A legfontosabb tudnivalók
- A kritikus infrastruktúrát működtető szervezetek nem véletlenszerű célpontok. Ezeket szándékosan választják ki, mivel az e-mail szinte szinonimája az üzletmenet-folytonosságnak. Az ellenük irányuló kampányok hosszú távú, több szereplő által végrehajtott műveletek, amelyek gyakran e-mailekkel kezdődnek.
- A támadók a kártékony kódjaikat a kiszállítás előtt a vállalati biztonsági rendszereken tesztelik. Az, hogy egy rosszindulatú fájl átjut a víruskeresőjén, még nem jelenti azt, hogy a fájl ártalmatlan; lehetséges, hogy kifejezetten úgy készült, hogy átjusson a víruskeresőjén.
- A „detection-first” biztonsági megközelítés strukturális sebezhetőséget jelent egy felkészült támadóval szemben: nem tud reagálni olyan eseményekre, amelyekkel korábban még nem találkozott.
- A réteges e-mail-védelem a strukturális megoldás. Minden réteg kiszűri azokat a fenyegetéseket, amelyek felismerésére a többi réteg nem alkalmas. Az összességében elérhető hatás egyszerű: megnöveli a támadó számára a telepítés előtti optimalizálás költségeit.
Ez nem egy e-mailes támadás, hanem egy kampány
Egyetlen biztonsági szakember sem dönt úgy, hogy a fenyegetéseket elszigetelt eseményekként kezeli. Ez fokozatosan alakul ki. Az észlelési arányok stabilak maradnak, az incidenseket a terv szerint megoldják, és az ellenőrzéseket jelentős észrevételek nélkül teljesítik. Minden egyes adatpont önmagában ésszerűnek tűnik, és együttesen olyan képet alkotnak, amely teljesen pontos, de veszélyesen hiányos.
Ez a bizalom felhalmozódása önmagában is sebezhetőséget jelent. A kritikus infrastruktúrát üzemeltető szervezetek esetében pedig ez egy olyan sebezhetőség, amelyet a támadók szándékosan kihasználnak, kezdve a beérkező levelek mappájával, amely a mai napig az e-mailes biztonsági kockázatok egyik fő terjedési útja marad.
Amikor egy államilag támogatott csoport egy energiahálózatot, egy kórházat vagy egy védelmi beszállítót vesz célba, az akár több évig is eltartható kampány lehet. Ezek során gyakran több száz próbálkozás, felderítő kísérlet és elterelő támadás történik, amelyek célja a védelmi rendszer feltérképezése, mielőtt a valódi támadó kód megérkezne. Céljuk a tartós működési zavar, az ismételt biztonsági rések feltárása és a hírnévnek idővel okozott maximális kár. A váltságdíj összegét már az első e-mail elküldése előtt kiszámították, és ami még rosszabb, a támadók már előre tudják, hogy célpontjuk nem engedheti meg magának a leállást.
A kiberbűnözők motivációi és támadási profiljai eltérőek, de egy dolog közös bennük: a célzott támadás. A kritikus infrastruktúrát működtető szervezeteket nem véletlenül választják ki, hanem szándékosan célozzák meg őket, és az ellenük irányuló kampányok hosszú távú folyamatok, amelyek szinte mindig e-mailekkel kezdődnek.
Az első lépés egy rosszindulatú melléklet, egy veszélyes link vagy egy gondosan előkészített és személyre szabott, hitelesítő adatokra irányuló adathalász-kísérlet, amelyet egy mérnöknek, üzemeltetőnek vagy vezetőnek címeznek. Az e-mail pedig nem a technikai kifinomultsága, hanem a matematikai egyszerűsége miatt marad továbbra is a legkedveltebb behatolási pont. A szervezetek nem tudják ezt lezárni vagy korlátozni anélkül, hogy megzavarnák a működést.
Egy alkalmazott, egy rossz nap, egy megnyitott fájl. Ez az egész győzelmi feltétel. Egy olyan kampánynak, amely egyszerre több ezer beérkező levelesládába jut el, csupán egy pillanatnyi gyengeségre van szüksége a sikerhez, és a védekező félnek mindegyiket meg kell akadályoznia.
A kampány modellje már megfigyelhető az Egyesült Államok kritikus infrastruktúrájában. A CISA, az NSA és az FBI közös tájékoztatója megerősítette, hogy a „Volt Typhoon” elkövetői legalább öt éven át rejtőzködtek egyes informatikai hálózatokon belül , hogy előkészítsék a működési technológiák ellen irányuló, potenciálisan zavaró vagy romboló támadásokat.
Ezen szereplők közül egyik sem fogja átalakítani a stratégiáját csak azért, mert egy célpont gyorsabban javította ki a biztonsági rést, vagy több elemzőt vett fel. A támadások taktikai lépések, amelyek legtöbbször egy átfogóbb stratégia részei.
Az ebből következő hozzáállás nem opcionális. A kritikus infrastruktúrát üzemeltető szervezeteknek azzal a folyamatos feltételezéssel kell működniük, hogy biztonsági incidens bekövetkezik, és ennek megfelelően kell felépíteniük védelmi rendszerüket: többrétegű védelmet kell biztosítaniuk minden behatolási ponton, valamint olyan reagálási képességet kell kialakítaniuk, amely elég közel van a felülethez ahhoz, hogy a kár súlyosbodása előtt megkezdődhessen a helyzet kordában tartása.
A támadók a kártékony kódjaikat a bevetés előtt tesztelik
Ez a gyakorlat széles körben elterjedt és dokumentált. Akár államilag támogatott csoportokról, akár zsarolóvírus-kezelőkről, akár kifinomult bűnszervezetekről van szó, a kártékony kódok elküldésük előtt egy előkészítési folyamaton mennek keresztül. A támadók lemásolják a vállalati biztonsági rendszereket, addig ismételgetik a folyamatot, amíg a fájl nem ér el „tiszta” észlelési pontszámot, és csak ezután továbbítják azt.
