2015 GLOBAL THREAT INTELLIGENCE REPORT SAMMENDRAG 1
SAMMENDRAG INNLEDNING: GLOBAL THREAT INTELLIGENCE REPORT 2015 De siste årene har sikkerhetsbransjen med rette fokusert mye på Advanced Persistent Threats (APT-er, eller avanserte trusler). Avanserte trusler går etter virksomhetenes kronjuveler, og selv de mest respekterte leverandørene av sikkerhetsløsninger har utfordringer med å oppdage når avanserte angrep er i emning. Likevel trenger ikke angrep å være avanserte for å lykkes dersom man mangler grunnleggende sikkerhetstiltak, som prosesser for å tette sikkerhetshull, prosedyrer for å håndtere hendelser, endepunkts-beskyttelse eller brukere som er opplærte til å oppdage phishing-angrep eller virus på datamaskinen. Dersom angriperen utnytter en gammel sårbarhet eller lykkes med et såkalt social engineering-angrep kan de bruke avanserte teknikker for å fortsette angrepet. Denne rapporten viser at APT-er ikke er den eneste angrepsformen virksomheter bør bekymre seg for. NTT Groups data fra 2014 forteller oss at organisasjoner fortsatt ikke har tilstrekkelig og aktiv beskyttelse mot mindre avanserte angrep, som scanning-verktøy, spear phishing og exploit kits. Denne rapporten fokuserer derfor på teknikker som brukes ved mindre avanserte angrep, og gir råd om hvordan virksomheter effektivt kan beskytte seg mot- og svare på angrepene. Rapporten inkluderer også et kapittel om risiko for sluttbrukere, som er målene for exploit kit- og spear phishing-angrep. Sluttbrukere er ofte veien inn i organisasjonen for nettkriminelle. Dette må virksomheter ta konsekvensen av. 2
SAMMENDRAG Sikkerhetsbransjen messer på det samme omkvedet: Alle må forvente å bli angrepet. Dessverre er det mange som ikke hører etter. NTT Groups observasjoner i 2014 viser at de fleste organisasjoner ikke er tilstrekkelig forberedt på å håndtere store hendelser i sine miljøer. NTT observerer at de fleste organisasjoner ikke er tilstrekkelig forberedt på å håndtere store hendelser i sine miljøer. Threat Intelligence er et hett tema, men det er ulike oppfatninger av definisjonen. Derfor har vi inkludert en kort beskrivelse av dette, og hvordan man kan jobbe med det. Godt implementert Threat Intelligence kan være et viktig supplement til virksomhetens sikkerhetstiltak. DDoS-angrep (Distributed Denial of Service) er angrep fra ulike kilder som skal gjøre et nettsted eller system utilgjengelig. Vi presenterer en oversikt over DDoS-angrepene NTT Group så i 2014, med fokus på utviklingen i spesifikke angrep og informasjon og statistikk knyttet til de ulike typene angrep vi har sett. Hver seksjon av rapporten gir anbefalinger, slik at virksomheter kan vurdere om de har tilstrekkelig vern mot trusler. 3
TRENDER I ULIKE MARKEDER OG BRANSJER Årets rapport gir innsikt i ulike trusler vi har sett hos våre kunder, og vi ser på variasjoner ut fra lokasjon og bransjer. Finans er fortsatt den mest utsatte Finans er fortsatt den mest utsatte bransjen, med 18 prosent av alle bransjen, med 18 prosent av alle oppdagede angrep. De fleste hendelsene oppdagede angrep. som krevde tiltak var knyttet til svindel, phishing og spear phishing. Angrep mot bransjer som leverer Angrep mot bransjer som leverer konsulenttjenester økte fra 9 til konsulenttjenester økte fra 9 til 15 prosent. 