Avancerede angreb og de skjulte risici Jacob Herbst Søborg, 23. maj 2013
It-udfordringer Interne krav - forretningen Reduktion af omkostninger Grøn it Fleksibilitet Tilgængelighed og performance Interne krav - brugere Adgang til sociale netværk Mobil adgang overalt Work/life balance Consumerization og user empowerment Applikationer Web baserede applikationer Peer-to-peer applikationer Web 2.0 (sociale, wiki, blogs) Nye mobile operativ systemer og applikationer Trusler Organiseret kriminalitet Målrettede angreb - APT Tilfældige angreb og datatab Dag-0 sårbarheder Eksterne krav Compliance Forventninger fra kunder Aftaler og SLA er Teknologisk udvikling Trådløse teknologier og mobile enheder Båndbredde, netværk og IPv6 Telepresense Open Source
Sikkerhedstendenser Udfordrende trusselsbillede APT angreb Dag-0 angreb Polymorfisk angreb Målrettede angreb Avanceret infrastruktur Konvergens på IP-netværk Virtualisering Mobile devices Organizations face an evolving threat scenario that they are ill-prepared to deal with.advanced threats that have bypassed their traditional security protection techniques and reside undetected on their systems. Øget kompleksitet Sikkerhed er komplekst Flere opgaver Manglende interne ressourcer og kompetencer Angreb stiger i kompleksitet og hyppighed Information er blevet strategisk Vores virksomheder bygger på information Kommunikation er vital Dataeksplosion Big data
Hvad er Advanced Persistent Threats (APT)? Advanced Persistent Threats Advanced: Angriberen bruger avancerede metoder målrettet social engineering, specifik malware og dag-0 sårbarheder Persistent: Angriberen er vedholden i udførelsen af angrebet og angrebet kan stå på i flere år. Angrebet er designet til undgå opdagelse og fastholder adgang til systemerne - Low and slow Threat: Dedikerede velorganiserede grupper står bag angrebet og de er motiveret af politiske, økonomiske eller militære motiver som udgør en stor risiko for den der bliver angrebet Bl.a. Gartner bruger også betegnelsen Advanced Targeted Attack
Hvorfor bliver vi angrebet? Intellektuelle værdier Forretningshemmeligheder kan misbruges af konkurrenter Konsekvenser Kunderne har ret til fortrolighed og integritet Tab af kundernes data er uacceptabel Ansvar / risiko for handling Regulatoriske krav (USA) - State "Breach Notification" Love (dvs. SB1386) Negativ indvirkning på "brand value", tab af værdifulde oplysninger, tab af troværdighed, tab af offentlighedens tillid osv. Mistede konkurrencefordele Spionage Konkurrenter Kriminelle Terrorisme Dyson alleges Bosch corporate espionage Tom Espiner, October 25 2012 Engineering firm Dyson has alleged that rival Bosch used an insider to steal company secrets. Dyson filed legal proceedings against Bosch in the High Court on Tuesday, a Bosch spokeswoman told SC Magazine on Wednesday. Dyson alleges that an employee working at its Malmesbury research facility passed details about Dyson motors to Bosch over a period of two years, according to the Independent. "We have spent over 15 years and 100 million developing high speed brushless motors, which power our vacuum cleaners and Airblade hand dryers," Dyson research and development director Mark Taylor said in a statement. "We are demanding the immediate return of our intellectual property." Politiske Angreb Cyberwar http://www.scmagazineuk.com/dyson-alleges-bosch-corporate-espionage/printarticle/265396/
http://krebsonsecurity.com/2012/10/service-sells-access-to-fortune-500-firms/ Udfordringer - sårbarheder og angreb Mindre, hyppigere, målrettede og mere intelligente angreb Specialisering og arbejdsdeling blandt itkriminelle Målrettet screening og misbrug af sårbarheder Målrettet geografisk og efter sprog Unik malware for hver angreb/infektion Blandede angreb Flere samtidige angrebsvektorer Flere samtidige dag-0 sårbarheder Anvendelse af kompromitterede certifikater Sårbarheder i produktionsudstyr - fx PLCudstyr Adskillige anvendelser af f.eks. botnets Social engineering Angreb der udnytter betroede "brands" Angreb rettet mod sociale netværk Social engineering angreb såsom phishing Service Sells Access to Fortune 500 Firms Monday, October 22nd, 2012 at 12:01 An increasing number of services offered in the cybercrime underground allow miscreants to purchase access to hacked computers at specific organizations. For just a few dollars, these services offer the ability to buy your way inside of Fortune 500 company networks. The service I examined for this post currently is renting access to nearly 17,000 computers worldwide, although almost 300,000 compromised systems have passed through this service since its inception in early 2010.
