Šta je curenje podataka?

Razumevanje načina na koji dolazi do curenja podataka zahteva širu perspektivu od posmatranja jednog izolovanog događaja. Većina slučajeva curenja podataka rezultat je lanca ranjivosti, propusta ili zanemarenih rizika koje zlonamerni akteri mogu da iskoriste.

Kibernetički napadači obično ostvaruju pristup pronalaženjem najlakše ulazne tačke, često iskorišćavanjem ljudskih propusta ili nedostataka u procesima, a ne isključivo tehničkih slabosti. Neki od najčešćih primera:

• Phishing i društveni inženjering. Phishing i dalje predstavlja jedan od najčešćih načina za ostvarivanje početnog pristupa. Zlonamerni akteri lažno se predstavljaju kao pouzdani subjekti, poput IT timova ili dobavljača, kako bi naveli korisnike da otkriju akreditive ili odobre zahteve za pristup. Slične taktike, kao što je vishing (glasovni phishing), koriste telefonske pozive radi postizanja istog cilja.
• Ugroženi akreditivi. Slabe lozinke i ponovno korišćenje istih lozinki i dalje predstavljaju značajan rizik. Bez snažnih mehanizama kontrole kao što je višestruka potvrda identiteta (MFA), kibernetički napadači mogu da ostvare pristup bez aktiviranja neposrednih upozorenja.
• Neotklonjene ranjivosti. Zastareli sistemi i softver mogu dovesti do izlaganja poznatih ranjivosti. Zlonamerni akteri aktivno tragaju za takvim slabostima i iskorišćavaju ih za ostvarivanje pristupa.
• Pogrešno konfigurisane usluge. Okruženja oblaka donose rizike kada skladišta podataka ili usluge nisu pravilno konfigurisani. Javno dostupna skladišta podataka predstavljaju čest uzrok curenja podataka.
• Izloženost usled angažovanja trećih strana. Dobavljači i partneri često imaju pristup internim sistemima i zajedničkim platformama, kao što su alatke za upravljanje odnosima sa korisnicima (CRM). Ako je njihovo stanje bezbednosti lošije, mogu postati posredna ulazna tačka za napadače.
• Aktivnosti insajdera. Nije svako curenje podataka izazvano spolja. Zaposleni ili spoljni saradnici mogu nenamerno da izlože podatke ili, u pojedinim slučajevima, da postupaju zlonamerno.

Većina kibernetičkih napadača pažljivo sprovodi niz koraka čiji je cilj da se nanese što veća šteta uz izbegavanje otkrivanja. U to spada sledeće:

• Istraživanje i izviđanje – Zlonamerni akteri prikupljaju informacije o sistemima, korisnicima i mogućim ranjivostima kako bi identifikovali vredne mete.

• Početni pristup – Kibernetički napadači ostvaruju pristup korišćenjem ugroženih akreditiva, phishing-a ili drugih ranjivosti.

• Održavanje pristupa – Napadači uspostavljaju mehanizme koji im omogućavaju da izvesno vreme zadrže pristup, čak i kada organizacija otkrije početne ulazne tačke.

• Bočno kretanje – Polazeći od jednog ugroženog naloga, zlonamerni akteri nastoje da prošire pristup na druge sisteme, pri čemu često ciljaju naloge sa povišenim privilegijama kad god je to moguće.

• Izvoženje podataka – Osetljivi podaci se prikupljaju i iznose iz okruženja, ponekad u manjim količinama kako bi se izbeglo otkrivanje.

• Unovčavanje ili iznuda – Ukradeni podaci se mogu prodati, javno objaviti ili iskoristiti u ransomver napadima i drugim oblicima iznude.

Životni ciklus curenja podataka pokazuje zašto su snažne kontrole identiteta i rano otkrivanje pretnji od ključnog značaja za ograničavanje štete.

Organizacije se suočavaju sa više različitih vrsta curenja podataka, od kojih svaka nosi sopstvene rizike i zahteva posebne strategije za njihovo ublažavanje. Iako se ove kategorije često preklapaju, njihovo posmatranje kao zasebnih događaja pomaže timovima da odrede prioritete u oblasti kibernetičke odbrane.

Spoljni kibernetički napadači koriste tehnike kao što su malver, ransomver ili napadi ponovnim korišćenjem ukradenih akreditiva. Kod napada korišćenjem ukradenih akreditiva, zlonamerni akteri koriste ukradene kombinacije korisničkih imena i lozinki kako bi pokušali da pristupe većem broju naloga. Ovi kibernetički napadi često su automatizovani i usmereni na uobičajene ranjivosti.

Curenje podataka izazvano delovanjem insajdera može biti namerno ili slučajno. Na primer, zaposleni može namerno da iznese podatke radi lične koristi ili da slučajno izloži osetljive informacije usled nepravilno podešenih opcija deljenja ili tako što postane žrtva društvenog inženjeringa.

