blank

blank

Resumo

Ações que as organizações de infraestrutura crítica devem implementar para fortalecer imediatamente sua postura cibernética.
• Corrija todos os sistemas. Priorize a correção de vulnerabilidades exploradas conhecidas .
• Implemente a autenticação multifator.
• Use software antivírus.
• Desenvolver listas de contatos internos e suporte a surtos.

Observação:  este comunicado usa a estrutura MITRE Adversarial Tactics, Techniques and Common Knowledge (ATT&CK®), versão 10. Consulte o ATT&CK for Enterprise para obter todas as táticas e técnicas de agentes de ameaças referenciadas.

Este Conselho de Segurança Cibernética (CSA) conjunto – de autoria da Agência de Segurança Cibernética e Infraestrutura (CISA), Federal Bureau of Investigation (FBI) e Agência de Segurança Nacional (NSA) – faz parte de nossa missão contínua de segurança cibernética para alertar as organizações sobre ameaças cibernéticas e ajudar a comunidade de segurança cibernética a reduzir o risco apresentado por essas ameaças. Este CSA fornece uma visão geral das operações cibernéticas patrocinadas pelo Estado russo; táticas, técnicas e procedimentos comumente observados (TTPs); ações de detecção; orientação de resposta a incidentes; e mitigações. Esta visão geral destina-se a ajudar a comunidade de segurança cibernética a reduzir o risco apresentado por essas ameaças.

A CISA, o FBI e a NSA incentivam a comunidade de segurança cibernética – especialmente os defensores de redes de infraestrutura crítica – a adotar um estado elevado de conscientização e realizar uma caça proativa de ameaças, conforme descrito na seção Detecção. Além disso, a CISA, o FBI e a NSA exortam fortemente os defensores da rede a implementar as recomendações listadas abaixo e detalhadas na seção Mitigações. Essas mitigações ajudarão as organizações a melhorar sua resiliência funcional, reduzindo o risco de comprometimento ou degradação grave dos negócios.

  1. Esteja preparado . Confirme os processos de relatório e minimize as lacunas de pessoal na cobertura de segurança de TI/OT. Crie, mantenha e exerça um plano de resposta a incidentes cibernéticos, um plano de resiliência e um plano de continuidade de operações para que as funções e operações críticas possam ser mantidas em execução se os sistemas de tecnologia forem interrompidos ou precisarem ser colocados offline.
  2. Melhore a postura cibernética da sua organização . Siga as melhores práticas para gerenciamento de identidade e acesso, controles e arquitetura de proteção e gerenciamento de vulnerabilidade e configuração.
  3. Aumentar a vigilância organizacional . Mantenha-se atualizado sobre os relatórios sobre essa ameaça. Assine a lista de discussão e os feeds da CISA para receber notificações quando a CISA liberar informações sobre um tópico ou ameaça de segurança.

A CISA, o FBI e a NSA incentivam os líderes de organizações de infraestrutura crítica a revisar o CISA Insights: Preparando-se e mitigando ameaças cibernéticas para obter informações sobre a redução de ameaças cibernéticas à sua organização.

Clique aqui  para uma versão em PDF deste relatório.

Detalhes técnicos

Historicamente, os atores de ameaças persistentes avançadas (APT) patrocinados pelo Estado russo usaram táticas comuns, mas eficazes – incluindo spearphishing, força bruta e exploração de vulnerabilidades conhecidas contra contas e redes com segurança fraca – para obter acesso inicial às redes de destino. Vulnerabilidades conhecidas por serem exploradas por atores APT patrocinados pelo estado russo para acesso inicial incluem:

Os atores de APT patrocinados pelo estado russo também demonstraram recursos sofisticados de comércio e cibernética ao comprometer a infraestrutura de terceiros, comprometer software de terceiros ou desenvolver e implantar malware personalizado. Os atores também demonstraram a capacidade de manter acesso persistente, não detectado e de longo prazo em ambientes comprometidos, incluindo ambientes de nuvem, usando credenciais legítimas.

