En omfattende kinesisk-støttet botnett-kampanje som bevæpnet hundretusener av Internett-tilkoblede enheter globalt for ulike ondsinnede handlinger, har understreket viktigheten av å holde programvare oppdatert og erstatte produkter når de når slutten av livet. Men ettersom botnett fortsetter å øke i antall og sofistikerte, hva annet kan organisasjoner lære av denne hendelsen?

Hva skjedde

I september utstedte Storbritannias nasjonale cybersikkerhetssenter (NCSC) og dets partnere i USA, Australia, Canada og New Zealand en rådgivende advarsel til organisasjoner om et Kina-tilknyttet botnett som brukes til å starte distribuert tjenestenektangrep (DDoS), distribuere skadelig programvare, stjele sensitive data og utføre andre ondsinnede handlinger.

Botnettet kompromitterte mer enn 260,000 XNUMX Internett-tilkoblede enheter i Amerika, Europa, Afrika, Sørøst-Asia og Australia. Disse inkluderte rutere, brannmurer, webkameraer, CCTV-kameraer og andre enheter, hvorav mange ble etterlatt sårbare for cybersikkerhetsbrudd på grunn av at de var utgått på levetiden eller ikke ble lappet.

Rådgivningen hevder at et kinesisk-basert selskap kalt Integrity Technology Group, som antas å ha forbindelser med den kinesiske regjeringen, kontrollerte og administrerte botnettet. I mellomtiden har den kinesiske trusselskuespilleren Flax Typhoon utnyttet botnettet i ondsinnede aktiviteter.

De bak skadevaren brukte Mirai botnet-kode for å hacke seg inn i disse enhetene og bevæpne dem for ondsinnede aktiviteter. Mirai retter seg mot tilkoblede enheter som kjører på Linux-operativsystemet og ble først oppdaget av cybersikkerhetsforskere ved MalwareMustDie i august 2016.

Ken Dunham, direktør for cybertrussel ved Qualys Threat Research Unit (TRU), beskriver Mirai som et "komplekst botnett-system" brukt for cybertrusselskampanjer "relatert til oppstart, utgivelse av kildekode og ulike endringer i angrep og mål". Han legger til: "Mirai fortsetter å være et kraftig botnett."

Botnett er på ingen måte et nytt fenomen. De har eksistert i nesten to tiår, forklarer Matt Aldridge, hovedløsningskonsulent hos IT-sikkerhetsfirmaet OpenText Cybersecurity. Men han sier at tilfeller av nasjonalstater som bruker ondsinnet teknologi som botnett er "en nyere utvikling".

Hovedårsakene

I følge Sean Wright, leder for applikasjonssikkerhet hos spesialistene for svindeldeteksjon, Featurespace, infiserte denne siste botnett-kampanjen et så stort antall internasjonale enheter av tre hovedårsaker.

Wright forklarer at det første problemet er at mange av disse produktene hadde nådd slutten av livssyklusen, noe som betyr at produsentene deres ikke lenger ga ut sikkerhetsoppdateringer. Men han sier at det kan ha vært tilfeller der leverandører bare ikke ønsket å jobbe med oppdateringer for sikkerhetsproblemer.

Han sier at det andre problemet er at fastvaren til IoT-enheter er "iboende usikker og full av sikkerhetsfeil, noe som gjør dem lett bruddbare. Til slutt sier han at enheter kan bli sårbare for botnett-angrep fordi sluttbrukeren ikke klarer å implementere programvareoppdateringer.

Wright legger til: "Enten er de ikke kjent med hvordan, uvitende om oppdateringene og risikoen, eller de velger rett og slett å la være. Vi ser sluttresultatene av dette gang på gang."

Selv om en produktprodusent regelmessig gir ut programvareoppdateringer og sikkerhetsoppdateringer, forklarer Aldridge fra OpenText Cybersecurity at cyberkriminelle bruker omvendt utvikling for å utnytte sikkerhetssårbarheter og ta kontroll over tilkoblede enheter som en del av botnett-kampanjer.

Dunham fra Qualys Threat Research Unit mener at den "mangfoldige" naturen til Mirai er en primær årsak til dette botnettet, og forklarer at den ondsinnede koden bruker flere års utnyttelse for å "raskt kompromittere sårbare enheter når timingen er best" og for å "maksimere muligheter til å spre" skadevare.

Nøkkelleksjoner

Gitt at mange av disse enhetene var uoppdaterte, sier Aldridge fra OpenText Cybersecurity at en klar lærdom fra denne siste botnett-kampanjen er at folk alltid bør holde sine tilkoblede enheter oppdatert.

