وقتی مهاجم تبدیل به کاربر می شود: بازاندیشی در اختیار گرفتن حساب

در دنیایی مملو از خطرات سایبری، تصاحب حساب کاربری به عنوان یکی از موذیانه ترین تهدیدها ظاهر شده است. اگر یک مهاجم بتواند با موفقیت یک حساب ایمیل قانونی را به خطر بیندازد، می‌تواند به عنوان یک فرد یا سازمان قابل اعتماد ظاهر شود بدون اینکه هیچ هشداری ایجاد کند. امنیت ایمیل سنتی هیچ مشکلی نخواهد دید. از آنجا بازیگر تهدید می‌تواند لحظه‌ای را برای ایجاد ویرانی با اهدافی از جمله سرقت پول، سلب مالکیت داده‌های حساس و انتشار بدافزار فاجعه‌بار انتخاب کند. زیان مالی جدی و شهرت شرکت آسیب دیده نتایج عادی هستند.

چرخه حیات تصاحب حساب معمولی با کسب اعتبار توسط افراد بد، معمولا از طریق فیشینگ، شروع می‌شود. هوش مصنوعی مولد (GenAI) فریب یک فرد بی‌احتیاط را برای ارائه داده‌های ورود به سیستم، احتمالا با ظاهر شدن به عنوان یک همکار یا شخص مورد اعتماد دیگر یا با تشویق آنها به وارد کردن اطلاعات محرمانه در صفحه ورود جعلی، برای مهاجم آسان کرده است.

شما ممکن است انتظار داشته باشید، هنگامی که یک هویت مشروع با موفقیت به خطر افتاد، تمام جهنم بلافاصله از بین می رود. این روزها، هنرمند معمولی تصاحب حساب، پنهان‌کارتر و شیطانی‌تر از آن است و عجله‌ای برای اقدام در این مرحله اولیه ندارد، زیرا هیچ زنگ هشداری به راه نیفتاده است. بیشتر آنها وقت خود را صرف آزمایش و تأیید اطلاعات ورود به سیستم دزدیده شده خود می کنند و می بینند که ممکن است به کجا برسد.

دیو بگت، معاون امنیت سایبری توسعه‌دهنده نرم‌افزار Kaseya، می‌گوید: «به طور معمول مهاجمان یک حساب کاربری را تصاحب می‌کنند و بلافاصله شروع به انتشار هرزنامه و فیشینگ می‌کنند. "اکنون آنها شروع به باهوش شدن کرده اند. آنها به یک حساب کاربری دسترسی پیدا می کنند و محکم می نشینند، تمام ترافیک ایمیل ها را تماشا می کنند و منتظر یک لحظه مناسب برای تزریق خود به گفتگو هستند."

از داخل به بیرون

هنگامی که آنها نقاط ضعف یک سازمان را کشف کردند و طرحی برای حمله ارائه کردند، افراد بد شروع به استفاده از حساب ایمیل در معرض خطر برای هدف قرار دادن سایر کارمندان و سیستم های داخلی خواهند کرد. با فرض اینکه انگیزه آنها مالی است، ممکن است در جستجوی راهی برای ورود به پایگاه داده های حقوق و دستمزد یا صورتحساب باشند. اما هدف نهایی آنها ممکن است به شکل مشتریان و تامین کنندگان سازمان دورتر باشد و این زمانی است که کابوس واقعی می تواند شروع شود. به اصطلاح فیشینگ خروجی راهی را به مجرم ارائه می دهد تا بتواند بر طیف جدیدی از نقاط پایانی حساس کنترل داشته باشد.

قربانیان فیشینگ خارجی در مواجهه با پیام هایی که به نظر می رسد از طرف یک شریک و متحد قابل اعتماد باشد، بسیار آسیب پذیر هستند. برای یک سازمان یک چیز است که از حساب های ایمیل خود با کنترل های قوی مانند احراز هویت چند عاملی (MFA) محافظت کند، اما هیچ کس کنترلی بر رویه های احراز هویت طرف های دیگر ندارد: "بگت توضیح می دهد که "بگذارید بگوییم مشتری داریم که از او محافظت می کنیم." "آنها ایمن هستند، اما تصور کنید که شروع به دریافت ایمیل های مشکوک از شخص ثالث می کنند. مشتری ما نمی داند که چه چیزی از آن شخص ثالث محافظت می کند یا نه.

ایمیل‌هایی که از آن منبع می‌آیند ممکن است به نظر از یک حساب واقعی باشند، اما ممکن است یک هکر آنها را تایپ کند.

