https://twcert2024.informationsecurity.com.tw/
https://www.informationsecurity.com.tw/seminar/2024_HighTech/

新聞

Sophos: 82% 的攻擊中駭客停用或清除了日誌,導致缺乏遙測數據

2023 / 11 / 16
編輯部
Sophos: 82% 的攻擊中駭客停用或清除了日誌,導致缺乏遙測數據
Sophos發佈了《2023 年給安全從業人士的主動攻擊者報告》,該研究發現在近 42% 的攻擊案例中缺乏遙測日誌數據。在這些案例中的 82%,駭客停用或刪除了遙測數據以隱藏其蹤跡。該報告涵蓋了 Sophos 從 2022 年 1 月分析到 2023 年上半年的事件回應 (IR) 案例。

缺乏遙測數據會影響迫切需要的組織網路和系統可見性,尤其是攻擊者停留時間 (從初始進入到被偵測到的時間) 繼續下降,縮短了防守方有效回應事件的時間。

Sophos表示,在回應主動威脅時,時間非常重要;從發現初始進入事件到全面緩解威脅之間時間應該盡可能縮短。攻擊者在攻擊鏈中越深入,事件響應人員的困難度就越大。缺少遙測數據只會增加組織負擔不起的補救時間。

在報告中,Sophos 將停留時間為 5 天或更短的勒索軟體攻擊歸類為「快速攻擊」,佔研究案例的 38%。停留時間超過 5 天的勒索軟體攻擊則被歸於「慢速攻擊」,佔研究案例的 62%。

仔細檢視這些「快速」和「慢速」的勒索軟體攻擊時,攻擊者使用的工具、技術和就地取材二進位檔 (LOLBins) 並沒有太大的變化,這表明雖然停留時間縮短,防守方無需重新制定新的防禦策略。然而,防守方需要意識到,快速攻擊和遙測數據缺乏可能妨礙快速反應,使得破壞增加。

Sophos表示,駭客只有在必要時才會創新,而且僅會做到足以達到他們目標的程度。攻擊者不會改變有效的方法,即使他們在從進入到被偵測到的時間越來越快。對組織來說,這是一個好消息,因為即使攻擊者加快時間表,他們亦無需徹底改變防禦策略。

適用於快速攻擊的偵測同樣適用於所有攻擊,無論速度快慢。而這包括完整的遙測、全面的保護和無所不在的監控。關鍵是在可能的情況下增加阻力——如果讓攻擊者的工作變得更難,那麼你就可以爭取回應的寶貴時間,拉長攻擊的每個階段。

Sophos舉例在 Cuba 勒索軟體的兩起事件中見到了這種情況。A公司已經部署 MDR 持續監控,因此能夠在數小時內發現惡意活動,阻擋攻擊並防止任何資料被竊。而B 公司 沒有這種防禦;他們直到初始入侵後幾週才發現攻擊,而此時 Cuba 已外洩了 75GB 的敏感資料。

《Sophos 給安全從業人士的主動攻擊者報告》是根據從 2022 年 1 月 1 日到 2023 年 6 月 30 日的 232 個 Sophos 回應 (IR) 案例,涵蓋 25 個不同行業。被攻擊的組織分佈在六大洲的 34 個不同國家。其中 83% 的案例來自擁有不到 1,000 名員工的組織。