Em alguns casos, as operações cibernéticas patrocinadas pelo Estado russo contra organizações de infraestrutura crítica têm como alvo específico redes de tecnologia operacional (OT)/sistemas de controle industrial (ICS) com malware destrutivo. Consulte os seguintes avisos e alertas para obter informações sobre campanhas históricas de invasão cibernética patrocinadas pelo Estado russo e malware personalizado que têm como alvo o ICS:

Os atores da APT patrocinados pelo estado russo usaram recursos cibernéticos sofisticados para atingir uma variedade de organizações de infraestrutura crítica dos EUA e internacionais, incluindo as da Base Industrial de Defesa, bem como os setores de saúde e saúde pública, energia, telecomunicações e instalações governamentais. A atividade cibernética de alto perfil atribuída publicamente a atores de APT patrocinados pelo estado russo por relatórios e ações legais do governo dos EUA inclui:

  • Atores russos de APT patrocinados pelo estado visando governos estaduais, locais, tribais e territoriais (SLTT) e redes de aviação, de setembro de 2020 a pelo menos dezembro de 2020. Os atores russos de APT patrocinados pelo estado visaram dezenas de redes governamentais e de aviação do SLTT. Os atores comprometeram redes com sucesso e exfiltraram dados de várias vítimas.
  • Campanha de invasão do setor de energia global dos atores de APT patrocinados pelo estado russo, 2011 a 2018. Esses atores de APT patrocinados pelo estado russo conduziram uma campanha de invasão em vários estágios na qual obtiveram acesso remoto às redes do setor de energia dos EUA e internacionais, implantaram malware focado em ICS e dados corporativos e relacionados ao ICS coletados e exfiltrados.
  • Campanha de atores de APT patrocinados pelo estado russo contra infraestrutura crítica ucraniana, 2015 e 2016. Os atores de APT patrocinados pelo estado russo realizaram um ataque cibernético contra empresas de distribuição de energia ucranianas, levando várias empresas a sofrerem interrupções de energia não planejadas em dezembro de 2015. Os atores implantaram o malware BlackEnergy para roubar credenciais de usuário e usar seu componente de malware destrutivo, KillDisk, para tornar os computadores infectados inoperantes. Em 2016, esses atores conduziram uma campanha de invasão cibernética contra uma empresa de transmissão elétrica ucraniana e implantaram o malware CrashOverride projetado especificamente para atacar redes elétricas.

Para obter mais informações sobre a atividade cibernética maliciosa patrocinada pelo Estado russo recente e histórica, consulte os produtos referenciados abaixo ou cisa.gov/Russia.

A Tabela 1 fornece TTPs comuns e publicamente conhecidos empregados por atores de APT patrocinados pelo estado russo, que mapeiam para a estrutura MITRE ATT&CK for Enterprise, versão 10. Observação: essas listas não pretendem ser abrangentes. Atores patrocinados pelo estado russo modificaram seus TTPs antes com base em relatórios públicos.[ 1 ] Portanto, a CISA, o FBI e a NSA antecipam que os atores patrocinados pelo estado russo podem modificar seus TTPs conforme julgarem necessário para reduzir o risco de detecção.

Tabela 1: Táticas e técnicas comuns empregadas por atores de APT patrocinados pelo Estado russo