Hændelser - angreb Global Payments: data breach cost a whopping $84.4 million Ellen Messmer July 26, 2012 (Network World) Researchers identify Stuxnetlike malware called 'Flame' Security researchers believe that a newly identified cyberespionage threat called Flame is even more complex than Stuxnet or Duqu Lucian Constantin May 28, 2012 (IDG News Service) A new, highly sophisticated malware threat that Global Payments, which back in the spring was predominantly used in cyberespionage reported a data breach in which information attacks against targets in the Middle East has associated with an estimated 1.4 million been identified and analyzed by researchers payment cards was stolen, has revealed that from several security Cpr.dk companies fortsat and under angreb: expenses associated Accusations with investigations, of fines Chinese Hacking organizations. and remediation has hit in $84.4 Coke s million. Failed Big Deal According to the Offline Iranian Computer for at Emergency lappe huller By MICHAEL J. DE LA MERCED Response Team Cpr.dk (MAHER), er stadig the nede new efter piece tirsdagens of angreb The Atlanta-based payments-processing February 19, 2013, firm 8:36 am malware is called fra hackerbevægelsen Flamer and might be Anonymous. acknowledged that number as part of its fiscal responsible for Leverandøren recent data loss er i incidents fuld gang in med at lukke de report for 2012 revenues, A new which report totaled on Chinese about hackers depicts a wideranging $1.82 cyberwar billion campaign in 2011. against an array of malware is related Af Morten to the K. Stuxnet Thomsen and Duqu Iran. There are sikkerhedshuller, also reasons to believe angrebet that er the sket igennem. $2.2 billion, up 18% from American targets, from computer security providers cyberespionage Onsdag, threats, 7. the november organization 2012 said - 10:44 to power plant suppliers. on Monday. Mere end et døgn efter, at hackerbevægelsen Anonymous tog ansvaret for et angreb på But according to The New York Times, a big deal hjemmesiden cpr.dk, er sitet stadig nede. by the Coca-Cola Company that ultimately failed Læs også: Anonymous slår til i Danmark: Vi ha Telenor cyberespionage attack was also in the sights of the Chinese army s hacker hacket CPR.dk og Atea corps. has Indian origins»leverandøren (Webtop, red.) er ved at lukke Security researchers uncovered de huller, an der active blev benyttet til den ulovlige In 2008, Coca-Cola bid about $2.4 billion large-scale for the cyberespionage indtrængen. operation Derfor of Indian er sitet nede,«siger China Huiyuan Juice Group, a beverage origin company that started several Carsten years Grage, ago der er chef for Økonomi- og based in Beijing, in what would have been By Lucian one of Constantin Indenrigsministeriets kontor for it og CPR. the biggest foreign acquisitions ever in May that 20, country. 2013 11:49 AM ET
Angreb typer og konsekvenser Sandsynlighed Orme og botnet Datatab APT Mål Tilfældige Internet brugere Kreditkort-håndterende virksomheder Regeringer og kritisk infrastruktur Metode Simple angreb SPAM, orme og botnet Avanceret datatyveri Avancerede målrettede angreb spear phishing Mere sofistikerede angreb - APT Kriminalitet og profitdreven Cyber warfare og spionage Cyber-terrorisme og hacktivism RSA Via spear phishing kompromitteres information om SecurID tokens Omkostninger: USD 50-100 mio. Epsilon Oplysninger om 100.000 stjålet efter spear phishing angreb Omkostninger: USD 100 mio. USD 4 mia. Sony Playstation Network Anonymous angreb - 100 mio. brugere kompromitteret Omkostninger: USD 13.4 mia.
