Concepute pentru a eluda măsurile de securitate: Suprafața de atac în continuă extindere a infrastructurii critice

• Infrastructura critică poate fi afectată de întreruperi provenite din rețeaua companiei, iar cazurile recente din domeniul sănătății publice demonstrează cum o singură acțiune a unui utilizator, care implică un fișier rău intenționat, poate duce la o serie de întreruperi operaționale.
• E-mailul rămâne una dintre cele mai solicitate puncte de acces din suprafața de atac: un canal care ajunge atât la dispozitive, cât și la persoanele care le utilizează, la scară largă, prin însăși natura sa.
• Mediile izolate fizic depind în continuare de conținutul provenit din partea conectată, ceea ce face ca inspecția în amonte să fie importantă înainte ca fișierele să ajungă în sistemele mai sensibile.
• Inovația este esențială pentru reziliență, dar fiecare nou furnizor, fiecare nouă integrare și fiecare nou canal de actualizare ar trebui planificate cu aceeași atenție pe care o acordăm beneficiului operațional pe care îl generează.
• Un sistem de apărare conceput pentru această realitate tratează securitatea e-mailurilor ca pe unul dintre pilonii unui model stratificat și holistic, care inspectează și reduce riscurile înainte ca conținutul să ajungă la destinatar, fie că este vorba de o persoană sau de un sistem automat.

În domeniul infrastructurilor critice, izolarea a fost adesea considerată ca fiind punctul final al securității: se segmentează rețeaua, se izolează fizic sistemele cele mai sensibile, iar problema este ținută sub control. Cu toate acestea, operațiunile comerciale se desfășoară în afara nucleului izolat: programarea, logistica, facturarea, înregistrările istorice ale proceselor, monitorizarea. Și acest domeniu reprezintă, la rândul său, o suprafață de atac.

Așadar, întrebarea nu se referă doar la ceea ce se află în spatele izolării fizice, ci și la ce poate fi blocat înainte ca ceva să ajungă acolo. Pentru multe organizații cu infrastructură critică, inclusiv spitale, bănci și rețele de transport care nu ar putea funcționa la capacitate maximă în spatele unei izolări fizice, rețeaua de afaceri reprezintă o parte esențială a infrastructurii.

Iar acest domeniu are o „ușă de intrare” deosebit de aglomerată. E-mailul este una dintre cele mai aglomerate „porți” din suprafața de atac, un canal pe care fiecare organizație îl menține deschis în mod intenționat, deoarece așa sosesc sarcinile de lucru: actualizări de la furnizori, documente de la contractori, foaia de calcul care dă startul unui proiect. Acesta prezintă o dublă amenințare: ajunge la dispozitive prin fișiere și linkuri care se execută și ajunge la oameni prin mijloace de persuasiune care îi determină să deschidă acele fișiere. Puține canale oferă ambele aspecte la o scară similară. Cazurile care urmează sunt de domeniu public și arată cum e-mailul, fișierele rău intenționate sau acțiunile utilizatorilor de încredere pot deveni primul pas către o perturbare operațională mai amplă.

Health Service Executive din Irlanda este una dintre puținele victime care a optat pentru transparență totală, comandând și publicând un raport independent, motiv pentru care acest caz poate fi analizat în detaliu. În martie 2021, un utilizator a deschis un e-mail de phishing care a infectat o stație de lucru cu malware. Atacatorii au acționat apoi în interiorul mediului timp de opt săptămâni înainte de a lansa ransomware-ul, folosind acest timp pentru a compromite servere și conturi cu drepturi privilegiate, pentru a se deplasa lateral și pentru a sustrage date înainte ca perturbarea să devină vizibilă la scară națională. Serviciul de sănătate a oprit sistemele IT pentru a limita răspândirea. Spitalele au revenit la utilizarea hârtiei și a pixului, programările au fost anulate în toată țara, recuperarea a durat mai mult de patru luni, iar costul remedierea a fost estimat la 102 milioane de euro, conform datelor din noiembrie 2024.

O breșă de securitate în sistemul de e-mail rareori rămâne doar o problemă legată de e-mail; aceasta poate genera perturbări operaționale și comerciale, având și consecințe financiare. În 2024, Ascension a declarat că un angajat a descărcat un fișier rău intenționat, într-un incident pe care organizația l-a descris drept o greșeală neintenționată. Incidentul a determinat una dintre cele mai mari rețele de spitale din SUA să redirecționeze ambulanțele, să amâne acordarea îngrijirilor medicale și, ulterior, să raporteze că 5.599.699 de persoane au fost afectate.

Un scenariu pe care responsabilii cu securitatea ar trebui să îl ia în considerare este cel în care, la început, nu se întâmplă nimic, atacatorul rămânând în interiorul rețelei companiei și accesând: diagrame de rețea, documente tehnice, date de autentificare, programe de întreținere și chiar fluxurile de lucru ale transferurilor. Iar atunci când citirea se transformă în acțiune, consecințele pot ajunge în lumea fizică. Așa s-ar fi desfășurat, potrivit rapoartelor, atacul din 2015 asupra rețelei electrice din Ucraina: rapoartele publice și analizele tehnice descriu compromiterea prealabilă a rețelelor corporative prin e-mailuri de tip „spear-phishing” care conțineau malware-ul BlackEnergy, urmată de recunoaștere, furtul datelor de autentificare și perturbarea coordonată a substațiilor. Incidentul a afectat aproximativ 225.000 de clienți. Un singur mesaj de încredere, o singură acțiune de rutină, multiple consecințe operaționale.

