Классический сценарий
В данном случае мы видим классический сценарий кибератаки на достаточно крупную жертву.
- Закрепление и подготовка к атаке началась заранее. Примерно за месяц злоумышленниками была проведена успешная фишинговая рассылка, добыты учетные данные, а на периметре выявлены незакрытые уязвимости.
- Активная фаза атаки проходила в выходной день – раним утром, когда ИТ службы жертвы не смогли бы среагировать в силу их рабочего графика и отсутствия на рабочем месте.
- Атака была завершена к началу рабочей недели - инфраструктура клиента была зашифрована на 70%, т.е. работа компании была практически парализована.
Предпосылки кибератаки
Команда форензиков выявила предпосылки к реализации недопустимых событий:
- Отсутствие подразделения ИБ, средств мониторинга безопасности и предотвращения вторжений
- Устаревшие версии антивирусной защиты с неполным покрытием всех хостов в сети
- Нахождение антивирусной защиты в доменной авторизации
- Нахождение серверов бэкапа внутри инфраструктуры и подключение к доменной авторизации
- Недостаточная сегментация сети клиента
- Отсутствие средств защиты на периметре, например, NGFW
- Использование устаревших средств удалённого доступа на периметре, например, удаленное подключение к рабочему месту без MFA
- Отсутствие достаточной для защиты парольной политики
- Слабо настроенная доменная политика, позволяющая проводить атаки на привилегированные учётные записи, а именно использование устаревших протоколов, отсутствие контроля изменений прав пользователей и администраторов
- Отсутствие контроля за запуском приложений в инфраструктуре