Hoe bestrijd je targeted attacks?

De tijd dat lukrake virusaanvallen en grote hoeveelheden spamberichten de grootste zorg vormden voor organisaties, is wel definitief achter de rug. Zoals de voorbije maanden en jaren uitvoerig is aangetoond, dienen bedrijven zich vooral te bekommeren over ‚targeted attacks’, aanvallen die gericht zijn op een specifiek doel en waar soms maanden voorbereiding aan voorafgaan.

Targeted attacks kunnen veel verschillende objectieven hebben, soms zelfs verschillende tegelijk: bedrijfsinformatie of bankgegevens bemachtigen, of uw machines overnemen om van daaruit andere bedrijven te belagen. Deze vorm van bedreigingen kunnen ook langetermijnstrategieën zijn om door opéénvolgende verschillende doelgerichte aanvallen op de één of andere manier, vroeg of laat door te dringen in het beoogde netwerk. Dus zelfs als u meent dat u geen waardevolle informatie op uw systemen hebt, dan nog kunnen cybercriminelen uw systemen een interessante prooi vinden. Het loont dus echt de moeite om stil te staan bij wat u kunt doen om ‚targeted attacks’ te voorkomen of de gevolgen ervan zo beperkt mogelijk te houden. 

Het vereist een doordachte aanpak met een duidelijke visie en strategie om je ertegen te wapenen. Een checklist:

A. Vorm een incident response team

Wanneer u een ‚targeted attack’ vaststelt, moet u heel snel kunnen reageren. Het IT team is dan dagen of zelfs weken full-time bezig met het herstellen van de lekken en beperken van de schade aan de systemen. Maar er zijn nog veel meer zaken die dan om aandacht schreeuwen. Vandaar het belang van een ‚incident response team’, dat alle aspecten van zulke aanval kan behandelen.

Samenstelling

Om alle aspecten vakkundig te behandelen, moet het incident response team samengesteld zijn uit leden van verschillende afdelingen: zowel technische experts als PR en HR professionals, leden van het legal team en – last but not least – iemand die namens het top management kan optreden. Ook iemand die de aanval grondig kan analyseren, is hier meer dan welkom. 

2. Trainen

Na de samenstelling moet u het team ook de kans geven om in hun rol te groeien en zich voor te bereiden op mogelijke scenario’s. Dit kan ook helpen om mogelijke aanvallen beter te voorkomen.

3. Reageren op aanval

Wanneer echt een aanval plaatsvindt, moet het response team snel en efficiënt kunnen reageren. Hiervoor moet het team aanvankelijk zeer vaak samenzitten om de voortgang te bespreken en te rapporteren aan het senior management. Nadien kunnen de meetings steeds minder frequent worden, maar ze moeten blijven plaatsvinden tot het incident volledig is gesloten.

B. Beveilig uw infrastructuur

Segmenteren

Deel uw netwerk op in zo veel mogelijk logische segmenten. Een opdeling per locatie ligt voor de hand, maar ook per business unit (finance, marketing, sales, …). Plaats firewalls tussen deze segmenten. Zo blijft de schade bij een geslaagde aanval vaak zeer beperkt.

Logs maken en analyseren

Logs van het netwerkverkeer kunnen bijzonder nuttig zijn bij het bestrijden van gerichte aanvallen. U kunt ze achteraf gebruiken voor het analyseren van wat er fout ging. Maar gespecialiseerde analisten kunnen met deze logs vaak ook signalen van targeted attacks ontdekken nog voor die effectief schade hebben kunnen aanrichten. Hiervoor hebt u wel ook goede security monitoring tools nodig. Hou de logs ook voldoende lang bij, want soms moet u voor het bestuderen van een geslaagde aanval tot maanden terug om de aanval volledig te begrijpen. En bewaar alles: liever enkele gigabytes aan informatie te veel dan dat een cruciaal stuk informatie is verloren gegaan of nooit is opgeslagen.