Tática Técnica Procedimento
Reconhecimento [ TA0043 ] Varredura Ativa: Varredura de Vulnerabilidade [ T1595.002 ]
Atores de APT patrocinados pelo estado russo realizaram varreduras em larga escala na tentativa de encontrar servidores vulneráveis.
Phishing para informações [ T1598 ] Atores de APT patrocinados pelo Estado russo realizaram campanhas de spearphishing para obter credenciais de redes de destino.
Desenvolvimento de Recursos [ TA0042] Desenvolver recursos: malware [ T1587.001 ] Atores de APT patrocinados pelo estado russo desenvolveram e implantaram malware, incluindo malware destrutivo focado em ICS.
Acesso inicial [ TA0001 ] Explorar aplicativos voltados para o público [ T1190 ] Atores de APT patrocinados pelo estado russo usam vulnerabilidades publicamente conhecidas, bem como zero-days, em sistemas voltados para a Internet para obter acesso às redes.
Compromisso da Cadeia de Suprimentos: Compromisso da Cadeia de Suprimentos de Software [ T1195.002 ] Atores de APT patrocinados pelo Estado russo obtiveram acesso inicial às organizações vítimas ao comprometer software confiável de terceiros. Os incidentes notáveis ​​incluem o software de contabilidade MEDoc e o SolarWinds Orion.
Execução [ TA0002 ] Interpretador de comandos e scripts: PowerShell [ T1059.003 ] e Shell de comando do Windows [ T1059.003 ] Atores de APT patrocinados pelo estado russo costumavam cmd.exeexecutar comandos em máquinas remotas. Eles também usaram o PowerShell para criar novas tarefas em máquinas remotas, identificar definições de configuração, exfiltrar dados e executar outros comandos.
Persistência [ TA0003 ] Contas válidas [ T1078 ] Atores de APT patrocinados pelo estado russo usaram credenciais de contas existentes para manter acesso persistente e de longo prazo a redes comprometidas.
Acesso de credencial [ TA0006 ] Força Bruta: Adivinhação de Senha [ T1110.001 ] e Pulverização de Senha [ T1110.003 ] Atores de APT patrocinados pelo estado russo realizaram campanhas de adivinhação de senhas de força bruta e campanhas de pulverização de senhas.
Despejo de credenciais do SO: NTDS [ T1003.003 ] Atores de APT patrocinados pelo estado russo exfiltraram credenciais e exportaram cópias do banco de dados do Active Directory ntds.dit.
Roubar ou forjar tíquetes Kerberos: Kerberoasting [ T1558.003 ] Atores de APT patrocinados pelo estado russo realizaram “Kerberoasting”, por meio do qual obtiveram os tíquetes do Serviço de Concessão de Tíquetes (TGS) para nomes principais de serviço do Active Directory (SPN) para cracking offline.
Credenciais de armazenamentos de senhas [ T1555 ] Os atores do APT patrocinados pelo estado russo usaram credenciais de conta comprometidas anteriormente para tentar acessar as senhas da Conta de Serviço Gerenciado do Grupo (gMSA).
Exploração para acesso a credenciais [ T1212 ] Os atores APT patrocinados pelo estado russo exploraram a vulnerabilidade CVE-2020-1472 do Windows Netlogon para obter acesso aos servidores Windows Active Directory.
Credenciais não seguras: chaves privadas [ T1552.004 ] Os atores APT patrocinados pelo estado russo obtiveram chaves de criptografia privadas do contêiner dos Serviços de Federação do Active Directory (ADFS) para descriptografar os certificados de assinatura SAML correspondentes.
Comando e Controle [ TA0011 ] Proxy: Proxy multi-hop [ T1090.003 ] Atores de APT patrocinados pelo estado russo usaram servidores privados virtuais (VPSs) para rotear o tráfego para os destinos. Os atores costumam usar VPSs com endereços IP no país de origem da vítima para ocultar atividades entre o tráfego de usuários legítimos.

 

Para TTPs corporativos adicionais usados ​​por atores APT patrocinados pelo estado russo, consulte as páginas ATT&CK for Enterprise no APT29 , APT28 e Sandworm Team , respectivamente. Para obter informações sobre TTPs ICS, consulte as páginas ATT&CK para ICS na equipe Sandworm , malware BlackEnergy 3 , malware CrashOveride, componente KillDisk do BlackEnergy e malware NotPetya.

Detecção

Dado que os atores de APT patrocinados pelo estado russo demonstraram capacidade de manter acesso persistente e de longo prazo em ambientes corporativos e de nuvem comprometidos, a CISA, o FBI e a NSA incentivam todas as organizações de infraestrutura crítica a:

