"It won't happen to us" is not a cybersecurity plan

(suomeksi alla)

There is a quiet assumption running through most organizations' approach to data security and data breaches. It’s not official policy, but it shapes decisions, budgets, and priorities more than anything else.

‘It won't happen to us’

Someone else's credentials will get stolen. Someone else's customer database will get breached.
Not us. We have an IT department, and we run phishing simulations.

We call this the ostrich strategy. And it is the dominant approach to cybersecurity in organizations of every size, across every industry.

Credential stuffing tools run billions of login attempts per day. Phishing kits are sold as a service, complete with customer support. Adversary-in-the-Middle (AitM) attack frameworks can be deployed by someone with no meaningful technical background. The infrastructure to attack your organization exists, it is cheap, and it is running right now.

In this environment, "we haven't been hit yet" is not evidence of good security, and luck is not a strategy.

What does the Ostrich Strategy look like in practice?

It looks like deploying SMS-based two-factor authentication and announcing that you now have MFA, without acknowledging that SMS codes are intercepted in real time by the same AitM kits that any attacker can get over a weekend.

It looks like running phishing simulation training every quarter, showing employees a graph of who clicked the fake link, and calling it a security programme. As if the solution to a technical vulnerability is to make the humans more perfect.

It looks like incident response, and it’s more of a PR investment than a security system that would have stopped the attacker from getting in.

It looks like assuming that because a breach has not happened yet, the current approach is working.

The breach already happened. You just don't know yet.

The average time between an initial compromise and its discovery is measured in months, not days. By the time an organization knows it has been breached, the attacker has typically had weeks or months of access, exfiltrating data, mapping infrastructure, escalating privileges.

Burying your head in the sand, does not change the facts around you.

The solution is in removing the attack surface.

Passwords were not created for today’s internet, they were made for closed networks.
The reason phishing works is because it is targeting a weak authentication layer, one that depends on a human correctly identifying an invisible threat in real time, every time they login. That is not a reasonable expectation.

Phishing-resistant authentication does not ask employees to be security experts. It removes the credential from the equation entirely. A hardware-based FIDO2 security key performs a challenge-response authentication that is cryptographically bound to the registered origin of the site. A fake login page would look authentic to the human, but because credentials are tied to the legitimate domain at registration, the authenticator will find no matching credential for the phishing origin.

It leaves no is no password to steal, no OTP to intercept, no session token to hijack in transit.

The question is not “Will we be attacked?”

The question is: “Do we have the proper structure to counter an attack?”

Hoping for the best is not a plan. Removing the attack surface is.

Spear Innovations provides phishing-resistant FIDO2 authentication solutions for enterprises, including SpearID® hardware security keys designed and manufactured in Finland. If you want to move from hoping to hardened, contact us.

”Ei se meille tapahdu” ei ole kyberturvallisuussuunnitelma

Useimpien organisaatioiden lähestymistavassa tietoturvaan ja tietoturvaloukkauksiin on taustalla hiljainen oletus. Se ei ole virallinen käytäntö, mutta se vaikuttaa päätöksiin, budjetteihin ja prioriteetteihin enemmän kuin mikään muu.

“Meille ei käy niin”

Se on joku muu, jonka tunnistetiedot varastetaan. Jonkun muun asiakastietokanta joutuu tietomurron kohteeksi. Ei koske meitä. Meillä on IT-osasto, ja teemme tietojenkalastelu-simulaatioita.

Kutsumme tätä ”strutsistrategiaksi”. Ja se on vallitseva lähestymistapa kyberturvallisuuteen kaikenkokoisissa organisaatioissa kaikilla toimialoilla.

Tunnistetietojen täyttötyökalut suorittavat päivittäin miljardeja kirjautumisyrityksiä. Kalastelu-työkalupaketteja myydään palveluna, johon kuuluu myös asiakastuki. Adversary-in-the-Middle (AitM) -hyökkäyskehyksiä voi ottaa käyttöön jopa henkilö, jolla ei ole merkittävää teknistä taustaa. Organisaatiotasi vastaan suunnatun hyökkäyksen infrastruktuuri on olemassa, se on edullista ja se on käytössä juuri nyt.

