Protegendo a infraestrutura crítica 

Visão geral da solução:

• O IBM Security^® QRadar® EDR usa o NanoOS, projetado para ser indetectável e fornecer um nível excepcional de visibilidade em endpoints e infraestrutura
  
  
• Rastreia nativamente as movimentações laterais e tentativas anômalas de login
  
  
• Fornece proteção nativa contra ataques de ransomware
  
  
• Oferece uma poderosa interface de busca de ameaças para permitir o rastreamento e a reconstrução de incidentes altamente complexos 

A instalação de gerenciamento de água executou o software IBM Security QRadar EDR em todos os servidores, desktops e laptops da instalação para monitorar continuamente cada ativo e rastrear e investigar prontamente possíveis violações de segurança. Empregando os mecanismos de IA duplos integrados da solução e a análise comportamental detalhada, o cliente obteve total visibilidade sobre a infraestrutura, permitindo consultas em tempo real aos endpoints e buscas estendidas tanto de indicadores de comprometimento (IOCs) quanto de indicadores de comportamento (IOBs), juntamente com mineração avançada de dados para descobrir ameaças dormentes.

Seis meses após a implementação, o agente QRadar EDR detectou a atividade anômala inicial e rastreou os invasores em sua jornada para acessar um conjunto específico de dados. O software antivírus tradicional existente e o sistema de detecção de intrusão (IDS) do cliente não detectaram nenhuma atividade até o último estágio do ataque. Se o cliente não tivesse implantado o QRadar EDR, os invasores teriam conseguido adquirir e exfiltrar os dados.

Ataque à cadeia de suprimentos

No dia da violação inicial, o QRadar EDR sinalizou um login suspeito de um servidor VPN para um terminal no segmento de rede desfavorecido. A equipe de segurança assumiu que o login foi devido ao trabalho de manutenção realizado por um fornecedor externo de segurança e, portanto, atribuiu uma baixa prioridade ao incidente. Os invasores implementaram o malware inicial, utilizado principalmente para mapear o segmento de rede em busca de caminhos diretos para a rede privilegiada. Depois de não encontrar esses caminhos disponíveis, os invasores implantaram um segundo malware na memória para coletar credenciais a serem reutilizadas em movimentos laterais subsequentes. Com as credenciais obtidas, os invasores avançaram para o controlador de domínio e logo depois para um servidor de arquivos contendo documentos internos.

Análise da causa raiz

O login anômalo inicial aconteceu fora do expediente, a partir de um terminal que normalmente interage com os servidores, mas não com as estações de trabalho. O canal da VPN era gerenciado por um fornecedor externo que também era responsável pela manutenção do servidor de e-mail e dos firewalls, além da própria VPN. Devido à natureza do acesso, o alerta foi mantido ativo para rastrear cada operação, mas, naquele momento, a equipe de segurança interna atribuiu uma baixa prioridade ao evento, presumindo que o fornecedor estivesse fazendo manutenção na infraestrutura.

No dia seguinte, o QRadar EDR emitiu um segundo alerta, mostrando a atividade de um malware leve usado para escanear a rede interna, logo seguido por outro alerta sinalizando a presença de um vetor in-memory com capacidade de keylogging e coleta de credenciais. Nesse ponto, a equipe de segurança concentrou-se nesses eventos, iniciando uma sessão de busca de ameaças enquanto os invasores finalmente conseguiam, por meio de uma série de movimentações laterais, acessar um dos controladores de domínio. A equipe decidiu aproveitar a invisibilidade da tecnologia NanoOS para continuar rastreando os invasores durante o máximo de tempo possível e entender sua forma de operar e seus objetivos.

Como os invasores tentaram chegar ao servidor de arquivos que continha informações confidenciais, a equipe decidiu pará-los e iniciar o plano de erradicação. Enquanto os vários dispositivos estavam sendo corrigidos, os invasores perceberam que, apesar do alto nível de acesso, eles não podiam acessar as informações que estavam procurando. Ao perceberem que tinham sido descobertos, implementaram um ransomware em toda a infraestrutura para apagar seus rastros.

Ataque e reconstrução

Depois que as motivações para a invasão ficaram claras, o operador precisou entender toda a situação para reforçar os pontos fracos da infraestrutura. O ataque envolveu uma dúzia de dispositivos antes da fase de implementação do ransomware (Fase 1) e milhares de outros depois (Fase 2).

Os invasores conseguiram obter acesso à VPN e ao provedor de servidor de e-mail e os utilizaram como ponto de entrada inicial para a rede interna. Eles reutilizaram as credenciais do fornecedor para transitarem por diferentes máquinas, finalmente se instalando em uma estação de trabalho específica. Naquele momento, eles usaram uma cadeia de ferramentas para escanear a rede interna e identificar alvos para movimentações laterais. Na etapa final, eles usaram o próprio controlador de domínio para espalhar o ransomware em cada dispositivo. 

A instalação de gerenciamento de água garantiu o acesso VPN e conduziu uma sessão de caça a ameaças que identificou todas as máquinas que os invasores conseguiram acessar. O módulo de correção da QRadar EDR automatizou o processo de limpeza, e o segmento foi limpo em questão de segundos. A instalação obteve todas as ferramentas utilizadas durante a fase de reconhecimento e movimentação lateral e propagou imediatamente uma política incluindo IOC e comportamentos em toda a infraestrutura. Nenhum outro host comprometido foi identificado após a implementação da política. As credenciais foram imediatamente redefinidas para todos os usuários, e o ataque do ransomware não exigiu nenhuma outra intervenção porque o cliente ativou a proteção anti-ransomware do QRadar EDR para todos os dispositivos, evitando a perda de informações importantes e a interrupção das atividades normais.

A instalação encerrou com sucesso o incidente no segundo dia, sem qualquer perda de dados, interrupção de serviços essenciais ou danos aos endpoints.

Se a instalação não tivesse empregado o QRadar EDR, os invasores certamente teriam extraído informações confidenciais e pudessem ter permanecido ativos por um período prolongado, com toda a infraestrutura eventualmente desabilitada pelo ataque de ransomware final. Um ataque desse tipo teria causado um enorme impacto na capacidade da unidade de continuar prestando serviços essenciais aos cidadãos da região, possivelmente bloqueando completamente esses serviços. Dada a dificuldade na identificação de ataques na cadeia de suprimentos, a instalação poderia ter sido violada novamente por meio do mesmo canal se não houvesse informações periciais disponíveis para identificar a causa-raiz. 

Esta estação de abastecimento de água na Europa é responsável por tratar e distribuir água para cerca de um milhão de pessoas. É classificada como infraestrutura crítica e serviço essencial.