Sophos avisa: atacantes passam, em média, mais de 250 horas nas redes das vítimas sem serem detetados - ITO - NETthings
Home » info » Sophos avisa: atacantes passam, em média, mais de 250 horas nas redes das vítimas sem serem detetados
O novo "Active Adversary Playbook 2021" revela que 69% dos ataques a que a Sophos deu resposta em 2020 utilizaram o Remote Desktop Protocol (RPT) para movimentação lateral dentro da rede
A Sophos (LSE: SOPH), líder global em cibersegurança de próxima geração, lançou o "Active Adversary Playbook 2021", que detalha os comportamentos dos atacantes e as ferramentas, técnicas e procedimentos (TTPs, na sua sigla em inglês) que os threat hunters e especialistas de resposta a incidentes da Sophos viram em ação em 2020. Os dados de deteção de TTPs também são relativos ao início de 2021. Os resultados demonstram que o tempo de permanência médio dos atacantes antes da deteção foi de 11 dias – ou 264 horas – sendo que a intrusão sem deteção mais longa durou 15 meses. O ransomware foi utilizado em 81% dos incidentes e outros 69% utilizaram também o Remote Desktop Protocol (RDP) para movimentação lateral dentro da rede.
81% dos ataques investigados pela Sophos envolveu a utilização de ransomware. A implementação do ransomware é frequentemente o momento em que um ataque se torna visível para a equipa de segurança de TI. Dessa forma, não é surpreendente que a grande maioria dos incidentes a que a Sophos deu resposta tenham envolvido ransomware. Outros tipos de ataques investigados pela empresa incluem apenas extração de dados, cryptomining, Cavalos de Tróia (Trojans) para o setor bancário, wipers, droppers, ferramentas pen test/ataque e outros.
"O panorama de ameaças está a tornar-se mais concorrido e complexo, com ataques implementados por adversários que possuem uma ampla variedade de capacidades e recursos, desde amadores com scripts até grupos apoiados por nações adversárias. Isto pode tornar a vida muito complicada para quem tenta defender-se," afirmou John Shier, Senior Security Advisor da Sophos. "Ao longo do último ano, os nossos especialistas de resposta a incidentes ajudaram a neutralizar ataques levados a cabo por mais de 37 grupos de atacantes, que entre si utilizaram mais de 400 ferramentas diferentes. Muitas destas ferramentas são também utilizadas pelos gestores de TI e profissionais de segurança nas suas tarefas quotidianas, pelo que nem sempre é fácil detetar as diferenças entre a atividade benigna e maligna.
Com os adversários a despender uma média de 11 dias na rede, implementando os seus ataques enquanto se ambientam com a atividade de TI de rotina, é crítico que as equipas de defesa compreendam os sinais de alerta a que devem prestar atenção e que devem investigar. Um dos alertas mais importantes, por exemplo, é quando uma ferramenta ou atividade legítimas são detetadas num local inesperado. Acima de tudo, as equipas de defesa devem lembrar-se de que a tecnologia pode fazer muitas coisas, mas, no atual panorama de ameaças, pode não ser suficiente por si só. A experiência e a capacidade de resposta humanas são uma parte vital de qualquer solução de segurança."
Outros tópicos abordados no playbook incluem as táticas e técnicas que mais provavelmente indicam uma ameaça ativa e requerem uma investigação mais aprofundada, os sinais mais precoces de um ataque, as técnicas de disfarce mais utilizadas, os tipos de ameaças e artefactos maliciosos, os grupos de atacantes vistos mais vezes, e outros.
O Intercept X da Sophos protege os utilizadores detetando as ações e comportamentos de ransomware e outros ataques.