Hakerski napad na Uber - 2 lekcije

Nedavni hakerski napad na Uber predstavlja već dobro uspostavljen obrazac: vjeruje se da je počinitelj ista skupina odgovorna za napade na Microsoft, Cisco, Samsung, Nvidiju i Oktu.

Mnogi će prepoznati da napadači uvijek počinju s trivijalnim taktikama društvenog inženjeringa: prijevarom zaposlenika da dopusti pristup internom sustavu. 'Phishing' tehnike stoje iza većine današnjih napada i zato bi stalni i trajni treninzi za podizanje svijesti o sigurnosti (SAT – Security Awareness Trainings) trebali biti norma. "Ručno" pokretane SAT inicijative su neučinkovite i kratkog vijeka: potrebno ih je kontinuirano ažurirati za postojeće zaposlenike (kako bi se pokrile novonastale tehnike krađe identiteta), a ne samo za nove članove tima. Čini se da je neulaganje u SAT softver najveća pogreška koju organizacije čine.

Druga implikacija je krhkost automatizacije nakon što je krađa identiteta bila uspješna. Pogledajte kako je napredovalo hakiranje Ubera:

Uber hack workflow. Izvor: nepoznati korisnik LinkedIn-a

Ključni korak bio je otkriće visoko privilegiranih pristupnih kredencijala u Powershell skripti, što je napadaču omogućilo pristup aplikaciji i infrastrukturnim uslugama u cijeloj organizaciji.

Tvrtke se sve više oslanjaju na automatizirane zadatke putem skripti i API poziva za pokretanje IT operacija. IT infrastruktura se približava modelu koji se zove 'infrastructure-as-code', gdje se pružanje mrežnih i računalnih resursa može orkestrirati putem softvera.

Bez obzira na veću produktivnost, automatizacija često podrazumijeva spremanje kredencijala kao čistog teksta u skripte ili na druge lokacije. Kao takve, zlonamjerni akteri koji imaju uporište u sustavu ih lako mogu otkriti i koristiti. Da stvari budu još gore, kredencijali koji se koriste za automatizirane zadatke često su oni s najvišim ovlastima.

Pouka: osim ulaganja u zaštitu od 'phishinga' i SAT treninge, administratori bi trebali promatrati spremljene kredencijale kao "radioaktivni" materijal - koji je naizgled neaktivan, ali može izazvati veliku štetu.