User accounts toegang beperken

Dit is geen populaire maar wel een noodzakelijke maatregel: zorg ervoor dat de eindgebruiker enkel toegang heeft tot wat strikt noodzakelijk is. Jarenlang werd gul omgesprongen met toegangsrechten om de werknemers zo weinig mogelijk te hinderen in hun activiteiten. Maar met de risico’s die hieraan verbonden zijn, is die aanpak niet langer houdbaar. Natuurlijk betekent dit overlast voor iedereen, ook voor de IT-afdeling die telkens toegang moet verlenen voor elke uitzonderingssituatie, maar dit weegt niet op tegen het alternatief: een aanvaller die met één enkele gekraakte user account ongehinderd overal kan binnendringen.

C. Bescherm uw gegevens

Bedrijfsgegevens zijn vaak het belangrijkste doelwit van cybercriminelen. Een belangrijk onderdeel van uw verdediging tegen targeted attacks bestaat dus uit het beschermen van  die gegevens die voor u en uw bedrijfsvoering cruciaal zijn.

Gegevens segmenteren

Om de bescherming van uw gegevens enigszins betaalbaar te houden, maakt u best eerst werk van de opdeling van uw gegevens volgens het belang en de waarde van deze gegevens. Eenvoudige mails over de menu’s in het bedrijfsrestaurant zullen minder zwaar beschermd moeten worden dan documenten met bijvoorbeeld de formules voor een nieuw medicijn. 

Gegevens beschermen

Bescherming van gegevens kan op verschillende manieren gebeuren. Voor de geheime formules kunt u bijvoorbeeld kiezen om die op te splitsen in verschillende afzonderlijke documenten. U kunt ze ook onderbrengen in een volledig afgesloten netwerk dat toegang vergt tot een afzonderlijk gebouw voor u het netwerk kunt bereiken. U kan gebruik maken van versleutelingstechnologieën maar ook two-factor authentication (met een wachtwoord én een afzonderlijk toestel voor het genereren van een unieke code) vormt al een stevige extra beveiliging. Door bedrijfskritieke documenten van een digitaal watermerk te voorzien kunt u in geval van diefstal toch volgen waar de documenten naartoe werden verplaatst.

D. Threat Intelligence (analyse van de bedreigingen)

Inzicht in de bedreigingen helpt enorm bij het bestrijden van gerichte aanvallen. Niet alleen krijgt u inzicht in hoe ze werken en wat ze in uw bedrijfssystemen al hebben uitgevoerd, het kan ook helpen om te voorspellen wat de aanvallers nog willen doen en om dit dus te voorkomen.

U kunt hiervoor gebruik maken van externe partijen die gespecialiseerd zijn in cybercriminelen en hun methodiek, en die op basis van de verschillende beschikbare gegevens mogelijk patronen ontdekken, of van gespecialiseerde software dat voortdurend wordt geüpdatet met de nieuwste informatie over bedreigingen. Maar u gebruikt ook best een interne dienst die enerzijds het internet afspeurt op zoek naar vermeldingen van de organisatie, en anderzijds voortdurend op zoek gaat naar personen of groepen die een bedreiging kunnen vormen.

E. Penetration Testing

Uiteraard is het ook een goed idee om geregeld een grondige test uit te voeren, om na te gaan waar zich mogelijk lekken bevinden, maar ook waar het huidige security monitoring beleid faalt. Aangezien deze tests een cruciaal onderdeel vormen van uw security beleid, loont het misschien de moeite om dit door externen te laten uitvoeren, en het intern security team hier niet van op de hoogte te brengen. En hou in gedachten: deze test dient niet om uw eigen mensen te evalueren, maar uw paraatheid om aanvallen nu en in de toekomst te weerstaan.

Conclusie

Analisten gaan vandaag de dag al uit van een model waar een organisatie vroeg of laat het slachtoffer wordt van een gerichte aanval (‘zero-trust’ model van Forrester, of ‘Lean forward’ model van Gartner) . Zulke aanval zal altijd schade aanrichten, ook al dient hij enkel om vanuit uw organisatie andere slachtoffers te bereiken. U kunt dit voorkomen (of de gevolgen beperken) door de nodige maatregelen vooraf te voorzien. De meeste lijken vanzelfsprekend maar worden toch door vele organisaties over het hoofd gezien of bewust genegeerd. Wie zich aan bovenstaande checklist houdt, is nochtans veel beter gewapend tegen de aanvallen die u vroeg of laat toch zullen overkomen.