Maurice CôtéDenne seneste melding fra cybersikkerhedslandskabet rummer gode nyheder … og dårlige nyheder. Som traditionen foreskriver, tager vi først det negative og vender derefter det positive.
Robust? Ja. Men uigennemtrængelig? Nej.
Den dårlige nyhed er, at uanset hvor robust, opdateret og dækkende en virksomheds cybersikkerhedsprofil er, kan den aldrig være 100 % tæt og uangribelig til hver en tid og på alle måder. Med tid og ressourcer nok kan hackere udnytte enhver angrebsvektor og nedbryde enhver forsvarsmekanisme.
Og selv om de måske aldrig får fingrene i „kronjuvelerne“ (det vil sige særligt værdifulde fortrolige eller ejendomsretlige data), kan hackere stadig påføre en stor økonomisk byrde og skabe masser af kaos. Den gennemsnitlige omkostning ved et cyberangreb ligger nu mellem 120.000 og 1,24 millioner USD pr. hændelse for små virksomheder (alle beløb i denne artikel er i USD) og 4,54 millioner USD pr. hændelse for store virksomheder. Dertil kommer, at 60 % af de små virksomheder lukker inden for seks måneder efter at være blevet hacket.
Fremkomsten af cyberforsikring
Og nu til den gode nyhed: Nogle virksomheder, der bliver ramt af et cyberangreb, er ikke nødvendigvis tvunget til at betale en enorm — og i nogle tilfælde uoverkommelig — pris for at undersøge og rydde op efter ødelæggelserne og (hvor det er relevant) dække tilknyttede omkostninger som bøder, forlig, domme og genopretning af omdømmet. Hvad er det for en magisk ting, der kan spare virksomheder for et cyberangrebsmareridt, som kan vare i uger, måneder eller endda år? Se, i al sin forsikringstekniske pragt, helten, der hedder cyberforsikring.
Udbydere af cyberforsikring: „Vis os PAM!“
Cyberforsikring er ikke noget nyt. Den tidligste form går tilbage til 1997 (dengang kaldt „cyber insurance“). Det, der er kommet til i de senere år, er rollen og betydningen af privilegeret adgangsstyring (PAM).
Ligesom de fleste bilforsikringsselskaber kræver, at bilister bruger tyverisikring som alarmer og startspærrer, insisterer et voksende antal udbydere af cyberforsikring på, at virksomheder som betingelse for dækning har stærke PAM-kontroller på plads. Og forsikringsselskaberne har ret, når de ser listen over typer af privilegerede konti som en væsentlig — og ofte dårligt eller slet ikke bevogtet — angrebsvektor. Tænk på, at:
- 74 % af databrud begynder med misbrug af privilegerede legitimationsoplysninger.
- Den gradvise ophobning af adgangsrettigheder ud over det, en medarbejder har brug for til sit arbejde — bedre kendt som „privilegiekryb“ (privilege creep) — er årsag til 20 % af bruddene.
- 55 % af organisationerne ved ikke, hvor mange privilegerede konti de har, eller hvor de ligger.
- Over 50 % af de privilegerede konti udløber aldrig og bliver aldrig deprovisioneret.
Som SecurityWeek.com bemærker i en artikel om den globale cyberforsikringsbranche, der i øjeblikket er vurderet til 13,9 milliarder USD og forventes at stige med 20,7 % frem mod 2032: „En af de stærkeste sandsynligheder i de kommende år er væksten i pålagte cybersikkerhedskrav. Det vil sige, at forsikringsselskaberne afviser dækning, medmindre den forsikrede lever op til en bestemt sikkerhedsstilling.“
Stærke PAM-kontroller bliver naturligvis ikke den eneste „specifikke sikkerhedsstilling“, som forsikringsselskaberne kræver som forudsætning for dækning. Der er dog ingen tvivl om, at PAM snart bliver set (hvis det ikke allerede er det) ikke kun som bedste praksis, men som en grundlæggende nødvendighed.
Hvad vil forsikringsudbyderne have?