Tidligere APT Advanced Persistent Threats Udfordringer - angreb og metoder Synlige Slørede Kompromittering er vanskeligt at detektere Sløringsteknikker til at undgå afsløring Angreb rettet gennem perimeter Truslerne er web-baseret Udbredelsen af netværk overalt gør opdagelse endnu vanskeligere Angreb rettet mod slutbrugere Indirekte angreb på klienter Angreb rettet mod sociale netværk Slutbrugeren bliver narret af social engineering Indirekte angreb via betroede eksterne tredjeparter Sårbarheder i software gør det bare endnu nemmere at narre slutbrugerne Sårbarheder og avancerede dag-0- angreb Hurtig udnyttelse af sårbarheder Misbrug af ukendte sårbarheder - dag-0 Kendte sårbarheder Brede Engangsangreb APT Ukendte dag-0 sårbarheder Målrettede Vedholdende 56% af kompromitteringerne opdages først efter flere måneder Avancerede 59% af kompromitteringerne er først fjernet flere uger efter opdagelse
APT Advanced Persistent Threats Typisk forløb af en APT baseret angreb Phishing angreb Zeroday angreb Trojansk hest Interne sårbarheder Data indsamling Data udtræk En række brugere modtager målrettet phisingmail Bruger åbner vedlagt fil eller tilgår link Brugerens maskine inficeres med malware - Trojanskhest Angriberen udnytter sårbarheder til at få flere rettigheder Data samles sammen og gøres klar til at blive hentet Krypterede data sendes fx via ftp til et eksternt kompromitteret system
Malware - Udviklingsproces Sløring og kvalitetstestning Original Malware Indeholder grundlæggende ondsindede funktioner: DDoS, stjæle data, sprede infektionen,.. Permutationer Forvanskelse af malware. Danne adskillige varianter for at omgå detektion Kvalitetstestning Teste nye mutationer mod seneste opdaterede antivirus scanningsmønstre Deployering Kun malware som kommer igennem QA (dvs. ikke detekteret) bliver forsøgt udbredt Afvist hvis detekteret af anti-virus software Mange forskellige varianter af samme malware fremstilles automatisk forud for et angreb Kun varianter der kommer igennem kvalitetstestningen (=omgår antivirus) bruges i selve angrebet De nye varianter frigives med jævne mellemrum for konstant at være foran antivirus mønster opdateringerne Malware er vidt udbredt og kan fremstilles så det omgår det traditionelle perimeter forsvar o.a. beskyttelse
Malware as a Service Malware offered for $249 with a Service Level Agreement and replacement warranty if the creation is detected by any anti-virus within 9 months Source: www.turkojan.com
Sårbarheder - udfordringer Sårbarheder er design eller implementeringsfejl, der kan resultere i kompromittering af fortroligheden, integriteten eller tilgængeligheden Mindre sikkerhedshuller (implementeringsfejl) rettes som regel rimeligt hurtigt af leverandøren Forskel på hvornår og hvordan en fejl betragtes som en sårbarhed Applikationer Operativ system Transport Netværk Browser Vulnerabilities 2010 2012 Source: Symantec Plug-in Vulnerabilities 2010 2012
Hændelser - sårbarheder Update: Hackers exploit new IE zero-day vulnerability HD Moore, maker of Metasploit, urges users to ditch IE7, IE8 and IE9 until Microsoft fixes critical flaw Gregg Keizer September 17, 2012 (Computerworld) Attackers are exploiting a "zero-day" vulnerability in Microsoft's Java Internet Under Explorer Attack (IE) Again, and hijacking Windows Disable PCs that cruise Now to malicious or compromised By Mathew websites, J. Schwartz, security InformationWeek experts said Monday. January 11, 2013 Internet Explorer 8 Zero Day Exploit Targeted Nuclear Workers May 06, 2013 11:32 AM EST By Max Eddy Microsoft confirmed the Security IE bug, experts saying, have "We're a message for all aware of targeted attacks businesses: potentially Disable affecting Java now, and keep it Late in April, security researchers discovered some versions of Internet disabled. Explorer," That's but their did advice not message after the an exploit in Internet Explorer 8 that allowed set a timetable for fixing discovery the flaw. Thursday of yet another zero-day attackers to execute malicious code on a Java vulnerability, as well as a number of victim's computer. Most troublingly, the exploit Nu igen: Nyt Java-sikkerhedshul attacks that are already exploiting the flaw to has been found in the wild on a U.S. run arbitrary code on PCs. sat til salg for 28.000 Department kroner of Labor (DoL) Website, possibly Torsdag den 17. januar 2013, targeting 10:03 workers with access to nuclear or "It looks like this exploit is being Få used dage in efter at least Oracle lukkede other et sikkerhedshul toxic materials. i This weekend, Microsoft four different active exploit kits Java, -- Blackhole, blev en ny sårbarhed udbudt confirmed til salg that på the et exploit was a new zero-day Cool Exploit Kit, Nuclear Pack hackerforum. and Redkit," in IE 8. said research engineer Nick Randolph, who's part of the Sourcefire Vulnerability Bitsene Research er knapt nok blevet tørre efter opdateringen til Java 7 Update 11, før et nyt
