Η παρακολούθηση του σκοτεινού ιστού δεν «βλέπει τα πάντα»: από τις ενδείξεις διαρροής δεδομένων στη δράση

Αυτό που συνήθως θέλουν να μάθουν οι επιχειρήσεις δεν είναι «Πόσο μυστηριώδης είναι ο σκοτεινός ιστός;», αλλά κάτι πιο πρακτικό: αν διαπιστευτήρια εργαζομένων, δεδομένα πελατών ή εσωτερικά έγγραφα προσφέρονται ήδη ανοιχτά προς πώληση, μπορεί η επιχείρηση να το μάθει πριν κλιμακωθεί το πρόβλημα;

Η παρακολούθηση του σκοτεινού ιστού μπορεί να βοηθήσει στον εντοπισμό ενδείξεων, αλλά δεν αποτελεί παράθυρο σε κάθε κίνδυνο. Μια αξιόπιστη προσέγγιση συνδέει ενδείξεις από δημόσια προσβάσιμες πηγές ή εξειδικευμένα κανάλια με την απογραφή των πόρων της επιχείρησης και τις διαδικασίες αντιμετώπισης περιστατικών ασφάλειας, και στη συνέχεια επαληθεύει καθεμία.

Τι είναι ο σκοτεινός ιστός και γιατί αφορά τις επιχειρήσεις;

Ο σκοτεινός ιστός συνήθως αναφέρεται σε ένα υποσύνολο διαδικτυακών υπηρεσιών που απαιτούν ειδικό λογισμικό ή ρυθμίσεις για πρόσβαση, όπως φόρουμ, αγορές και ιδιωτικές κοινότητες. Εκεί μπορεί να εμφανιστούν κλεμμένα διαπιστευτήρια, υπηρεσίες κακόβουλου λογισμικού, εταιρικά έγγραφα και συζητήσεις επιτιθέμενων για πιθανούς στόχους. Παράλληλα, πολλές διαρροές εμφανίζονται πρώτα σε συνηθισμένους ιστοτόπους, αποθετήρια κώδικα, ομάδες άμεσων μηνυμάτων ή κανάλια μεταπώλησης δεδομένων. Η αποκλειστική εστίαση στον όρο «σκοτεινός ιστός» μπορεί να οδηγήσει στην απώλεια πρωιμότερων και πιο αξιόπιστων ενδείξεων.

Πρώτο ερώτημα: τι χρειάζεται προστασία;

Οι επιχειρήσεις μπορούν να αρχίσουν καταγράφοντας τους πόρους και τα αναγνωριστικά που έχουν πραγματική σημασία για τη λειτουργία τους: εταιρικούς τομείς και υποτομείς, πύλες σύνδεσης εργαζομένων και πελατών, εμπορικά σήματα, τομείς email, κλειδιά API, ονόματα υπηρεσιών υπολογιστικού νέφους και έγγραφα ή κωδικές ονομασίες έργων που δεν θα έπρεπε να είναι δημόσια. Χωρίς αυτή την απογραφή, τα εργαλεία παρακολούθησης μπορεί να επιστρέφουν μεγάλες ποσότητες άσχετου θορύβου.

Έπειτα, χρειάζονται σαφείς συνθήκες ενεργοποίησης: επαληθευμένα εταιρικά διαπιστευτήρια που εμφανίζονται στο διαδίκτυο, ένας λογαριασμός με αυξημένα δικαιώματα που μόλις εκτέθηκε, αποσπάσματα εσωτερικών εγγράφων, συζητήσεις για επιθέσεις σε συγκεκριμένο σύστημα ή δείγματα που αντιστοιχούν σε γνωστό περιστατικό. Όσο πιο συγκεκριμένες είναι αυτές οι συνθήκες, τόσο ευκολότερα αποφασίζει η ομάδα ασφάλειας τι θα κάνει στη συνέχεια.