Tässä ympäristössä se, että ”meidän järjestelmiin ei ole hyökätty”, ei ole osoitus hyvästä tietoturvasta, eikä onni ole strategia.

Miltä strutsistrategia näyttää käytännössä?

Se näyttää siltä, että otetaan käyttöön tekstiviestipohjainen kaksivaiheinen todennus ja ilmoitetaan, että nyt on käytössä MFA, ilman että tunnustetaan, että tekstiviestikoodit siepataan reaaliajassa samoilla AitM-laitteistoilla, jotka kuka tahansa hyökkääjä voi hankkia viikonlopun aikana.

Se näyttää siltä, että järjestetään neljännesvuosittain kalastelu-simulaatiokoulutusta, jossa työntekijöille näytetään kaavio siitä, kuka klikkasi väärennettyä linkkiä, ja kutsutaan sitä tietoturvaohjelmaksi. Ikään kuin ratkaisu tekniseen haavoittuvuuteen olisi tehdä ihmisistä täydellisempiä.

Se näyttää tapahtumien hallinnalta, mutta on enemmänkin PR-investointi kuin tietoturvajärjestelmä, joka olisi estänyt hyökkääjän pääsyn järjestelmään.

Se näyttää siltä, että oletetaan, että koska tietomurtoa ei ole vielä tapahtunut, nykyinen toimintatapa toimii.

Tietomurto on jo tapahtunut. Et vain vielä tiedä siitä.

Keskimääräinen aika ensimmäisen tietomurron ja sen havaitsemisen välillä mitataan kuukausina, ei päivinä. Siihen mennessä, kun organisaatio huomaa joutuneensa tietomurron kohteeksi, hyökkääjällä on tyypillisesti ollut pääsy järjestelmään jo viikkojen tai kuukausien ajan, jonka aikana hän on vienyt tietoja, kartoittanut infrastruktuuria ja laajentanut käyttöoikeuksiaan.

Pään työntäminen hiekkaan ei muuta ympärilläsi olevia tosiasioita.

Ratkaisu on hyökkäyskohteiden poistamisessa.

Salasanoja ei ole luotu nykypäivän internetiä varten, vaan suljettuja verkkoja varten. Tietojenkalastelu toimii siksi, että se kohdistuu heikkoon todennuskerrokseen, joka taas perustuu siihen, että käyttäjä tunnistaa näkymättömän uhan oikein reaaliajassa joka kerta kirjautuessaan sisään. Se ei ole kohtuullinen vaatimus.

Kalastelunkestävä todennus ei vaadi työntekijöiltä turvallisuusasiantuntijan osaamista. Se poistaa tunnistetiedot kokonaan kuvioista. Laitteistopohjainen FIDO2 turva-avain suorittaa haaste-vastaus-todennuksen, joka on kryptografisesti sidottu sivuston rekisteröityyn alkuperään. Väärennetty kirjautumissivu saattaisi näyttää aidolta ihmisen silmään, mutta koska tunnistetiedot on rekisteröinnin yhteydessä sidottu lailliseen verkkotunnukseen, todennuslaite ei löydä vastaavia tunnistetietoja kalastelusivustolle.

Siten ei ole salasanaa, jota voitaisiin varastaa. Ei kertakäyttöistä salasanaa (OTP), jota voitaisiin siepata. Eikä istuntotunnusta, jota voitaisiin kaapata siirron aikana.

Kysymys ei ole: ”Joudummeko kalasteluhyökkäyksen kohteeksi?”

Kysymys kuuluu: “Onko meillä asianmukaiset järjestelmät hyökkäyksen torjumiseksi?”

Parhaan toivominen ei ole suunnitelma. Hyökkäyspinnan poistaminen sen sijaan on.

Spear Innovations tarjoaa yrityksille kalastelunkestäviä FIDO2-todennusratkaisuja, mukaan lukien Suomessa suunnitellut ja valmistetut SpearID®-turva-avaimet. Jos haluat siirtyä toivomisesta vahvistettuun suojaukseen, ota meihin yhteyttä.