Protéger les infrastructures critiques

Présentation de la solution :

• IBM Security^® QRadar® EDR utilise NanoOS, conçu pour être indétectable et offrir un niveau de visibilité exceptionnel au niveau des points de terminaison et de l’infrastructure.
  
  
• Suivi natif des mouvements latéraux et des tentatives de connexion anormales
  
  
• Assure une protection native contre les attaques de ransomware
  
  
• Offre une interface puissante de recherche des menaces pour permettre le suivi et la reconstruction d’incidents très complexes

La station d’épuration des eaux a utilisé le logiciel IBM Security QRadar EDR sur tous les serveurs, ordinateurs de bureau et ordinateurs portables du site afin de surveiller en permanence chaque actif et de suivre et d’enquêter rapidement en cas de violations de sécurité potentielles. Grâce aux doubles moteurs d’IA intégrés de la solution et une analyse comportementale détaillée, le client a obtenu une parfaite visibilité sur l’infrastructure, permettant des requêtes en temps réel sur les points de terminaison et des recherches étendues d’indicateurs de compromission (IOC) et d’indicateurs de comportement (IOB), ainsi que des outils d’exploration des données pour découvrir les menaces dormantes.

Six mois après le déploiement, l’agent QRadar EDR a détecté une activité anormale initiale et a suivi le parcours des agresseurs informatiques pour accéder à un ensemble spécifique de données. Le logiciel antivirus traditionnel existant du client et le système de détection d’intrusion (IDS) n’ont détecté aucune activité jusqu’à la toute dernière étape de l’attaque. Si le client n’avait pas déployé QRadar EDR, les agresseurs informatiques auraient réussi à acquérir et à exfiltrer les données.

Attaque de la chaîne d’approvisionnement

Le jour de la transgression initiale, QRadar EDR a signalé une connexion suspecte à partir d’un serveur VPN vers un point de terminaison d’un segment de réseau non privilégié. L’équipe de sécurité suppose que la connexion était due à des travaux de maintenance effectués par un fournisseur de sécurité externe et a donc attribué une faible priorité à l’incident. Les agresseurs informatiques ont déployé un premier logiciel malveillant, principalement utilisé pour cartographier le segment de réseau à la recherche de chemins directs vers le réseau privilégié. Après avoir constaté qu’aucun chemin de ce type n’était disponible, les agresseurs informatiques ont déployé un deuxième logiciel malveillant dans la mémoire pour collecter des identifiants à réutiliser lors de mouvements latéraux ultérieurs. Une fois ces identifiants collectés, ils sont passés à l’étape suivante pour atteindre le contrôleur de domaine et peu après, un serveur de fichiers contenant des documents internes.

Analyse de la cause première

La première connexion anormale s’est produite en dehors des heures de travail, à partir d’un point de terminaison qui interagit habituellement avec les serveurs, mais pas avec les postes de travail. Le canal VPN était géré par un fournisseur externe qui était également chargé de maintenir le serveur de messagerie et les pare-feu, en plus du VPN lui-même. En raison de la nature de l’accès, l’alerte a été maintenue pour suivre chaque opération, mais à ce stade, l’équipe de sécurité interne a attribué une faible priorité à l’événement, en supposant que le fournisseur effectuait une maintenance sur l’infrastructure.

Le lendemain, QRadar EDR a déclenché une deuxième alerte, montrant l’activité d’un logiciel malveillant léger utilisé pour scanner le réseau interne, bientôt suivie d’une autre alerte signalant la présence d’un vecteur en mémoire doté de capacités d’enregistrement de clés et de collecte d’identifiants. A ce moment-là, l’équipe de sécurité s’est concentrée sur ces événements, initiant une session de recherche de menaces alors que les agresseurs informatiques ont finalement réussi, par une série de mouvements latéraux, à accéder à l’un des contrôleurs de domaine. L’équipe a décidé de profiter de l’invisibilité de la technologie NanoOS pour suivre les agresseurs informatiques le plus longtemps possible afin de comprendre leur modus operandi et leurs objectifs.

Alors que les agresseurs informatiques tentaient d’atteindre le serveur de fichiers contenant des informations très sensibles, l’équipe a décidé de les arrêter et de lancer le plan d’éradication. Pendant que l’on remédiait à la situation des différents appareils, les agresseurs informatiques se sont rendu compte que, malgré le haut niveau d’accès, ils ne pouvaient pas accéder aux informations qu’ils recherchaient. Se croyant découverts, ils ont déployé un ransomware sur l’ensemble de l’infrastructure pour couvrir leurs traces.

Attaque et reconstruction

Une fois que les motivations de l’attaque étaient claires, l’opérateur devait comprendre l’ensemble de l’attaque afin de renforcer les points faibles de l’infrastructure. L’attaque a concerné une douzaine de dispositifs avant la phase de déploiement du ransomware (phase 1) et plusieurs milliers après (phase 2).

Les agresseurs informatiques ont réussi à obtenir l’accès au fournisseur du VPN et des serveurs de messagerie et les ont utilisés comme points d’entrée initiaux dans le réseau interne. Les agresseurs informatiques ont réutilisé les identifiants du fournisseur pour se déplacer dans différentes machines, avant de se fixer sur un poste de travail spécifique. A ce stade, ils ont utilisé une chaîne d’outils pour scanner le réseau interne et identifier les cibles des mouvements latéraux. Lors de l’étape finale, ils ont utilisé le contrôleur de domaine lui-même pour diffuser le ransomware sur chaque appareil.

La station d’épuration des eaux a sécurisé l’accès au VPN et a mené une session de recherche des menaces qui a identifié chaque machine à laquelle les agresseurs informatiques ont réussi à accéder. Le module de remédiation de QRadar EDR a automatisé le processus de nettoyage ; le segment a été nettoyé en quelques secondes. Tous les outils utilisés lors de la phase de reconnaissance et de mouvements latéraux ont été obtenus et une politique comprenant l’IOC et les comportements a été immédiatement propagée sur l’ensemble de l’infrastructure. Aucun hôte compromis supplémentaire n’a été identifié après le déploiement de la politique. Les informations d’identification ont été immédiatement réinitialisées pour tous les utilisateurs et l’attaque par ransomware n’a nécessité aucune autre intervention car le client a activé la protection anti-ransomware de QRadar EDR pour tous les appareils, ce qui a permis d’éviter la perte d’informations importantes et l’interruption des activités.

Le site a clos l’incident avec succès le deuxième jour, sans aucune perte de données, interruption des services essentiels ou dommage aux points de terminaison.

Si l’installation n’avait pas utilisé QRadar EDR, les agresseurs informatiques auraient certainement exfiltré des informations sensibles et seraient peut-être restés actifs pendant une période prolongée, avec le risque de voir l’ensemble de l’infrastructure désactivée par l’attaque finale par ransomware. Une attaque aussi dévastatrice aurait eu un impact énorme sur la capacité de la station à fournir des services essentiels aux citoyens de la région, elle aurait même pu les bloquer complètement. Compte tenu de la difficulté à identifier les attaques de la chaîne d’approvisionnement, la station aurait pu être piratée à nouveau par le même canal si aucune information criminalistique n’avait été disponible pour déterminer la cause profonde de la transgression.

Cette station d’épuration des eaux basée en Europe est chargée de traiter et de distribuer l’eau à environ un million de personnes. La station est classée comme étant une infrastructure critique assurant des services essentiels.