ブログ

May 31, 2024

2023 年のサイバー攻撃は平均滞在時間が急減するため、より急速に発展する

denisismagilov -stock.adobe.com 滞留時間の中央値（攻撃者が被害者のシステムにアクセスしてから、攻撃が検出または実行されるまでの時間）は大幅に低下し、低下しています。

デニスマジロフ - Stock.adobe.com

滞留時間の中央値（攻撃者が被害者のシステムにアクセスしてから攻撃が検出または実行されるまでの時間）は大幅に短縮され、2023 年 1 月から 7 月までは 10 日から 8 日になりました。2022 年には 15 日から 10 日まで 5 日短縮されました。 2021年に急騰した後。

これは、ソフォスの X-Ops インシデント対応 (IR) ケースから抽出されたデータによるもので、このデータは本日、同社の技術リーダー向けのアクティブな敵対者レポート 2023 で発表されました。

この見出しの統計は、エンドユーザー セキュリティ チームの検出能力が向上していることを示す良いニュースとして受け取られる可能性がありますが、裏を返せば、攻撃者がますます組織化され、技術的に熟達し、運用効率が向上し、何を知っているかを反映している可能性もあります。彼らが欲しいものとそれを手に入れる方法。

実際、X-Ops は、現在、攻撃者が被害者の重要な Active Directory (AD) 資産にアクセスするのに約 16 時間かかっていることを発見しました。 ソフォスの現場最高技術責任者である John Shier 氏が説明したように、このような資産は​​通常、ID と組織リソースへのアクセスを管理しており、特権を昇格させようとする攻撃者にとって宝の山となっています。

「組織の Active Directory インフラストラクチャを攻撃することは、攻撃的な観点から見ても理にかなっています」と彼は言いました。 「AD は通常、ネットワーク内で最も強力で特権のあるシステムであり、攻撃者が攻撃に悪用できるシステム、アプリケーション、リソース、データへの広範なアクセスを提供します。 攻撃者が AD を制御すると、組織を制御することができます。 Active Directory 攻撃の影響、エスカレーション、回復のオーバーヘッドが、Active Directory 攻撃が標的となる理由です。

「攻撃チェーンの中で Active Directory サーバーにアクセスして制御を取得すると、攻撃者にいくつかの利点がもたらされます。 攻撃者は次の行動を決定するために検出されずに留まり、準備が整うと妨害を受けることなく被害者のネットワークを攻撃することができます。

「ドメイン侵害からの完全な回復は、長くて骨の折れる作業になる可能性があります」とシャイア氏は語った。 「このような攻撃は、組織のインフラストラクチャが依存するセキュリティの基盤に損害を与えます。 多くの場合、AD 攻撃が成功すると、セキュリティ チームはゼロから始めなければなりません。」

このレポートでは、ランサムウェア攻撃の場合、滞留時間の中央値が現在 5 日に短縮されていることも明らかにしています。これは、Progress Software の MOVEit に対する Clop の最近のキャンペーンなど、ランサムウェア ロッカーが導入されていないランサムウェア攻撃の増加に関連している可能性があります。道具。

ランサムウェア攻撃は、X-Ops チームが取り組んだ IR ケースで最も蔓延したタイプの攻撃であり、エンゲージメントの 69% を占めました。 しかし、シャイア氏は、既知のランサムウェア事件は別として、かなりの数の攻撃が、明確な動機のない侵入からなるネットワーク侵害であるように見え、そのうちの何件が実際にランサムウェア攻撃を阻止されたのかという疑問を提起していると指摘した。

「私たちは、悪名高きランサムウェア提供者であるキューバとバイス・ソサエティによって行われたいくつかの攻撃を特定することができましたが、重要なことに、それらの攻撃はランサムウェアの段階には到達しませんでした」とシア氏は書いている。

「ビジネスのリーダーにとってここでの教訓は、迅速な行動により、ランサムウェアによって使用されるような実証済みの攻撃チェーンさえも打ち破ることができるということです。 これらの事件の多くでは、おそらくそれが起こったことでしょう。」

2021 年 7 月 4 日の Kaseya 事件など、脅威アクターが週末や祝日にランサムウェアを実行するという長年観察されているものの一般的に定量化されていない傾向を反映して、ソフォスは、観察されたランサムウェア攻撃の 81% で、最後のペイロードが屋外で爆発したことを明らかにしました。勤務時間内に展開されたもののうち、平日に実施されたのは 5 件のみでした。

X-Ops のテレメトリで検出された攻撃の数は、通常、週が進むにつれて増加しており、ランサムウェア攻撃の 43% は、セキュリティ チームが週末に仕事を終えるかオフィスを完全に不在にする金曜日または土曜日に検出されました。