โครงสร้างของพื้นหน้าของการโจมตีภายนอก

การโจมตีทางไซเบอร์ส่วนใหญ่อยู่ห่างจากเครือข่ายหลายไมล์ เว็บแอปพลิเคชันประกอบด้วยประเภทแนวทางการโจมตีที่ใช้บ่อยที่สุดในการละเมิดที่เกี่ยวข้องกับการแฮ็ก น่าเสียดายที่องค์กรส่วนใหญ่ขาดมุมมองที่สมบูรณ์เกี่ยวกับแอสเซทอินเทอร์เน็ตของตน และวิธีที่แอสเซทเหล่านั้นเชื่อมต่อกับพื้นหน้าของการโจมตีทั่วโลก ปัจจัยสำคัญสามประการที่ทำให้ขาดการมองเห็น ได้แก่ Shadow IT การควบรวมและซื้อกิจการ (M&A) และห่วงโซ่อุปทานดิจิทัล

Shadow IT

ในกรณีที่ฝ่ายไอทีไม่สามารถตามทันความต้องการทางธุรกิจ ธุรกิจจะมองหาการสนับสนุนในการพัฒนาและปรับใช้แอสเซทเว็บใหม่จากที่อื่น ทีมรักษาความปลอดภัยมักจะไม่ทราบเกี่ยวกับกิจกรรม Shadow IT เหล่านี้ และเป็นผลให้ไม่สามารถนำแอสเซทที่สร้างขึ้นเข้าภายในขอบเขตของโปรแกรมรักษาความปลอดภัยของตนได้ แอสเซทที่ไม่มีการจัดการและไม่ได้รับการดูแลอาจกลายเป็นการรับผิดในพื้นหน้าของการโจมตีขององค์กรเมื่อเวลาผ่านไป

การแพร่กระจายอย่างรวดเร็วของแอสเซทดิจิทัลนอกไฟร์วอลล์กลายเป็นเรื่องปกติไปแล้ว โดยทั่วไปแล้ว ลูกค้าใหม่ของ RiskIQ จะพบแอสเซทมากกว่าที่พวกเขาคิดไว้ประมาณ 30 เปอร์เซ็นต์ และ RiskIQ ตรวจพบบริการที่หมดอายุ 15 บริการ (มีความเสี่ยงต่อการเข้าครอบครองโดเมนย่อย) และพอร์ตที่เปิดอยู่ 143 พอร์ตทุกนาที²

การควบรวมและซื้อกิจการ

การดำเนินงานในแต่ละวันและการริเริ่มทางธุรกิจที่สำคัญ เช่น M&A ความร่วมมือเชิงกลยุทธ์ และการจ้างบุคคลภายนอกจะสร้างและขยายพื้นหน้าของการโจมตีภายนอก ปัจจุบัน ข้อตกลงน้อยกว่า 10 เปอร์เซ็นต์ทั่วโลกมีการสอบทานธุรกิจด้านการรักษาความปลอดภัยทางไซเบอร์

มีสาเหตุทั่วไปหลายประการที่ทำให้องค์กรไม่ได้รับมุมมองที่สมบูรณ์เกี่ยวกับความเสี่ยงทางไซเบอร์ที่อาจเกิดขึ้นในระหว่างกระบวนการสอบทานธุรกิจ ประการแรกคือขนาดที่แท้จริงของสถานะดิจิทัลของบริษัทที่พวกเขากำลังเข้าซื้อกิจการ ไม่ใช่เรื่องแปลกที่องค์กรขนาดใหญ่จะมีเว็บไซต์ที่ใช้งานอยู่และแอสเซทอื่นๆ ที่เปิดเผยต่อสาธารณะนับพันหรือหลายหมื่นรายการ แม้ว่าทีมไอทีและทีมรักษาความปลอดภัยในบริษัทที่กำลังจะถูกซื้อกิจการจะมีการลงทะเบียนแอสเซทของเว็บไซต์ แต่นั่นแทบจะเป็นเพียงมุมมองบางส่วนของสิ่งที่มีอยู่เท่านั้น ยิ่งกิจกรรมด้านไอทีขององค์กรมีการกระจายมากเท่าไร ความแตกต่างก็จะยิ่งมีความสำคัญมากขึ้นเท่านั้น

