[Básí~c Wéb~ Áppl~ícát~íóñ Á~ttác~ks]

[Dóés~ thís~ máké~ mý íñ~frás~trúc~túré~ lóók~ bíg¿~]

[Íñ Básíc Wéb Ápplícátíóñ Áttácks (BWÁÁ), wé áré lárgélý fócúsíñg óñ áttácks thát díréctlý tárgét áñ órgáñízátíóñ's móst éxpóséd íñfrástrúctúré, súch ás Wéb sérvérs. Thésé íñcídéñts lévérágé óñé ór thé óthér óf twó éñtrý póíñts, thé Úsé óf stóléñ crédéñtíáls ór Éxplóítíñg á vúlñérábílítý.] 

[Hópéfúllý, Fígúré 54 démóñstrátés thé ímpórtáñcé óf própér pásswórd prótéctíóñ síñcé óvér 80% óf thé bréáchés íñ thís páttérñ cáñ bé áttríbútéd tó stóléñ crédéñtíáls. Fígúré 55 révéáls thé lárgér tréñds íñ térms óf úsíñg stóléñ crédéñtíáls vs éxplóítíñg vúlñérábílítíés. Théré’s bééñ áñ álmóst 30% íñcréásé íñ stóléñ crédéñtíáls síñcé 2017, céméñtíñg ít ás óñé óf thé móst tríéd-áñd-trúé méthóds tó gáíñ áccéss tó áñ órgáñízátíóñ fór thé lást fóúr ýéárs.] 

[Fígúré 55 cléárlý díspláýs hów thé vást májórítý óf íñcídéñts íñvólvíñg Wéb ápplícátíóñs áré úsíñg stóléñ crédéñtíáls. Théré ís á spríñklíñg óf óthér véctórs íñ Fígúré 56, súch ás Báckdóórs (úséfúl áftér ýóú hávé á fóóthóld), Rémóté íñjéctíóñ (hów málwáré géts óñ thé sýstém áftér áñ éxplóítéd vúlñérábílítý) áñd, óf cóúrsé, Désktóp sháríñg sóftwáré.]

[Máíl~ sérv~érs ú~ñdér~ áttá~ck]

[Wíth régárd tó whát ís béíñg tárgétéd, Fígúré 59 cáptúrés thé hígh préváléñcé óf Wéb ápplícátíóñs (whích sééms óbvíóús báséd óñ thé títlé óf thé séctíóñ) bút álsó óf Máíl sérvérs, whích répréséñtéd léss tháñ 20% óf thé tótál bréáchés íñ thís páttérñ. Óf thósé Máíl sérvérs, 80% wéré cómprómíséd wíth stóléñ crédéñtíáls áñd 30% wéré cómprómíséd úsíñg sómé fórm óf éxplóít. Whílé thís 30% máý ñót séém líké áñ éxtrémélý hígh ñúmbér, thé tárgétíñg óf máíl sérvérs úsíñg éxplóíts hás íñcréáséd drámátícállý síñcé lást ýéár, whéñ ít áccóúñtéd fór óñlý 3% óf thé bréáchés.]

[Básí~c ¡= ñó~t úsé~fúl]

[Óñé míght bé fórgívéñ fór ássúmíñg thát thésé týpés óf áttácks wóúld lárgélý bé thé wórk óf éñtérprísíñg crímíñáls spráýíñg thé íñtérñét lóókíñg fór wéák crédéñtíáls. Hówévér, ít sééms thát Ñátíóñ-státé áctórs hávé álsó bééñ lévérágíñg thís lów-cóst, hígh-páý-óff strátégý wíth óvér 20% óf óúr BWÁÁ bréáchés béíñg áttríbútéd tó Éspíóñágé. Íf thé fróñt dóór hás á wéák lóck théré ís ñó réásóñ tó dévélóp á cómplícátéd pólýmórphíc báckdóór wíth á fást flúx ñétwórk óf C2 sérvérs.]

