Praćenje dark weba ne može „vidjeti sve“: kako preduzeća mogu pretvoriti znakove curenja podataka u djelovanje

Preduzeća obično ne žele znati „Koliko je dark web tajanstven?“, nego nešto praktičnije: ako se vjerodajnice zaposlenih, podaci o klijentima ili interni dokumenti već otvoreno nude na prodaju, može li preduzeće to saznati prije nego što se problem pogorša?

Praćenje dark weba može pomoći u pronalaženju tragova, ali nije prozor u svaki rizik. Pouzdan pristup povezuje tragove iz javno dostupnih izvora ili specijaliziranih kanala s vlastitim popisom resursa preduzeća i postupcima za sigurnosne incidente, a zatim svaki trag provjerava.

Šta je dark web i zašto je važan za preduzeća?

Dark web se uglavnom odnosi na dio internetskih usluga kojima su za pristup potrebni poseban softver ili posebne postavke, uključujući forume, tržišta i privatne zajednice. Tamo se mogu pojaviti ukradene vjerodajnice, usluge zlonamjernog softvera, dokumenti kompanija i rasprave napadača o mogućim metama. Istovremeno, mnoga curenja prvo se pojave na običnim web-stranicama, u repozitorijima koda, grupama za razmjenu poruka ili kanalima preprodaje podataka. Isključivo usmjeravanje na izraz „dark web“ može značiti propuštanje ranijih i pouzdanijih signala.

Početno pitanje: šta treba zaštititi?

Preduzeća mogu početi popisivanjem resursa i identifikatora koji su zaista važni za njihovo poslovanje: domena i poddomena kompanije, portala za prijavu zaposlenih i klijenata, naziva brendova, domena e-pošte, API ključeva, naziva usluga u oblaku te dokumenata ili kodnih naziva projekata koji ne bi smjeli biti javni. Bez tog popisa, alati za praćenje mogu vratiti veliku količinu nevažnih informacija.

Zatim treba odrediti jasne uslove za pokretanje postupka: provjerene vjerodajnice kompanije koje se pojavljuju na internetu, novootkriveni izloženi privilegirani račun, odlomke internih dokumenata, rasprave o napadima na određeni sistem ili uzorke koji odgovaraju poznatom incidentu. Što su uslovi konkretniji, sigurnosni tim lakše odlučuje šta dalje učiniti.

Trag treba provjeriti prije nego što postane nalaz

Objava, snimak ekrana ili komprimirana arhiva za koju se tvrdi da sadrži podatke samo su trag. Tim treba provjeriti vrijeme pojavljivanja, izvor, format podataka, sadrži li materijal stvarna podatkovna polja i jesu li informacije još važeće. Ponovljene objave mogu izgledati kao više incidenata, iako je zapravo riječ o starom materijalu koji ponovo kruži. Nasuprot tome, naizgled neupadljiv uzorak vjerodajnica može biti dovoljan razlog za hitnu zamjenu lozinki i tokena.

Usluga praćenja može prikupljati tragove i slati upozorenja, ali ne može zamijeniti procjenu preduzeća o tome je li incident stvaran, na koje sisteme utiče ili ko je ovlašten djelovati. Razdvajanje „otkrivanja“ od „potvrđivanja“ smanjuje lažne uzbune i pomaže spriječiti ishitreno blokiranje legitimnih korisnika na osnovu neprovjerenog materijala.

Koristan tok rada: otkriti, potvrditi, odgovoriti, preispitati

Otkriti: Neprekidno prikupljati tragove povezane s resursima preduzeća i bilježiti kada su se i gdje prvi put pojavili.

Potvrditi: Sigurnosni tim ili osoba odgovorna za sistem treba provjeriti uzorke i utvrditi koji su računi, sistemi ili podaci pogođeni.

Odgovoriti: Zamijeniti vjerodajnice, izolirati pogođene sisteme, obavijestiti osobe koje trebaju djelovati i voditi zapis koji omogućuje praćenje odgovora.

Preispitati: Ispitati zašto postojeće kontrole nisu na vrijeme otkrile problem, pa ažurirati popis resursa, ovlaštenja, zapisivanje događaja i pravila upozoravanja.

Veza sa sistemskim pitanjima o kojima govori Lu Heng

Bilješke Lu Henga više puta podsjećaju čitaoce da oznake i zapise sistema razlikuju od njegovih stvarnih mogućnosti. Praćenje dark weba ima slična ograničenja: ocjena rizika ili upozorenje o „nalazu“ nije sama činjenica, a sposobnost centraliziranog alata da pruži uslugu ne daje mu ovlaštenje da donosi sve odluke u ime preduzeća.

Dobar pristup praćenju zato treba pomoći preduzećima da razumiju svoje zavisnosti, provjere dokaze i zadrže alternativne puteve, prepuštajući procjenu ljudima koji snose poslovne posljedice. Vrijednost mu je u tome da organizacijama pruži jasnije izbore dok se problem još može riješiti, a ne da izaziva paniku.