Key Takeaway:
Cyber threat intelligence hjælper SOC-teams og CISO’er med at opdage trusler, før de bliver til databrud. Ved at overvåge kilder som domæneinfrastruktur, krypterede fora og trusselsdatabaser afvæbner sikkerhedsfolk phishing-angribere og AI-kampagner og beskytter dermed deres organisationer.
Cyberkriminelle, nye trusler og angrebsskabeloner cirkulerer konstant i underjordiske fora og på markedspladser på dark web. Jo mere vi ved om cybertrusler, jo bedre er vi rustet til at bekæmpe dem. Helt konkret handler cyber threat intelligence om at indsamle, analysere og videregive oplysninger om aktuelle og potentielle angreb mod jeres organisation. Den viden giver SOC-teams og CISO’er noget at stille op med over for modstandere, der bruger kunstig intelligens og kommercielle phishing-platforme som våben.
Tallene viser, at trusselsbilledet har ændret sig markant alene det seneste år. AI-understøttede phishing-angreb er steget med 4.151 % siden 2022, ifølge forskere. Phishing-as-a-Service-platforme som EvilProxy og Darcula har skabt en stigning på 29 % i antallet af phishing-kampagner og gjort professionel svindel tilgængelig for enhver med et månedligt abonnement. Samtidig koster et gennemsnitligt databrud nu organisationer 4,44 millioner dollar, og stealer logs, der er lavet til at høste firmaadgangskoder, sælges på dark web for omkring 10 dollar stykket. Tallene afspejler et grundlæggende skifte i, hvordan cyberkriminalitet fungerer, og cyber threat intelligence er gået fra at være en mulighed til at være en nødvendighed.
Cyber threat intelligence og AI-våbenkapløbet
Kunstig intelligens er et tveægget sværd for cybersikkerheden, men den ene æg er langt skarpere end den anden. For nylig kaprede en enkelt angriber AI-værktøjet Claude og stjal 150 GB følsomme data fra den mexicanske regering. Én mand udviklede tusindvis af automatiserede phishing-strategier og endte med 195 millioner skatteyderoplysninger. Der skulle ikke et team af uddannede, finansierede og professionelle hackere til, men bare én mand og en gratis chatbot.
Andre cyberkriminelle skruer op for truslen med AI-genereret phishing og deepfake-efterligninger. Fremkomsten af ondsindede AI-værktøjer som WormGPT og FraudGPT i cyberkriminelle miljøer giver adgang til kraftfulde phishing-kits, der omgår forsvaret og rammer hårdt.
Med så lav en adgangsbarriere lægger den store mængde AI-genererede angreb et enormt pres på SOC-teams. Flere og flere sikkerhedsfolk bekæmper ild med ild og bruger selv AI og automatisering som modtræk. Smarte værktøjer forkorter reaktionstiden ved databrud og sænker de gennemsnitlige omkostninger sammenlignet med organisationer, der ikke bruger dem.
Epidemien af stjålne loginoplysninger
Stjålne loginoplysninger er en vedvarende trussel for sikkerhedsteams, og cyberkriminelle udnytter dem i industriel skala. Infostealere som Redline, Raccoon og Lumma indsamler i det skjulte gemte adgangskoder, sessionscookies, autofyld-data og kryptowallets fra inficerede maskiner og pakker det hele i strukturerede filer, der kaldes stealer logs. Trusselsaktører sælger og bytter disse tidsstemplede, enhedsmærkede pakker af kompromitterede data på dark web-markedspladser og Telegram-kanaler, ofte få timer efter infektionen. Et enkelt log kan afsløre loginoplysninger til dusinvis af virksomhedsapplikationer og give angriberne autentificeret adgang, uden at de behøver at knække en eneste adgangskode.
Angrebskæden begynder typisk med social engineering: en overbevisende phishing-mail, en falsk softwaredownload eller en ondsindet annonce får en medarbejder til at køre infostealerens skadelige kode. Malwaren arbejder i det skjulte og stjæler loginoplysninger, før nogen endpoint-alarm udløses, og angriberne afspiller de stjålne sessionscookies for helt at omgå multifaktorgodkendelse. Udrulning af ransomware, kompromittering af forretningsmail og tyveri af fortrolige data kan ofte spores tilbage til ét enkelt stealer log, købt for et par dollar på et underjordisk forum.
