Leak Intelligence: jak dane z wycieków stają się realnym sygnałem ostrzegawczym
Incydent bezpieczeństwa rzadko wygląda tak dramatycznie, jak to sobie wyobrażają firmy. To raczej coś, co rozciąga się w czasie. Zazwyczaj zaczyna się na długo przed tym, zanim ktokolwiek w ogóle zauważy problem.
Przejęte konto, nieaktualizowany laptop lub sprzęt sieciowy, stare wszędzie używane hasło, loginy, które od miesięcy kręcą się po różnych forach, a nikt nie uznał ich za istotne. Po drugiej stronie atakujący nie czeka grzecznie, aż ktoś w firmie mu przeszkodzi. Po prostu zaczyna testować zdobyte dane, sprawdza je, gdzie się da.
Moment, w którym coś zaczyna działać, to już właściwie incydent. Cały sens Leak Intelligence to przesunąć ten punkt, znaleźć zagrożenie zanim ktoś zdąży użyć danych naprawdę.
Nie chodzi tylko o sam „wyciek”, ale o zrozumienie, co te dane znaczą
Rys. 1. Przykład cyberprzestępczej oferty sprzedaży świeżych logów z infostealera, zawierających dane, które mogą stać się sygnałem ostrzegawczym dla organizacji.
Samo znalezienie adresu e-mail czy hasła w wycieku jeszcze nic nie zmienia. To dopiero początek pracy. Dane w cyberprzestępczym podziemiu wyglądają bardzo różnie. Czasem to stare, nieprzydatne bazy, kiedy indziej, świeże wyniki z siejących złośliwym oprogramowaniem infostealerów, albo fragmenty pakietów sprzedawane hasłem „dostęp do firmy”.
I tu jest problem. Te same dane mogą oznaczać bardzo różne ryzyko. Stare, nieaktualne hasło? Może być bezużyteczne. Ale jeśli wciąż działa albo jest połączone z aktywną sesją (cookie, token, zapamiętane logowanie), wtedy mamy prawdziwy problem. Często wystarczy aktywna sesja, żeby atakujący nie musiał już łamać hasła, lub zmiana jednego znaku i po prostu wchodzi do środka. Czasem reset hasła nie zatrzyma ataku, bo napastnik ma wciąż otwarte drzwi.
Infostealery wywróciły cały temat wycieków do góry nogami
Rys. 2. Przykładowa zawartość logów z infostealera: zapisane hasła, pliki cookies, dane przeglądarek, informacje o systemie i uruchomionych procesach.
W ostatnich latach najważniejsza zmiana to nie tylko nowe źródła danych, ale ich jakość. Infostealery, czyli malware kradnące wszystko z urządzeń, sprawiły, że wycieki nie są już tylko statycznymi tabelami haseł. Tam są całe profile użytkowników. W tych logach znajdziesz o wiele więcej: pliki cookies, tokeny sesyjne, dane zapisane w przeglądarce, formularze, informacje o systemie. To znaczy, że wejście do organizacji nie zawsze oznacza łamanie hasła. Często wystarczy mieć aktywną sesję.
Widziałem przypadki, gdzie po resecie hasła dalej działały stare tokeny. Hasło nie stanowiło już żadnej bariery, a klasyczne „zmień hasło i zapomnij” po prostu zawiodło. Najczęstszy błąd przy analizie wycieków, to podejście do nich jak do checklisty rekordów.
Tymczasem każda informacja powinna wywoływać kolejne pytania:
► Czy to konto w ogóle jeszcze istnieje?
► Czy ma dostęp do ważnych systemów?
► Czy jest MFA?
► Ostatnie logowania – widoczne, nietypowe?
► Jak świeże są te dane?
Dopiero odpowiedzi na te pytania, to prawdziwa „inteligencja”.
Nie każdy wyciek znaczy to samo
Rys. 3. Przykład struktury logów z infostealera zawierającej plik z zapisanymi hasłami oraz dane pochodzące z przejętej przeglądarki.
Różne wycieki, różne zagrożenia. Najpowszechniejsze są poświadczenia, czyli login i hasło. W środka”. Są też wycieki zupełnie innych danych: dokumenty firmowe, listy klientów, umowy. Tu nie chodzi tylko o bezpieczeństwo, ale też o prawo
i reputację. Kolejna kategoria – klucze API, tokeny, dane do repozytoriów. Niby „techniczne szczegóły”, ale mogą od razu dać wrogowi dostęp do kluczowych elementów infrastruktury. No i ta najbardziej jednoznaczna sytuacja: ktoś jawnie oferuje dostęp do organizacji np. poprzez VPN, panel admina, konto w chmurze. To już nie monitoring, to aktywny incydent.
