Kinijai priskiriami programišiai įsilaužė į IT milžinę: atakoms naudojo DI agentus

Sekite TechNaujienos Google

IT administravimo paslaugas teikianti „ConnectWise“ pranešė apie kibernetinę ataką prieš jos debesines sistemas. Bendrovė teigia turinti požymių, siejančių incidentą su Kinijos valstybei priskiriamais užpuolikais, kurie daliai operacijų galėjo pasitelkti dirbtinio intelekto agentų įrankius. Įvykis atkreipė dėmesį į naują problemą: automatizacija vis dažniau naudojama ne tik sistemoms apsaugoti, bet ir joms atakuoti.

Ataka paveikė sistemas, naudojamas klientų atsarginėms kopijoms ir nuotoliniam administravimui. Tokios paslaugos jautrios todėl, kad jomis dažnai naudojasi IT tiekėjai, vienu metu aptarnaujantys dešimtis ar šimtus organizacijų. Sutrikus centrinei platformai, dalis jos klientų gali netekti įprastų duomenų atkūrimo galimybių arba administravimo funkcijų.

Oficialiuose „ConnectWise“ saugumo pranešimuose bendrovė incidentą sieja su spalio viduryje aptikta neteisėta veikla. Ji laikinai ribojo kai kurias paslaugų funkcijas, kad sustabdytų galimą tolesnę žalą, ir bendradarbiavo su išoriniais saugumo specialistais. Atribucija konkrečiai valstybei pateikiama kaip tyrimo vertinimas, o ne teismo patvirtintas faktas.

Priskirti ataką konkrečiai valstybei sudėtinga, nes skirtingos grupės gali naudoti tas pačias programas, serverius ar viešai išplatintus metodus. Tyrėjai dažnai vertina ilgesnio laikotarpio veiklos modelį, užpuolikų pasirinktus taikinius ir kelis techninių požymių rinkinius. Vis dėlto dalis tokios informacijos dėl tyrimo jautrumo nepaskelbiama. Tai nėra pakankama priežastis atmesti bendrovės vertinimą, bet ir neleidžia jo pateikti kaip neabejotino teisinio fakto. DI agentų paminėjimas šiuo atveju taip pat reikalauja tikslumo: automatizuota paieška ar užklausų kartojimas nėra tas pats, kas modelio savarankiškai suplanuota visa kibernetinė operacija. Skirtingų automatizacijos lygių painiojimas gali nepagrįstai išpūsti įvykio technologinį naujumą. Todėl svarbiausi bus galutinės incidento analizės techniniai duomenys.

Naujausi straipsniai

4 min. skaitymo • prieš 2 minutės

40 mln. peržiūrų sulaukusio vaizdo klipo režisierius prabilo: DI kopijos vos neprivertė mesti kino

4 min. skaitymo • prieš 22 minutės

Buvę „Meta“ inžinieriai sukūrė DI pakabuką, kuris klausosi tik savo savininko: pritraukė 33 mln. dolerių

4 min. skaitymo • prieš 42 minutės

„Rivian“ įsigijo DI bendrovę: automobilius mokys vairuoti virtualiuose pasauliuose

Visi naujausi straipsniai →

Pranešimuose minima atvirai prieinama DI agentų programinė įranga. Tokie įrankiai gali atlikti kelių žingsnių užduotis: ieškoti dokumentacijos, tikrinti aplinkas, sisteminti surinktą informaciją ir automatizuoti pasikartojančius veiksmus. Tačiau vien jų naudojimas neįrodo, kad visa ataka vyko savarankiškai be žmogaus dalyvavimo.

IT administravimo tiekėjai tampa itin jautriais taikiniais

Didelėje įmonėje IT administratorius gali turėti teisę įdiegti programinę įrangą, atkurti duomenis, valdyti naudotojų paskyras ir stebėti tinklo būseną. Trečiųjų šalių administravimo platformos leidžia tas užduotis atlikti centralizuotai. Dėl šios priežasties jų apsauga turi būti griežtesnė nei vienos pavienės programėlės.

Jei užpuolikas pasiekia tokį įrankį, teoriškai jis galėtų mėginti naudoti jo funkcijas kaip papildomą kelią į klientų aplinkas. Ar tai konkrečiu atveju iš tiesų įvyko ir kiek klientų buvo paveikta, būtina nustatyti tyrimu. Paslaugos sustabdymas savaime nereiškia, kad visi jos naudotojai tapo duomenų vagystės aukomis.

DI įrankių atsiradimas keičia ir atakų mastelio ekonomiją. Užpuolikų komandos gali greičiau peržiūrėti technines instrukcijas, rengti scenarijus ir apibendrinti informaciją. Vis dėlto efektyvumas priklauso nuo to, kokias teises sistema jau turi ir ar jos veiksmai pastebimi saugumo žurnaluose.

Saugumo incidentas primena ir tiekėjų sutartinių įsipareigojimų svarbą. Paslaugų klientai turėtų žinoti, per kiek laiko tiekėjas privalo informuoti apie galimą kompromitavimą, kokią informaciją pateiks ir kas atsakingas už veiklos atkūrimą. Aiškus reagavimo planas leidžia greičiau atskirti vietinius trikdžius nuo incidento, prasidėjusio bendroje platformoje. Taip pat naudinga turėti atskirą ryšio kanalą su tiekėjo saugumo komanda, nes didelio sutrikimo metu įprastas pagalbos centras gali būti perkrautas. Jei įmonė naudoja kelias susietas administravimo paslaugas, svarbu nustatyti jų tarpusavio prieigos teises. Taip sumažinama tikimybė, kad vienas pažeistas komponentas sukurs platesnę prieigą prie visos organizacijos infrastruktūros.

Kaip sumažinti tiekimo grandinės riziką

Įmonėms, naudojančioms nuotolines IT valdymo sistemas, svarbu riboti nereikalingas administratoriaus teises, įjungti daugiafaktorį prisijungimą ir atskirti atsarginių kopijų valdymą nuo kitų paslaugų. Taip pat verta reguliariai išbandyti duomenų atkūrimą, kad vienam tiekėjui sutrikus organizacija neliktų be veikiančio plano.

Incidento tyrimo metu klientai turėtų tikrinti tiekėjo oficialią būsenos informaciją ir saugumo rekomendacijas. Jei pranešama apie galimą įgaliojimų kompromitavimą, svarbu pakeisti ne vien bendros paskyros slaptažodį, bet ir atitinkamus administravimo tokenus bei integracinius raktus.

„TechNaujienos.lt“ jau aptarė DI panaudojimą Japonijos saugumo strategijoje ir kenkėjiškų programų aptikimo pagrindus. Ši istorija rodo, kad skaitmeniniai incidentai paliečia ne tik galutinius įrenginius, bet ir tarp jų veikiančius administravimo tiekėjus.

Kol nebaigtas tyrimas, neatsakyti lieka klausimai apie tikslų užpuolikų veiksmų mastą, paveiktų klientų skaičių ir DI automatizacijos vaidmenį. Būtent šie faktai leis nustatyti, ar incidentas iš tiesų žymi naują puolimo taktikos etapą, ar yra įprastos atakos, kurioje naudoti nauji pagalbiniai įrankiai, pavyzdys.