Infrastructura critică se modernizează pentru că nu are de ales. Amenințările se intensifică, așteptările privind disponibilitatea sunt din ce în ce mai mari, iar reziliența depinde tot mai mult de sisteme mai inteligente și mai conectate. O substație care a funcționat după aceeași logică timp de douăzeci de ani poate transmite acum date către sistemele de analiză din cloud, o pompă care era verificată manual o dată pe schimb poate transmite acum date telemetrice către un furnizor, iar întreținerea, care aștepta apariția unei defecțiuni, poate fi acum ghidată de previziuni bazate pe inteligență artificială și învățare automată. Aceste îmbunătățiri nu sunt simple distrageri opționale; ele reprezintă modul în care infrastructura critică ține pasul cu evoluția. Oportunitatea este semnificativă, cu condiția ca modelul de securitate să evolueze odată cu tehnologia din jurul său.

Fiecare val al acestei inovații aduce cu sine schimbări: cod nou, integrări noi, furnizori noi, canale de actualizare și noi căi de acces la distanță. Cu un plan bine pus la punct, aceste schimbări pot fi gestionate. Responsabilii cu securitatea pot defini modul în care circulă datele, modul în care se conectează furnizorii, modul în care sunt validate actualizările și locul în care conținutul este verificat înainte de a ajunge în fluxurile de lucru sensibile. Riscul nu îl reprezintă inovația în sine, ci încrederea neplanificată. Fiecare nou furnizor și contractor poate crea o nouă relație prin e-mail, cu atașamente, facturi și notificări de actualizare pe care utilizatorii sunt așteptați să le deschidă. Suprafața de expunere se extinde, la fel și numărul de puncte de intrare prin care ceva neîncredibil poate ajunge să pară legitim.

Deci, ce se întâmplă când modernizarea avansează mai repede decât măsurile de apărare concepute pentru a o contracara? Acesta este efectul cumulativ: chiar dacă capacitatea atacatorilor s-ar opri astăzi, expunerea ar putea continua să crească, deoarece mediul continuă să capete noi puncte de conexiune. IA și învățarea automată pot îmbunătăți reziliența operațională pe partea defensivă, dar nici capacitatea atacatorilor nu dă semne că ar încetini. IA poate accelera cercetarea, țintirea și iterația pe partea ofensivă, ceea ce face ca securitatea planificată și adaptativă să devină parte a inovației responsabile, mai degrabă decât o barieră în calea acesteia.

Puțini operatori pot prevedea cu exactitate cum va arăta propriul lor mediu peste cinci ani, așa că arhitectura de securitate de astăzi s-ar putea să protejeze deja topologia de ieri. Scopul nu este acela de a încetini inovarea, ci de a ne asigura că securitatea evoluează odată cu aceasta. Izolarea rămâne importantă, dar funcționează ca un strat într-un model mai amplu de reziliență, nu ca soluție completă.

Responsabilii din domeniul securității evaluează adesea o amenințare punându-și trei întrebări: adversarul are intenția, capacitatea și ocazia necesare? În cazul multor medii de infrastructură critică, răspunsul la toate cele trei întrebări este, din ce în ce mai des, „da”.

• Scop: infrastructura critică este vizată în mod deliberat de adversari care își studiază victimele, iar aceasta va rămâne probabil o țintă atractivă, deoarece câștigul potențial justifică efortul depus.
• Capacitate: atacurile sunt din ce în ce mai industrializate, inteligența artificială reducând costurile de creare, testare și rotație a campaniilor.
• Oportunitate: suprafața de atac se modifică pe măsură ce inovația conectează sisteme care înainte funcționau independent, iar conținutul continuă să depășească granițele care încă mai există.

La baza tuturor celor trei stă aceeași pereche de constante: oamenii vor continua să se bazeze pe e-mail, deoarece acesta este esențial pentru buna desfășurare a activităților, iar conținutul va continua să depășească multe dintre granițele pe care le trasăm, pentru că așa funcționează afacerile.

Un sistem de apărare conceput pentru această realitate are o structură ușor de recunoscut. Acesta tratează securitatea e-mailurilor ca pe una dintre cele mai aglomerate porți ale perimetrului și alocă resurse corespunzătoare, considerând-o un pilon al unui model holistic. Aceasta suprapune controale la acel punct de acces, fiecare îndeplinind o sarcină diferită, astfel încât conținutul să fie inspectat și riscul redus înainte ca un cititor, fie el om sau mașină, să intre în contact cu acesta. Utilizează analiza asistată de IA în cadrul ciclului operațional pentru o corelare mai rapidă, o triere mai rapidă și o învățare mai rapidă din încercările blocate, apropiindu-se de ritmul impus de atacatori. Și tratează îmbunătățirea continuă ca parte a modernizării responsabile, deoarece mediul amenințărilor este în continuă schimbare.

Întrebarea pe care merită să o luați în considerare în propriul context este simplă: atunci când conținutul ajunge în sistemele pe care nu vă puteți permite deloc să le pierdeți, care este ultimul punct în care acesta este verificat cu adevărat și ar putea acel punct să identifice conținutul conceput să pară sigur și de încredere? Pentru multe organizații, urmărirea acelui conținut până la locul în care a ajuns inițial se încheie adesea în același loc: căsuța de e-mail primite.