Protección de la infraestructura crítica 

Descripción general de la solución:

• IBM®^Security QRadar® EDR utiliza NanoOS, que está diseñado para ser indetectable y proporcionar un nivel excepcional de visibilidad en todos los endpoints y la infraestructura.
  
  
• Realiza un seguimiento nativo de movimientos laterales e intentos de inicio de sesión anómalos
  
  
• Proporciona protección nativa contra ataques de ransomware
  
  
• Ofrece una potente interfaz de búsqueda de amenazas para permitir el seguimiento y la reconstrucción de incidentes altamente complejos 

La instalación de gestión del agua ejecutó el software IBM Security QRadar EDR en todos los servidores, computadoras de escritorio y computadoras portátiles de la instalación para monitorear continuamente cada activo y rastrear e investigar rápidamente posibles brechas de seguridad. Mediante los motores de IA duales incorporados de la solución y el análisis detallado del comportamiento, el cliente obtuvo una visibilidad completa de la infraestructura, lo que permite consultas en tiempo real a los endpoints y búsquedas extendidas de indicadores de compromiso (IOC) e indicadores de comportamiento (IOB), junto con minería de datos avanzada para descubrir amenazas latentes.

Seis meses después de la implementación, el agente QRadar EDR detectó una actividad anómala inicial y rastreó a los atacantes en su recorrido para acceder a un conjunto específico de datos. El software antivirus tradicional existente del cliente y el sistema de detección de intrusos (IDS) no detectaron ninguna actividad hasta la última etapa del ataque. Si el cliente no hubiera implementado QRadar EDR, los atacantes habrían logrado adquirir y exfiltrar los datos.

Ataque a la cadena de suministro

El día de la filtración inicial, QRadar EDR marcó un inicio de sesión sospechoso desde un servidor VPN hacia un endpoint en el segmento de red sin privilegios. El equipo de seguridad supuso que el inicio de sesión se debía a labores de mantenimiento de un proveedor de seguridad externo, por lo que asignó una prioridad baja al incidente. Los atacantes desplegaron malware inicial, utilizado principalmente para mapear el segmento de red buscando rutas directas a la red privilegiada. Al no encontrar tales rutas disponibles, los atacantes implementaron un segundo malware en memoria para recopilar credenciales y reutilizarlas en movimientos laterales posteriores. Una vez obtenidas las credenciales, los atacantes se dirigieron al controlador de dominio y poco después a un servidor de archivos que contenía documentos internos.

Análisis de causa raíz

El inicio de sesión anómalo inicial ocurrió fuera del horario de turno, desde un endpoint que generalmente interactúa con servidores, pero no con estaciones de trabajo. El canal VPN fue administrado por un proveedor externo que también estaba a cargo de mantener el servidor de correo y los firewalls además de la VPN en sí. Por la naturaleza del acceso, la alerta se mantuvo activa para rastrear cada operación, pero, en ese punto, el equipo de seguridad interna asignó una prioridad baja al evento, asumiendo que el proveedor estaba ejecutando el mantenimiento en la infraestructura.

Al día siguiente, QRadar EDR emitió una segunda alerta, mostrando la actividad de un malware ligero utilizado para escanear la red interna, seguida pronto por otra alerta que señalaba la presencia de un vector en memoria con capacidades de registro de teclas y recolección de credenciales. En ese punto, el equipo de seguridad se centró en estos eventos, iniciando una sesión de búsqueda de amenazas mientras que los atacantes finalmente lograron, a través de una serie de movimientos laterales, acceder a uno de los controladores de dominio. El equipo decidió aprovechar la invisibilidad de la tecnología NanoOS para seguir el rastro de los atacantes el mayor tiempo posible y comprender el modus operandi y sus objetivos.

Cuando los atacantes intentaron llegar al servidor de archivos que contenía información altamente confidencial, el equipo decidió detenerlos e iniciar el plan de erradicación. Mientras se remediaban los diversos dispositivos, los atacantes se dieron cuenta de que, a pesar del alto nivel de acceso, no podían acceder a la información que estaban buscando. Como imaginaron que habían sido descubiertos, desplegaron un ransomware en toda la infraestructura para cubrir sus huellas.

Ataque y reconstrucción

Una vez que las motivaciones del ataque eran claras, el operador necesitaba comprender todo el ataque para reforzar los puntos débiles de la infraestructura. El ataque implicó una docena de dispositivos antes de la etapa de implementación del ransomware (Fase 1) y varios mil después de eso (Fase 2).

Los atacantes lograron obtener acceso a la VPN y al proveedor del servidor de correo, y los utilizaron como punto de entrada inicial a la red interna. Los atacantes reutilizaron las credenciales del proveedor para pasar a diferentes máquinas y, finalmente, se asentaron en una estación de trabajo específica. En ese momento, utilizaron una cadena de herramientas para escanear la red interna e identificar objetivos para movimientos laterales. En la etapa final, utilizaron el controlador de dominio para propagar ransomware en todos los dispositivos. 

La instalación de gestión del agua aseguró el acceso VPN y llevó a cabo una sesión de búsqueda de amenazas que identificó a cada máquina a la que los atacantes lograron acceder. El módulo de reparación QRadar EDR automatizó el proceso de limpieza y el segmento se limpió en cuestión de segundos. La instalación obtuvo todas las herramientas utilizadas durante la etapa de reconocimiento y movimiento lateral, e inmediatamente propagó una política que incluía IOC y comportamientos en toda la infraestructura. No se identificaron hosts comprometidos adicionales después de la implementación de políticas. Las credenciales se restablecieron inmediatamente para todos los usuarios, y el ataque de ransomware no requirió ninguna intervención adicional porque el cliente habilitó la protección antiransomware QRadar EDR para todos los dispositivos, lo cual evitó la pérdida de información importante y la interrupción de las actividades normales.

La instalación cerró con éxito el incidente el segundo día, sin pérdida de datos, interrupción de servicios esenciales ni daños en los endpoints.

Si la instalación no hubiera empleado QRadar EDR, los atacantes seguramente habrían filtrado información confidencial y podrían haber permanecido activos durante un largo periodo, con toda la infraestructura finalmente inutilizada por el ataque final de ransomware. Tal ataque habría tenido un enorme impacto en la capacidad de la instalación para seguir brindando servicios esenciales a los ciudadanos de la región, lo cual pudo haberlos bloqueado por completo. Dada la dificultad de identificar los ataques a la cadena de suministro, la instalación podría haber sido violada de nuevo a través del mismo canal si no se hubiera dispuesto de información forense para determinar la causa raíz de la violación. 

Esta instalación de gestión del agua en Europa es responsable de manejar y distribuir agua a cerca de un millón de personas. La instalación se clasifica como infraestructura crítica y servicios esenciales.