[Mísc~óñfí~gúrí~ñg th~é sít~úátí~óñ]

[Whílé móst páttérñs hávé cháñgéd óvér thé ýéárs, óñé cóñstáñt hás bééñ péóplé mákíñg místákés. Íñ 2015, móst místákés wéré thé Mísdélívérý óf Médíá ásséts (Dócúméñts) whílé Míscóñfígúrátíóñ áccóúñtéd fór léss tháñ 10% óf bréáchés.  Thís ýéár, hówévér, Míscóñfígúrátíóñ áñd Mísdélívérý hávé cóñvérgéd.] 

[Thé rísé óf thé Míscóñfígúrátíóñ érrór bégáñ íñ 2018 áñd wás lárgélý drívéñ bý clóúd dátá stóré ímpléméñtátíóñs thát wéré stóód úp wíthóút ápprópríáté áccéss cóñtróls. Máñý sécúrítý réséárchérs mádé á ñámé fór thémsélvés bý fíñdíñg thésé éxpóséd dátábásés óñ thé íñtérñét. Déspíté thé éffórts óf thé májór clóúd próvídérs tó máké thé défáúlt cóñfígúrátíóñs móré sécúré (whích wé áppláúd), thésé érrórs pérsíst.]

[Thés~é dáý~s Mís~délí~vérý~ dátá~ bréá~chés~ áré f~réqú~éñtl~ý élé~ctró~ñíc í~ñ ñát~úré á~ñd có~ñsís~t óf é~máíl~ góíñ~g tó t~hé wr~óñg r~écíp~íéñt~s, ált~hóúg~h phý~sícá~l Dóc~úméñ~ts dó~ rémá~íñ á p~róbl~ém tó~ sómé~ dégr~éé.] 

[Thé dátá týpés íñvólvéd íñ thésé bréáchés áré stíll óvérwhélmíñglý óf thé Pérsóñál váríétý. Médícál áñd Báñkíñg íñfórmátíóñ áré óccásíóñállý íñvólvéd, bút théý áré ñót thé ñórm. Thé dátá téñds tó bé fróm cústómérs, áñd ít ís álsó thé cústómérs whó áré ñótífýíñg thé bréáchéd órgáñízátíóñs íñ á hígh ñúmbér óf cásés. Hówévér, Sécúrítý réséárchérs áré stíll thé stárs óf thís Díscóvérý shów (álthóúgh théír pércéñtágé ís dówñ fróm lást ýéár).] 

[Héáv~ý trá~ffíc~ áhéá~d]

[Wélcómé tó thé Déñíál óf Sérvícé páttérñ—óñé thát ís pérháps áll tóó fámílíár tó máñý óf ýóú, ás ít cóñtíñúés tó bé thé tóp týpé óf íñcídéñt íñ óúr dátásét. Thís páttérñ cóñsísts óf thósé áññóýíñg áttácks whéré bótñéts ór cómprómíséd sérvérs áré lévérágéd íñ órdér tó séñd júñk dátá tó tárgét cómpútérs wíth thé hópés óf déñýíñg thát sérvícé bý créátíñg á “tráffíc jám íñ thé pípés.”] 

[Thésé týpés óf írksómé íñcídéñts áréñ’t ísólátéd tó áñý óñé íñdústrý. Ás Fígúré 63 démóñstrátés théré áré á wídé ráñgé óf cómpáñíés fróm Íñfórmátíóñ Sérvícés, Próféssíóñál Sérvícés, Máñúfáctúríñg áñd Góvérñméñt (whích háppéñs tó cóvér máñý óf thé íñdústríés wé wríté ábóút).] 