Uređaji kao što su laptop računari, spoljni diskovi ili čak štampani dokumenti mogu biti izgubljeni ili ukradeni. Ako nisu pravilno zaštićeni, mogu dovesti do toga da osetljivi podaci dospeju van kontrole organizacije.

Kako organizacije usvajaju usluge u oblaku, pogrešno konfigurisana skladišta ili dozvole za pristup mogu dovesti do javne dostupnosti podataka. Takvi problemi se često teško otkrivaju bez neprekidnog nadzora.

Organizacije se sve više oslanjaju na partnere i dobavljače. Curenje podataka kod treće strane može dovesti do izlaganja zajednički korišćenih podataka, čak i kada su sistemi same organizacije bezbedni.

Ugrožavanje akreditiva – putem phishing-a, ponovnog korišćenja lozinke ili napadom grubom silom – jedan je od najčešćih pokretača curenja podataka zasnovanih na identitetu, što kibernetičkim napadačima omogućava da pristupe sistemima i podacima pomoću važećih akreditiva.

Curenje podataka može imati dalekosežne posledice koje prevazilaze mogućnosti neposrednog tehničkog oporavka. Kod mnogih organizacija, najznačajniji uticaj nije curenje podataka samo po sebi, već sporedni efekti koji slede.

Troškovi curenja podataka obuhvataju više slojeva reagovanja i oporavka. Kada bezbednosni proboj izazove curenje podataka, organizacije moraju da ispitaju incident, obuzdaju pretnju, obaveste ugrožene osobe i često obezbede mere oporavka, kao što je praćenje kreditnog statusa.

U operativnom smislu, bezbednosni proboji mogu ometati poslovne procese, dovesti do kašnjenja projekata i preusmeriti resurse sa strateških prioriteta.

Organizacije takođe moraju da ispune zahteve koji se odnose na usaglašenost sa propisima, a koji se razlikuju u zavisnosti od regiona i delatnosti, uključujući stroge rokove za prijavljivanje bezbednosnih proboja, kao i vođenje evidencije o aktivnostima obrade podataka i mapa podataka.

Uobičajeni regulatorni okviri:

• Opšta uredba o zaštiti podataka (GDPR) nalaže blagovremeno obaveštavanje o bezbednosnom proboju i stroge prakse postupanja sa podacima.
• Kalifornijski zakon o privatnosti potrošača (CCPA)/Kalifornijski zakon o pravima korisnika (CPRA) usmeren je na prava korisnika i transparentnost.
• Health Insurance Portability and Accountability Act (HIPAA) uređuje zaštitu zdravstvenih informacija.
• The Payment Card Industry Data Security Standards (PCI DSS) odnosi se na bezbednost podataka platnih kartica.

Neispunjavanje tih zahteva može dovesti do novčanih kazni, pravnih postupaka i pojačanog nadzora regulatornih tela.

Pored finansijskih i pravnih posledica, bezbednosni proboji mogu narušiti poverenje. Klijenti, partneri i zainteresovane strane mogu izgubiti poverenje u mogućnosti organizacije da zaštiti osetljive informacije, posebno kada rizici poput podataka u senci, napada zasnovanih na identitetu ili insajderskih pretnji povećaju opseg i uticaj bezbednosnog proboja. Takav uticaj je često teško kvantifikovati, ali vremenom može biti veoma značajan.

Čak i uz snažne preventivne mere, organizacije moraju poći od pretpostavke da do bezbednosnih proboja može doći. Sposobnost brzog otkrivanja i reagovanja od ključnog je značaja za ublažavanje posledica.

Savremeno otkrivanje pretnji zasniva se na povezivanju signala iz sistema, korisničkih naloga i podataka, uključujući sledeće:

• Nadgledanje aktivnosti putem platformi za upravljanje bezbednosnim informacijama i događajimat (SIEM) i automatizovani odgovor bezbednosne orkestracije (SOAR).
• Korišćenje telemetrije za krajnju tačku i identitet radi otkrivanja anomalija.
• Primena smernica za sprečavanje gubitka podataka (DLP) radi identifikovanja neuobičajenog kretanja podataka.

Ove mogućnosti često su deo šire strategije za IT bezbednost koja kombinuje više alatki i izvora podataka.

Efikasan plan za reagovanje na incident omogućava bezbednosnim timovima da brzo i ujednačeno reaguju.

Ključne komponente su sledeće:

• Jasno definisane uloge i putanje eskalacije
• Unapred pripremljeni priručnici za najčešće scenarije
• Operativni postupci za pravne postupke i usaglašenost
• Komunikacioni planovi za interne timove, korisnike i spoljne zainteresovane strane

Kada se bezbednosni proboj otkrije, neophodno je odmah reagovati kako bi se ograničilo njegovo širenje.

