Атаки на основе идентификационных данных стали причиной большинства киберинцидентов в 2024 году
В отчете говорится, что злоумышленники входили в систему, а затем проводили атаки на основе идентификационных данных, используя не по назначению легитимные инструменты, а также эксплуатируя многолетние уязвимости, что и стало причиной большинства инцидентов безопасности в прошлом году.
Результаты получены из отчета «2024 Year in Review», основанного на телеметрии с более чем 46 миллионов устройств в 193 странах и регионах, и анализа более 886 миллиардов событий безопасности ежедневно. В отчете установлено, что атаки на идентификационные данные были задействованы в 60% инцидентов, проявляясь на каждом этапе жизненного цикла атаки.
Часто обнаруживалось, что злоумышленники используют не новые вредоносные программы, а действительные учетные данные и собственные инструменты. Там, где не была задействована идентификация, эксплуатировались старые уязвимости, некоторым из которых десятки лет. Идентификация является основным путем доступа для программ-вымогателей и обхода многофакторной аутентификации.
Идентификация занимала центральное место на всех этапах атаки: доступ, эскалация, горизонтальное (латеральное) перемещение и сохранение. В 44% случаев целью атак были службы каталогов Active Directory, в то время как компрометация интерфейса программирования облачных приложений составила 20% инцидентов. Среди мотивов атак, основанных на использовании идентификационных данных, 50% составляли программы-вымогатели, 32% - сбор и перепродажа учетных данных, 10% - шпионаж и 8% - финансовое мошенничество.
Распространенные сбои многофакторной аутентификации (MFA) включали:
- отсутствие MFA в виртуальных частных сетях;
- истощение MFA/усталость от push-уведомлений — когда злоумышленники переполняют устройство пользователя повторяющимися запросами на многофакторную аутентификацию в надежде, что он в конечном итоге одобрит один из них;
- ненадлежащий мониторинг регистрации.
Атаки MFA часто были нацелены на системы управления идентификацией и доступом, такие как Citrix Systems Inc., Microsoft Corp. и Fortinet Inc.
Другие выводы отчета сообщают о том, что использование злоумышленниками искусственного интеллекта в 2024 году было ограничено, и в основном ИИ использовался для улучшения социальной инженерии и автоматизации. Генеративный ИИ также использовался для фишинговых кампаний, рассылки по электронной почте и подделки голосовых сообщений.
В отчете отмечается, что растущее внедрение и расширение возможностей искусственного интеллекта и больших языковых моделей вызывает все большую обеспокоенность, особенно по мере того, как агентный ИИ становится способным осуществлять автономные операции, а автоматическое обнаружение уязвимостей и их использование становятся все более распространенными. Отмечается, что сами системы искусственного интеллекта становятся все более уязвимыми, особенно по мере их внедрения в цепочку поставок.
