Bỏ qua nội dung chính

Tác động của hoạt động săn tìm đồ hiếm đến ngành y tế và các chiến lược giảm thiểu rủi ro được đề xuất

Tác động của Shiny Hunters đến ngành y tế và các chiến lược giảm thiểu rủi ro được đề xuất, bản tin cảnh báo của Health-ISAC.

Các tổ chức trong lĩnh vực y tế đang phải đối mặt với sự gia tăng đáng kể các cuộc tấn công thành công từ nhóm tội phạm mạng ShinyHunters. Nhóm này dường như ưu tiên việc đánh cắp danh tính và truy cập vào các nền tảng SaaS hơn là triển khai mã độc tống tiền truyền thống. Mô hình hoạt động được mô tả trong các báo cáo sự cố gần đây phù hợp với một chuỗi lặp lại: lừa đảo qua điện thoại (kỹ thuật xã hội bằng giọng nói) → thiết lập lại tài khoản hỗ trợ/xác thực đa yếu tố hoặc đăng ký lại thiết bị → chiếm đoạt tài khoản SSO của Microsoft Entra (hoặc Okta/Google) → chuyển hướng sang các nền tảng SaaS được kết nối → đánh cắp dữ liệu nhanh chóng để tống tiền. Ngay cả khi các báo cáo của nạn nhân cho thấy tác động hoạt động hạn chế, kỹ thuật được mô tả vẫn là bài học phòng thủ quan trọng. SSO là mặt phẳng điều khiển, và đòn bẩy của ShinyHunters được tạo ra thông qua việc đánh cắp dữ liệu ở quy mô đám mây.

Khuyến nghị

Nhóm tin tặc ShinyHunters hoạt động ít giống một "nhóm ransomware truyền thống" mà giống một nhóm tống tiền bằng cách đánh cắp danh tính và quyền truy cập SaaS hơn: sử dụng kỹ thuật xã hội (đặc biệt là lừa đảo qua điện thoại) để xâm phạm danh tính SSO của Microsoft Entra (hoặc Okta/Google), sau đó chuyển hướng sang các ứng dụng SaaS được kết nối và đánh cắp dữ liệu để gây áp lực. Trong các báo cáo sự cố gần đây, ShinyHunters đã tuyên bố cụ thể rằng việc lừa đảo qua điện thoại nhiều nhân viên đã dẫn đến việc xâm phạm tài khoản SSO của Microsoft Entra, tiếp theo là đánh cắp dữ liệu từ các nền tảng SaaS và nội bộ (ví dụ: Microsoft 365/SharePoint và các dịch vụ doanh nghiệp khác). Các kỹ thuật và chiến thuật được mô tả ở đây là những bài học quan trọng cho các nhà bảo mật dựa trên các sự cố an ninh mạng gần đây.

Dưới đây là các khuyến nghị thiết thực, có tác động cao để bảo vệ các tổ chức chăm sóc sức khỏe và công nghệ y tế khỏi các chiến dịch kiểu ShinyHunters, được đối chiếu với tiêu chuẩn MITRE ATT&CK → D3FEND → NIST/CIS. (Tôi sử dụng chi tiết sự cố trong ngữ cảnh được cung cấp làm cơ sở, và các thực tiễn an ninh mạng chung để chuyển chúng thành các biện pháp kiểm soát.)

1) Phá vỡ chuỗi tấn công lừa đảo qua điện thoại → bộ phận hỗ trợ/khôi phục tài khoản → chiếm quyền đăng nhập SSO (quan trọng nhất) Đây là điểm yếu mà ShinyHunters đang khai thác

  • Tấn công bằng giọng nói nhằm lừa người dùng/bộ phận hỗ trợ thiết lập lại xác thực đa yếu tố (MFA), đăng ký thiết bị, đặt lại mật khẩu hoặc chấp thuận OAuth—dẫn đến việc chiếm đoạt tài khoản SSO.