15 prosent. Dette er attraktive mål fordi de ofte har kundeforhold med andre store og viktige virksomheter. Hendelser knyttet til ondsinnet programvare i utdanningssektoren ble redusert fra 42 prosent til 35 prosent. Selv om det er en betydelig reduksjon fra 2013-tallene står utdanningssektoren for mer enn en tredjedel av alle malware-hendelser, uavhengig av bransje. 56 prosent av angrepene mot NTTs globale kundebase stammet fra IP-adresser i USA. Dette er en økning på syv prosent fra 2013. Angripere bruker ofte systemer nært målene for å omgå sikkerhetsløsningers geo-filtre, samtidig som USA er et land der nettverkskvaliteten er god og angripere har tilgang på ressursene som trengs. 4
SÅRBARHETER, ANGREP OG UTNYTTELSE Et exploit kit er en ondsinnet verktøykasse som setter sammen ulike teknikker i en pakke, slik at de enklere kan brukes til målrettede angrep mot sluttbruker-systemer. Årets analyser av exploit kits bekrefter fjorårets funn, og gir informasjon om hvilke konsekvenser slike hacker-pakker kan ha for en virksomhet. Over 80 prosent av sårbarhetene i exploit kits i 2014 ble publisert i 2013 og 2014. I 2012 var den gjennomsnittlige alderen på sårbarheter i exploit kits litt under to år. I 2013 og 2014 var sårbarhetene i snitt bare litt over ett år gamle. De kriminelle som utvikler pakkene jobber med brukervennlighet og effektivitet for å sikre at angrep lykkes bedre. I nettkriminalitetsbransjen er det viktig å lage pakker som er mest mulig oppdaterte. Bruken av Adobe Flash-exploits i slike pakker har økt fra 2012 til 2014. I 2014 var antall Flash-relaterte sårbarheter høyere enn noen gang. Exploit kit-et Angler brukte zero-day Adobe Flash-sårbarheter, noe som skilte det fra andre pakker. Network Time Protocol (NTP) amplification-angrep sto for 32 prosent av alle DDoS-angrep som NTT Group oppdaget i 2014. I første kvartal 2014 sto NTP amplification for den største DDoS-aktiviteten gjennom året. Det er enkelt å sette i gang slike angrep, samtidig som DDoS-verktøy er lett tilgjengelige. DDoS-anrep som brukte User Datagram Protocol (UDP, både SSDP og DNS) sto for 63 prosent av alle DDoS-angrepene. I 2014 var 76 prosent av identifiserte sårbarheter mer enn to år gamle, og ni prosent var over ti år gamle. 5
Tatt i betraktning at sårbarhetene i rapporten har en Common Vulnerability Scoring System-score på fire eller høyere burde virksomheter se på hvor effektive de er til å tette hull. Ifølge CVSS betyr en score på fire eller høyere at risikoen er medium til stor, og man ville ikke bestå compliance-revisjoner. Mange av disse sårbarhetene utnyttes også av exploit kits. 26 prosent av angrepene på web-applikasjoner var injeksjonsbaserte i 2014, en økning på ni prosent fra forrige rapport. Injeksjonsbaserte angrep er injeksjoner av ondsinnet kode eller data inn i et mottakersystem som tror det mottar en gyldig forespørsel. Disse angrepene gjør det mulig å ta ut data fra systemene eller å utføre kommandoer. Angrepene er mulig fordi kodeprak sisen er for dårlig, samtidig som man ikke tester applikasjoner godt nok. Pro grammer arver også sårbarheter fra tredjepartskode og rammeverk. HENDELSESHÅNDTERING OG EKSEMPLER Selv om en virksomhet oppdager angrep, er de ikke alltid like flinke til å håndtere hendelser. I rapporten finner du anbefalinger og eksempler som viser hvilke utfordringer virksomheter møter og hvordan de bør håndtere dem. Hendelseshåndtering er konsentrert rundt tre hovedområder: Ondsinnet kode (malware), DDoS og undersøkelser knyttet til sikkerhetsbrudd. Selv om noen organisasjoner ser at det er viktig å håndtere hendelser med interne ressurser er trenden at de fleste trenger ekstern støtte til dette. Virksomhetene har ressurser for å håndtere vanlig drift, men trenger tredjeparts-støtte for å håndtere mer komplekse sikkerhetshendelser. 6