با توجه به اینکه نمی‌توانید بر روی سازمان‌های شخص ثالث بررسی کنید، چیزی پیچیده‌تر از امنیت ایمیل معمولی مورد نیاز است. در حالت ایده‌آل، این یک راه‌حل مبتنی بر GenAI است که می‌تواند درک زبان را به ارمغان بیاورد و بتواند تاریخچه مکالمه را عمیقا بررسی کند تا ببیند آیا چیزی غیرعادی قابل تشخیص است یا خیر.

وقتی بازیگر بد با موفقیت هویت یک فرد ارشد را به خود گرفته باشد، زندگی را برای مدافعان سخت‌تر می‌کند. اگر آنها جعل هویت یک مدیر سطح بالا با شهرت گسترده و قابل اعتماد هستند، دارایی قدرتمندی در دست دارند. تمام اعتماد و حسن نیت آن فرد ارشد اکنون به مجرم به ارث رسیده است.

سیستم‌های فیلترینگ ایمیل مرسوم اغلب به گونه‌ای پیکربندی می‌شوند که به پرسنل ارشد اجازه دهند از لایه‌های دفاعی خاصی با حداقل اصطکاک عبور کنند تا ارتباطات تجاری مهم را محدود نکنند. دریافت کنندگان نامه از چنین منابعی ممکن است تمایلی به به چالش کشیدن و گزارش آنها نداشته باشند، در صورتی که به دلیل ماهیت خواسته آنها شک و ظن ایجاد شود. به یک کارمند جسور نیاز است که آنچه را که به نظر می‌رسد پیامی از سوی فردی در سطح C است به عنوان کلاهبرداری خطاب کند، به خصوص زمانی که سیستم ایمیل ظاهرا آن را به عنوان معتبر نشان داده باشد.

به کار بردن قدرت هوش مصنوعی

گرما نه تنها برای بخش‌های فناوری اطلاعات، بلکه برای MSPهایی که چندین سازمان تحت حفاظت خود دارند، روشن است، که بسیاری از آنها هیچ دانش امنیتی واقعی در داخل خود ندارند. تحقیقات خود کاسیا نشان می‌دهد که بسیاری از آنها چقدر در معرض خطر هستند. رویکردهای جدیدی مورد نیاز است که با خطر تصاحب حساب قبل از ایجاد خسارت مقابله کند. و در صورت وقوع تصاحب، باید قبل از تحت تأثیر قرار گرفتن داده‌های حیاتی و زیرساخت، به مهار تأثیر آن توجه شود.

خبر خوب این است که ابزارهای مدرنی وجود دارند که فقط این وظایف را انجام می دهند. INKY ابزار تجزیه و تحلیل ایمیل مبتنی بر هوش مصنوعی Kaseya است. قابلیت‌هایی دارد که فراتر از هر نوع امنیت ایمیل سنتی است و به گونه‌ای تنظیم شده است که از طریق ظریف‌ترین و حاشیه‌ای‌ترین نشانه‌ها، زمانی که یک مکالمه ایمیل در حال نفوذ است، تشخیص دهد.

INKY با استفاده از تکنیک هایی مانند پروفایل فرستنده پیشرفته، سبک سنجی و یادگیری ماشینی، در شناسایی ناسازگاری بین الگوهای نوشتاری شناخته شده یک کارمند قانونی و لحن کمی ناآشنا از یک پیام جعلی ماهر است. این می‌تواند تشخیص دهد که چیزی اشتباه است، حتی زمانی که سرصفحه‌های پیام واقعی به نظر می‌رسند، فقط با شناسایی انواع ناهنجاری‌های زمینه‌ای که یک پیام ساختگی را آشکار می‌کنند.

INKY مخصوصا در مورد تصاحب حساب شخص ثالث مفید است. با ایجاد و حفظ مشخصات دقیق فرستندگان مورد اعتماد بر اساس ویژگی های فنی و رفتاری به این امر دست می یابد. با گذشت زمان یاد می‌گیرد که «عادی» چگونه به نظر می‌رسد و می‌تواند ببیند که ایمیل شخص ثالث با نمایه ایجاد شده فرستنده مطابقت ندارد.

حاوی حمله

اگر تلاش برای تصاحب موفقیت آمیز باشد، برای جلوگیری از آسیب بیشتر از مسدود کردن یک حساب مشکوک وجود دارد. در زمان کشف، یک هویت به خطر افتاده ممکن است قبلا منجر به نفوذ به برنامه‌های SaaS متصل، ذخیره‌سازی ابری و ابزارهای همکاری شده باشد و منطقه انفجار احتمالی را فراتر از یک رشته ایمیل منفرد گسترش دهد.

