Kolege iz kompanije PCX IT Solutions su podijelili svoja iskustva sa terena sa našim Udruženjem kako bi ukazali na važnost zaštite kompanija u digitalnom prostoru i ukazali na potrebu za kontinuiranom cyber zaštitom 24/7.
Iz razumljivih razloga imena napadnutih kompanija nećemo navoditi.
Cyber napad
Jednog užurbanog dana, direktorica kompanije, pod pritiskom brojnih poslovnih obaveza, primila je email koji je izgledao legitimno i sadržavao link. U svojoj žurbi, kliknula je na taj link, ne pročitavši sadržaj emaila, i unijela lozinku za administratorski račun za sve emailove. Nakon toga, stranica ju je preusmjerila na njihovu zvaničnu web stranicu, što je djelovalo kao da se ništa nije dogodilo. Međutim, taj trenutak je bio presudan jer je lozinka administrativnog računa kompromitovana.
Iako direktorica nije odmah shvatila da je riječ o napadu, naš SOC (Security Operations Center) centar je odmah reagovao. Crveni alarmi su se upalili čim je phishing napad pokrenut, i prije nego što je direktorica uspjela obavijestiti bilo koga o tome šta se desilo, već smo imali obavijesti o pokušaju prodora u sistem.
Kako je postavljena zaštita uklonila mogućnost štete
- Reakcija EDR-a i izolacija računara
U trenutku kada je phishing napad pokrenut, endpoint zaštita sa EDR-om (Endpoint Detection and Response) je automatski izolovala sve računare u organizaciji od vanjske mreže. Na taj način, onemogućen je svaki daljnji pokušaj proboja u sistem. EDR je omogućio pristup računarima samo sigurnosnom timu preko sigurnog portala, čime su spriječeni daljnji pokušaji pristupa od strane napadača.
Uz to, odmah smo dobili izvještaje o većem broju mrežnih napada na njihove računare i javnu IP adresu. Ovi napadi su bili neuspješni zahvaljujući postavljenim sigurnosnim mjerama, ali su ukazivali na ozbiljnu prijetnju.
- Pokušaji instalacije malicioznih programa
Na računaru direktorice, gdje je napad počeo, otkrili smo četiri pokušaja instalacije programa koji su trebali prikazati šifre svih email naloga. Ovi programi bi omogućili napadaču pristup svim emailovima unutar kompanije, što bi rezultiralo ozbiljnom ugroženošću podataka i komunikacije.
Međutim, zahvaljujući aktivnoj endpoint zaštiti, svi ovi pokušaji su bili neuspješni. Programi nisu uspjeli da se instaliraju, a napadač nije dobio pristup šiframa.
- Promjena lozinki i postavljanje jače zaštite
Prvi korak koji smo poduzeli nakon izolacije sistema bio je promjena svih email lozinki, počevši od administratorskog računa, koji je bio direktno kompromitovan. Znali smo da su šifre u tom trenutku ugrožene, pa smo odmah postavili jače lozinke za sve emailove u organizaciji. Ovaj korak je osigurao da, čak i ako je napadač uspio dobiti pristup određenim podacima, on više neće biti u mogućnosti da koristi te informacije za daljnje napade.
- Deep scan svih računara
Nakon što smo osigurali lozinke, pokrenuli smo dubinsko skeniranje svih računara u organizaciji kako bismo provjerili je li došlo do daljnje kompromitacije sistema. Deep scan je prošao kroz sve uređaje u mreži i nije pokazao znakove dodatnih napada ili malicioznih programa. Ovaj korak je bio ključan kako bismo bili sigurni da je sistem potpuno zaštićen.
- Održavanje nadzora i vraćanje pristupa mreži
Kada smo dobili izvještaje da su svi pokušaji napada i instalacije malicioznih programa bili neuspješni, korisnicima smo ponovno dopustili konekciju s vanjskom mrežom. Međutim, nismo stali na tome – nastavili smo pratiti situaciju kako bismo bili sigurni da neće biti novih napada u budućnosti.
- Dodatne mjere opreza: Ponovna promjena lozinki i skeniranje
Sljedećeg dana, iz dodatne mjere opreza, ponovo smo promijenili lozinke svih email naloga i izvršili detaljno skeniranje svih računara u organizaciji. Iako je prvobitno skeniranje pokazalo da je sve bilo u redu, htjeli smo biti apsolutno sigurni da nema preostalih prijetnji ili zlonamjernih programa.
- Dodatne mjere opreza: Ponovna promjena lozinki i skeniranje
Nakon što su svi sigurnosni procesi bili završeni i potvrđeno da je sistem siguran, pripremili smo detaljan izvještaj za klijenta. U izvještaju smo objasnili kako je napad tekao, koje mjere su poduzete, i kako smo uspjeli spriječiti ozbiljnu štetu. Klijent je dobio pregled svih akcija, uključujući promjenu lozinki, dubinsko skeniranje i izolaciju sistema, kako bi bili potpuno informisani o cijelom procesu.
Ključne lekcije iz incidenta
Ovaj incident pokazuje koliko je važno imati postavljene sigurnosne mjere, čak i kada neke ključne komponente, poput firewall-a ili backup-a, nisu prisutne. Zahvaljujući pravovremenoj reakciji sigurnosnih rješenja, organizacija je uspjela izbjeći ozbiljnu štetu.
- EDR i endpoint zaštita su ključne u otkrivanju i zaustavljanju napada prije nego što se nanese ozbiljna šteta. U ovom slučaju, EDR je izolovao sistem i omogućio sigurno upravljanje incidentom.
- Promjena lozinki i jače šifre su osnovna mjera opreza nakon kompromitacije, čime se smanjuje rizik od daljnjih napada.
- Dubinsko skeniranje nakon napada osigurava da nema preostalih prijetnji i da sistem može nesmetano nastaviti s radom.
- Transparentnost i komunikacija s klijentom kroz detaljne izvještaje omogućava im da shvate kako je napad neutralisan i koje su mjere poduzete za zaštitu njihovih podataka.
Zaključak
Zaštita mrežnog sistema, koja uključuje endpoint zaštitu i EDR, može napraviti ogromnu razliku u slučaju napada. Iako u ovom slučaju nije bilo firewall-a ili backup opcije, pravilno postavljena sigurnosna rješenja omogućila su brzo otkrivanje napada i sprječavanje ozbiljne štete. Ovo nam pokazuje koliko je važno ne samo imati osnovne sigurnosne mjere, već i biti spreman brzo reagovati na bilo kakve prijetnje.