Door een overvloed aan IT-systemen hebben hackers meer ruimte dan ooit om zich te verstoppen. Zo hoeven ze niet meer te zoeken naar achterpoortjes in je beveiliging: ze wandelen onopgemerkt via je voordeur binnen.
Cybersecurity draait niet rond malware, maar rond de tegenstander. Dit is al sinds de oprichting in 2011 de filosofie van CrowdStrike. Het beveiligingsbedrijf hamert erop dat achter elke malware-aanval, hoe geautomatiseerd die ook mag verlopen, een mens achter de knoppen zit. Om echt te begrijpen waartegen je je moet verdedigen, moet je niet alleen het gedrag van malware, maar vooral dat van menselijke actoren bestuderen.
Die boodschap komt ook duidelijk naar voren in het recent gepubliceerde Threat Hunting Report. Het rapport verschaft uitgebreide inzichten in hoe aanvallers anno 2023 te werk gaan. Die tonen nog maar eens hoe hackers hun methoden blijven heruitvinden om bij bedrijven binnen te geraken. Dat stelt ook Dave van den Heuvel vast, Managing Director voor CrowdStrike in de Benelux-regio: “Er werd vroeger altijd naar malware gekeken. Maar aanvallers komen nu ook via de ‘voordeur’ naar binnen.”
Identiteitsdiefstal is geen grap
Je laat normaal gezien enkel vertrouwde personen je huis binnen en dus moeten indringers zich ook eerst als een legitieme gebruiker voordoen. Daarvoor zijn ze uit op ieders meest kostbare bezit: de (digitale) identiteit. Volgens het rapport van CrowdStrike wordt bij tachtig procent van inbraken gebruik gemaakt van gestolen inloggegevens.
Aanvallers weten daarbij heel goed wie ze binnen je organisatie in het vizier moeten nemen, legt van den Heuvel uit. “Via social engineering-aanvallen targeten hackers de accounts die veel rechten hebben. Met de juiste rechten kan men zich onopgemerkt verplaatsen. De aanvaller komt zo als het ware aan de achterkant van de beveiligingsketen binnen.”
Organisaties moeten dan ook alert zijn voor gestolen inloggegevens van bedrijfsaccounts. Van den Heuvel: “Het is van belang om in real-time te monitoren welke credentials gecompromitteerd zouden kunnen zijn. Eens gestolen worden je accountgegevens te koop aangeboden op het internet. Je identiteit is veel waard voor criminelen, want met een toegestaan account lopen ze je bedrijf zo binnen.”
Donkere wolken
Remote en hybride werken heeft veel organisaties in een versneld tempo richting de cloud geduwd. Die transitie was noodzakelijk, maar is nog niet helemaal vlekkeloos verlopen. Hackers hebben zich omgeschoold tot cloudexperten en kennen de cloudomgeving van bedrijven vaak beter dan de werknemers zelf. Zo biedt de cloud weer nieuwe toegangswegen voor aanvallers.
Van den Heuvel verduidelijkt: “De aanvalsoppervlakte neemt toe. We beschikken door het thuiswerken over meer IT-tools en we moeten ons ook op meerdere manieren identificeren. Dit biedt voor aanvallers meer ruimte om te schuilen tussen de systemen en zich lateraal voort te bewegen.” Met name RMM-software (remote monitoring and management) om apparaten vanop afstand te beheren, blijkt erg in trek te zijn.
CrowdStrike rapporteert een stijging met maar liefst 312 procent in ‘vijandig gebruik’ van dit type software. Het doel is ook hier weer om langs een vertrouwde weg binnen te breken. “Een ander groot probleem zijn misconfiguraties van applicaties in de cloud”, gaat van den Heuvel verder.
Snelheidsrecords
Door al deze factoren lijken aanvallers ook jaar na jaar sneller te opereren. De gemiddelde break-outtijd, de tijd die een aanvaller nodig heeft om van de oorspronkelijke aanval naar andere hosts in de omgeving van het slachtoffer te gaan, zakte in 2023 van 84 minuten naar 79 minuten. Dat is het laagste gemiddelde tot nu toe. Er werd dit jaar zelfs een snelheidsrecord van zeven minuten gemeten door de onderzoekers van CrowdStrike.
“De snelste breakout die we al zagen bedroeg amper zeven minuten. Dat vind ik best zorgwekkend”, zegt van den Heuvel. “Iedere organisatie moet zich de vraag stellen of ze voldoende uitgerust zijn om aanvallen af te stoppen. Zeven minuten is weinig tijd. Dit gaat niet alleen over software, maar ook processen en mensen. Je hebt er nog altijd die post-its met wachtwoorden opgeschreven op hun scherm kleven.”
Er werd vroeger altijd naar malware gekeken. Maar aanvallers komen nu ook via de ‘voordeur’ naar binnen.
Dave van den Heuvel,Managing Director CrowdStrike Benelux
Dit is een redactionele bijdrage in samenwerking met Crowdstrike. Klik hier voor meer informatie over het recentste Thread Hunting-rapport van het bedrijf.