Η ένδειξη χρειάζεται επαλήθευση

Μια ανάρτηση, ένα στιγμιότυπο οθόνης ή ένα συμπιεσμένο αρχείο που υποτίθεται ότι περιέχει δεδομένα αποτελεί μόνο ένδειξη. Η ομάδα πρέπει να ελέγξει πότε εμφανίστηκε, την πηγή, τη μορφή των δεδομένων, αν περιλαμβάνει γνήσια πεδία δεδομένων και αν οι πληροφορίες εξακολουθούν να ισχύουν. Επαναλαμβανόμενες αναρτήσεις μπορεί να μοιάζουν με διαφορετικά περιστατικά, ενώ στην πραγματικότητα είναι παλιό υλικό που επανακυκλοφορεί. Αντίστροφα, ένα φαινομενικά ασήμαντο δείγμα διαπιστευτηρίων μπορεί να αρκεί για να δικαιολογήσει την άμεση αλλαγή κωδικών πρόσβασης και διακριτικών.

Μια υπηρεσία παρακολούθησης μπορεί να συλλέγει ενδείξεις και να εκδίδει ειδοποιήσεις, αλλά δεν μπορεί να αντικαταστήσει την κρίση της επιχείρησης για το αν ένα περιστατικό είναι πραγματικό, ποια συστήματα επηρεάζει ή ποιος έχει την εξουσία να ενεργήσει. Ο διαχωρισμός της «ανακάλυψης» από την «επιβεβαίωση» μειώνει τους ψευδείς συναγερμούς και βοηθά να αποφεύγεται ο βιαστικός αποκλεισμός νόμιμων χρηστών βάσει ανεπιβεβαίωτου υλικού.

Ανακάλυψη, επιβεβαίωση, απόκριση, ανασκόπηση

Ανακάλυψη: Συνεχής συλλογή ενδείξεων που σχετίζονται με τους πόρους της επιχείρησης, με καταγραφή του χρόνου και του τόπου πρώτης εμφάνισής τους.

Επιβεβαίωση: Η ομάδα ασφάλειας ή ο υπεύθυνος του συστήματος επαληθεύει τα δείγματα και καθορίζει ποιοι λογαριασμοί, συστήματα ή δεδομένα επηρεάζονται.

Απόκριση: Αλλαγή διαπιστευτηρίων, απομόνωση των επηρεαζόμενων συστημάτων, ειδοποίηση όσων χρειάζεται να ενεργήσουν και τήρηση αρχείου που επιτρέπει την ιχνηλάτηση της απόκρισης.

Ανασκόπηση: Εξέταση του γιατί οι υπάρχοντες έλεγχοι δεν εντόπισαν εγκαίρως το πρόβλημα και, στη συνέχεια, ενημέρωση της απογραφής πόρων, των δικαιωμάτων, της καταγραφής συμβάντων και των κανόνων ειδοποίησης.

Η σύνδεση με τα συστημικά ζητήματα που συζητά ο Lu Heng

Οι Σημειώσεις του Lu Heng υπενθυμίζουν επανειλημμένα στους αναγνώστες να ξεχωρίζουν τις ετικέτες και τις καταγραφές ενός συστήματος από τις πραγματικές του δυνατότητες. Η παρακολούθηση του σκοτεινού ιστού έχει παρόμοιους περιορισμούς: μια βαθμολογία κινδύνου ή μια ειδοποίηση για «εύρημα» δεν είναι το ίδιο το γεγονός, και η δυνατότητα ενός κεντρικού εργαλείου να παρέχει υπηρεσία δεν του δίνει την εξουσία να λαμβάνει κάθε απόφαση για λογαριασμό της επιχείρησης.

Μια καλή προσέγγιση παρακολούθησης πρέπει, επομένως, να βοηθά τις επιχειρήσεις να βλέπουν τις εξαρτήσεις τους, να επαληθεύουν τα στοιχεία και να διατηρούν διαθέσιμες εναλλακτικές διαδρομές, αφήνοντας την κρίση σε όσους υφίστανται τις επιχειρηματικές συνέπειες. Η αξία της είναι να προσφέρει στους οργανισμούς σαφέστερες επιλογές όσο το πρόβλημα μπορεί ακόμη να αντιμετωπιστεί, αντί να δημιουργεί πανικό.