data krypteres, eller at systemet utsettes for et tjenestenektangrep.

Vi har utforsket vanlige angrepsvektorer som phishing og skadevare, og lært å identifisere viktige kompromitteringsindikatorer (IoC-er).

• Angripere bruker ulike veier for å få tilgang.
• IoC-er er spor som er etterlatt, for eksempel uvanlig nettverksaktivitet eller kontoendringer.
• Tidlig oppdagelse er avgjørende for effektiv hendelseshåndtering.

Fortsett å overvåke systemene Deres, og vær årvåken!