APT (Advanced Persistent Threat)

Een APT-aanval is een type cyberaanval die wordt uitgevoerd door een gemotiveerde aanvaller die over veel middelen beschikt en die als doel heeft om langdurig toegang te krijgen tot het netwerk van een doelwit. De aanval wordt in verschillende fasen uitgevoerd:

1. Inlichtingen verzamelen: De APT-aanvaller verzamelt informatie over het doelnetwerk, vaak via phishingmails, malwarebijlagen en kwetsbaarheden in software.
2. Punt van binnenkomst: De aanvaller vindt een manier om het systeem binnen te komen en malware te installeren, met behulp van technieken zoals phishing-e-mails of het misbruiken van zwakke plekken in software.
3. Commando- en controleserver: De aanvaller zet een communicatiekanaal op met de malware, meestal via een IP-adres in een ander land.
4. Zijwaartse beweging: De aanvaller krijgt toegang tot meerdere machines op het netwerk door kwetsbaarheden in software te misbruiken en gestolen referenties te gebruiken.
5. Gegevensoverdracht: De aanvaller steelt gegevens door ze te exfiltreren, meestal door ze te comprimeren en te versleutelen om detectie te voorkomen.
6. Verhullen: De aanvaller verbergt zijn sporen, verwijdert bestanden, schakelt logging uit of gebruikt andere middelen om de aanval moeilijk te detecteren te maken.

Hoe adequate beveiliging uitvoeren tegen geavanceerde bedreigingen

We zijn op een keerpunt gekomen in de beveiliging wanneer organisaties moeten accepteren dat ze gehackt zullen worden. Het is ook redelijk om aan te nemen dat alle kritieke systemen die verbonden zijn met een netwerk en vervolgens worden blootgesteld aan het internet, al gecompromitteerd zijn.

Er zijn geen garanties dat een organisatie vrij is van de dreiging. Een organisatie kan hopen dat ze niet gehackt wordt, maar het is verstandig om voorzorgsmaatregelen te nemen voor het geval dat. En als er een inbreuk plaatsvindt, kan deze zo snel mogelijk worden gedetecteerd.

Het is cruciaal om het probleem snel te vinden, zodat het niet opnieuw gebeurt.

Onze topprioriteit is om ons bedrijf draaiende te houden en de beste manier om dat te doen is door datalekken in een vroeg stadium op te sporen en snel te reageren om de schade te beperken. Helaas hebben recente gebeurtenissen aangetoond dat bedrijven meer moeten doen om deze compromissen te zien.

De risico's begrijpen

Bedrijven moeten net zo voorzichtig zijn met beveiliging als wij in ons dagelijks leven. Zou jij een reep van de grond eten waar iemand anders al een hap van had genomen? Natuurlijk niet! Op dezelfde manier zouden bedrijven geen onnodige risico's moeten nemen als ze niet weten wat er kan gebeuren of hoe dingen kunnen aflopen.

Helaas zijn diezelfde concepten van gezond verstand nog niet ingeburgerd als het gaat om cyberveiligheid. Het is net zo riskant om een USB-stick die op de grond is gevallen op te pakken en te gebruiken als om voedsel van de grond te eten. De meeste mensen hebben echter van jongs af aan geleerd om dat laatste niet te doen. En het is essentieel om mensen voor te lichten over de gevaren in de digitale wereld.

Focus op de kwetsbaarheden van de organisatie

We richten ons natuurlijk op die bedreigingen die de grootste kans hebben om uitgebuit te worden en een grote impact te hebben. Tien grote kwetsbaarheden zijn gemakkelijker te verhelpen dan 100 kleine. In plaats van één blootstelling per keer te verbeteren totdat deze verdwenen is, maken veel organisaties deze fout en concentreren ze zich op het repareren van één kwetsbaarheid totdat deze verholpen is in plaats van op het verminderen van veel risico's tegelijkertijd.

Deze kortzichtige visie creëert een vals gevoel van veiligheid en geeft CISO's de indruk dat ze hun werk doen, terwijl ze in werkelijkheid slechts marginale verbeteringen aanbrengen.

Bovendien, wanneer de beveiliging van een organisatie wordt geschonden, staat niet alleen de baan van de CISO op het spel. De reputatie van het hele bedrijf staat op het spel. Iedereen in de organisatie moet dus op de hoogte zijn van de nieuwste beveiligingsrisico's.

En tot slot, zelfs als een bedrijf een cyberbeveiligingsverzekering heeft, is er meer nodig. De gemiddelde kosten van een datalek zijn $3,86 miljoen, en dat is nog maar het gemiddelde! De totale kosten kunnen veel hoger uitvallen, afhankelijk van de grootte van het bedrijf en het type gegevens dat gestolen is.

