ข้อมูลประจำตัวคือสนามรบแห่งใหม่

การโจมตีทางไซเบอร์โดยผู้โจมตีที่กำกับโดยรัฐกำลังเพิ่มสูงขึ้น แม้จะมีทรัพยากรมากมาย แต่ฝ่ายปรปักษ์เหล่านี้มักจะใช้กลยุทธ์ที่เรียบง่ายเพื่อขโมยรหัสผ่านที่เดาได้ง่าย การดำเนินการดังกล่าวทำให้พวกเขาสามารถเข้าถึงบัญชีลูกค้าได้อย่างรวดเร็วและง่ายดาย ในกรณีของการโจมตีระดับองค์กร การเจาะเครือข่ายขององค์กรช่วยให้ผู้โจมตีที่กำกับโดยรัฐสามารถรุกล้ำเข้าสู่ระบบที่สามารถใช้เพื่อเคลื่อนย้ายการโจมตีไปยังอุปกรณ์เครื่องอื่นๆ ผ่านผู้ใช้และทรัพยากรที่คล้ายกัน หรือไปยังระบบอื่นๆ เพื่อเข้าถึงข้อมูลประจำตัวและทรัพยากรที่มีค่ามากขึ้นได้

การดำเนินการสเปียร์ฟิชชิ่ง การโจมตีแบบวิศวกรรมสังคม และการคาดเดารหัสผ่านทีละตัวเป็นกลยุทธ์พื้นฐานที่ผู้โจมตีที่กำกับโดยรัฐใช้เพื่อขโมยหรือคาดเดารหัสผ่าน Microsoft รับทราบข้อมูลเชิงลึกเกี่ยวกับทักษะและความสำเร็จของผู้โจมตีโดยการสังเกตกลยุทธ์และเทคนิคที่พวกเขาเชื่อมั่นและประสบความสำเร็จ หากข้อมูลประจำตัวผู้ใช้ได้รับการจัดการอย่างไม่ถูกต้องหรือถูกปล่อยทิ้งไว้โดยไม่มีมาตรการป้องกันที่สำคัญ เช่น ฟีเจอร์การรับรองความถูกต้องโดยใช้หลายปัจจัย (MFA) และแบบไร้รหัสผ่าน รัฐชาติก็จะยังคงใช้กลยุทธ์ที่เรียบง่ายแบบเดิมต่อไป

ความจำเป็นในการเริ่มนำ MFA ไปใช้หรือใช้ระบบแบบไร้รหัสผ่านไม่ใช่เรื่องเกินจริงแต่อย่างใด เนื่องจากการโจมตีที่มุ่งเป้าไปยังข้อมูลประจำตัวมีความเรียบง่ายและต้นทุนที่ต่ำ ซึ่งกลายเป็นวิธีการที่สะดวกและมีประสิทธิภาพสำหรับผู้ดำเนินการ แม้ว่า MFA จะไม่ใช่เครื่องมือจัดการข้อมูลประจำตัวและการเข้าถึงเพียงอย่างเดียวที่องค์กรควรใช้ แต่ก็สามารถยับยั้งการโจมตีได้อย่างมีประสิทธิภาพ

การใช้ข้อมูลประจำตัวในทางที่ผิดถือเป็นเรื่องปกติของ NOBELIUM ซึ่งเป็นฝ่ายปรปักษ์ที่กำกับโดยรัฐซึ่งมีความเชื่อมโยงกับรัสเซีย อย่างไรก็ตาม ฝ่ายปรปักษ์อื่นๆ เช่น DEV 0343 ที่มีความเชื่อมโยงกับอิหร่านก็ยังคงพึ่งพาการคาดเดารหัสผ่านทีละตัวเช่นกัน มีการสังเกตพบกิจกรรมจาก DEV-0343 ในบริษัทด้านกลาโหมที่ผลิตเรดาร์สำหรับการใช้งานระดับการทหาร เทคโนโลยีโดรน ระบบดาวเทียม และระบบสื่อสารเพื่อตอบสนองในกรณีฉุกเฉิน และยังมีกิจกรรมเพิ่มเติมที่มุ่งเป้าโจมตีท่าเรือระดับภูมิภาคในอ่าวเปอร์เซีย รวมถึงบริษัทการเดินเรือและขนส่งทางเรือบรรทุกสินค้าหลายแห่งที่ดำเนินธุรกิจในตะวันออกกลางเป็นหลัก