Rettelse af sårbarheder Med Window of Exposure forstås den tid der går fra en exploit bliver tilgængelig til sårbarheden er rettet men nogen gange ved man ikke at der findes en sårbarhed og en exploit I 65% af tilfældene har leverandøren en patch klar når sårbarheden bliver offentlig kendt. 100% 80% 60% 40% Patch Availability TID Dag-0 sårbarhed Ukendt Opdagelse Offentliggørelse Patch tilgængelig IPS Signatur frigives 20% Patch installeret 0% 0 10 20 30 40 50 60 70 80 90 Days since Disclosure
Baggrunden for dag-0 angreb Dag-0 angreb Når metoden til at udnytte en sårbarhed bliver kendt, før der er frigivet en rettelse Brugere af den pågældende software er udsatte, indtil der frigives en sikkerhedsrettelse Omkring 80% af alle sårbarheder kan umiddelbart misbruges dvs. der kræves ikke udvikling af en ny exploit eller en exploit findes allerede Baggrund for dag-0 sårbarheder Automatiske værktøjer til at finde sårbarheder fx fuzzing Automatiske metoder (disassembly / debug) til at finde de sårbarheder som rettes med sikkerhedsopdateinger Information om sårbarheder handles og udveksles online mellem kriminelle arbejdsdeling og specialisering Lettilgængelige værktøjer til at fremstille malware der misbruger sårbarheder 1980-90 Reaktionstid: Måneder 2000-2002 Reaktionstid : Timer 2003-Fremtiden Reaktionstid : Sekunder
Dag-0 sårbarhed i Internet Explorer OnMove Use After Free Vulnerability CVE-2012-1529 Internet Explorer 6/7/8/9 - Windows XP/Vista/7 Eksperter advarer mod Internet Explorer Tirsdag den 18. september 2012, 08:35 Sikkerhedshul giver hackere mulighed for at overtage computeren. Eksperter anbefaler, at man skifter til et andet internetprogram, indtil Microsoft stopper hullet. Et alvorligt sikkerhedshul i internetprogrammet Internet Explorer får nu Microsoft selv til at råbe vagt i gevær og bede folk om at hente en opdatering selv. Eksperter anbefaler, at man i stedet skifter til et andet internetprogram, indtil Microsoft har fået løst problemet. Sikkerhedshullet påvirker hundreder af millioner af Internet Explorer-brugere. Det betyder, at en hacker kan skaffe sig adgang til folks computere og alle deres filer, hvis de ved en fejl får klikket sig ind på et ondsindet netsted. 14. september 2012 Første dokumenterede indikationer på at sårbarheden aktivt forsøges misbrugt det vides ikke hvor lang tid sårbarheden har været misbrugt 17. september 2012 Information on sårbarhed offentliggøres Opdagelsen af sårbarheden tilskrives Nitro der sættes i forbindelse med den kinesiske regering. Nitro har tidligere misbrugt andre dag-0 sårbarheder. 18. september 2012 Microsoft offentliggør workaround som dog er temmelig komplekst at implementere. Antivirusproducenterne opdaterer deres mønsterfiler i forhold til specifik malware der misbruger sårbarheden i IE. 19. september 2012 IPS producenterne er klar med beskyttelse virtuelle patches 21. september 2012 Microsoft retter sårbarheden med MS12-063
Risikobaseret tilgang Risikostyring er et værktøj til at sikre korrekt anvendelse af ressourcer Identificerer informationsaktiver, deres værdi og risiko Sikkerhed er altid et spørgsmål om prioritering Implementering af sikkerhed forbundet med udgifter Som regel begrænsede ressourcer Beslutninger baseres på en vurdering af risici Informationscenteret Viser de faktiske sårbarheder i en forretningsmæssige sammenhæng Risikobaseret Klar prioritering og baggrund for sikkerhedsinvesteringer Information Risiko Foranstaltninger Risikostyring er en løbende proces
Cyberkrig - risikostyring Efter Stuxnet bliver risikoen for cyberkrig taget seriøst Risiko for angreb på kritisk infrastruktur dvs. elektricitets-, vand-, og energiforsyningen Samfundets afhængighed af fungerende it-systemer vokser Eksempler på hændelser bl.a. mod Estland og Georgien Cyberkrig er større trussel mod Danmark end terror Torsdag den 25. oktober 2012, 21:45 Digitale angreb er nu den største trussel mod Danmark, fastslår Forsvarets Efterretningstjeneste (FE). Det skete for Estland i 2007, da ministeriers, mediers og telefonselskabers hjemmesider blev angrebet. Det skete for Georgien i 2008, da et kæmpemæssigt cyberangreb lammede et stort antal officielle hjemmesider, og det skete for Iran i 2010, da det iranske atomanlæg Natanz blev angrebet af computervirussen Stuxnet. Risikoen for cyberkrig bliver i dag taget seriøst»der er en stigende trussel mod Danmark i cyberspace. I takt med, at vi bliver mere digitaliserede, bliver vi også mere sårbare, og derfor kræver truslen fra cyberspace mere opmærksomhed. Vi oplever, at danske interesser og danske myndigheder mere eller mindre konstant er under angreb i cyberspace,«thomas Ahrenkiel, chef Forsvarets Efterretningstjeneste (FE). http://www.b.dk/nationalt/cyberkrig-er-stoerre-trussel-mod-danmark-end-terror
Risikobegrænsning Risikoen kan ikke fjernes, kun begrænses Sikkerhed kan ikke købes som produkt Sikkerhed opnås ved en blanding af Procedure & ledelse / (Management issues) Design, værktøjer og tekniske løsninger Løbende overvågning og vedligeholdelse Resultat: Formulering af sikkerhedspolitik og implementering af sikkerhedssystem
TAK! jhe@dubex.dk