Een cyberbeveiligingsverzekering dekt slechts een fractie van de totale kosten en draagt niet bij aan een betere beveiliging van het bedrijf. Dus zelfs als een bedrijf een verzekering heeft, is het nog steeds in het belang van het bedrijf om er alles aan te doen om een inbreuk te voorkomen.

Aanvalsoppervlak verkleinen

Een van de kritieke gebieden voor het voorkomen van APT-bedreigingen is het verkleinen van het aanvalsoppervlak of het verwijderen van externe componenten die niet worden gebruikt. Redelijke hardening procedures en solide configuratiebeheer is de sleutel tot succes.

Open poorten en scripts kunnen een organisatie kwetsbaar maken voor beveiligingslekken. Als deze services worden gehackt, kunnen de gevolgen desastreus zijn. Maar als een organisatie services gebruikt die niet voor legitieme doeleinden zijn bedoeld en die services zijn gecompromitteerd, dan heb je alle recht om je zorgen te maken.

Veel succesvolle APT-aanvallen hebben gebruik gemaakt van ingeschakelde mogelijkheden, maar worden niet gebruikt voor praktische doeleinden.

Organisaties kunnen hun beveiliging verbeteren door het aantal functies van software, applicaties en systemen te verminderen. Minder functies betekent minder mogelijkheden voor aanvallers om een weg naar binnen te vinden.

Wees u bewust van HTML-inhoud in e-mails

Organisaties die HTML-ingebedde inhoud in hun e-mail gebruiken, zijn vatbaarder voor spear-phishingaanvallen van APT's. Hoewel sommige mensen de HTML-functies in een e-mail gebruiken om te spelen met kleuren en achtergronden of om inhoud in te sluiten, hebben de meeste bedrijven HTML niet nodig voor hun dagelijkse activiteiten.

Soms sturen mensen je e-mails met links erin. Mensen klikken misschien op de link en denken dat die hen naar de gewenste bestemming brengt. Maar cybercriminelen hebben een manier gevonden om de werkelijke bestemming in de code van de e-mail te verbergen. 

Als organisaties HTML-e-mail zouden uitschakelen, zouden ze veel spear phishing-aanvallen kunnen stoppen.

Bewustmaking van gebruikers

Veel gevaren komen een netwerk binnen via frauduleuze middelen, zoals het verleiden van de gebruiker om een bijlage te openen of op een link te klikken die ze niet zouden moeten openen. Sessies kunnen de algehele blootstelling al een heel eind verlagen door de acties te beperken die een gebruiker mag uitvoeren met het juiste bewustzijn.

Gedrag rangschikken

Vaak gebruiken geavanceerde aanvallers standaard tactieken om te bepalen of iets veilig is. Hoewel deze methode niet erg betrouwbaar is, wordt hij nog steeds veel gebruikt door talloze aanvallers.

Aanvallers willen onopgemerkt blijven, dus je moet voorzichtig zijn met hun acties. Veel aanvallers proberen eruit te zien als normaal verkeer. Ze doen dit zodat ze langs de beveiliging kunnen zonder opgemerkt te worden. Maar als ze eenmaal binnen zijn, tonen ze hun ware bedoelingen. Je moet dus letten op bepaalde soorten gedrag en uitzoeken of het meer lijkt op een gewone gebruiker of iemand met kwade motieven.

Een sandboxing-omgeving maken

Een sandbox is een geïsoleerde testomgeving die gebruikers in staat stelt om programma's uit te voeren of bestanden uit te voeren zonder de rest van het systeem te beïnvloeden.

Een typische bedrijfsomgeving heeft veel gebruikers die toegang nodig hebben tot verschillende applicaties en gegevens. Niet alle gebruikers hebben echter toegang nodig tot alle applicaties en gegevens. De meeste gebruikers hebben slechts toegang nodig tot een kleine subset van de applicaties en gegevens.

Door een sandbox-omgeving te creëren, kunnen bedrijven de hoeveelheid gegevens en applicaties beperken waartoe gebruikers toegang hebben. Een sandbox minimaliseert de kans op een datalek en verkleint de impact als dat toch gebeurt.

Daarnaast kan sandboxing ook helpen voorkomen dat malware zich verspreidt. Als een gebruiker een bestand opent dat malware bevat, wordt de malware geïsoleerd in de sandbox en kan deze de rest van het systeem niet infecteren.

Minimaal privilege implementeren

The least privilege is een beveiligingsprincipe dat stelt dat gebruikers alleen het minimale toegangsniveau moeten krijgen dat nodig is om hun werk uit te voeren.

