UEBA案例分析系列之检测失陷凭证

最新推荐文章于 2023-05-24 22:29:31 发布

DBappSecurity_

最新推荐文章于 2023-05-24 22:29:31 发布

阅读量1k

点赞数 1

分类专栏： UEBA系列

本文链接：https://blog.csdn.net/DBappSecurity_/article/details/106187693

版权

本文分析了失陷凭证攻击的常见手段和企业防护难点，阐述了UEBA（用户和实体行为分析）在检测此类攻击中的价值。通过监控用户行为特征和业务数据，UEBA能有效识别异常行为，加速安全调查，满足合规要求，并提供更精准的用户行为洞察，助力企业提升网络安全防御能力。

摘要由CSDN通过智能技术生成

UEBA案例分析系列之检测失陷凭证

概述

近日万豪透漏其公司再次遭遇大规模数据泄露，可能涉及520万名客户的详细信息。此次事件攻击者使用万豪特许经营酒店两名员工的登录凭证进行数据访问。

利用合法凭证访问企业资源已成为攻击者规避边界防护等安全措施的重要手段。2019年Verizon发布的《数据泄露调查报告》对各行业数据泄露事件中泄露数据类型进行统计，其中教育行业、技术科学服务行业、制造业的凭证泄露事件占数据泄露事件比例最高，分别为53%、50%、49%。在多数情况下，攻击者采用钓鱼邮件、社会工程学、恶意软件等手段窃取企业员工的凭证。一旦攻击者获得了这些凭证，就可以冒充具有合法访问权限的用户，进行内部侦查、提升特权等操作以获取有价值的数据（例如电子邮件、知识产权、财务信息等），并在很长一段时间内安全的潜伏在网络中。实际上，超过75％的攻击需要几周甚至更长时间才能被检测出。

攻击链映射

利用合法凭证的攻击通常涉及多个步骤，在攻击链中具体涉及到的活动如图所示。监测攻击链中每一项活动需要使用不同的安全技术和不同的条件集，这可能导致大量的告警及误报。而且通常企业存在IT运维孤岛，一些由员工自己上报的可能是攻击线索（例如，光标自己移动了一点、摄像头自发开启并关闭、CPU使用率突增或死机）的信息被搁置，导致威胁的持续驻留。
在这里插入图片描述