Bedreigingsactoren hebben steeds minder tijd nodig voor netwerkovernames
Beveiligingsbedrijf CrowdStrike publiceerde onlangs een interessant nieuw 'threat hunting'-rapport dat licht werpt op een zorgwekkende trend onder dreigingsactoren. Het rapport laat zien dat hackers steeds minder tijd nodig hebben om van de eerste inbreuk en het kraken van een systeem op een open netwerk naar het verkrijgen van volledige toegang en zijwaartse verplaatsing over het hele netwerk te gaan.
CrowdStrike gebruikte gegevens die waren verzameld van bijna 250 duizend eindpunten die door de klanten van het bedrijf werden gebruikt en gebruikte deze in zijn rapport. Uit de gegevens blijkt dat dreigingsactoren gemiddeld ongeveer anderhalf uur nodig hadden om van initiële infiltratie naar zijwaartse beweging op het netwerk van een slachtoffer te gaan.
Laterale beweging is per definitie het punt waarop de dreigingsactor erin is geslaagd om tegenmaatregelen te nemen om detectie te blokkeren en in staat is om tussen verschillende hostmachines op een netwerk te bewegen, toegang te hebben tot hun bestandssystemen en extra malware erop te kunnen implementeren , evenals gegevens van hen te exfiltreren.
Alleen al deze te vereenvoudigde definitie maakt het overduidelijk dat het IT-beveiligingsteam van een slachtoffer veel meer problemen zal hebben met een dreigingsactor die erin is geslaagd om zijwaartse beweging over het netwerk te beveiligen.
Hackers die van de eerste inbreuk naar laterale beweging zijn gegaan, kunnen ransomware op het slachtoffernetwerk inzetten en aanvullende kwaadaardige tools gebruiken om detectie te dwarsbomen. Dit alles toont aan hoe belangrijk het is om de eerste inbreuk in te dammen en zo snel mogelijk te handelen om te voorkomen dat hackers een groter deel van het netwerk overnemen.
Uit het rapport van CrowdStrik blijkt ook dat bij meer dan een derde van de aanvallen die het volgde, hackers in minder dan een half uur van de eerste doorbraak naar zijwaartse beweging gingen. Dit betekent een enorme druk op beveiligingsteams om inbreuken in te dammen en te voorkomen dat aanvallers verdere toegang krijgen.
Hoewel het waar is dat dreigingsactoren gewoonlijk wat vroege verkenningen op een netwerk moeten uitvoeren en rond moeten snuffelen naar extra zwakke plekken, is het simpele feit dat een groep hackers kan gaan van initiële netwerktoegang tot volledige toegang en vrijwel alle extra malware die ze willen is meer dan een beetje zorgwekkend.
