Uw toeleveringsketen beschermen tegen ransomware

De meeste organisaties hebben het al moeilijk genoeg om hun eigen activiteiten te beveiligen tegen cyberaanvallen die gericht zijn op werknemers. Maar in deze 'sharing economy' van zakenpartners, freelancers en contractanten is het beveiligen van de toeleveringsketen net zo belangrijk als voorkomen dat medewerkers op een phishing link klikken die leidt naar ransomware .

Ongeveer 60 leveranciers van beheerde diensten en ruwweg 1.500 van hun klanten leerden dit weekend op de harde manier over ransomware-aanvallen op de toeleveringsketen: Zij werden het slachtoffer van ransomware toen cyberaanvallers de IT-middleware VSA voor bewaking en beheer op afstand van Kaseya compromitteerden. Volgens Kaseya werden alleen gebruikers van de on-premise versie gecompromitteerd, niet cloud-gebaseerde klanten. [1] De aanvallers eisen naar verluidt een losgeld van 70 miljoen dollar.

Deze nieuwste aanval heeft veel organisaties op scherp gezet; 57% van de organisaties gaf aan zich zorgen te maken over hun vermogen om hun toeleveringsketens en partners te beschermen tegen ransomware, volgens How to Reduce the Risk of Phishing and Ransomware , een whitepaper van Osterman Research. Ze hadden ook weinig vertrouwen in het vermogen van hun contractanten en consultants om phishing-e-mails te herkennen, die zijn uitgegroeid tot een belangrijk middel voor ransomware-aanvallen. Slechts 29% had er vertrouwen in dat hun contractanten met netwerktoegang pogingen tot phishing via e-mail konden herkennen en slechts 26% had er vertrouwen in dat hun contractanten phishing via andere kanalen konden herkennen .

In deze tijden van thuiswerken is het vermeldenswaard dat 72% van de organisaties denkt dat ze de thuisopstellingen van hun werknemers niet effectief kunnen beschermen tegen gebruik als aanvalskanaal; 63% zegt hetzelfde over de mobiele apparaten van hun werknemers. Kleine bedrijven met beperkte middelen , die door cybercriminelen worden gezien als zwakke schakels in de toeleveringsketen , kunnen bijzonder kwetsbaar zijn. Uit een onderzoek onder 300 kleine defensieaannemers bleek dat bijna de helft van hen ongepatchte kwetsbaarheden, verouderde software en andere problemen had. Het onderzoek bracht meer dan 1 300 e-mailbeveiligingsproblemen aan het licht. [2] Grotere organisaties met sterkere of duurdere beveiligingscontroles zijn echter niet immuun voor beveiligingsproblemen; tegenover een beveiligingsmonocultuur zoals Microsoft 365 hoeven cybercriminelen slechts de beperkte beveiligingen binnen de monocultuur te omzeilen. Bedrijven die gebruik maken van een gelaagde aanpak, zoals defense-in-depth , hebben meer vertrouwen in hun vermogen om een e-mailaanval te voorkomen en zullen minder snel ernstige gevolgen ondervinden mocht er toch een plaatsvinden.

Ransomware en aanvallen van derden

De gevaren en gevolgen van ransomware-aanvallen hebben de nieuwskoppen gedomineerd: De FBI registreerde 2.474 ransomware-klachten in 2020, met geschatte verliezen van meer dan 29,1 miljoen dollar. [3] Maar dat is waarschijnlijk een conservatieve schatting, aangezien veel slachtoffers nooit de kosten van hun losgeld bekendmaken, laat staan dat ze erkennen dat ze het hebben betaald . De FBI heeft bijvoorbeeld onlangs 2,3 miljoen dollar teruggevorderd van een cybercriminele organisatie, wat slechts een deel was van wat bij een recente aanval was betaald. En zoals het agentschap opmerkte: "Dit getal omvat geen schattingen van verloren zaken, tijd, lonen, bestanden of apparatuur, of hersteldiensten van derden." [4]

Het beschermen van organisaties tegen aanvallen op de toeleveringsketen is een ingewikkeld proces, vooral in een wereldeconomie die berust op zakelijke partnerschappen. Een typische toeleveringsketen kan klanten, leveranciers en distributiepartners omvatten, die allemaal via digitale portals met de onderneming verbonden kunnen zijn om een flexibele bedrijfsvoering mogelijk te maken. Dit maakt een bedrijf echter ook vatbaarder voor meer aanvalspunten. Uit een recent rapport van het Ponemon Institute blijkt dat 74% van de organisaties die in de afgelopen 12 maanden met een inbreuk te maken kregen, zei dat dit was gebeurd omdat ze te veel geprivilegieerde toegang aan derden hadden gegeven. [5]

Netwerktoegang wordt ook moeilijker te beheren. Alarmerend is dat uit de Ponemon studie blijkt dat 54% van de organisaties geen grondige inventaris heeft van alle derde partijen die toegang hebben tot hun netwerken, en dat ze niet kunnen identificeren welke toegang hebben tot hun meest gevoelige gegevens.

