Mota Olle i grind med Atea Automated Moving Target Defense
Det är ingen nyhet att antalet IT-attacker och cyberhot fortsätter att öka. Så kommer det sannolikt att se ut även i framtiden. Det är naturligtvis väldigt svårt att råda bot på den här problematiken i grunden. Det som man dock kan göra, är att försöka skapa så goda förutsättningar som möjligt för att minska risken att drabbas.
En angripare kommer alltid att leta efter den svagaste punkten. Det som i slutändan betyder något är inte så mycket det som ni gjort bra, utan det som vi faktiskt gjort mindre bra. Helt eller delvis förbisett. Därför är det viktigt att förankra sitt säkerhetsarbete på strategisk nivå i standard och ramverk som bygger på beprövad erfarenhet. Exempelvis ISO27001 och CIS. Läs mer om det här: Cybersäkerhet.
Fördelar och nackdelar med EDR-skydd
Enligt organisationen Mitre Att&Ck, som på taktisk nivå kartlägger olika typer av vanligt förekommande attacker, är och förblir klienter en stor attackvektor. Många har förstått att det är önskvärt att stärka upp sitt skydd, vilket ofta resulterat i att man infört ett så kallat EDR (Endpoint Detection and Response). Dvs. ett skydd som korrelerar data eller jämför ”en information med en annan information”. Vilket kan liknas vid att man skapar en indiciekedja, som utifrån en stor mängd data och olika parametrar syftar till att kunna upptäcka och förhindra skadlig kod. Det här skyddet är bra och i allra högsta grad nödvändigt, särskilt för att i efterhand kunna utreda incidenter och ”ta reda på vad som har hänt”. Exempelvis, vilka system och användare som omfattas, varifrån den skadliga koden har sitt ursprung och hur det spridit sig i nätverket.
Nackdelen är att den här typen av skydd - i sig själv - har svårt att blockera hot i det första kritiska skedet av attack-kedjan (den så kallade ”15 minuters fasen”). Dessutom blir angriparna allt bättre på att nyttja attacker som är designade för att kringgå EDR-lösningar. Det gäller särskilt så kallade ”minnesbaserade attacker”, där ingen kod skrivs till disk, det rör sig istället om att manipulera system och processer i arbetsminnet. Enligt Mitre Att&Ck är 5 av topp-10 teknikerna som används "fillösa" och minnesbaserade, vilket ett EDR-skydd har svårare att upptäcka tillräckligt snabbt.
Automated Moving Target Defense (AMTD)
För att försöka råda bot på problematiken med minnesbaserade attacker har det tagits fram ett koncept som kallas för AMTD eller Automated Moving Target Defense. Det bygger på att man helt slumpvis flyttar om var någonstans som system och processer ”körs” eller exekveras i arbetsminnet (inklusive namnstrukturen). Tillskillnad från ett normalförfarande, där den här informationen redan på förhand är känd och därmed tillgänglig för en potentiell angripare. Det gör att man utan fördröjning och med stor precision kan blockera minnesbaserade attacker. I samma stund som de äger rum. Det kan liknas vid att i stället för att bygga ett nytt och bättre lås, igöms dörren som låset ska skydda. Samtidigt som man gömmer själva låset och så placeras det dessutom ut en stor mängd ”falska lås” som kan agera lockbete för en angripare. Om någon försöker att sätta in en nyckel i ett ”falskt lås”, så vet man helt enkelt att det är ett icke önskvärt beteende och kan därför på goda grunder fatta ett beslut om att det är något som ska oskadliggöras. Man motar helt enkelt ”Olle vid grind” som det gamla talesättet säger.
Stärk ditt klientskydd med Atea AMTD
En innovativ lösning som förvandlar dina klienter till rörliga mål för cyberattacker.
Kontakta gärna mig om du vill veta mer