[Hówévér, whílé théý máý bé úbíqúítóús wíthíñ íñdústríés, ít dóés ñót méáñ thát órgáñízátíóñs íñ thésé íñdústríés áré pérpétúállý bómbárdéd wíth DóS áttácks. Wé fóúñd thát thé médíáñ Déñíál óf Sérvícé áttáck lástéd léss tháñ fóúr hóúrs (Fígúré 65) áñd thát thé vást májórítý óf órgáñízátíóñs thát áré móñítóréd fór thésé áttácks éxpéríéñcé léss tháñ 10 áttácks á ýéár. Íf, óñ thé óthér háñd, ýóú’ré óñé óf thósé úñlúcký 1% óf cómpáñíés thát éxpéríéñcé óvér 1,000 DDóS áttácks á ýéár, ýóú’ré álréádý áwáré óf thís áñd móst líkélý hávé á sérvícé tó hélp ýóú máñágé thé tráffíc.] 

[Mý, hó~w bíg~ ýóúr~ DDóS~ hávé~ gótt~éñ]

[Wé fírst bécámé ácqúáíñtéd wíth DDóS íñ thé 2013 DBÍR áñd ít hás síñcé bécómé á régúlár tópíc óf díscússíóñ. Ít ís íñtéréstíñg tó lóók báck áñd séé hów thíñgs hávé cháñgéd óvér thé ýéárs. Fór 2013 érá DDóS, thé médíáñ áttáck wás clóckíñg íñ áróúñd 422 Mbps, wíth á vérý smáll ñúmbér híttíñg thé 100Gbps márk. Bý 2016, thé médíáñ válúé wás 1.1 Gbps (dóúblíñg fróm thréé ýéárs príór) áñd tódáý thé médíáñ ís áróúñd 1.3 Gbps.]

[Wé cáñ álsó séé hów DDóS hás bécómé ñárrówlý céñtéréd. Fróm 2013, thróúgh 2016, áñd óñ tó 2021, DDóS hás bécómé tíghtlý clústéréd áróúñd thé médíáñ. Wé spécúláté²¹ thát báck íñ 2013, DDóS áttácks wéré ád hóc, whéréás tódáý’s DDóS íñfrástrúctúré ís fár móré fórmálízéd áñd répéátáblé.]

[Lósí~ñg ít~]

[Íñ lást ýéár’s répórt, wé méñtíóñéd thát fór sécúrítý íñcídéñts (ñót cóñfírméd bréáchés), ásséts wéré fár móré líkélý tó bé lóst bý émplóýéés tháñ stóléñ bý sóméóñé whó dóés ñót wórk fór thé órgáñízátíóñ. Hówévér, whéñ lóókíñg át bréáchés, wé séé thé óppósíté ís trúé.] 

[Stóléñ ásséts áré móré líkélý tó bé thé cáúsés óf cásés whéré wé cáñ cóñfírm thát dátá cómprómísé óccúrréd. Stíll, thís ís á páttérñ whéré móst (áppróxímátélý 90%) óf thé cásés áré clássífíéd ás “sécúrítý íñcídéñts” ráthér tháñ “bréáchés,” bécáúsé cóñfírmíñg thát thé dátá wás cómprómíséd ís díffícúlt báséd óñ thé ásséts stóléñ.] 

[Wé fóúñd ít íñtéréstíñg thát, déspíté thé páñdémíc áñd thé résúltíñg lésséñíñg óf trávél, thé Lóst áñd Stóléñ Ásséts rémáíñéd á cómmóñ páttérñ íñ óúr dátásét. Ít shóws thát íf ýóú éñtrúst pórtáblé dévícés tó émplóýéés, á cértáíñ pércéñtágé óf thém wíll éíthér mísplácé théír dévícés ór léávé thém sóméwhéré thát théý áré vúlñéráblé tó théft. Léávíñg ítéms íñ pérsóñál véhíclés ís á récúrríñg thémé íñ thé dátá. Péóplé máý júst dó ít clósér tó hómé tháñ béfóré.]

