Güncel Site İnceleme

Güncel Site İnceleme

Kritik Altyapı Saldırıları Döneminde Işıkları Korumak

Ukrayna'daki ve başka yerdeki elektrik hatlarına yapılan son ve devam eden saldırılar endişe verici bir eğilimi vurguluyor: Gelişmiş hackerlar, kritik sivil altyapıyı hedef alıyor ve geleneksel güvenlik sistemlerini atlamak için gelişmiş teknikler kullanıyorlar.

ESET ve Dragos'daki araştırmacılar, şimdi Industroyer veya Crash Override olarak bilinen kötü amaçlı yazılımları kullanarak Kiev'in güç sistemlerini hedef alan ilk saldırıların detaylı bir analizini yayınladılar. ESET'in tam raporu burada. Bu tehditler özellikle tehlike arz ediyor, çünkü güç istasyonu anahtarları ve devre kesiciler üzerinde doğrudan kontrol edebiliyor, güç altyapısında, ulaşım kontrol sistemlerinde, su ve gaz dağıtımında ve diğer kritik altyapıda kullanılan endüstriyel iletişim protokollerini kullanıyorlar.

Bu endüstriyel kontrol sistemlerinin çoğu, on yıllar önce, dış güvenlik konusunda pek düşünmeden, izole edilmiş sistemler için tasarlanmıştı. Bugün blog bile, bu sistemler genelde daha geniş internetten hava boşluklarına sahipken, bunlar kötü niyetli içeriklerden veya hedefli kimlik bilgisi kimlik avından korunmamaktadır.

Kullanılan özel kesmek tekniklerinin daha ayrıntılı bir analizi için lütfen Bir sonraki blogumuz Hack Analysis: Industroyer'e Derin Dalış'a bakın. İşte bu saldırıları başarıyla gerçekleştiren kilit unsurların bir özeti, ayrıca kuruluşların geleceğe yönelik siber güvenlik için benimsemesi gereken yeni stratejiler.

Güvenlik alanında birçok uzman, bu yeni nesil saldırıları "savunulamaz" ve çoğu anti-malware çözümü ile çağrıda bulundular. Aslında bu ve diğer yeni saldırılar, kuruluşların çoğunun siber güvenlik sorunlarına nasıl değindiği konusunda köklü bir eksikliği vurguluyor.

Daha da önemlisi, bu yeni nesil saldırılar, geleneksel güvenlik araçlarının altında, bellek katmanındaki uygulamaları hedef alıyor. Bu sofistike saldırılar, artık imzalarla kolaylıkla tanımlanabilen dosyalara dayanmıyor; bunun yerine, yasadışı eylemleri tetiklemek için benign kodu bellek seviyesinde idare ediyor. Bellek tabanlı saldırılar bir zamanlar gizli bulgulanmıştı, ancak Shadow Brokers'ın NSA araçlarının sızıntılarıyla bu gelişmiş araçlar yaygın olarak mevcuttu ve WannaCry, Industroyer, Petya ve diğer yeni kesmeklerde kullanılıyordu.

Uygulamaya Odaklanın - Kötü Amaçlı Yazılım Değil

Pratik olarak tüm siber tehdit çözümleri malware tanımlar, ayırır, kategorize eder, imzalar yaratır ve öngörülebilir davranış kalıpları arar. Daha güncel çözümler, yapay zekanın geçmiş malware örneklerine dayanılarak yeni davranışları etkili bir şekilde öngörebileceğini iddia ediyor.

Bununla birlikte, bu çözümlerin tümü yalnızca bilinen ve bilinmeyen ve gelecekteki tehditlerdeki sonsuz büyük dünyaya karşı yararsız tehditler algılar. Yeni saldırılar başlatıldığında, keşfedilmeden önce pozlama süresi önemli olabilir ve imza veya yamalar devreye girer. Örneğin, WannaCry'nin kullandığı SMBv1 kusuru 8 yıldan fazla süredir maruz kalmıştı.

Virsec ARMAS, kötü amaçlı yazılım ile Whack-a-Mole'un ebedi bir oyununu oynamak yerine, uygulamanın kendisine odaklanan kökten farklı bir yaklaşım benimser. ARMAS, uygulamaların DNA'sını anlar ve yorumlanan koddan bellek katmanına kadar tam uygulama yığını boyunca doğru davranışlarını haritalandırır. Bir uygulamanın olası tüm iyi davranışlarını anlayan ARMAS, beklenmedik kötücül yazılım faaliyetlerini gösteren herhangi bir kötü davranışı anında tespit edebilir. Aslında, Virsec'in patentli teknolojisi sinsi bellek yolsuzluk saldırılarını varolan diğer teknolojiler tarafından tespit edilemez bulabilir.

ARMAS, NIST Ulusal Vulnerability Veritabanı (NVD) karşısında test edildi ve yanlış pozitif olmaksızın% 100 algılama oranlarına sahip olduğu bulundu. Bu çarpıcı sonuç ARMAS'ın deterministik olması ve kötü amaçlı yazılımları takip etmek yerine uygulamaya odaklandığı için mümkündür. Uygulamanın muhtemel yasal davranışından sapma, yanlış ve muhtemel yasadışı faaliyetin kesin bir göstergesidir.

ARMAS'ın anlık algılama ve yüksek doğruluğa sahip olması nedeniyle uyarılar, otomatik olarak etkilenebilir; eski yanlış çözümlerle uyuşan yorgunluklardan kaçınılmalıdır. ARMAS, saldırı uyarılarına otomatik yanıt vererek uygulamaları korur ve özel eylemler için API'ler sağlar. ARMAS, güvenlik yamaları ile yetinmeyen eski çözümleri de içeren herhangi bir uygulamayla da kurulabilir.