Tatt i betraktning at sårbarhetene i rapporten har en Common Vulnerability Scoring System-score på fire eller høyere burde virksomheter se på hvor effektive de er til å tette hull. Ifølge CVSS betyr en score på fire eller høyere at risikoen er medium til stor, og man ville ikke bestå compliance-revisjoner. Mange av disse sårbarhetene utnyttes også av exploit kits. 26 prosent av angrepene på web-applikasjoner var injeksjonsbaserte i 2014, en økning på ni prosent fra forrige rapport. Injeksjonsbaserte angrep er injeksjoner av ondsinnet kode eller data inn i et mottakersystem som tror det mottar en gyldig forespørsel. Disse angrepene gjør det mulig å ta ut data fra systemene eller å utføre kommandoer. Angrepene er mulig fordi kodeprak sisen er for dårlig, samtidig som man ikke tester applikasjoner godt nok. Pro grammer arver også sårbarheter fra tredjepartskode og rammeverk. HENDELSESHÅNDTERING OG EKSEMPLER Selv om en virksomhet oppdager angrep, er de ikke alltid like flinke til å håndtere hendelser. I rapporten finner du anbefalinger og eksempler som viser hvilke utfordringer virksomheter møter og hvordan de bør håndtere dem. Hendelseshåndtering er konsentrert rundt tre hovedområder: Ondsinnet kode (malware), DDoS og undersøkelser knyttet til sikkerhetsbrudd. Selv om noen organisasjoner ser at det er viktig å håndtere hendelser med interne ressurser er trenden at de fleste trenger ekstern støtte til dette. Virksomhetene har ressurser for å håndtere vanlig drift, men trenger tredjeparts-støtte for å håndtere mer komplekse sikkerhetshendelser. 7
NTT Group måtte sjeldnere støtte håndtering av DDoS-angrep, med en nedgang fra 31 prosent i 2013 til 18 prosent i 2014. Dette skyldes mer tilgjengelig og rimelig priset teknologi, samtidig som kunnskap om DDoS-avverging øker. Selv om NTP- og SSDP-angrep økte i 2014, greide eksisterende sikkerhetsløsninger og prosesser å håndtere dette i større grad. Håndtering av hendelser knyttet til ondsinnet kode økte med ni prosent fra 2013, fra 43 prosent til 52 prosent. Årsaken er mer avanserte og oppdaterte exploit kits. De fleste hendelsene var knyttet til massedistribuert malware. Elementære sikkerhetstiltak er i mange tilfeller ikke implementert. 75 prosent av virksomheter har ikke formelle planer eller prosedyrer for endelseshåndtering. Tilstrekkelig nettverks-segregering, tiltak for å hindre malware, tetting av sikkerhetshull og håndteringsplaner kunne hindret en betydelig del av hendelsene NTT Group registrerte i 2014. Sikkerhetstiltak mangler i mange store organisasjoner. Eksempel: Spear phishing-angrep. En virksomhet sparte over 80 prosent med vellykket avverging av et angrep. I dette eksemplet beskriver vi detaljert hvordan en virksomhet måtte ut med 25000 dollar i utgifter knyttet til et spear phishing-angrep. Uten god håndtering ville kostnaden vært på 127000 dollar eller mer. Case Study: DDoS-angrep på en web-applikasjon. En virksomhet avverget et stort DDoS-angrep fordi det ble oppdaget tidlig og håndtert raskt. Ved hjelp av aktiv DDoS-beskyttelse sikret de full oppetid og avverget en situasjon som ville ført til tap av store summer. 8