Когато хакерската група Anubis обявява атака срещу Fairlife, компания от портфолиото на Coca-Cola, случаят изглежда като поредния голям корпоративен пробив. Според твърденията на самите атакуващи са компрометирани около 500 хоста и близо 1 TB данни.
По-важно от мащаба обаче е обяснението им за избора на жертвата. Fairlife не е била предварително набелязана. Групата е търсела системи със слаба защита и е открила компанията при автоматизирано сканиране на интернет.
Това е неудобният урок за малкия и средния бизнес. Много атаки не започват с конкретен интерес към определена марка или сектор. Те започват с търсене на отворени врати: остарял софтуер, неправилно конфигуриран сървър, устройство без актуални защити или достъп, който е оставен по-широк от необходимото.
В такъв сценарий размерът на компанията не я прави по-незабележима. Понякога я прави по-лесна мишена, защото не разполага с постоянен екип, който да наблюдава системите, да тества резервните копия и да реагира при първите признаци на проблем.
При Fairlife реакцията не идва достатъчно бързо. По данни на атакуващите минава повече от седмица, преди компанията да предприеме действия. За групата това е достатъчно време да изтрие ключовете за декриптиране и да започне да публикува данните.
В киберсигурността това време се нарича „прозорец на реакция“. То е периодът между проникването и момента, в който организацията успее да изолира проблема. При рансъмуер той често се измерва в часове и дни, не в седмици.
Когато има и лични данни, започва да „тик-така“ втори часовник. GDPR изисква в определени случаи организацията да уведоми надзорния орган без неоправдано забавяне и, когато е възможно, до 72 часа след като е узнала за нарушението.
В България подготовката за NIS2 добавя още един практически въпрос към компаниите от засегнатите сектори: има ли ясен план кой взема решенията при инцидент, кой координира реакцията и как се докладва навреме? Директивата измества темата отвъд IT отдела. Управлението на риска и готовността за реакция стават отговорност и на ръководствата.
Първата задача след пробив е да се ограничи щетата. Тук решаващи са две неща: устройството, през което е започнала атаката, и възможността данните да бъдат възстановени.
A1 Endpoint Protect следи поведението на крайните устройства в реално време. Решението може да засече подозрителни действия, включително процеси, които започват да криптират файлове, или необичаен достъп до ресурси. Ранното разпознаване може да помогне инцидентът да остане локален, вместо да обхване цялата мрежа.
A1 Cyber Backup добавя втория слой - резервни копия, управлявани от специалистите на А1 и физически съхранявани в собствен център за данни в София. Те са изолирани от клиентската мрежа и се верифицират регулярно, така че да има реална възможност за възстановяване, а не само предположение, че backup съществува.
Техническата защита обаче не работи сама. Много атаки започват от отворен файл, последван линк или убедително искане за достъп. A1 Security Awareness Training подготвя екипите чрез симулации и практически сценарии да разпознават такива ситуации, преди да се случат в реална среда.
Случаят с Fairlife показва, че атаката невинаги избира жертвата предварително. Но ако системата е оставена отворена, тя може да бъде намерена.