[Fígúré 69 shóws thé dévícés móst óftéñ lóst ór stóléñ. Úsér dévícés (íñclúdíñg désktóps, láptóps áñd móbílé phóñés) áré móst fréqúéñtlý thé týpé óf ítém thát ís éíthér lóst ór stóléñ. Hówévér, Dócúméñts stíll áccóúñt fór á góód pércéñtágé óf thésé bréáchés. Thís óccúrs móst óftéñ íñ thé Públíc Ádmíñístrátíóñ áñd Héálthcáré íñdústríés, whích góés sómé wáý tówárds éxpláíñíñg thé préváléñcé óf Médícál dátá cómprómíséd íñ thésé íñcídéñts. Thé góvérñméñt (óf álmóst áñý cóúñtrý) ádmíñístérs lárgé prógráms thát máñágé héálth rélátéd dátá, ás óf cóúrsé, dó thé mémbérs óf thé Héálthcáré íñdústrý. Íñdústríés thát háñdlé Prótéctéd Héálth Íñfórmátíóñ (PHÍ) téñd tó hávé híghér régúlátórý réqúíréméñts fór répórtíñg bréáchés, áñd théréfóré wé hávé béttér vísíbílítý íñtó thésé évéñts ás wéll.]

[Órgá~ñíc f~réé r~áñgé~ dátá~]

[Móbílé dátá ís sóméthíñg thát áppéárs óñlý spáríñglý íñ óúr dátá, whích sééms íróñíc cóñsídéríñg whó wé áré. Úñfórtúñátélý (ór fórtúñátélý), móbílé phóñés hóvér áróúñd 1% ór léss íñ óúr bréách dátásét wíth thé ássócíátéd cáúsés béíñg sóméwhát ráñdóm. Thís ís líkélý dúé tó bíás íñ thé dátá; whéñ á phóñé ís úséd tó phísh créds, ít’s líkélý thé émáíl sérvér thát géts répórtéd, ñót thé dévícé úséd tó áccéss ít. Whéñ wé séé bréáchés íñvólvíñg málwáré óñ móbílé phóñés, ít ís ñót úñcómmóñ fór thé málwáré tó bé théré tó cólléct dátá. Áñd íf thát’s ýóúr góál, ít hélps tó bé qúíét áñd ñót gét cáúght, éspécíállý cóñsídéríñg thé díffícúltý ít tákés tó gét óñ thé dévícés íñ thé fírst plácé.] 

[Hówé~vér, w~héñ w~é lóó~k át s~éñsó~r dát~á, wé g~ét á c~léár~ér ví~éw óf~ thé r~ólé m~óbíl~é plá~ýs íñ~ thé s~écúr~ítý é~cósý~stém~. Fígú~ré 70 gí~vés á~ñ ídé~á óf t~hé th~réát~s thá~t mób~ílé p~hóñé~s séé~.] 

[Óñlý 42% óf dévícés ávóídéd blóckíñg áccéss tó áñý ÚRL whílé 84% óf dévícés ávóídéd áñ úñwáñtéd ápp. Hówévér thát méáñs thé óthér 58% óf dévícés hád át léást óñé málícíóús ÚRL clíckéd áñd 16% óf dévícés hád át léást óñé málwáré ór rískwáré ápp íñstálléd. Whílé thát máý ñót sóúñd líké á lót, á qúíck lóók át ýóúr Móbílé Dévícé Máñágéméñt cóñsólé (ór á cómpáñý héádcóúñt) wíll téll ýóú thósé ñúmbérs cáñ ádd úp rápídlý.]

[Áñd ít’s ñót júst téxts témptíñg thé téléphóñíc úsérs. Phóñé hóñéýpót dátá révéáls thát 5% óf hóñéýpóts gét át léást óñé cáll á dáý, áñd wé’ré ábóút 90% súré thé hóñéýpóts dóñ’t ñééd tó réfíñáñcé théír stúdéñt lóáñs ór évéñ ówñ á cár wíth áñ éxtéñdéd wárráñtý (théý préfér léásíñg). Fígúré 71 gívés áñ ídéá ábóút thé cóñtéñt óf thósé cálls. Ábóút á thírd óf thém hávé líttlé tó ñó áúdíó ór áré síléñt whích sóúñds tó ús líké víshíñg (vóícé phíshíñg) fór lívé ñúmbérs.] 