Angriberne går ofte målrettet efter organisationens VIP’er og topledere og udnytter hierarkier for at maksimere skaden ved et brud. Ud over tyveri af loginoplysninger angriber de offentligt tilgængelige systemer med malware, der udvikler sig hurtigere, end signaturbaseret detektion kan følge med. De opretter dagligt krænkende domæner for at udgive sig for at være velkendte brands og handler med exploits i lukkede fora, før patches når frem til forsvarerne. Kun overvågning på tværs af surface web, deep web og dark web kan fange hele spektret af denne aktivitet.
Sådan skaber cyber threat intelligence værdi
Velbeskyttede organisationer bør indføre en form for cyber threat intelligence for at tage et proaktivt greb om de ondsindede kampagner. En effektiv efterretningsindsats omfatter tre adskilte, men forbundne faser. Først scanner automatiserede indsamlere kriminelle fora, markedspladser og tekniske feeds døgnet rundt. Tilpassede trusselsparametre sikrer, at organisationen kun får advarsler, der er relevante for dens branche og teknologistak. Den præcision forhindrer alarmtræthed og holder samtidig opmærksomheden på reelle trusler.
Dernæst verificerer erfarne analytikere alle trusler, fjerner falske positiver og tilføjer kontekst. Hver advarsel bør indeholde angriberens motiver, historiske mønstre, observerede taktikker og anbefalede modforanstaltninger. Det gør efterretningen til et beslutningsværktøj i stedet for en almindelig notifikation, som SOC-ledere trygt kan handle på.
Til sidst er det tid til handling. Direkte hjælp til at imødegå trusler, fra nulstilling af loginoplysninger til koordinerede takedowns, sikrer, at efterretningen bliver omsat til praksis. Når jeres indsats bygger på cyber threat intelligence, står jeres organisation stærkere over for tyveri, efterligning og angreb.
Avancerede detektionsmetoder
Effektiv trusselsdetektion handler om mere end nøgleordssøgninger og billedopslag. Cybertrusselsanalytikere bruger desuden hash-korrelation, profilering af kampagner og aktører og matchning af kompromitteringsindikatorer. Når grundlæggende og avancerede metoder kombineres, kan vi forudse phishing-kampagner og sofistikerede digitale efterligninger, før de slår til.
Det er afgørende, at dynamiske angreb kræver dynamiske løsninger, og at vi hele tiden skal justere for at lykkes. Når jeres trusselsforespørgsler løbende bliver finpudset, øges detektionens præcision med tiden. Efterhånden som analytikerne afdækker angrebsmønstre, opdaterer de deres søgemetoder, så nye varianter også fanges. Ugentlige opdateringer af detektionslogikken betyder, at efterretningen bliver bedre i stedet for at stå stille. For CISO’er, der skal lave business cases for investeringer i efterretning, taler den stigende værdi for en bæredygtig strategi på langt sigt.
Den strategiske værdi af cyber threat intelligence
For CISO’er, der skal fremlægge for bestyrelsen, giver cyber threat intelligence en målbar risikoreduktion, som kan opgøres i konkrete forretningstal. Tallene, både i bytes af fortrolige data og i dollar på spil, tæller op. Oplysninger, der forhindrer selv ét enkelt databrud, giver ofte et afkast, der mange gange retfærdiggør et helt efterretningsprogram.
For SOC-ledere reducerer efterretning den støj, der overvælder analytikerne. Når falske positiver filtreres fra, og reelle trusler prioriteres, kan teams bruge kræfterne på de angreb, der betyder noget. I et trusselsbillede, hvor Have I Been Pwned hvert år tilføjer millioner af stjålne adgangskoder, og AI-chatbots giver nøglerne til gigabytes af statslige data, har teams brug for alle de værktøjer, de kan få, for at holde deres organisationer sikre.
Konklusion: Efterretning som fundament for moderne sikkerhed
AI-drevne angreb viser ingen tegn på at aftage, og der går nok kun få timer, før det næste angreb rammer overskrifterne. Efterhånden som phishing-as-a-service og tyveri af loginoplysninger tager til, hjælper cyber threat intelligence organisationer med at ligge et skridt foran.
For sikkerhedsteams, der vil gå fra reaktiv til proaktiv, afslører efterretning modstanderens drejebog. Få en gratis demo her og se mere om vores X-RAY Threat Intelligence-platform og skræddersyede efterretningsløsninger til jeres sikkerhedsteam.
Content