Khuyến nghị

Quy trình hỗ trợ A. Harden cho bộ phận trợ giúp/quản trị danh tính (IAM)
  • Yêu cầu xác minh danh tính ngoài luồng đối với bất kỳ thao tác đặt lại mật khẩu, đặt lại xác thực đa yếu tố (MFA) hoặc đăng ký lại thiết bị nào (ví dụ: cuộc gọi lại đã được xác minh đến số điện thoại đã biết + sự chấp thuận của người quản lý đối với người dùng có đặc quyền).
  • Áp dụng quy tắc “không thực hiện cùng một cuộc gọi”: tổng đài viên không thể hoàn tất thao tác đặt lại trong cùng một cuộc gọi đến; yêu cầu phải có mã yêu cầu hỗ trợ + cuộc gọi lại đã được xác minh.
  • Áp dụng quy trình xác minh bổ sung cho bất kỳ ai yêu cầu thay đổi yếu tố xác thực, đặc biệt là các giám đốc điều hành, quản trị viên CNTT, bộ phận tài chính và bảo mật.
B. Bảo vệ MFA khỏi "lạm dụng thiết lập lại"
  • Nên ưu tiên sử dụng xác thực đa yếu tố (MFA) chống lừa đảo (khóa bảo mật FIDO2/WebAuthn hoặc tương đương) cho tất cả quản trị viên và các nhóm có rủi ro cao; mở rộng cho tất cả người dùng nếu khả thi.
  • Vô hiệu hóa hoặc hạn chế nghiêm ngặt xác thực đa yếu tố qua SMS/thoại và các phương pháp dự phòng yếu.
  • Áp dụng các biện pháp kiểm soát chặt chẽ đối với việc đăng ký xác thực đa yếu tố (yêu cầu thiết bị tương thích, hạn chế về vị trí hoặc quyền truy cập có điều kiện).

ATT&CK: Lừa đảo qua điện thoại (vishing), Tài khoản hợp lệ
D3FEND: Xác minh danh tính người dùng, Xác thực đa yếu tố, Xác thực mạnh mẽ
NIST 800-53r5: IA-2, IA-5, AC-2
CIS v8: 6 (Quản lý kiểm soát truy cập), 5 (Quản lý tài khoản)

***

2) Coi Entra/Okta/SSO như “cấp độ 0”: bảo mật nó như một bộ điều khiển miền.

Mô hình kinh doanh của ShinyHunters phụ thuộc vào một điều: Đăng nhập một lần (SSO) = chìa khóa mở cửa vương quốc.

Khuyến nghị

A. Truy cập có điều kiện / Rào chắn Zero Trust
  • Yêu cầu xác thực đa yếu tố (MFA) và thiết bị tương thích để truy cập vào các dịch vụ SaaS nhạy cảm (M365, Salesforce, ServiceNow, v.v.).
  • Chặn các phương thức xác thực cũ và các giao thức rủi ro.
  • Áp dụng các biện pháp kiểm tra tốc độ di chuyển theo khu vực địa lý/hành trình bất khả thi và chính sách rủi ro phiên giao dịch.
  • Hạn chế quyền truy cập theo trạng thái thiết bị (chỉ dành cho các thiết bị đầu cuối được quản lý) đối với cổng quản trị và các ứng dụng giàu dữ liệu.
B. Kỷ luật về quyền truy cập đặc quyền
  • Tách biệt tài khoản quản trị viên khỏi tài khoản người dùng thông thường.
  • Sử dụng các máy trạm có quyền truy cập đặc quyền (PAW) hoặc môi trường quản trị được tăng cường bảo mật.
  • Áp dụng nguyên tắc Just-in-Time (JIT) và Just-Enough-Access (JEA) cho từng vai trò.

ATT&CK: Tài khoản hợp lệ; Truy cập bằng thông tin xác thực + Các lộ trình nâng cao đặc quyền
D3FEND: Kiểm soát truy cập, Quản lý tài khoản đặc quyền, Thực thi truy cập có điều kiện
NIST 800-53r5: AC-2, AC-6, AC-17, IA-2
CIS v8: 5, 6

***

3) Phát hiện và ngăn chặn hành vi đánh cắp dữ liệu SaaS (vì tống tiền phụ thuộc vào việc đánh cắp thông tin)

Trong các báo cáo sự cố gần đây, đối tượng này tuyên bố đã đánh cắp dữ liệu từ nhiều nền tảng và tập dữ liệu doanh nghiệp. Cho dù mọi tuyên bố có đúng hay không, mô típ vẫn nhất quán: sau khi đăng nhập thành công vào hệ thống SSO, chúng sẽ lấy dữ liệu từ các API SaaS và các kho lưu trữ cộng tác.

