Verenigde Naties (VN) geschonden

14 september 2021 | Blog

In het voorjaar en de zomer van 2021 drongen hackers stiekem binnen in Umoja , de projectmanagementsoftware van de Verenigde Naties (VN). Ze kregen toegang tot het netwerk en stalen cruciale gegevens die gebruikt konden worden voor verdere aanvallen. " De gestolen gegevens uit het VN-netwerk zouden gebruikt kunnen worden om agentschappen binnen de VN aan te vallen, en dat is mogelijk al gebeurd", aldus Stéphane Dujarric, woordvoerder van de secretaris-generaal van de VN, zoals beschreven in dit rapport.

Dit is niet de eerste inbreuk op de systemen van de VN. In januari 2020 richtten de beheerders van de beruchte Emotet -malware zich via een phishingcampagne op de VN met als doel inloggegevens te stelen en de TrickBot- trojan te verspreiden . Die inbreuk werd uiteindelijk herleid tot een kwetsbaarheid in Microsoft SharePoint , waardoor 400 GB aan gevoelige gegevens werd gestolen.

Kansen voor verbetering bij de VN

Gebrek aan tweefactorauthenticatie

De gestolen inloggegevens bij de meest recente aanval behoorden toe aan een account op Umoja, de exclusieve projectmanagementsoftware van de VN. De gebruiker van het account had tweefactorauthenticatie (2FA) , de gouden standaard voor authenticatie , niet ingeschakeld, waardoor hackers de inloggegevens konden gebruiken om toegang te krijgen tot de software en verder het netwerk binnen te dringen.

Slechte wachtwoordhygiëne

Hackers proberen soms met een ' brute force' -aanval in te breken in accounts. Hierbij probeert hackersoftware miljoenen verschillende combinaties van gebruikersnamen en wachtwoorden om toegang te krijgen tot de accounts van de aanvallers. Dit zou de oorzaak kunnen zijn van deze inbreuk op het VN-account. Een brute force-aanval zou hackers jaren kosten om in te breken in een account dat voldoet aan de wachtwoordstandaarden van CyberHoot en NIST (2017), namelijk het gebruik van unieke wachtwoorden van minimaal 14 tekens voor elk account. Het is waarschijnlijk dat het gehackte account een zwakke wachtwoordhygiëne had , waardoor de hacker toegang kon krijgen. Er wordt niet vermeld of de VN een wachtwoordmanager gebruikt , wat cruciaal is voor een goede wachtwoordhygiëne en een standaard aanbeveling van CyberHoot voor alle bedrijven.

Beheerdersrechten

Het rapport vermeldde dat de hackers gedurende een aantal maanden (april-augustus) toegang hadden tot hun systemen, waardoor ze zich lateraal door de systemen konden bewegen. Deze laterale beweging binnen de VN-systemen had mogelijk beperkt of voorkomen kunnen worden door het principe van minimale bevoegdheden toe te passen . Dit principe had wellicht kunnen voorkomen dat de hacker met de inloggegevens van één VN-gebruiker extra hacksoftware installeerde waarmee hij zich lateraal door het VN-netwerk kon verplaatsen. Het is ook goed denkbaar dat de hacker, eenmaal binnen, andere zwakke punten kon vinden om te exploiteren, waardoor het principe van minimale bevoegdheden de voortgang van de hacker slechts zou hebben vertraagd. Hoe dan ook, CyberHoot is voorstander van het afremmen van hackers en het hen moeilijk maken.

Hoe kan uw organisatie van dit evenement leren?

Gebruik allereerst een wachtwoordmanager (zoals LastPass of 1Password) om uw wachtwoorden en wachtzinnen op te slaan . Het is essentieel dat u voor al uw accounts voldoet aan de NIST 2017-standaard (uniek, niet-verlopend wachtwoord/wachtzin van minimaal 14 tekens). Het gebruik van een verouderd wachtwoord van 9 tekens of meer brengt een aanzienlijk risico op een inbreuk met zich mee, vergelijkbaar met de gebruiker bij de VN.

Ten tweede is het cruciaal dat je tweefactorauthenticatie (2FA) hebt ingeschakeld voor alle accounts die je gebruikt. Als een hacker je gebruikersnaam en wachtwoord weet te bemachtigen, zorgt je 2FA ervoor dat er een code naar je telefoon wordt gestuurd via sms of een authenticatie-app (LastPass, Google, Microsoft). Hoewel hackers wachtwoorden kunnen kraken met brute force-aanvallen, kunnen ze (in ieder geval niet gemakkelijk) geen toegang krijgen tot je mobiele telefoon om de tweede authenticatiefactor te bemachtigen. Dit beschermt je accounts die van je telefoon gebruikmaken uiteindelijk tegen inbreuken.

Ten derde, beperk de toegang van gebruikers tot en het gebruik van beheerdersrechten. Verplicht alle gebruikers om hun desktopomgeving zonder beheerdersrechten te gebruiken. Door beheerdersrechten voor eindgebruikers te verwijderen, kunt u voorkomen dat kwaadaardige websites software met beheerdersrechten installeren, dat gebruikers potentieel gevaarlijke of buggy software installeren en dat systemen soepeler en effectiever werken.

Ten vierde geeft het gebruikers alleen toegang tot de gegevens die ze nodig hebben voor hun dagelijkse werkzaamheden. Als de VN het principe van minimale bevoegdheden had gevolgd, had dit mogelijk kunnen voorkomen dat een deel van de gegevens die bij dit datalek betrokken waren, gestolen werden. Wanneer het principe van minimale bevoegdheden wordt toegepast, heeft slechts een klein aantal hooggeplaatste gebruikers (C-level executives, partners, enz.) toegang tot het grootste deel van de gegevens binnen een organisatie. Dit verkleint het aanvalsoppervlak voor hackers aanzienlijk.

Aanvullende SMB-beveiligingen

Naast de bovenstaande drie maatregelen beveelt CyberHoot de volgende best practices aan om personen en bedrijven te beschermen tegen online cyberaanvallen en de schade als gevolg daarvan te beperken:

Train medewerkers om e-mailgebaseerde advertenties te herkennen en te vermijden Phishing aanvallen
Test of werknemers kan phishing-e-mails herkennen en vermijden
Maak een back-up van gegevens met behulp van de 3-2-1 methode
Voer een risico-evaluatie elke twee tot drie jaar
Zorg voor uw patch beheer oplossing werkt effectief (bij de eerdere inbreuk bij de VN werd een Microsoft Sharepoint-server misbruikt terwijl er een patch beschikbaar was)
Huur een professionele virtuele Chief Information Security Officer in (vCISO) om u te adviseren, begeleiden en uw cybersecurityprogramma uit te bouwen voor een fractie van de kosten van het inhuren van een fulltime cybersecuritymedewerker.