ห่วงโซ่อุปทาน

องค์กรนั้นขึ้นอยู่กับพันธมิตรดิจิทัลที่ก่อตัวเป็นห่วงโซ่อุปทานสมัยใหม่มากขึ้น แม้ว่าการขึ้นต่อกันเหล่านี้มีความสำคัญต่อการดำเนินงานในศตวรรษที่ 21 แต่ก็ยังสร้างเครือข่ายความสัมพันธ์ของบุคคลที่สามที่ยุ่งเหยิง มีหลายระดับ และซับซ้อนสูง ซึ่งหลายแห่งอยู่นอกเหนือขอบเขตของทีมรักษาความปลอดภัยและความเสี่ยงในการปกป้องและป้องกันในเชิงรุก ด้วยเหตุนี้ การระบุแอสเซทดิจิทัลที่มีช่องโหว่อย่างรวดเร็วซึ่งเป็นสัญญาณบ่งบอกถึงความเสี่ยงจึงถือเป็นความท้าทายครั้งใหญ่

การขาดความเข้าใจและการมองเห็นการขึ้นต่อกันเหล่านี้ทำให้การโจมตีของบุคคลที่สามเป็นหนึ่งในแนวทางการโจมตีที่พบบ่อยที่สุดและมีประสิทธิภาพสำหรับผู้ดำเนินการภัยคุกคาม ขณะนี้การโจมตีจำนวนมากเกิดขึ้นผ่านห่วงโซ่อุปทานดิจิทัล ปัจจุบัน 70 เปอร์เซ็นต์ของผู้เชี่ยวชาญด้านไอทีระบุว่ามีการขึ้นต่อกันกับหน่วยงานภายนอกในระดับปานกลางถึงระดับสูง ซึ่งอาจรวมถึงบุคคลที่สาม สี่ หรือห้า⁹ในเวลาเดียวกัน 53 เปอร์เซ็นต์ขององค์กรประสบปัญหาการรั่วไหลของข้อมูลอย่างน้อยหนึ่งครั้งซึ่งเกิดจากบุคคลที่สาม¹⁰

แม้ว่าการโจมตีในห่วงโซ่อุปทานขนาดใหญ่จะกลายเป็นเรื่องปกติมากขึ้น แต่องค์กรต่างๆ ก็จัดการกับการโจมตีที่มีขนาดเล็กลงทุกวัน มัลแวร์โกงบัตรเครดิตดิจิทัล เช่น Magecart ส่งผลกระทบต่อปลั๊กอินอีคอมเมิร์ซของบุคคลที่สาม ในเดือนกุมภาพันธ์ปี 2022 RiskIQ ตรวจพบโดเมนมากกว่า 300 โดเมนที่ได้รับผลกระทบจากมัลแวร์โกงบัตรเครดิตดิจิทัลของ Magecart¹¹

พื้นหน้าของการโจมตีทางอินเทอร์เน็ตทั่วโลกในปัจจุบันได้เปลี่ยนแปลงไปอย่างมากจนกลายเป็นระบบนิเวศแบบไดนามิก ครอบคลุมทุกด้าน และเชื่อมโยงอย่างสมบูรณ์ซึ่งเราทุกคนมีส่วนร่วม หากคุณมีสถานะบนอินเทอร์เน็ต คุณจะเชื่อมต่อกับคนอื่นๆ รวมถึงผู้ที่ต้องการทำร้ายคุณด้วย ด้วยเหตุนี้ การติดตามโครงสร้างพื้นฐานของภัยคุกคามจึงมีความสำคัญพอๆ กับการติดตามโครงสร้างพื้นฐานของคุณเอง

กลุ่มภัยคุกคามต่างๆ จะรีไซเคิลและแชร์โครงสร้างพื้นฐาน เช่น IP โดเมน และใบรับรอง และใช้เครื่องมือโภคภัณฑ์โอเพนซอร์ส เช่น มัลแวร์ ชุดฟิชชิ่ง และส่วนประกอบ C2 เพื่อหลีกเลี่ยงการระบุแหล่งที่มาที่ง่ายดาย โดยปรับแต่งและปรับปรุงให้เหมาะกับความต้องการเฉพาะของตน

มีการตรวจพบมัลแวร์ใหม่มากกว่า 560,000 รายการทุกวัน และจำนวนชุดฟิชชิ่งที่โฆษณาในตลาดอาชญากรรมไซเบอร์ใต้ดินเพิ่มขึ้นสองเท่าระหว่างปี 2018 ถึง 2019 ในปี 2020 จำนวนรูปแบบมัลแวร์ที่ตรวจพบเพิ่มขึ้น 74 เปอร์เซ็นต์14 ขณะนี้ RiskIQ ตรวจพบเซิร์ฟเวอร์ Cobalt Strike C2 ทุก 49 นาที