เปิดใช้งานการรับรองความถูกต้องโดยใช้หลายปัจจัย: การดำเนินการเช่นนี้ช่วยลดความเสี่ยงที่รหัสผ่านจะตกไปอยู่ในมือของผู้ไม่หวังดี หรือแม้แต่เลิกใช้รหัสผ่านโดยสิ้นเชิงโดยใช้ MFA แบบไร้รหัสผ่านแทน

ตรวจสอบสิทธิ์ของบัญชี: หากมีการเข้ายึดครองบัญชีที่มีสิทธิ์เข้าถึง ก็จะกลายเป็นอาวุธอันทรงพลังที่ผู้โจมตีสามารถใช้เพื่อเข้าถึงเครือข่ายและทรัพยากรได้มากขึ้น ทีมรักษาความปลอดภัยควรตรวจสอบสิทธิในการเข้าถึงเป็นประจำ โดยใช้หลักการของการให้สิทธิการใช้งานเท่าที่จำเป็นเพื่อให้พนักงานสามารถทำงานได้

ตรวจสอบ ปรับปรุงให้รัดกุม และตรวจสอบบัญชีผู้ดูแลระบบผู้เช่าทั้งหมด: ทีมรักษาความปลอดภัยควรตรวจสอบผู้ใช้หรือบัญชีผู้ดูแลระบบผู้เช่าทั้งหมดที่เชื่อมโยงกับสิทธิ์การดูแลระบบที่มอบหมายอย่างละเอียดถี่ถ้วนเพื่อยืนยันความถูกต้องของผู้ใช้และกิจกรรม จากนั้นพวกเขาควรปิดใช้งานหรือลบสิทธิ์การดูแลระบบที่มอบหมายที่ไม่ได้ใช้งาน

สร้างและบังคับใช้เกณฑ์พื้นฐานด้านความปลอดภัยเพื่อลดความเสี่ยง: รัฐชาติพร้อมเข้าร่วมกิจกรรมเหล่านี้อย่างอดทน และมีทั้งเงินทุน ความมุ่งมั่น และความพร้อมเพื่อพัฒนากลยุทธ์และเทคนิคการโจมตีใหม่ๆ โครงการริเริ่มในการปรับปรุงเครือข่ายให้รัดกุมทุกโครงการต้องเผชิญกับความล่าช้าเนื่องจากแบนด์วิดท์หรือระบบราชการที่ทำงานเพื่อผลประโยชน์ของตนเอง ทีมรักษาความปลอดภัยควรให้ความสำคัญกับการใช้แนวทางปฏิบัติแบบ Zero-Trust เช่นการอัปเกรดด้วย MFA และ ระบบแบบไร้รหัสผ่าน  พวกเขาสามารถเริ่มต้นด้วยบัญชีที่ได้รับสิทธิ์การใช้งานเพื่อรับการปกป้องได้อย่างรวดเร็ว จากนั้นจึงค่อยๆ ขยายไปตามลำดับเพิ่มเติมและอย่างต่อเนื่อง

ดูเหมือนว่าการบอกเล่าเรื่องราวหลักจะระบุว่ามีภัยคุกคามจากแรนซัมแวร์ที่เกิดขึ้นใหม่จำนวนมหาศาลซึ่งเกินความสามารถที่ผู้ป้องกันจะรับมือได้ อย่างไรก็ตาม การวิเคราะห์ของ Microsoft แสดงให้เห็นว่าข้อมูลนี้ไม่ถูกต้อง นอกจากนี้ยังมีความเข้าใจว่ากลุ่มแรนซัมแวร์บางกลุ่มเป็นเอนทิตีเดียวกัน ซึ่งไม่ถูกต้องเช่นกัน สิ่งที่เกิดขึ้นอยู่ในขณะนี้คือระบบเศรษฐกิจของอาชญากรไซเบอร์ที่ผู้เล่นรายต่างๆ ในห่วงโซ่การโจมตีที่เปรียบเสมือนสินค้าทั่วไปได้ตัดสินใจเลือกอย่างรอบคอบ ซึ่งอิงตามโมเดลทางเศรษฐกิจเพื่อสร้างผลกำไรสูงสุดจากวิธีการที่พวกเขาใช้ประโยชน์จากข้อมูลที่สามารถเข้าถึงได้ กราฟิกด้านล่างแสดงวิธีการที่กลุ่มต่างๆ ได้รับประโยชน์จากกลยุทธ์การโจมตีทางไซเบอร์ที่หลากหลายและข้อมูลจากการรั่วไหลของข้อมูล