[Áñót~hér 29% á~ré kñ~ówñ s~cáms~ (wíth~ 7% óf th~é 29% kñó~wñ tó~ bé tá~rgét~íñg b~úsíñ~éssé~s spé~cífí~cáll~ý) áñd~ thé r~ést b~éíñg~ óthé~r stú~ff ór~ símp~lý úñ~kñów~ñ.]

[Tháñkfúllý ít’s ñót ás íf thé tárgétíñg óf móbílé dévícés ís á bíg súrprísé tó thé sécúrítý cómmúñítý. Sáñdbóxéd ÓSs áñd hígh prícés fór vúlñérábílítíés súggésts móbílé sécúrítý íñhérítéd á lót óf hárd-fóúght léssóñs léárñéd fróm pérsóñál cómpútérs (PC ) áñd só sécúrítý hás bééñ íñcórpórátéd íñtó móbílé dévícés fróm thé gét-gó.]

[Wé póíñt óút íñ thé Sócíál Éñgíñééríñg páttérñ thát 82% óf bréáchés íñvólvé thé húmáñ éléméñt; sóméthíñg thé sílícóñ ísñ’t góíñg tó bé mítígátíñg. Éíghtééñ pércéñt óf clíckéd phíshíñg émáíls cómé fróm á móbílé dévícé. Ádmíttédlý, wé cáñ’t sáý íf móré ór léss fólks clíck óñ móbílé vs PC síñcé ñó-óñé’s phóñé ís ñárc’íñg óñ thém. Stíll, síñcé álmóst á fífth óf phíshíñg súccéssés cámé fróm móbílé dévícés, thát shóúld bé góód éñóúgh cóñfírmátíóñ thát ít ñééds tó bé wíthíñ ýóúr sécúrítý éstáté.]

[Párt óf thé próblém ís trýíñg tó gét úsérs tó ímpróvé théír sécúrítý béhávíór. Óñé súch áppróách ís próvídíñg áccéss tó kéý sécúrítý íñfórmátíóñ áñd kñówlédgé qúízzés wíthíñ réách óf théír thúmbs íñ thé fórm óf á móbílé ápp. Fór óñé súch sécúrítý dáshbóárd ápp, 66% óf úsérs whó áccéptéd thé térms áñd cóñdítíóñs, ñévér íñtéráctéd wíth thé dáshbóárd. Óf thósé thát díd, 99% íñtéráctéd móré tháñ óñcé, bút ás ýóú cáñ séé íñ Fígúré 72, thé médíáñ íñtéráctíóñ tímé wás 15 sécóñds. Stíll, ábóút hálf óf fólks cámé báck áftér míñútés, hóúrs, ór évéñ móñths.]

[Mákíñg íñfórmátíóñ áváíláblé tó thé úsér ábóút théír spécífíc sécúrítý rísks ís thé fírst stép íñ thé jóúrñéý tó cháñgíñg béhávíór. Thé ñéxt ís hélpíñg thé úsér éñvísíóñ thé ímpáct óf thósé rísks óñ thémsélvés. Fíñállý, ýóú ñééd tó gívé úsérs thé méáñs tó ímpróvé, whích ís whéré tráíñíñg cómés íñ.²⁴ Ít máý féél líké thrówíñg spághéttí át thé wáll tó séé whát stícks, bút sómétímés thát’s whát ís réqúíréd tó máké ít béttér.]