Gebruikers moeten bijvoorbeeld alleen bewerkingstoegang krijgen als ze gegevens uit een database lezen. Door gebruikers te beperken tot het minimaal noodzakelijke toegangsniveau, kunnen bedrijven de kans op een datalek verkleinen.

Daarnaast moeten bedrijven ook overwegen om de laagste privileges te implementeren voor applicaties. Als een applicatie alleen gegevens uit een database hoeft te lezen, moet je deze geen schrijftoegang geven. Door applicaties te beperken tot het minimaal noodzakelijke toegangsniveau, kunnen bedrijven de kans op een datalek verder verkleinen.

Het uitgaande verkeer van het netwerk beveiligen

Omdat de kans groter is dat uitgaand verkeer gegevens bevat die van een netwerk zijn gestolen, is het nog belangrijker om dit verkeer te bewaken. Door naar uitgaand verkeer te kijken, kun je ongebruikelijke activiteiten identificeren en stappen ondernemen om te voorkomen dat je bedrijf schade wordt berokkend.

Begrijpen hoe de overtreding werkt

Om uw organisatie te beschermen tegen APT-aanvallen, moet u begrijpen hoe de aanvallen werken. U moet ook op de hoogte blijven van de nieuwste aanvalsmethoden om uw verdediging voor te bereiden.

Controleer het eindpunt

Aanvallers kunnen een endpoint gebruiken om een netwerk binnen te komen, maar hun hoofddoel is meestal om gegevens te stelen. Als u uw gegevens wilt beschermen en de impact van een aanval wilt minimaliseren, focus op het beveiligen en bewaken van het eindpunt.

Organisaties kunnen veel verschillende technieken gebruiken om het endpoint te controleren. Een standaardmethode is het vereisen van twee-factor authenticatie (TFA) voor alle gebruikers. TFA zorgt ervoor dat alleen geautoriseerde gebruikers toegang hebben tot de gegevens.

Een andere methode is om whitelisting van applicaties te gebruiken. Deze techniek staat alleen goedgekeurde applicaties toe om op een endpoint te draaien. Door te controleren welke applicaties mogen draaien, kunt u het risico op een aanval verkleinen.

U kunt ook monitoringtools gebruiken om het endpoint te controleren. Deze tools kunnen u helpen bij het detecteren van en reageren op verdachte activiteiten.

Een gegevensclassificatiesysteem implementeren

Je moet een geschikte gegevensclassificatieprocedure hebben om je bedrijf te beschermen tegen APT's. Een gegevens classificatiesysteem betekent weten welke informatie gevoelig genoeg is om te moeten worden beschermd. Een van de problemen met APT's is dat ze voortdurend gegevens uit je organisatie proberen te stelen. Je kunt alleen voorkomen dat sommige dingen je bedrijf verlaten, maar met een geschikte procedure voor dataclassificatie kun je je verdedigen tegen deze aanvallen.

De beste manier om je gegevens op te slaan is via een opslagnetwerk op internet. Dit opslagnetwerk is zeer veilig en zal helpen om je gegevens veilig te houden. Het is ook belangrijk om alleen noodzakelijke informatie het bedrijf te laten verlaten, zodat gevoelige gegevens intact blijven.

Als je twee bestanden hebt, waarvan het ene publiekelijk bekend is en het andere vertrouwelijk, loopt het vertrouwelijke bestand een groter risico omdat mensen misschien niet weten dat het geheim is. Een organisatie kan nu de informatiestroom reguleren en beheren met een oplossing voor de preventie van gegevensverlies (DLP) die nauw verbonden is met het beheer van digitale rechten (DRM).

Er zijn verschillende stappen in een geschikte gegevensclassificatieprocedure:

1. Bepaal de beheerder

2. Geef de soorten gegevens op

3. Categoriseer de gegevens

4. Beveiligingselementen instellen

5. Train werknemers over de procedure

6. De procedure bewaken en herzien

3. Bepaal de waarde van de gegevens

4. Classificeer de gegevens

5. Een beleid maken

6. Medewerkers opleiden

7. Het beleid handhaven

8. Toezicht houden op naleving

Een gegevensclassificatieprocedure is een essentieel onderdeel van elk beveiligingsplan. Door een classificatieprocedure te implementeren, kun je je bedrijf helpen beschermen tegen APT's.

Cyberbeveiliging is cruciaal. Organisaties zullen gehackt blijven worden, maar we blijven vechten. 

We kunnen niet altijd elke aanval stoppen, maar door voorbereid en ijverig te zijn, kunnen we de schade die hackers kunnen aanrichten beperken.