รับทราบว่าแรนซัมแวร์เติบโตได้โดยอาศัยข้อมูลประจำตัวตามค่าเริ่มต้นหรือที่มีช่องโหว่: ด้วยเหตุนี้ ทีมรักษาความปลอดภัยจึงควรเร่งดำเนินการตามมาตรการป้องกันต่างๆ เช่น การใช้ MFA แบบไร้รหัสผ่านกับบัญชีผู้ใช้ทั้งหมด และการจัดลำดับความสำคัญของบทบาทผู้บริหาร ผู้ดูแลระบบ และบทบาทที่ได้รับสิทธิอื่นๆ

ระบุวิธีการสังเกตความผิดปกติที่เกิดขึ้นได้ทันเวลา: การเข้าสู่ระบบก่อนกำหนด การเคลื่อนไหวของไฟล์ และพฤติกรรมอื่นๆ ที่ก่อให้เกิดแรนซัมแวร์อาจดูเหมือนมีลักษณะทั่วไป อย่างไรก็ตาม ทีมยังคงต้องตรวจสอบความผิดปกติและดำเนินการแก้ไขอย่างรวดเร็ว

มีแผนรับมือแรนซัมแวร์และดำเนินการฝึกการกู้คืน: เราอยู่ในยุคของการซิงค์และแชร์บนระบบคลาวด์ แต่สำเนาข้อมูลนั้นแตกต่างจากระบบ IT และฐานข้อมูลทั้งหมด ทีมควรมองเห็นภาพและฝึกฝนเพื่อรับทราบถึงลักษณะของการกู้คืนเต็มรูปแบบ

จัดการการแจ้งเตือนและดำเนินการอย่างรวดเร็วในการลดผลกระทบ: แม้ว่าทุกคนจะหวาดกลัวการโจมตีจากแรนซัมแวร์ แต่เป้าหมายหลักของทีมรักษาความปลอดภัยควรอยู่ที่การเสริมความแข็งแกร่งให้กับการกำหนดค่าความปลอดภัยที่ไม่รัดกุมซึ่งช่วยให้การโจมตีประสบผลสำเร็จ พวกเขาควรจัดการการกำหนดค่าด้านความปลอดภัยเพื่อให้การแจ้งเตือนและการตรวจหาได้รับการตอบสนองอย่างเหมาะสม

ภัยคุกคามอุปกรณ์ปลายทาง:
Microsoft Defender for Endpoint บล็อกภัยคุกคามจากมัลแวร์มากกว่า 9.6 พันล้านรายการที่มุ่งเป้าโจมตีอุปกรณ์ของลูกค้าองค์กรและผู้บริโภคระหว่างเดือนมกราคมถึงธันวาคม 2021

ภัยคุกคามทางอีเมล:
Microsoft Defender for Office 365 บล็อกอีเมลฟิชชิ่งและอีเมลที่เป็นอันตรายอื่นๆ มากกว่า 35.7 พันล้านรายการที่มุ่งเป้าโจมตีอุปกรณ์ของลูกค้าองค์กรและผู้บริโภคระหว่างเดือนมกราคมถึงธันวาคม 2021

ภัยคุกคามต่อข้อมูลประจำตัว:
Microsoft (Azure Active Directory) ตรวจหาและบล็อกความพยายามมากกว่า 25.6 พันล้านครั้งในการเข้ายึดครองบัญชีลูกค้าภาคองค์กรโดยการคาดเดาด้วยรหัสผ่านที่ถูกขโมยระหว่างเดือนมกราคมถึงธันวาคม 2021