ESET Research анализирует вредоносные фреймворки, нацеленные на закрытые сети; анализирует 15 лет усилий национального государства.

БРАТИСЛАВА, МОНРЕАЛЬ - 1 декабря 2021 г.- Исследователи ESET представляют свой анализ всех известных на сегодняшний день вредоносных фреймворков, используемых для атак на сети с воздушным зазором. Сеть с воздушным зазором - это сеть, которая физически изолирована от любой другой сети для повышения ее безопасности. Этот метод может помочь защитить наиболее уязвимые сети: системы промышленного управления (АСУ ТП) трубопроводов и электросетей, системы голосования и системы SCADA, работающие с ядерными центрифугами, и это лишь некоторые из них. Естественно, системы, в которых работает критическая инфраструктура, представляют большой интерес для многих злоумышленников, включая любые группы APT. APT-группы обычно спонсируются национальными государствами или являются их частью. В конечном итоге, если проникнуть в систему с воздушным зазором, эти злоумышленники могут перехватить конфиденциальные данные, чтобы шпионить за странами и организациями.

Только в первой половине 2020 года появилось четыре ранее неизвестных вредоносных фреймворка, предназначенных для взлома сетей с воздушными зазорами, в результате чего общее количество достигло 17.

Обнаружение и анализ этого типа фреймворка создает уникальные проблемы, поскольку иногда есть несколько компонентов, которые все должны быть проанализированы вместе, чтобы получить полную картину того, как на самом деле проводятся атаки. Используя знания, обнародованные более чем 10 различными организациями на протяжении многих лет, и некоторый специальный анализ для уточнения или подтверждения некоторых технических деталей, исследователи ESET во главе с Алексис Дорайс-Йонкас рассмотрели эти рамки в перспективе, чтобы увидеть, чему история может научить профессионалов в области кибербезопасности и , в определенной степени, даже широкая общественность об улучшении безопасности сетей с воздушными зазорами и наших способностях обнаруживать и смягчать будущие атаки. Они пересмотрели каждую схему, известную на сегодняшний день, сравнивая их бок о бок в исчерпывающем исследовании, которое выявляет несколько основных сходств:

«К сожалению, группам угроз удалось найти скрытые способы атаковать эти системы. По мере того, как воздушные зазоры становятся все более распространенными, а организации интегрируют более инновационные способы защиты своих систем, кибер-злоумышленники в равной степени оттачивают свои навыки для выявления новых уязвимостей, которые можно использовать, - говорит Алексис Дорайс-Йонкас, возглавляющий группу разведки безопасности ESET в Монреале. .

«Для организаций с критически важными информационными системами и / или секретной информацией потеря данных может нанести огромный ущерб. Потенциал этих фреймворков вызывает большое беспокойство. Наши результаты показывают, что все структуры предназначены для выполнения той или иной формы шпионажа, и все структуры использовали USB-накопители в качестве физической среды передачи для передачи данных в целевые сети с воздушным зазором и из них », - объясняет Дорайс-Йонкас.

Выявив риски, компания ESET составила следующий список методов обнаружения и смягчения последствий для защиты сетей с воздушными зазорами от основных методов, используемых всеми вредоносными фреймворками, широко известными на сегодняшний день:

Предотвращение доступа к электронной почте на подключенных хостах. Предотвращение прямого доступа к электронной почте в подключенных системах могло бы смягчить этот популярный вектор компрометации. Это может быть реализовано с помощью архитектуры изоляции браузера / электронной почты, где все действия с электронной почтой выполняются в отдельной изолированной виртуальной среде.

Отключите USB-порты и очистите USB-накопители - физическое удаление или отключение USB-портов на всех системах, работающих в сети с воздушными зазорами, является максимальной защитой. Хотя удаление USB-портов из всех систем может быть неприемлемо для всех организаций, все же возможно ограничить функциональные USB-порты только теми системами, которые в этом абсолютно нуждаются. Процесс очистки USB-накопителя, выполняемый до того, как какой-либо USB-накопитель будет вставлен в систему с воздушными зазорами, может нарушить многие методы, реализованные в исследуемых средах.

Ограничение выполнения файлов на съемных дисках. Некоторые методы, используемые для взлома систем с воздушными зазорами, приводят к прямому выполнению исполняемого файла, хранящегося где-то на диске, чего можно избежать, настроив соответствующие политики доступа к съемным хранилищам.

Регулярный анализ системы. Регулярный анализ системы с воздушными зазорами для проверки на наличие вредоносных фреймворков является важной частью безопасности для обеспечения безопасности данных.

Кроме того, стоит отметить, что продукты для обеспечения безопасности конечных точек, как правило, способны обнаруживать и блокировать несколько классов эксплойтов, поэтому не только развертывание такой технологии, но и ее обновление может иметь положительное влияние.

«Поддержание полностью закрытой системы дает преимущества дополнительной защиты. Но, как и все другие механизмы безопасности, воздушные зазоры - не панацея и не мешают злоумышленникам использовать устаревшие системы или плохие привычки сотрудников », - комментирует исследователь ESET Алексис Дораис-Йонкас.