Het kan onmogelijk zijn om die gebruikers te volgen zonder een goed overzicht, vooral als het toezicht op derden verdeeld is over interne organisaties, waaronder IT en operations. Uit de Ponemon studie bleek dat 59% van de organisaties geen gecentraliseerde controle had over derden met toegang tot hun systemen.

Ransomware-aanvallen op de toeleveringsketen stoppen

Hoe kunnen organisaties ransomware-aanvallen voorkomen die via hun partners in de toeleveringsketen lopen? Een paar best practices kunnen nuttig zijn.

• Krijg meer zichtbaarheid: Breng uw gegevensstroom in kaart, inclusief gegevens die afkomstig zijn van derden. Weet wie de eigenaar is van die gegevens en wie verantwoordelijk is voor het schoon en veilig houden ervan.
• Leer uw derde partijen kennen: Leer hoe zij uw systemen gebruiken en welke bescherming zij hebben tegen cybercriminaliteit, als die er is. Evalueer hun beveiligingsbeleid, zoals hoe ze omgaan met hun gegevensback-ups en meldingen van beveiligingsinbreuken. Een eenvoudige vragenlijst kan u al die informatie geven, plus nog meer, zoals transactievolumes en de gevoeligheid van de gegevens die ze verwerken.
• Zorg voor governance: Als u eenmaal weet waar uw gegevens zich bevinden en hoe ze worden gebruikt, stelt u een aantal beschermingsconstructies op. Niet alle gebruikers hebben een all-access pas nodig voor uw systeem, dus overweeg om de toegang van derden te beperken tot relevante gebruikers en hun toegangsrechten binnen het netwerk te beperken. Deze "least-privilege" toegang kan een goed uitgangspunt zijn voor het omgaan met partners. Stel een proces in om het toegangs- en privilegebeleid regelmatig te herzien, zodat gebruikers op de hoogte blijven.
• Investeer in training: Menselijke fouten zijn de bron van de meeste inbreuken op de beveiliging.[6] Training in beveiligingsbewustzijn kan helpen. Bijna tweederde (62%) van de organisaties in het Osterman-onderzoek gaf aan dat het trainen van gebruikers om phishing te herkennen effectief was. Met de opkomst van merkimitatieaanvallen is het de moeite waard om het personeel te leren zelfs e-mails te controleren die van verkopers en partners afkomstig lijken te zijn.
• Herzie uw beveiligingstoolkit: Tweeënzestig procent van de door Osterman ondervraagde bedrijven zegt dat het toevoegen van multifactorauthenticatie, het verplicht stellen van een zekere mate van identiteitsverificatie en de mogelijkheid om verdachte phishing-e-mails uit meerdere mailboxen te verwijderen, effectieve manieren zijn om inbreuken tegen te gaan. Daarnaast kunnen nieuwe anti-phishing tools die gebruik maken van kunstmatige intelligentie en machine learning effectief zijn.

De kern van de zaak

Het Kaseya incident van dit weekend is slechts de laatste in een lange reeks van high-profile ransomware aanvallen. Volgens het Osterman-rapport zullen bedrijven last blijven houden van ransomware omdat cybercriminelen steeds georganiseerder en geraffineerder te werk gaan. Helaas heeft minder dan een derde van de organisaties vertrouwen in het vermogen van hun partners in de toeleveringsketen om te herkennen dat ze het doelwit zijn van een phishing-e-mail, waardoor de hele toeleveringsketen in gevaar komt. Met een paar best practices kan de toeleveringsketen echter al een heel eind worden beschermd.

[1] " Updates m.b.t. VSA-beveiligingsincident ," Kaseya

[2] Toeleveringsketen van de defensie-industrie & Veiligheid 2021 , BlueVoyant

[3] 2020 Internet Crime Report , FBI

[4] " Ministerie van Justitie legt beslag op 2,3 miljoen dollar aan cryptocurrency betaald aan de afpersers van ransomware Darkside ," Ministerie van Justitie

[5] A Crisis in Third-party Remote Access Security , SecureLink/Ponemon Institute

[6] The Psychology of Human Error , Tessian