Khuyến nghị

A. Theo dõi nhật ký SaaS và định danh như "dữ liệu đo từ xa điểm cuối"
  • Tập trung nhật ký đăng nhập và nhật ký kiểm toán của Microsoft Entra, cũng như nhật ký kiểm toán của các dịch vụ SaaS (M365/SharePoint/OneDrive, ServiceNow, v.v.) vào hệ thống SIEM của bạn.
  • Thông báo vào:
  1. Sự kiện đăng ký/đặt lại yếu tố xác thực đa yếu tố mới
  2. Đăng ký thiết bị mới
  3. Tạo ứng dụng OAuth mới hoặc cấp quyền chấp thuận bất thường
  4. Tải xuống hàng loạt bất thường, truy cập tập tin hàng loạt hoặc các cuộc gọi API không điển hình
  5. Các quy tắc chuyển tiếp mới / thay đổi ủy quyền hộp thư (thường đi kèm với hình thức kiếm tiền kiểu BEC)

 

B. Đặt ra các biện pháp bảo vệ đối với việc truy cập API
  • Hạn chế và giám sát các mã thông báo API, các nguyên tắc dịch vụ và các tích hợp của bên thứ ba.
  • Cần có sự phê duyệt của quản trị viên đối với các phạm vi OAuth có quyền hạn cao.
  • Thường xuyên thay đổi mật khẩu và xem xét lại quyền truy cập ứng dụng.

ATT&CK: Rò rỉ dữ liệu qua dịch vụ web; Các mô hình lạm dụng tài khoản đám mây / OAuth
D3FEND: Phát hiện rò rỉ dữ liệu, giám sát thông tin đăng nhập và mã token, phân tích lưu lượng API.
NIST 800-53r5: AU-2, AU-6, SI-4
CIS v8: 8 (Quản lý nhật ký kiểm toán), 13 (Giám sát và phòng thủ mạng)

***

4) Giảm phạm vi ảnh hưởng: giả định rằng cuối cùng sẽ có một tài khoản SaaS bị sụp đổ.

Khuyến nghị

  • Phân vùng quyền truy cập dữ liệu bằng cách sử dụng quyền tối thiểu và quyền truy cập dựa trên vai trò; loại bỏ quyền truy cập "mọi người" trong các ứng dụng tương đương SharePoint/Teams/Drive.
  • Áp dụng biện pháp ngăn ngừa mất dữ liệu cho các loại dữ liệu nhạy cảm (thông tin sức khỏe/thông tin cá nhân, hợp đồng, nghiên cứu, sở hữu trí tuệ thiết bị).
  • Mã hóa và gắn nhãn các tài liệu nhạy cảm; yêu cầu các biện pháp kiểm soát bổ sung đối với việc tải xuống/chia sẻ.

ATT&CK: Thu thập thông tin từ các kho lưu trữ thông tin
D3FEND: Phân loại dữ liệu, Quản trị truy cập dữ liệu, DLP
NIST 800-53r5: AC-3, MP-4, SC-28
CIS v8: 3 (Bảo vệ dữ liệu), 6

***

5) Sự sẵn sàng ứng phó với các sự cố liên quan đến tống tiền bằng cách rút dữ liệu trái phép

Các nạn nhân doanh nghiệp gần đây cho biết họ đã kích hoạt các quy trình xử lý sự cố và liên hệ với chuyên gia/cơ quan thực thi pháp luật—đây là một khởi đầu tốt. Đối với các sự cố kiểu ShinyHunters, tốc độ rất quan trọng vì việc đánh cắp dữ liệu có thể diễn ra nhanh chóng sau khi có được quyền truy cập vào SaaS.