PAM-kravene varierer fra forsikringsudbyder til forsikringsudbyder. Generelt vil de vide, at virksomhederne har et minimum af kontrol, men helst avancerede kontroller, på plads. Her er en oversigt over begge kontrolniveauer:
| Værktøjer og taktikker på minimumsniveau for PAM-kontrol | Værktøjer og taktikker på avanceret niveau for PAM-kontrol |
|---|---|
| Håndhæv multifaktorgodkendelse (MFA) ved fjernadgang, enten via indbygget funktionalitet eller via integration med tredjepartsværktøjer. Bemærk, at SMS-baseret MFA er ved at blive udfaset på grund af mængden af vellykkede SIM-swap-angreb. | Indfør avancerede godkendelsesmuligheder som talmatchning for alle brugere, ikke kun privilegerede brugere. Grundlæggende MFA, som blev indført i 2016, anses nu bredt af sikkerhedseksperter for at være usikker. |
| Håndhæv princippet om mindste privilegium (POLP), hvor slutbrugere kun får de adgangsrettigheder, de skal bruge til deres daglige opgaver. POLP er også afgørende for at forhindre det nævnte „privilegiekryb“, og styring af adgangen til forudoprettede privilegerede konti reducerer angrebsfladen og opretholder overholdelsen af POLP. | Indfør just-in-time-rettighedsforhøjelse (JIT) af privilegier, som reducerer risikoen yderligere ved at gøre konti, der tidligere havde høje privilegier, til konti med NUL STÅENDE PRIVILEGIUM (zero standing privilege). I stedet for at være eksponeret døgnet rundt året rundt har privilegerede konti kun tildelte roller, så længe opgaven varer. |
| Opdater standardadministratorkonti og -konfigurationer for at forhindre ondsindede aktører i at udnytte legitimationsoplysninger, der er almindeligt kendte. | Styr adgangen til PAM-konti via robuste check-out-funktioner. Det bør omfatte indbyggede godkendelser, så færrest muligt kan anmode om adgang til en privilegeret konto, og i hvor lang tid. Når just-in-time-rettighedsforhøjelse indgår ved check-out, øger det også brugernes produktivitet. |
| Fjern lokale administratorrettigheder efter behov på stationære computere og bærbare, og administrer lokale arbejdsstationskonti. | Indfør JIT-klargøring af brugere, som er næste skridt efter JIT-rettighedsforhøjelse af privilegier. Opret privilegerede konti efter behov i et bestemt tidsrum, og fjern dem helt, når opgaverne er fuldført. |
| Forhindr langvarige fjernadgangssessioner med passende sessionstimeouts. En privilegeret session bør kun være åben, så længe det er nødvendigt. | |
| I stedet for at bruge administratorkonti med meget vide rettigheder skal du oprette flere privilegerede konti, som fastlægger tilladelseskravene for hvert system, administratorer skal have adgang til. |
Sådan kan Devolutions’ PAM-løsning hjælpe
Det er afgørende for enhver organisations sikkerhedsstrategi at sikre og styre adgangen til privilegerede konti. Løsninger til privilegeret adgangsstyring bør som minimum give:
- En sikret boks til opbevaring af privilegerede data.
- En måde at håndhæve principperne om mindste privilegium på ved at delegere handlinger med rollebaseret adgangskontrol.
- En metode til at overvåge og rapportere handlinger til revision og overholdelse.
Selv om der i dag findes mange PAM-udbydere, er de fleste udviklet til store virksomheders behov. Administratorer i SMV’er oplever ofte, at systemerne er svære at indføre, for komplekse for slutbrugere og langt over deres i forvejen pressede budgetter. Det efterlader mange SMV’er uden de værktøjer, de skal bruge for at beskytte organisationens privilegerede aktiver effektivt.
Devolutions vil lukke det hul. Her er nogle af de funktioner, vores PAM-løsning leverer:
- Opdagelse af privilegerede konti: Scan automatisk for at opdage privilegerede konti (bruger, system, administrator, tjeneste, database osv.) hos din(e) udbyder(e).
- Automatisk og planlagt adgangskoderotation: Håndhæv adgangskoderotation ved indtjekning af en privilegeret konto, eller planlæg adgangskoderotationer. Det ændrer både systemets og Devolutions Servers legitimationsoplysninger.
- Sikker indsprøjtning af legitimationsoplysninger: Sprøjt legitimationsoplysninger ind i fjernsessioner, uden at brugeren kender adgangskoden.
- Godkendelse af check-out-anmodninger: Brugere kan nemt bede administratorer om tilladelse til at tjekke privilegerede konti ud. Administratorer får automatisk besked og kan godkende eller afvise anmodningen.
Vi glæder os også til at fortælle, at JIT-klargøring står på vores køreplan, og vi forventer at komme et godt stykke videre i de kommende måneder. I øjeblikket understøtter vores PAM-løsning JIT-rettighedsforhøjelse af tilladelser både til Azure og til lokalt AD.
Læs mere om Devolutions’ PAM-løsning: Privilegeret adgangsstyring
Det sidste ord
Den voksende bølge af cyberkriminalitet og den svimlende pris er noget, SMV’er ikke har råd til at ignorere, for i modsætning til den udbredte opfattelse er SMV’er ikke for små til at blive angrebet. I forhold til større virksomheder gør deres relativt svagere forsvar dem til et attraktivt og lukrativt mål.
Den barske virkelighed er, at virksomheder ikke længere bør spørge: „Hvad HVIS vi bliver hacket?“, men i stedet: „Hvordan minimerer vi omkostningerne og konsekvenserne, NÅR vi bliver hacket?“ Cyberforsikring, der bygger på stærke PAM-kontroller, kan hjælpe virksomheder med at komme videre og møde fremtiden med klarhed og tillid i stedet for forvirring og frygt.