Nu de tweede verjaardag van de massale ransomware-aanval op Colonial Pipeline nadert, waarschuwen experts dat de inspanningen om de mogelijk slopende bedreiging voor de kritieke infrastructuur van de VS te dwarsbomen niet voldoende zijn geweest.
De cyberaanval op zijn IT-infrastructuur dwong Colonial Pipeline om voor de eerste keer ooit zijn volledige activiteiten stop te zetten, wat leidde tot een brandstoftekort en prijsstijgingen die vier Amerikaanse staten langs de oostkust ertoe brachten de noodtoestand af te kondigen. Het incident verhoogde ransomware onmiddellijk tot een bedreiging voor de nationale veiligheid en gecoördineerde actie van de uitvoerende macht naar beneden.
Sinds de aanval - en een andere kort daarna op JBS die binnenlandse vleestekorten dreigde - heeft de Amerikaanse regering gezegd dat ze het gebruik van ransomware zou behandelen op kritieke infrastructuur als terrorisme. Een uitvoerend bevel, ondertekend door president Biden slechts enkele dagen na de aanval op de koloniale pijpleiding, verplichtte nieuwe beveiligingsvereisten voor kritieke infrastructuurorganisaties. En er zijn tal van andere initiatieven op federaal niveau en door regelgevende instanties geweest om de weerbaarheid tegen aanvallen op Amerikaanse kritieke infrastructuur te versterken.
Twee jaar later blijft de dreiging van ransomware voor kritieke infrastructuur echter groot een recente aanval op Amerika's grootste aanbieder van koude opslag, Americold, toonde. De aanval - zoals die op Colonial Pipeline - dwong Americold om de koelopslagoperaties stop te zetten terwijl het werkte om de dreiging weg te nemen. Vorig jaar hadden 870 van de 2,385 ransomware-klachten die de FBI ontving, betrekking op kritieke infrastructuurorganisaties. De FBI-gegevens toonde aan dat 14 van de 16 aangewezen kritieke infrastructuursectoren ten minste één slachtoffer van ransomware hadden.
De trend zet zich onverminderd door in 2023: BlackFog's State of Ransomware Report voor april 2023 toonde ransomware-aanvallen op de gezondheidszorg, de overheid en de gezondheidssector aan. blijven groeien, ondanks rapporten van andere leveranciers over een vertraging van de aanvalsvolumes.
Unfinished Business
Beveiligingsexperts zien de situatie als een situatie waarin er ondanks al het werk dat tot nu toe is gedaan, nog veel meer te doen is.
Theresa Payton, CEO bij Fortalice Solutions en voormalig CIO bij het Executive Office of the President in het Witte Huis, vinkt sinds Colonial Pipeline verschillende maatregelen af die zij als positieve stappen beschouwt in de strijd tegen ransomware. Ze omvatten die van president Biden Executive Order 14028 over het verbeteren van de cyberbeveiliging van het land, Nationale Veiligheidsnota 5 specifiek gericht op controlesystemen voor kritieke infrastructuur, en inspanningen om zero-trust cyberbeveiligingsmodellen op te zetten in federale agentschappen onder M-22-09. Opvallend zijn ook maatregelen als de Wet Melding Cyberincidenten Kritische Infrastructuur en de cyberbeveiligingsbepalingen in de Tweeledige infrastructuur Bill.
De FBI systematische ontmanteling van de zeer destructieve Hive-ransomwaregroep is een andere indicatie van vooruitgang, zegt Payton.
Wat nu nodig is, legt ze uit, zijn meer specifieke richtlijnen voor kritieke infrastructuurorganisaties. "We moeten de minimale cyberbeveiligingsvereisten voor kritieke sectoren ontwikkelen [en verbeteren] normen voor authenticatie en identiteitsbewijs om ransomware-incidenten te voorkomen", zegt ze.
"Kritieke infrastructuurorganisaties zoals Colonial Pipeline zouden zero-trust-principes moeten hanteren om ransomware-aanvallen te voorkomen, vooral nu social engineering realistischer, geavanceerder, persistenter en complexer wordt", zegt Payton.
Mike Hamilton, voormalig CISO van Seattle en huidig CISO van cyberbeveiligingsbedrijf Critical Insight, zegt dat de aanval van Colonial Pipeline een gebrek aan goede procedures aan het licht heeft gebracht bij Amerikaanse infrastructuurbeheerders om te herstellen van een ernstige cyberaanval.
"Toen Colonial uit voorzichtigheid de pijpleiding stopte, duurde het veel te lang om opnieuw op te starten, waardoor het bestaande probleem met de brandstoftoevoer langer werd", zegt hij. “Dit is een veerkrachtprobleem. Je moet tegen een stootje kunnen en van de mat komen voordat die tien tellen voorbij zijn.
