Hackers hebben nu ongeveer een uur nodig voor een netwerkovername

Na aanvankelijk een inbreuk op het netwerk van een slachtoffer te hebben gemaakt, gebruiken hackers meestal aanvullende tools en maatregelen waarmee ze de zogenaamde "laterale beweging" over een netwerk kunnen uitvoeren. Onderzoekers die samenwerken met infosec-bedrijf CrowdStrike hebben onlangs een rapport gepubliceerd over hun waarnemingen uit het jaar 2021.

Uit het rapport blijkt dat de tijd die hackers nodig hebben om van de eerste doorbraak naar volledige zijwaartse beweging te gaan, drastisch is afgenomen.

Zijdelingse beweging wordt meestal gedefinieerd als de reeks acties en hulpmiddelen die door een dreigingsactor worden gebruikt zodra ze voor het eerst toegang hebben tot een netwerk. Dit omvat het inzetten van tegendetectiemaatregelen en het verkrijgen van toegang tot zoveel mogelijk aangesloten apparaten en toegang tot hun inhoud.

Zodra een aanval overgaat van de eerste inbreuk naar een volledige zijwaartse beweging, wordt het aanzienlijk moeilijker voor het IT-beveiligingsteam van het slachtoffer om met de situatie om te gaan en deze in te dammen.

In die zin is de grote afname van de tijd die dreigingsactoren nodig hebben om van initiële toegang naar laterale beweging te gaan, een belangrijk probleem. CrowdStrike haalde de gegevens voor zijn rapport van meer dan een kwart miljoen eindpunten van klanten.

Uit de verzamelde gegevens blijkt dat, hoewel de zogenaamde "uitbraaktijd" om van de eerste toegang tot zijwaartse beweging te gaan gemiddeld iets meer dan anderhalf uur was, er een aanzienlijk deel van de aanvallen was die erin slaagden binnen minder dan 30 minuten uit te breken. Dit is slecht nieuws voor beveiligingsteams over de hele wereld, want zodra zijwaartse beweging is bereikt, staat het netwerk wijd open voor de inzet van bijvoorbeeld ransomware. Dit maakt een razendsnelle first-response een cruciaal punt in de beveiliging.

Om het nog erger te maken, maakte meer dan de helft van de aanvallen die door CrowdStrike werden gevolgd, geen gebruik van discrete kwaadaardige tools. In plaats daarvan maakten aanvallen misbruik van kwetsbaarheden in legitieme software, wat detectie veel moeilijker maakt.

Hoewel ransomware even populair blijft als altijd, merkte het beveiligingsrapport ook op dat aanvallen gericht op cryptojacking en het misbruiken van slachtoffersystemen om crypto illegaal te minen, twee keer zo groot zijn geworden in vergelijking met vorig jaar.