Organizacije obično preduzimaju sledeće korake:

• Izoluju ugrožene sisteme ili identitete.
• Opozovu pristup i zamene akreditive.
• Sačuvaju dokaze za potrebe istrage.

Nakon obuzdavanja pretnje, timovi se usredsređuju na oporavak sistema i smanjenje rizika od ponovnog incidenta. Oporavak najčešće obuhvata:

• Obnavljanje rada sistema iz pouzdanih rezervnih kopija.
• Proveru integriteta sistema i kontrola pristupa.
• Utvrđivanje slabosti i jačanje zaštitnih mera.
• Unapređivanje postupaka reagovanja redovnim testiranjem.

Da bi sprečile curenje podataka, organizacije moraju da primenjuju proaktivan, višeslojan pristup koji obuhvata identitete, podatke, infrastrukturu i ljudski faktor. Razmotrite primenu sledećih preporučenih bezbednosnih praksi:

• Primenjujte model Nulta pouzdanost: Nulta pouzdanost zasniva se na načelu „nikada ne veruj, uvek proveravaj“. To podrazumeva neprekidnu proveru zahteva za pristup, primenu načela najmanjih privilegija i polaznu pretpostavku da do bezbednosnog proboja može doći u bilo kom trenutku.
• Jačajte bezbednost identiteta: Identitet je često primarni vektor napada. Organizacije bi trebalo da primenjuju MFA, prate rizike povezane sa identitetima, ograničavaju privilegovani pristup i redovno menjaju tajne podatke kako bi smanjile izloženost riziku.
• Štitite podatke odgovarajućim upravljanjem: Podatke treba klasifikovati prema nivou osetljivosti, uz primenu kontrola koje sprečavaju neovlašćen pristup ili deljenje. Rešenja usklađena sa upravljanjem stanjem bezbednosti podataka (DSPM) pomažu organizacijama da utvrde gde se osetljivi podaci nalaze i na koji se način koriste.
• Obezbedite zaštitu okruženja oblaka: Primena tehnologije oblaka donosi nove rizike. Rešenja kao što su upravljanje stanjem bezbednosti u oblaku (CSPM), platforme za zaštitu paketa funkcija u oblaku (CWPP) i zaštita aplikacija u oblaku (CNAPP) pomažu u otkrivanju pogrešnih konfiguracija i ranjivosti pre nego što budu zloupotrebljene.
• Upravljajte pretnjama i ranjivim mestima i smanjite površinu napada: Redovno otklanjanje ranjivosti i upravljanje ranjivostima pomažu u uklanjanju poznatih slabosti pre nego što budu zloupotrebljene.
• Smanjujte rizike povezane sa ljudskim faktorom: Zaposleni i dalje predstavljaju jednu od ključnih linija odbrane. Redovna obuka pomaže korisnicima da prepoznaju taktike društvenog inženjeringa, kao što su phishing i vishing, i da izbegnu uobičajene greške koje dovode do curenja podataka.
• Ublažavajte rizike povezane sa trećim stranama: Dobavljače i partnere treba redovno procenjivati kako bi se potvrdilo da ispunjavaju bezbednosne zahteve i da ne stvaraju dodatnu izloženost riziku.
• Budite spremni za incidente: Čak i snažna odbrana može da zakaže. Organizacije treba redovno da proveravaju planove reagovanja na incidente kroz simulacije i vežbe za donošenje odluka kako bi održale spremnost za reagovanje.

Za rešavanje rizika od bezbednosnog proboja nije dovoljna samo zaštita podataka. Neophodni su usklađeni uvid i kontrola nad identitetima, podacima, krajnjim uređajima, okruženjima oblaka i bezbednosnim rešenjima. Rešenja usluge Microsoft bezbednost dizajnirana su tako da funkcionišu zajedno, kao podrška tom pristupu.

Ključne oblasti rešenja obuhvataju sledeće:

• Zaštita identiteta–Microsoft Entra pomaže u zaštiti od napada zasnovanih na ugroženim akreditivima primenom višestruke potvrde identiteta (MFA), uslovnog pristupa i otkrivanja rizika povezanih sa identitetima.
• Bezbednost podataka i upravljanje–Microsoft Purview namenjen je organizacijama koje žele da klasifikuju, zaštite i upravljaju osetljivim podacima tokom čitavog njihovog životnog ciklusa.
• Zaštita od pretnji – Microsoft Defender obezbeđuje prošireno otkrivanje i reagovanje na pretnje na krajnjim uređajima, u e-pošti i aplikacijama u oblaku.
• Stanje bezbednosti okruženja oblaka–Microsoft Defender for Cloud pomaže u zaštiti radnih opterećenja u oblaku i otkriva pogrešne konfiguracije korišćenjem mogućnosti funkcija CSPM i CNAPP.
• Bezbednosne operacije Microsoft Sentinel podržava napredno otkrivanje pretnji, istrage i automatizovano reagovanje.