Khuyến nghị

  • Các “kế hoạch ứng phó với SaaS” trước khi triển khai:
    • Vô hiệu hóa phiên người dùng / thu hồi mã thông báo làm mới
    • Đặt lại thông tin đăng nhập và đăng ký lại xác thực đa yếu tố (MFA) một cách an toàn.
    • Cách ly hoặc vô hiệu hóa các ứng dụng/nguyên tắc dịch vụ OAuth đáng ngờ.
    • Xem xét và loại bỏ các quy tắc/ủy quyền hộp thư độc hại.
  • Duy trì "phương án phản ứng phân cấp" cho các đối tượng có rủi ro cao (giám đốc điều hành, CNTT, an ninh, tài chính).
  • Đảm bảo các kênh pháp lý/truyền thông sẵn sàng cho các tình huống tống tiền (giám sát trang web rò rỉ thông tin, lập trường đàm phán, thông báo cho cơ quan quản lý nếu cần).

ATT&CK: Tác động (Tống tiền), Lọc
D3FEND: Xử lý sự cố, Thu hồi chứng chỉ, Khóa tài khoản
NIST 800-53r5: IR-4, IR-5, IR-6
CIS v8: 17 (Ứng phó sự cố)

***

6) Bổ sung đào tạo chuyên sâu: "huấn luyện lực lượng lao động chống lại tấn công lừa đảo qua điện thoại", chứ không phải đào tạo lừa đảo chung chung.

Khuyến nghị

  • Chạy các mô phỏng tấn công lừa đảo qua điện thoại nhằm mục đích:
    • Nhân viên hỗ trợ kỹ thuật (điểm kiểm soát quan trọng nhất)
    • Các giám đốc điều hành và VIP (mục tiêu thường gặp)
    • Nhân viên mới và nhân viên làm việc từ xa
  • Dạy các kịch bản từ chối cụ thể và các bước xác minh:
    • “Tôi sẽ gọi lại cho bạn qua số điện thoại đã lưu trong hệ thống.”
    • “Chúng tôi không thiết lập lại xác thực đa yếu tố (MFA) cho các cuộc gọi đến.”
  • Phát hành một bản tóm tắt một trang về “Các dấu hiệu chiếm quyền kiểm soát SSO” dành cho người dùng và bộ phận CNTT.

ATT&CK: Kỹ thuật xã hội
D3FEND: Đào tạo kỹ năng và nâng cao nhận thức về an ninh
NIST 800-53r5: AT-2
CIS v8: 14 (Đào tạo kỹ năng và nâng cao nhận thức về an ninh mạng)

***

Danh sách ưu tiên những việc cần làm trước tiên (30-60 ngày)

  1. Xác thực đa yếu tố (MFA) chống lừa đảo cho quản trị viên, nhân viên hỗ trợ và ban điều hành; hạn chế các phương án dự phòng MFA yếu.
  2. Tăng cường bảo mật cho việc thiết lập lại hệ thống hỗ trợ (xác minh cuộc gọi lại + không thiết lập lại trong cùng một cuộc gọi + kiểm soát việc tạo phiếu yêu cầu).
  3. Tiêu chuẩn truy cập có điều kiện Entra/SSO (chặn xác thực cũ; yêu cầu thiết bị tương thích cho quản trị viên và các ứng dụng nhạy cảm).
  4. Phát hiện rò rỉ dữ liệu SaaS: cảnh báo về các bất thường khi tải xuống hàng loạt/API + thay đổi xác thực OAuth + sự kiện đặt lại MFA.
  5. Quy trình thu hồi token/phiên đã được thử nghiệm trong các bài tập mô phỏng trên bàn.

 

***

TLP:WHITE: Tuân theo các quy định bản quyền tiêu chuẩn, thông tin của TLP:WHITE có thể được phân phối mà không bị hạn chế.

 

Lộ diện mối đe dọa mạng: Tại sao dữ liệu bệnh viện của bạn không bao giờ thực sự an toàn
Tình trạng bảo mật danh tính trong kỷ nguyên AI