Samo śledzenie marki to za mało
Rys. 4. Przykład zestawu archiwów z wykradzionymi logami, udostępnionych do pobrania i dalszej analizy w ramach Leak Intelligence.
Wiele firm zaczyna od monitorowania swojej nazwy i domeny. To nie szkodzi, ale wystarczy tylko na chwilę. Napastnicy nie zawsze korzystają z oficjalnych danych. Czasem operują na nazwach spółek-córek, subdomenach, skrótach, kontach technicznych, czy przez systemy partnerów. Takie konteksty mogą przejść niezauważone, jeśli monitoring ogranicza się tylko do „brand protection”. Ale samo poszerzenie zakresu monitoringu też nie wystarczy, jeśli nie stoi za nim spójny proces.
Liczy się proces, nie tylko narzędzie
Leak Intelligence, to nie kolejna aplikacją do analizy rekordów, tylko cały proces, który może: zbierać dane z wielu miejsc, oddzielić szum od realnych zagrożeń, połączyć z kontekstem firmy, zrozumieć ryzyko. A na końcu, skutecznie zareagować.
I właśnie na tym ostatnim etapie zwykle pojawia się problem, czyli odpowiedzialność za decyzję. Zbyt często technologia nie zawodzi, po prostu brakuje kogoś, kto podejmie decyzję, że coś naprawdę jest incydentem.
Problem numer jeden: wszystko świeci się na czerwono
Rys. 5. Przykład uporządkowanych katalogów zawierających logi wykradzione z zainfekowanych urządzeń i przygotowane do dalszej analizy.
W wielu organizacjach każdy alert traktuje się tak samo. System zarzuca ludzi powiadomieniami, z których większość nie ma realnego znaczenia. Efekt? Szum. I przez ten szum łatwo przegapić coś naprawdę ważnego. Część rekordów to przeterminowane dane, część jest przypadkowa albo dubluje się ze starymi wyciekami. Ale zdarzają się te, które wymagają natychmiastowej reakcji i trzeba potrafić je wychwycić, inaczej cały system nie ma sensu. Te same pytania, które zadajemy przy pojedynczym rekordzie - czy konto istnieje? czy ma dostęp? czy jest świeże? - trzeba umieć zadawać przy setkach alertów naraz, szybko i bez wyjątków.
Prawdziwa wartość to nie tabela „znalezisk”. Częsty błąd to chwalenie się liczbami: ile rekordów, ile alertów, ile wycieków. To nie ma znaczenia. Ważne jest to, że firma wykrywa przejęcia szybciej, zdąży zareagować zanim dane zostaną użyte, ogranicza skutki działania infostealerów, skraca czas ekspozycji i potrafi powiązać dane z konkretnym ryzykiem biznesowym. To są rzeczy mierzalne operacyjnie, nie statystycznie.
Podsumowanie
Leak Intelligence nie polega na ściganiu każdego wycieku w sieci. Chodzi o zrozumienie, czy dane, które „gdzieś już krążą”, mogą naprawdę komuś posłużyć przeciwko organizacji. I to jest cały sens tej zabawy.
W cyberbezpieczeństwie czas ma znaczenie, ale wygrywa nie ten, kto pierwszy zauważy wyciek, ale ten, kto pierwszy zrozumie, co te dane oznaczają, do czego mogą posłużyć i zacznie działać, zanim zrobi to atakujący.
Karol Kij
Dyrektor Działu Rozwiązań Cyberbezpieczeństwa | Ambasador CyberOdporności
CyberShieldON
CyberShieldON – Gdy wiedza spotyka decyzję.
Tutaj cyberbezpieczeństwo to nie tylko technologia, ale też konsekwencje wyborów, ryzyko systemowe i odpowiedzialność.
Łączymy doświadczenie z projektów z refleksją nad tym, jak naprawdę działa organizacja i jak ją chronić. Dzielimy się praktyką, która wytrzymała presję, oraz pytaniami, które zmieniły kierunek działania.
To miejsce jest dla Ciebie, jeśli tworzysz systemy, zarządzasz bezpieczeństwem, projektujesz architekturę i nie zatrzymujesz się wyłącznie na poziomie technologicznym.
Strona www stworzona w kreatorze WebWave.