Атака №8: Data Exfiltration

Когато данните напускат организацията

Обобщение – Data Exfiltration

Как работи атаката

Data exfiltration рядко е първата стъпка.
Тя обикновено е крайната цел.

След като атакуващите получат достъп чрез phishing, malware, credential abuse или вътрешна активност, те започват да идентифицират ценни данни.

Това може да включва:

• клиентски бази данни
• финансови записи
• вътрешни документи
• интелектуална собственост

След това данните се събират, подготвят и прехвърлят извън организацията. Понякога бавно, за да се избегне откриване. Понякога в големи обеми.

Прехвърлянето може да използва:

• криптирани канали
• cloud услуги за съхранение
• легитимни инструменти

От гледна точка на системите, тази активност често изглежда нормална.

Това е причината изнасянето на данни да е трудно за откриване.

Реални случаи

Следните примери показват как извличането на данни (Data Exfiltration) често е основната цел на атаката. След като получат достъп до средата, нападателите се стремят да открият, съберат и изнесат информация, която може да бъде използвана за изнудване, финансова печалба или последващи атаки.

MOVEit Transfer (2023)

Сектор: Множество индустрии

Как е започнал инцидентът?
Групата CL0P използва zero-day уязвимост (CVE-2023-34362) в MOVEit Transfer, за да получи неоторизиран достъп до публично достъпни инсталации и да извлече файлове директно от засегнатите системи.

Какво е било компрометирано?

• данни на повече от 3 300 организации;
• лична информация на над 114 милиона души;
• финансови, здравни, държавни и корпоративни документи.

Как се е развила атаката?
След успешната експлоатация нападателите автоматизирано извличат данни от компрометираните сървъри. В повечето случаи не криптират системите, а използват кражбата на информация като средство за последващо изнудване.

Оперативни и финансови последици

• над 114 милиона засегнати лица;
• разходи за уведомяване, разследване и регулаторни процедури;
• съдебни искове и сериозни репутационни щети за множество организации.

Какво би могло да ограничи щетите?

• своевременно прилагане на актуализации;
• ограничаване на публичния достъп до системите за обмен на файлове;
• наблюдение за необичайно извличане на големи обеми данни;
• Data Loss Prevention (DLP) и контрол върху изходящия трафик.

Snowflake Customer Data Theft (2024)

Сектор: Cloud услуги и множество индустрии

Как е започнал инцидентът?
Нападателите използват компрометирани потребителски идентификационни данни, придобити при предишни инфостийлър кампании. Част от засегнатите Snowflake среди не използват Multi-Factor Authentication (MFA), което позволява достъп до клиентски акаунти без експлоатиране на уязвимост в платформата.

Какво е било компрометирано?

• данни на десетки организации, включително Ticketmaster, Santander и други;
• лична информация на милиони клиенти;
• клиентски бази данни, финансови и бизнес записи.

Как се е развила атаката?
След успешното удостоверяване нападателите извличат големи обеми информация от cloud хранилищата. В различните случаи данните впоследствие се използват за продажба, изнудване или публично разпространение.

Оперативни и финансови последици

• засегнати са множество международни организации;
• милиони клиентски записи са изложени на риск;
• значителни разходи за разследване, уведомяване и възстановяване;
• засилен фокус върху защитата на cloud идентичностите и задължителното използване на Multi-Factor Authentication (MFA).

Какво би могло да ограничи щетите?

• Multi-Factor Authentication (MFA) за всички потребителски акаунти;
• редовен преглед на активните идентификационни данни;
• мониторинг за необичайни заявки и масово извличане на данни;
• ограничаване на достъпа според принципа на минималните привилегии;
• непрекъснато наблюдение на cloud средата.

Какво показват тези случаи?

При MOVEit Transfer една zero-day уязвимост позволява извличането на данни от повече от 3 300 организации, засягайки над 114 милиона души. При Snowflake нападателите използват вече компрометирани идентификационни данни и липсата на Multi-Factor Authentication (MFA), за да получат достъп до клиентски cloud среди и да извлекат чувствителна информация без експлоатиране на уязвимост в платформата.

И двата случая показват, че след получаване на достъп основната цел често е кражбата на информация, а не прекъсването на услугите. Наблюдението на изходящия трафик, защитата на идентичностите и ранното откриване на необичайно извличане на данни могат значително да ограничат последствията.

Кого таргетира най-често

Data exfiltration е насочена към стойността.

Роли

• служители с достъп до чувствителни данни
• финансови и оперативни екипи
• разработчици и анализатори
• администратори

Сектори

• финанси
• здравеопазване
• технологии
• производство
• публичен сектор

Тип организации

• организации, които разчитат на данни
• компании, обработващи регулирани данни
• среди без класификация на данните
• организации с широки права за достъп

Колкото по-ценни са данните, толкова по-голям е рискът.

На какво разчита атаката

Изнасянето на данни е успешно, когато данните са достъпни и не се наблюдават.

Човешки фактор

• злоупотреба с достъп
• липса на осъзнатост
• вътрешно поведение

Технически пропуски

• липса на видимост върху данните
• слаб мониторинг на изходящия трафик
• липса на DLP контрол
• прекомерни права за достъп

Процесни слабости

• липса на класификация на данните
• неясна собственост върху данните
• липса на политики за мониторинг
• недостатъчен одит

Данни, които не се контролират, се преместват лесно.

Как се хваща

Откриването зависи от разпознаване на нетипични модели.

Какво може да забележи потребителят

• по-бавна работа на системата
• необичаен достъп до файлове
• неочаквани промени в данните

Какво вижда IT екипът

• големи трансфери на данни
• нетипични модели на достъп
• необичайна употреба на cloud услуги

Какво вижда SOC

• аномалии в изходящия трафик
• модели на движение на данни
• връзка с компрометирани акаунти
• подозрителна употреба на легитимни инструменти

Изнасянето на данни често се вписва в нормалната активност.

Как се ограничава въздействието

След като данните започнат да напускат организацията, реакцията трябва да е незабавна.

Основните действия включват:

• спиране на текущите трансфери
• изолиране на засегнатите системи
• ограничаване на достъпа
• запазване на логове и доказателства
• оценка на това какви данни са били засегнати

Какво не помага:

• забавяне на реакцията
• приемане, че трансферът е легитимен
• игнориране на ранните сигнали

Колкото по-бърза е реакцията, толкова по-малко е въздействието.

Какво реално помага

Управлението на риска от данни изисква видимост и контрол.

Хора

• осъзнатост за чувствителните данни
• яснота за отговорността при достъп

Процеси

• класификация на данните
• преглед на достъпа
• политики за мониторинг

Технологии

• решения за предотвратяване на изтичане на данни (DLP)
• мрежов мониторинг
• системи за контрол на достъпа
• видимост чрез SOC

Защитата на данните не е само въпрос на съхранение.
Тя е въпрос на движение.

Чести митове

„Данните са защитени вътре в мрежата“
„Криптирането е достатъчно“
„Ако достъпът е разрешен, няма риск“
„Изнасянето на данни се открива лесно“

В действителност изнасянето на данни често използва легитимен достъп и инструменти.

Атака №1: Фишинг и социално инженерство

Атака №2: Злоупотреба с акаунти и превземане на достъп

Атака №3: Компрометиране на бизнес имейли

Атака №4: Ransomware

Атака №5: Supply Chain Attack

Атака №6 – Insider Threat

Атака №7: Malware & Infostealers

Следва: Атака №9 – Privilege Escalation & Lateral Movement