For Aldridge er en annen viktig lærdom at organisasjoner bør konfigurere enheter riktig før de distribueres. Han mener dette er nøkkelen til å sikre "maksimal sikkerhet" for tilkoblede enheter. Aldridge forklarer: "Hvis tilkoblinger til en enhet ikke er aktivert, blir det ekstremt vanskelig å kompromittere, eller til og med å oppdage den enheten."

Wright fra Featurespace anbefaler at organisasjoner oppretter en enhets- og programvarebeholdning. Ved å overvåke produktoppdateringer jevnlig som en del av dette, sier han at organisasjoner ikke vil gå glipp av de siste oppdateringene.

Ved kjøp av enheter råder Wright organisasjoner til å sikre at produsenten gir tilstrekkelig støtte og tydelig definerer levetiden til produktene sine. Og når en enhet ikke lenger er kvalifisert for støtte, legger Wright til at organisasjoner bør erstatte dem så raskt som mulig.

Dunham fra Qualys Threat Research Unit (TRU) gjenspeiler lignende tanker som Wright, og sier at det er klart at organisasjoner må utvikle og implementere en etterfølgende plan som gjør dem i stand til å håndtere alle former for maskinvare- og programvarerisiko «over tid».

"Sørg for at du har en bunnsolid CMDB [configuration management database] og inventar på plass som du kan stole på, eiendeler som er klassifisert og kjent mot det, og EOL er identifisert og administrert via selskapets risikopolicy og plan," sier han. "Fjern EOL og ikke-støttet OS-maskinvare og -programvare fra produksjon for best å redusere risiko og angrepsoverflate."

Andre skritt å ta

Utover å regelmessig oppdatere programvaren til tilkoblede enheter, er det noen andre måter organisasjoner kan forhindre botnett på? OpenText Cybersecuritys Aldridge mener det. Han mener at organisasjoner også bør overvåke sine enheter og systemer for tegn på uregelmessig trafikk og aktiviteter.

Han anbefaler også å segmentere nettverk og sikre dem ved hjelp av flere beskyttende lag, og legger til at disse trinnene vil "redusere risikoen og begrense virkningen av et potensielt kompromiss."

Wright fra Featurespace er enig i at organisasjoner må være ekstra oppmerksomme på nettverkssikkerheten for å redusere botnett. Han sier verktøy som IPS (Intrusion Protection System) eller IDS (Intrusion Detection System) vil varsle brukere om potensiell ondsinnet aktivitet og blokkere den.

Dunham fra Qualys Threat Research Unit (TRU) oppfordrer organisasjoner til å vurdere om de har sterkt nok cyberforsvar til å takle botnett, for eksempel null-tillit-arkitektur. Dunham sier at disse bør forsterkes med kontinuerlige operasjonsforbedringer ved å omfavne lilla læring, der organisasjoner øker sitt cyberforsvar ved å bruke både offensive og defensive tilnærminger.

Viktigheten av industrirammer

Å ta i bruk et bransjeanerkjent profesjonelt rammeverk som ISO 27001 vil også hjelpe organisasjoner med å utvikle en bred og proaktiv cybersikkerhetstilnærming for å forhindre botnett og andre cybertrusler når som helst.

Wright fra Featurespace forklarer at bransjerammeverk gir organisasjoner et benchmark og sett med krav som de kan følge for å styrke cyberforsvaret og redusere cyberrisikoen.

Han legger til: «Dette hjelper også potensielle kunder med å ha større tillit til at de nødvendige sikkerhetskontrollene er på plass.»

Aldridge fra OpenText Cybersecurity sier at å følge et bransjerammeverk bør hjelpe organisasjoner med å forstå prosessene og retningslinjene de må ta i bruk for å anskaffe, distribuere, overvåke og kvitte seg med enheter på en sikker måte.

Botnett kan ha alvorlige konsekvenser for ofre, fra datatyveri til DDoS-angrep. Og hvis du ikke oppdaterer enhetene dine regelmessig eller bruker utgåtte produkter, er det stor sjanse for at en trusselaktør kan bruke en av enhetene dine til å utføre slike uhyggelige handlinger.

Men å forhindre at dette skjer er ikke bare et tilfelle av å reagere på trusler mens du hører om dem; det krever en langsiktig forpliktelse til cybersikkerhet, som kan forenkles gjennom bransjerammer.