Comprometimento de identidade responde por 90% do acesso inicial à infraestrutura crítica

A sabedoria convencional sugere que as chaves para proteger a infraestrutura crítica de ataques cibernéticos são a segmentação de rede e a segurança de Tecnologia de Operações (TO), mas violações contínuas implicam que esses métodos sozinhos não são suficientes.

No caso Colonial Pipeline, por exemplo, o ataque cibernético começou quando os invasores obtiveram acesso inicial à rede de TI por meio de uma senha de usuário e uma conta VPN comprometidas. Em seguida, o protocolo de área de trabalho remota foi usado para implantar o ransomware, que explorou vulnerabilidades não corrigidas e aumentou os privilégios. Em seguida, o ransomware criptografou sistemas críticos. Embora os sistemas de TO não tenham sido diretamente comprometidos pelo ataque, as equipes de segurança foram forçadas a desligar o oleoduto para evitar que o ransomware se espalhasse para a rede de Tecnologia de Operações.

A Agência de Segurança Cibernética e de Infraestrutura (CISA), juntamente com a Guarda Costeira dos EUA (USCG), sondou as redes de 121 organizações de infraestrutura crítica com o objetivo de avaliar as capacidades e as defesas de rede de uma organização contra ameaças potenciais. Em 90% das vezes, o acesso inicial à rede de uma organização foi obtido por meio de comprometimento de identidade.

A infraestrutura crítica inclui 16 setores vitais para a segurança nacional dos EUA classificados pela CISA, incluindo manufatura, serviços financeiros e governo. As organizações de infraestrutura essencial enfrentam ataques cibernéticos implacáveis projetados para interromper os serviços, exfiltrar informações confidenciais ou manter operações inteiras para resgate.

O relatório também destaca que, quando combinada com outras técnicas, a identidade também representa o principal meio de escalonamento de privilégios e, por sua vez, um facilitador de movimento lateral entre ambientes de TI e OT. Essa descoberta é reveladora, dado o uso generalizado de air gapping (isolamento de redes), segmentação de rede e investimentos substanciais em segurança de TI e OT.