[Thé B~ést L~áíd P~láñs~ óf Mí~cé áñ~d Méñ~]

[Wé gét ít. Ýóú’vé hóñéd ýóúr híríñg prócéssés tó á fíñé édgé. Ýóú’ré wéll prépáréd tó éñsúré thát ýóú óñbóárd óñlý thé móst qúálífíéd péóplé tó jóíñ ýóúr órgáñízátíóñ. Áñd ýét, thíñgs sóméhów gó wróñg déspíté ýóúr bést éffórts. Prívílégé Mísúsé ís thé páttérñ whéré péóplé úsé thé légítímáté áccéss gráñtéd tó thém ás émplóýéés tó stéál dátá. Théý úsé thé légítímáté áccéss gráñtéd tó thém ás émplóýéés tó stéál dátá. Óftéñ, théý áct álóñé, bút théý sómétímés áct íñ cóñcért wíth óthérs. Éíthér wáý, ýóú hávé á dátá bréách áñd múst déál wíth thé fállóút.]

[Ít's~ Ñót T~hát É~ásý]

[Fár áñd áwáý thé móst cómmóñ Áctíóñ íñ thís páttérñ ís Prívílégé ábúsé. Hówévér, Dátá mísháñdlíñg álsó shóws úp, álbéít tó á múch léssér dégréé, áñd ís týpícállý ássócíátéd wíth thé mótívé óf Cóñvéñíéñcé. Sómétímés péóplé dó úñsáfé thíñgs tó gét áróúñd á sécúrítý cóñtról désígñéd tó prótéct thé dátá fróm éxpósúré. Whílé sómé cóñtróls máý máké ít hárdér fór péóplé tó gét théír jóbs dóñé, ít ís ímpórtáñt tó páír thésé cóñtróls wíth édúcátíóñ tó át léást lét péóplé kñów thé “whý” béhíñd thé prócéss. Régárdléss, ófféríñg á léss lábóríóús prócéss thát rémáíñs sécúré wóúld bé sóméthíñg tó cóñsídér íf ýóúr órgáñízátíóñ répéátédlý súfférs thís kíñd óf évéñt.] 

[Íñ thís páttérñ thé thréát áctór álréádý hás áccéss tó pérfórm théír dáý-tó-dáý dútíés, théréfóré, wé dó ñót séé Crédéñtíáls ás thé dátá týpé áfféctéd. Íñstéád, Pérsóñál dátá (whéthér óf cústómérs, émplóýéés, ór évéñ pártñérs) ís óf thé híghést íñtérést tó thósé lóókíñg tó cápítálízé óñ théír áccéss.] 

[Médícál dátá ís stíll tákéñ íñ 22% óf bréáchés íñ thís páttérñ. Whéñ ýóú réálízé thát thé móst cómmóñ íñdústrý répréséñtéd íñ thís páttérñ ís Héálthcáré, thát mákés séñsé. Íñ fáct, Héálthcáré hás hád áñ óñgóíñg próblém wíth íñtérñál áctórs áccéssíñg théír dátá wíthóút á válíd réásóñ fór á lóñg tímé. Áñd whílé ít ís ñó lóñgér íñ thé tóp tíér óf thé páttérñs íñ Héálthcáré, ít shóúld ñót bé díscóúñtéd ás á sólvéd próblém.]

[²¹ Réád~ “gúés~s”]

[²² Wéll~, ñót s~óúñd~s sóú~ñds. W~éll… Ý~óú gé~t thé~ píct~úré.]

[²³ Ýés, w~é spé~lléd~ óút ‘P~C’. Lóó~k, wé b~óth k~ñów w~hát á~ PC ís~, bút t~hé kí~ds th~ésé d~áýs, w~íth t~héír~ móbí~lé ph~óñés~ áñd m~étáv~érsé~s. Whó~ kñów~s¿¡] 

[²⁴ Áñd í~f ýóú~’ré wó~ñdér~íñg á~bóút~ hów, c~héck~ óút t~hé “Ch~áñgí~ñg Bé~háví~ór” Áp~péñd~íx¡]