محیط‌های فناوری اطلاعات مدرن جنگلی از نقاط پایانی و دروازه‌های هویت محور هستند و بنابراین دفاع در برابر متجاوزان مسلح به اعتبار قانونی به طور فزاینده‌ای دشوار است. برای پیچیده تر، وقتی افراد بد هوش مصنوعی در اختیار دارند، می توانند با این اکوسیستم های مبتنی بر SaaS به عنوان یک سطح حمله برخورد کنند. دفاعی که متکی به مجموعه ای از ابزارهای فردی است که هر کدام برای حل یک چالش خاص در یک سیلو از سازمان ایجاد شده اند، قادر به مقابله با این نوع تهدید نیستند.

به همین دلیل است که INKY برای کار با Kaseya SaaS Alerts پیکربندی شده است، یک پلت فرم تشخیص و پاسخ مبتنی بر ابر که برای کمک به MSP ها و دیگران برای نظارت و محافظت از برنامه های کاربردی تجاری طراحی شده است. هنگامی که INKY متوجه شد که یک صندوق پستی ربوده شده است، کاربر را ایزوله می کند و ایمیل های خروجی را مسدود می کند. سپس رویدادی را به SaaS Alerts ارسال می کند تا بتواند دسترسی آن کاربر را در بقیه پشته قفل کند. ابزارها به عنوان یک تیم کار می کنند، INKY حساب در معرض خطر را مسدود می کند و SaaS Alerts از گسترش آسیب جلوگیری می کند.

قدرت این همکاری ناشی از توانایی INKY برای پخش بی‌درنگ تله‌متری امنیت ایمیل در SaaS Alerts، از جمله نتایج تحلیل ورودی و شناسایی تهدید، فعالیت فیشینگ گزارش‌شده توسط کاربر و رویدادهای حفاظت از نامه‌های خروجی است. این نوع ادغام به خودکارسازی تشخیص تهدید در زمان واقعی در یک اکوسیستم پیچیده SaaS کمک می کند.

باگت می‌گوید: «این بدان معناست که اگر ایمیل‌های مشکوکی را مشاهده کنیم، می‌توانیم حساب را ببندیم و اقدامات اصلاحی دیگری انجام دهیم. "هرچه بیشتر معنای نامه را بفهمید، بیشتر می توانید دریافت کنید."

ابزارهای هوشمند برای نجات

نبرد با تصاحب حساب هرگز برنده نمی شود و همیشه به نوآوری در آینده نیاز است. ما دیدیم که چگونه هوش مصنوعی یک سلاح خطرناک در دست مهاجم است. این همچنین ابزار بسیار مفیدی برای مدافع است - اما برخی از شرایط وجود دارد: "شما نمی توانید همه نامه های ورودی و خروجی را فقط از طریق یک LLM ارسال کنید، زیرا مسائل اقتصادی جمع نمی شوند." "تو باید باهوش تر از این باشی."

یکی از مهم‌ترین و هوشمندانه‌ترین کاربردهای نوظهور GenAI، نه صرفا محافظت در برابر تصاحب حساب، بلکه پیش‌بینی نقطه ضعف ممکن است، کمک به توقف مشکل قبل از وقوع آن است. باگت معتقد است که صنعت امنیت در ابتدای راه است که می تواند از مدل هایی برای پیش بینی در این راه استفاده کند. یک مقدمه ضروری این است که اطمینان حاصل شود که بسیاری از اجزای مختلف که در تامین امنیت یک سازمان نقش دارند می توانند اطلاعات را با یکدیگر به اشتراک بگذارند.

این کار یکپارچه سازی در حال انجام است، یک نمونه اولیه گفتگوی زمان واقعی بین سیستم حفاظت از نامه INKY و SaaS Alerts است. مرحله بعدی یک لایه داده یکپارچه است که در آن هر مؤلفه امنیتی می تواند یک رویداد را در زمان واقعی منتشر کند و هر مؤلفه دیگری می تواند مشترک شود.

باگت قول می دهد: «ما به ادغام بیشتر از این نوع در طول زمان ادامه خواهیم داد. ما همچنین در حال ایجاد یک قابلیت متمرکز برای هوش مصنوعی هستیم. با توجه به اینکه بسیاری از مؤلفه‌های مختلف هوش مصنوعی خود را دارند، شما به یک پلتفرم زیربنایی نیاز دارید. ما همچنین یک دفتر خدماتی از کارشناسان یادگیری ماشین داریم که می‌توانند مدل‌های سفارشی‌سازی شده برای کارهای مختلف بسازند. هیچ خوابی در کار نیست. حجم حملات به وضوح افزایش خواهد یافت.»

در گزارش امنیت سایبری Kaseya در اینجا بیشتر بخوانید

با حمایت Kaseya