מערך הסייבר: התרעה חמורה: תקיפות לשיבוש פעילות ברשתות ארגוניות
מאת:
מערכת Telecom News, 7.3.26, 23:12
במערך הסייבר הלאומי התקבלו מספר דיווחים על אירועי סייבר חמורים שבהם תוקפים הצליחו באמצעות פרטי הזדהות שנגנבו בעבר להשיג גישה לרשתות ארגוניות ולבצע מחיקה של שרתים ועמדות קצה כדי לשבש את פעילות הארגונים המותקפים. מהן דרכי ההתמודדות?
למערך הסייבר הלאומי דווחו מספר מקרים בהם תוקפים השיגו נגישות לרשתות ארגוניות וביצעו מחיקה של שרתים ועמדות, כדי לשבש את פעילות הארגונים המותקפים. בחלק מהמקרים, נתוני גישה קיימים של משתמשים ארגוניים לגיטימיים היו ברשות התוקף, ובאמצעותם בוצעה הגישה הראשונית לרשת
.
מחקירת אירועים אלו נמצא כי במקרים רבים, וקטור התקיפה הראשוני הינו שימוש בנתוני הזדהות של משתמשים לגיטימיים ברשתות אלו או בציוד הגישה אליהן, שהושגו באמצעות דלף/גניבה במהלך תקיפות עבר, כולל תקיפות שלא זוהו, או דלף נתוני הזדהות ברשת האפלה, או רכש נתונים אלו ברשת זו וכד'.
אפשרות נוספת היא שימוש בנתוני הזדהות של משתמשים שהוגדרו ע"י התוקפים במהלך ניצול של פגיעויות עבר.
גם אם הפגיעויות עצמן טופלו באמצעות עדכון הציוד בעדכוני האבטחה הרלוונטיים של היצרן, התוקף יכול לשמר נגישות לציוד הגישה ולרשת הארגונית אם לא הוחלפו נתוני ההזדהות הרלוונטיים, או שהחשבונות שהגדיר במהלך התקיפה טרם נמחקו.
דרכי התמודדות
מומלץ מאד לחייב בהקדם האפשרי שינוי סיסמה לכל המשתמשים במערכות מסוג
ZTNA/VPN או כל מערכת גישה מרחוק אחרת שבשימוש ארגונכם כולל תוכנות
RMM המותקנות על עמדות קצה, ובפרט לבעלי הרשאות מנהלן.
מומלץ להפעיל הזדהות דו שלבית חזקה לכל המשתמשים, במיוחד לבעלי הרשאות מנהלן.
מומלץ מאד לבדוק בהקדם האפשרי כי לא מוגדרים במערכות אלו משתמשים שאינם מוכרים, בפרט בעלי הרשאות מנהלן.
מערכות גישה מרחוק מאפשרות במקרים רבים הגדרת הזדהות באמצעות סיסמה של מערכת ארגונית אחרת, לרוב מסוג
Directory Active. אם מערכת הגישה מרחוק של ארגונכם מאפשרת הזדהות מסוג זה, מומלץ מאד להחליף מיידית את הסיסמה של החשבון באמצעותו ניגש ציוד הגישה מרחוק לשרת ה-
AD. במקרה של חשד לניצול גישה מסוג זה, מומלץ לבחון החלפת כלל סיסמאות המשתמשים ב-
AD.
מומלץ מאד לבחון חידוש כל התעודות הדיגיטליות המוגדרות בציוד הגישה מרחוק, בפרט אם קיים חשד לתקיפה בעבר.
מומלץ מאד להגדיר בציוד הגישה מרחוק הזדהות חזקה
FA2 לכל המשתמשים ובפרט למנהלנים, רצוי בשיטה החסינה למתקפות דיוג.
וודאו כי ציוד הגישה מרחוק מעודכן לגרסת האבטחה העדכנית ביותר, והקפידו לעדכנו באופן עיתי.
יישום צעדים אלו עשוי לצמצם משמעותית את הסיכון לניצול נתוני גישה קיימים ולמנוע פגיעה בפעילות הארגון.