Ransomware-aanvallen duurder maken
In de twee jaar sinds het incident met de Colonial Pipeline hebben Amerikaanse overheidsinstanties eraan gewerkt om ransomware-aanvallers moeilijker en duurder te maken voor aanvallers, merkt Hamilton op. Het ministerie van Financiën heeft bijvoorbeeld zijn bestaande bevoegdheid van het Office of Foreign Assets Control (OFAC) gebruikt om het gebruik van crypto-exchanges voor afpersingsbetalingen te verbieden. Het Amerikaanse ministerie van Justitie is ook agressiever geweest in het proactief neerhalen van criminele infrastructuur en het arresteren van criminelen.
In de toekomst moet de nadruk liggen op het verdedigen en uitschakelen van criminele infrastructuur, zegt hij. Identificeer en bestraf criminelen voor eventuele arrestatie en opsluiting en verbied slachtoffers van ransomware om betalingen te doen, zegt Hamilton.
Ook het Amerikaanse Cybersecurity and Infrastructure Agency (CISA) speelt een actieve rol bij het verkrijgen van federale agentschappen om de verdediging tegen ransomware en andere cyberdreigingen te versterken.
De lijst met bekende uitgebuite kwetsbaarheden van het bureau vereist bijvoorbeeld dat alle civiele overheidsinstanties kwetsbaarheden die actief worden uitgebuit, binnen een bepaald tijdsbestek - meestal twee weken - patchen om de blootstelling aan cyberdreigingen te minimaliseren. Meer recent lanceerde CISA een Piloot voor kwetsbaarheidswaarschuwing voor ransomware (RVWP) programma om organisaties in kritieke infrastructuursectoren te waarschuwen voor systemen met kwetsbaarheden die een ransomware-aanvaller zou kunnen misbruiken. In maart 2023 lanceerde CISA een gerelateerd Initiatief voor pre-ransomwaremeldingen waar het organisaties heeft gewaarschuwd voor ransomware-actoren op hun netwerken, zodat ze de dreiging kunnen verwijderen voordat er gegevensversleuteling plaatsvindt.
De programma's maken deel uit van CISA's Joint Cyber Defense Collaborative (JCDC), waarmee het bureau tips en dreigingsinformatie ontvangt van cyberbeveiligingsonderzoekers, infrastructuurspelers en dreigingsinformatiebureaus.
"CISA heeft de dreiging van ransomware voor kritieke infrastructuur erkend", zegt Mariano Nunez, CEO en mede-oprichter van Onapsis. Sinds het begin van het jaar hebben ze al meer dan 60 organisaties in de gezondheidszorg, nutsbedrijven en andere sectoren gesignaleerd over mogelijke pre-ransomwarebedreigingen op hun netwerken, zegt hij.
Ransomware leeft voort
Dergelijke hulp is essentieel omdat ransomware-aanvallen op kritieke infrastructuur toenemen, zegt Nunez.
"Het aanvalsoppervlak zal blijven groeien naarmate nutsbedrijven en kritieke infrastructuur online meer verbonden of onderling verbonden raken", merkt hij op. "De overstap naar de cloud kan ook voor problemen zorgen, aangezien deze verschuiving het moeilijker kan maken om actieve bedreigingen tijdig te monitoren en kwetsbaarheden te beoordelen."
Een factor die de inspanningen om het ransomware-probleem aan te pakken kan bemoeilijken, is een groeiende neiging van slachtoffers om het melden van een incident uit te stellen of het indien mogelijk volledig te verdoezelen.
Volgens BlackFog geeft het onderzoek aan dat organisaties die zich zorgen maken over de mogelijke schade aan hun merken, reputatie en klantrelaties, een ransomware-incident uitstellen en soms niet melden.
"We zien nu dat meer dan 90% van alle aanvallen niet langer de apparaten van het slachtoffer versleutelen, maar gewoon de gegevens exfiltreren en iedereen afpersen", zegt Darren Williams, CEO en oprichter van BlackFog. “De kosten van exposure zijn simpelweg te hoog; verlies van zaken, herstel, boetes door de regelgevende instanties en class action-rechtszaken zijn slechts enkele van de problemen waarmee u te maken krijgt.”
- Door SEO aangedreven content en PR-distributie. Word vandaag nog versterkt.
- PlatoAiStream. Web3 gegevensintelligentie. Kennis versterkt. Toegang hier.
- De toekomst slaan met Adryenn Ashley. Toegang hier.
- Koop en verkoop aandelen in PRE-IPO-bedrijven met PREIPO®. Toegang hier.
- Bron: https://www.darkreading.com/ics-ot/2-years-after-colonial-pipeline-attack-us-critical-infrastructure-remains-as-vulnerable-to-ransomware
