Respuesta a incidentes y recuperación de una brecha de seguridad con un vector de ataque desconocido

Está viendo esto desde una perspectiva de seguridad y (supongo) desde la perspectiva de un profesional de la seguridad. Suponiendo que la empresa está en el negocio de hacer dinero, cerrarán el mínimo tiempo necesario porque afectará las ganancias. Rara vez tendrá mucha información sobre si pueden permanecer desconectados o no mientras realizan el análisis de la causa raíz. Demonios, la mayoría de las investigaciones de infracciones en las que he participado, los sistemas simplemente se restauran a partir de copias de seguridad, no se realiza ninguna investigación sobre lo que sucedió hasta que se vieron afectados por enésima vez en unos pocos meses, y no se nos da casi nada Para trabajar en la búsqueda de la causa raíz. La administración se preocupa por los dólares, y aunque los procesos pueden cambiar con cosas como GDPR, dudo que esto cambie demasiado, excepto que se despedirá a más personal de TI después de una infracción. En cuanto a su pregunta sobre las capacidades de "excelente detección de intrusiones", generalmente también faltan. Si leíste el Informe de amenazas de Verizon: enlace en la página 10 da un desglose en ' descubrimiento ', y es generalmente en los meses para detectar un compromiso.

Hay una idea errónea en su pregunta sobre las técnicas de ataque y las vulnerabilidades que se utilizan en estos incidentes de seguridad espectaculares y ampliamente conocidos.

generalmente se clasifican con métricas (sobre otras) como gravedad y complejidad . Por lo general (!) Cuanto más complejo es un ataque, más difícil es el análisis forense involucrado para averiguar qué sucedió exactamente. Los ataques que mencionas son realmente difíciles de ejecutar y, por lo tanto, difíciles de investigar. Pero el punto más importante aquí es que, según las compañías afectadas, no son los que utilizaron los atacantes en estos incidentes populares.

Tomemos la brecha de Equifax por ejemplo. Cita de Wikipedia :

  

Equifax dijo que la brecha se facilitó al usar una falla en Apache Struts (CVE-2017-5638). Se lanzó un parche para la vulnerabilidad el 7 de marzo, pero la compañía no aplicó las actualizaciones de seguridad antes de que se produjera el ataque 2 meses después. Sin embargo, este no fue el único punto de falla: los factores contribuyentes incluyeron el diseño inseguro de la red que carecía de suficiente segmentación, el cifrado potencialmente inadecuado de la información de identificación personal (PII) y los mecanismos de detección de infracciones ineficaces.

Estos no describen ningún vector de ataque sofisticado. La falla de Apache Struts era bastante conocida en ese momento y Struts en sí era (según mi conocimiento) un marco ampliamente utilizado. Cada vez que se publica un CVE como este , los atacantes lo prueban El mundo inmediatamente . Equifax IT debería haber reparado sus sistemas lo antes posible, pero no lo hicieron. Por otro lado, parchear sus servidores toma algún tiempo, pero no toma para siempre. Por lo tanto, puede limitar la disponibilidad de su servicio por un tiempo y luego volver a aumentar lentamente, una vez que se actualicen los servidores.

Además: si Equifax hubiera tenido la segmentación, el cifrado o la detección adecuados, las tres técnicas extremadamente conocidas y necesarias para mejorar la seguridad, la violación hubiera sido la mitad mala. Pero no lo hicieron.

Mi punto es: los atacantes no necesitan explotaciones complejas encadenadas para crear una nueva Stuxnet para hackear grandes corporaciones como Equifax o Quora. Una hazaña de RCE de dos meses es lo suficientemente buena.

Para agregar un poco de especulación por mi parte, para responder a tu pregunta "¿Por qué pueden reaccionar tan rápido" desde un ángulo diferente? Supongo que la mayoría de estas empresas conocían estos agujeros de seguridad. Y conocer las vulnerabilidades en su red facilita mucho el análisis forense.