Aanvallers hebben ook kantoortijden. Alleen niet de uwe.

Eind augustus maakte Manchester Airports Group, de exploitant van de luchthavens Manchester, London Stansted en East Midlands, bekend dat criminele hackers toegang hadden gekregen tot de gegevens van ongeveer 8,7 miljoen klanten. E-mailadressen, telefoonnummers, kentekens en postcodes die gekoppeld waren aan boekingen voor parkeren, lounges en fast-track en aan aanmeldingen voor de wifi op de luchthaven, werden buitgemaakt. De gegevens werden in het weekend verkregen, en het bedrijf zegt pas op de dinsdag van de hack te hebben gehoord, waarna het snel ingreep om de schade te beperken.

MAG vertelde The Register dat het om een afpersingsaanval ging, niet om ransomware: een van de systemen was gecompromitteerd en er werden bestanden buitgemaakt uit een database die door een derde partij werd gehost. De vluchten gingen gewoon door en betaalgegevens waren niet betrokken, zo meldde The Guardian. Het gebeurde midden in het drukke zomerreisseizoen.

De les gaat niet over één luchthavenexploitant. Ze gaat over timing. Aanvallers hebben ook kantoortijden, en die zijn zelden de uwe.

Waarom buiten kantoortijd ertoe doet

In het weekend, ’s nachts en tijdens feestdagen kijken er minder mensen mee, verlopen goedkeuringen trager en blijft een ongebruikelijke login eerder in een wachtrij liggen totdat iemand eraan toekomt. Elk uur tussen het eerste teken van onheil en het besluit om in te grijpen, is tijd die een indringer kan gebruiken om zich te verplaatsen, data te verzamelen of de volgende stap voor te bereiden. De vraag is eenvoudig: als er om 2 uur ’s nachts op een zaterdag iets begon, wie zou het merken, en wie zou er iets aan mogen doen?

Hoe goede 24/7 monitoring eruitziet

Dekking. Monitoring is maar zo goed als wat ze kan zien. Dat betekent identiteiten en inlogactiviteit, endpoints, e-mail, cloudplatforms, systemen die aan het internet hangen en de diensten van derden die uw data bewaren. Blinde vlekken zijn vaak precies de plekken waar incidenten beginnen.

Detection engineering. Meldingen horen aan te sluiten bij hoe uw organisatie werkelijk werkt en bij de dreigingen waar ze werkelijk mee te maken heeft, en ze moeten in de loop van de tijd worden bijgesteld. Een stroom algemene meldingen is geen monitoring; het is ruis die de melding verbergt die er echt toe doet.

Escalatie en bereikbaarheid. Er moet op elk uur iemand bereikbaar zijn, met een duidelijke route van analist naar beslisser. Contactlijsten, vervangers en drempels om mensen wakker te maken horen op papier te staan en getest te zijn, niet te worden aangenomen.

Bevoegdheid om in te grijpen. Een aanval opmerken is het halve werk. Spreek vooraf af wat het monitoringteam zonder overleg mag doen: een account blokkeren, een laptop isoleren, een adres blokkeren. Bevoegdheden om in te grijpen die om 3 uur ’s nachts onder druk worden bepaald, worden zelden goed bepaald.

MDR, in-house of hybride. Een managed detection and response (MDR)-aanbieder of uitbestede SOC kan de klok rond dekking bieden die intern moeilijk te bemensen is. Een eigen team kent uw organisatie het best. Veel organisaties combineren de twee. Het juiste antwoord hangt af van uw risico, uw omvang en wat u realistisch kunt volhouden.

Een aanbieder beoordelen. Vraag hoe ze de mean time to detect (MTTD) en mean time to respond (MTTR) meten, wat ze aan u rapporteren en hoe vaak, welke ingrepen ze zelfstandig mogen uitvoeren en wat er gebeurt als ze u niet kunnen bereiken.

Als er om 2 uur ’s nachts op een zaterdag iets begon, wie zou het merken?

Een snelle zelfcheck

• Wie ontvangt een melding met hoge prioriteit om 2 uur ’s nachts op een zondag, en hoe snel ziet die persoon de melding?
• Kan die persoon, of uw aanbieder, een account blokkeren of een apparaat isoleren zonder op goedkeuring te wachten?
• Weet u welke van uw leveranciers uw data bewaren, en zou u het van hen horen als ze werden gehackt?
• Wanneer heeft u uw escalatieroute buiten kantoortijd voor het laatst getest?
• Dekt uw monitoring cloud en identiteiten, of vooral systemen on-premises?

Als een van die antwoorden begint met “Ik weet het niet zeker”, dan is dat goed om nu te weten, en niet pas tijdens een lang weekend.

Hoe Amon Dîn helpt

Amon Dîn biedt onafhankelijk SOC advies en advies over 24/7 monitoring. We helpen organisaties monitoring de klok rond in te richten die past bij hun risico, te kiezen tussen zelf bouwen, inkopen of combineren, en een MDR- of SOC-aanbieder te selecteren of te beoordelen. We helpen detectieprioriteiten, escalatieroutes en bevoegdheden om in te grijpen vast te stellen, houden toezicht op de aanbieder zodra die is gestart, en voeren tabletop-oefeningen uit, zodat het eerste incident buiten kantoortijd niet de eerste keer is dat het plan wordt gebruikt.

← Alle Signals