У звіті Cisco Talos від 5 грудня 2023 року повідомляється, що зловживання чинними обліковими записами стало другою за поширеністю технікою атак, що підкреслює залежність зловмисників від скомпрометованих облікових даних та використання вже існуючих акаунтів.
Зловмисники використовують легітимні облікові дані для доступу до систем, що робить їхні дії схожими на роботу звичайних користувачів. Це ускладнює виявлення вторгнення на ранніх етапах, оскільки атакуючі діють у межах дозволених прав доступу.
Чек-лист для розслідування підозрілої активності:
- Перевіряйте відповідність часу входу звичній активності користувача.
- Аналізуйте, чи відповідають дії користувача його посадовим обов'язкам та чинним правам доступу.
- Регулярно проводьте аудит облікових записів на предмет нетипових змін у налаштуваннях або спроб доступу до критичних ресурсів.
Моніторинг аномальної активності як протидія зловживанню легітимними обліковими записами
Використання скомпрометованих, але легітимних облікових записів дозволяє зловмисникам діяти всередині мережі непомітно, оскільки вони мають законні права доступу. Це робить захист периметра недостатнім, адже загроза вже знаходиться всередині вашої інфраструктури.
Практичний крок: Впровадьте суворий контроль за обліковими записами. Замовте у Softline послугу з налаштування систем моніторингу активності користувачів (UEBA) та проведення аудиту прав доступу, щоб вчасно виявляти аномальну поведінку навіть усередині вашої захищеної мережі.
Використані джерела
- raw.githubusercontent.com (raw.githubusercontent.com)
- blog.talosintelligence.com (blog.talosintelligence.com)