2025-ben egy összehangolt nemzetközi akció során felszámolták az AVChecket, a világ egyik legnagyobb víruskereső-kerülő szolgáltatását, amely lehetővé tette a rosszindulatú programok fejlesztőinek, hogy a terjesztés előtt teszteljék, felismerik-e a fájljaikat. A szolgáltatás azért jött létre, mert a terjesztés előtti elkerülési tesztek iránti kereslet elég nagy volt ahhoz, hogy egy erre épülő kereskedelmi vállalkozás fenntartható legyen.
Az „először az észlelés” elven alapuló biztonsági rendszer strukturális sebezhetőséget mutat egy felkészült támadóval szemben. Úgy van kialakítva, hogy olyan fenyegetéseket ismerjen fel, amelyekkel korábban már találkozott, vagy amelyek szorosan hasonlítanak a rendszer előzményeiben szereplő esetekre. Az a kártékony kód, amelyet kifejezetten úgy terveztek, hogy egyik kategóriába se sorolható legyen, áthalad a rendszeren, mivel az észlelési rétegnek nincs mire reagálnia.
Ez az optimalizálás nem egyszeri folyamat. Az évek során végzett iterációk és a több száz tesztelési kísérlet során minden karanténba helyezés és minden blokkolás olyan visszajelzésként szolgál a támadó számára, amelyet a következő kísérlet finomításához használ fel. A támadási kampány úgy tanul a védelmi rendszeredből, ahogyan a védelmi rendszered automatikusan nem tud reagálni. Ez annak a logikus következménye, hogy „felismerés-elsőbbségi” stratégiát alkalmazunk egy olyan támadó ellen, aki kifejezetten felkészült a felismerésedre.
Mit jelent ez az e-mail biztonsági védelmi vonalak kialakítása szempontjából?
Az a támadó, aki a biztonsági rendszered másolatát próbálja létrehozni a kártékony kód előzetes tesztelése céljából, nem tudja könnyen lemásolni a több független réteg pontos kombinációját és sorrendjét. Ez a réteges e-mail-védelem mögött rejlő stratégiai logika: ez több, mint egyszerű kiegészítő védelem; ez egy strukturális válaszlépés, amely megnöveli a támadó által igénybe vett, telepítés előtti optimalizációs folyamat költségeit.
Ez a logika azért állja meg a helyét, mert minden réteg más-más elven működik, és azt veszi észre, amit a többi nem képes észlelni.
- Multiscanning biztonsági rendszer úgy növeli a lefedettséget, hogy a mellékleteket egyszerre több független vizsgálati motoron futtatja, így egyetlen motorra irányuló hasznos adatoptimalizálás már nem elegendő.
- A Content Disarm and Reconstruction (CDR) eljárás minden fájlból eltávolítja az aktív tartalmakat, függetlenül attól, hogy azok korábban már felbukkantak-e vagy sem; ez azt jelenti, hogy még a szignatúra-alapú észlelés kijátszására tervezett hasznos terhelésből is eltávolítják az aktív összetevőket.
- Sandboxing a program futáskori viselkedését, és kiszűri azokat a kártékony kódokat, amelyeket kifejezetten úgy terveztek, hogy a kártékony tevékenységet a kiszállítás utánra halasszák.
- A kattintás pillanatában végzett URL-elemzés áthidalja a kézbesítés és a káros célra való felhasználás közötti szakadékot.
- Az kimenő és belső e-mailekre vonatkozó adatvesztés-megelőzés (DLP) pótolja azt a láthatósági hiányosságot, amelyet a kizárólag a bejövő e-mailekre vonatkozó ellenőrzések teljes mértékben nyitva hagynak.
Egyetlen komponens sem képes mindent lefedni. A kombináció hatására azonban a rendszerréteg-készletre vonatkozó előzetes tesztelés minden hozzáadott réteggel szerkezetileg egyre nehezebbé válik.
Egy észlelt fenyegetés csupán arra utalhat, hogy a támadó még mindig a helyzetet felméri. Tekintsd ezt inkább jelzésnek, mintsem annak a bizonyítékának, hogy a védelmi rendszered hatékonyan működik. Ha ebből a feltételezésből indulsz ki, az egyszerűen ésszerű reakció arra, hogy többféle típusú szereplő is célba vett téged, akik hosszú távú kampányokat folytatnak.
Többszintű védelem az e-mail-kapcsolatok határán, olyan gyors reagálású intézkedések, amelyek megakadályozzák a kár továbbterjedését, valamint egy folyamatos fejlesztésre irányuló szemlélet, amely minden incidenst a kampányra vonatkozó információként kezel, nem pedig lezárt ügyként: így néz ki a kritikus infrastruktúrával rendelkező szervezetek számára a hatékony védelem.
Képzeljük el most ezt ipari méretekben. Képzeljük el, hogy a támadó, aki korábban hetekig dolgozott egy adott célpontra szabott támadási kód optimalizálásán, most már órák alatt több ezer célpontot tud egyszerre megcélozni. A Microsoft 2025-ös digitális védelmi jelentése egy független kutatásra hivatkozott, amely szerint az AI-vezérelt adathalászat 54%-os kattintási arányt ért el, szemben a hagyományos kampányok 12%-os arányával, így 4,5-szer hatékonyabbnak bizonyult. Ezt tette már lehetővé az AI, és ez lesz a sorozat következő cikkének témája.
Ez a blogbejegyzés a „Made to Evade” sorozat 1. része.
A 2. és 3. rész hamarosan megjelenik.