  • Implemente uma coleta e retenção robustas de logs. Sem um recurso centralizado de coleta e monitoramento de logs, as organizações têm capacidade limitada para investigar incidentes ou detectar o comportamento do agente de ameaças descrito neste comunicado. Dependendo do ambiente, os exemplos incluem:
    • Ferramentas nativas como o Sentinel do M365.
    • Ferramentas de terceiros, como Sparrow, Hawk ou Azure Reporting Tool (CRT) da CrowdStrike, para revisar os ambientes de nuvem da Microsoft e detectar atividades incomuns, entidades de serviço e atividades de aplicativos. Observação: para obter orientação sobre como usar essas e outras ferramentas de detecção, consulte Alerta CISA Detectando atividade de ameaça pós-comprometimento em ambientes de nuvem da Microsoft .
  • Procure evidências comportamentais ou artefatos baseados em rede e host de TTPs patrocinados pelo estado russo conhecidos. Consulte a tabela 1 para os TTPs comumente observados.
    • Para detectar a atividade de pulverização de senha, revise os logs de autenticação para falhas de login do sistema e do aplicativo de contas válidas. Procure por várias tentativas de autenticação com falha em várias contas.
    • Para detectar o uso de credenciais comprometidas em combinação com um VPS, siga as etapas abaixo:
      • Procure por “logins impossíveis” suspeitos, como logins com alteração de nome de usuário, sequências de agentes do usuário e combinações de endereços IP ou logins em que os endereços IP não se alinham à localização geográfica do usuário esperado.
      • Procure um IP usado para várias contas, excluindo logins esperados.
      • Procure por “viagem impossível”. A viagem impossível ocorre quando um usuário efetua login a partir de vários endereços IP que estão a uma distância geográfica significativa (ou seja, uma pessoa não pode viajar realisticamente entre as localizações geográficas dos dois endereços IP durante o período de tempo entre os logins). Observação: a implementação dessa oportunidade de detecção pode resultar em falsos positivos se usuários legítimos aplicarem soluções VPN antes de se conectarem às redes.
      • Procure argumentos de linha de comando de execução de programas e processos que possam indicar despejo de credenciais, especialmente tentativas de acessar ou copiar o ntds.ditarquivo de um controlador de domínio.
      • Procure o uso de conta privilegiada suspeita após redefinir senhas ou aplicar mitigações de conta de usuário.
      • Procure atividades incomuns em contas normalmente inativas.
      • Procure strings de agente de usuário incomuns, como strings normalmente não associadas à atividade normal do usuário, o que pode indicar atividade de bot.
  • Para organizações com sistemas OT/ICS:
    • Tome nota do comportamento inesperado do equipamento; por exemplo, reinicializações inesperadas de controladores digitais e outros hardwares e softwares OT.
    • Registre atrasos ou interrupções na comunicação com equipamentos de campo ou outros dispositivos OT. Determine se as peças ou componentes do sistema estão atrasados ​​ou não respondem.

Resposta a incidentes

As organizações que detectam atividade potencial de APT em suas redes de TI ou OT devem:

  1. Isole imediatamente os sistemas afetados.
  2. Backups seguros. Certifique-se de que seus dados de backup estejam offline e seguros. Se possível, verifique seus dados de backup com um programa antivírus para garantir que estejam livres de malware.
  3. Colete e revise logs, dados e artefatos relevantes.
  4. Considere solicitar suporte de uma organização de TI terceirizada para fornecer experiência no assunto, garantir que o ator seja erradicado da rede e evitar problemas residuais que possam permitir a exploração subsequente.
  5. Relate incidentes à CISA e/ou ao FBI por meio do escritório de campo local do FBI ou pelo CyWatch do FBI 24 horas por dia, 7 dias por semana em (855) 292-3937 ou [email protected].

Observação: para ativos de TO, as organizações devem ter um plano de resiliência que aborde como operar se você perder o acesso ou o controle do ambiente de TI e/ou TO. Consulte a seção Mitigações para obter mais informações.

Consulte o comunicado conjunto da Austrália, Canadá, Nova Zelândia, Reino Unido e Estados Unidos sobre Abordagens Técnicas para Descobrir e Remediar Atividades Maliciosas para obter orientação sobre como caçar ou investigar uma rede e para erros comuns no tratamento de incidentes. A CISA, o FBI e a NSA incentivam os proprietários e operadores de infraestrutura crítica a consultar os Manuais de Resposta a Incidentes e Vulnerabilidades de Segurança Cibernética do Governo Federal da CISA . Embora adaptados às agências federais civis, esses manuais fornecem procedimentos operacionais para planejar e conduzir atividades de resposta a incidentes e vulnerabilidades de segurança cibernética e detalham cada etapa para resposta a incidentes e vulnerabilidades.

Observação: as organizações devem documentar os procedimentos de resposta a incidentes em um plano de resposta a incidentes cibernéticos, que as organizações devem criar e exercer (conforme observado na seção Mitigações).

Mitigações

A CISA, o FBI e a NSA incentivam todas as organizações a implementar as seguintes recomendações para aumentar sua resiliência cibernética contra essa ameaça.

Esteja preparado

Confirme os processos de relatório e minimize as lacunas de cobertura

  • Desenvolver listas de contatos internos. Atribua os principais pontos de contato para um incidente suspeito, bem como funções e responsabilidades, e garanta que o pessoal saiba como e quando relatar um incidente.
  • Minimize as lacunas na disponibilidade da equipe de segurança de TI/OT identificando suporte de pico para responder a um incidente. Atores cibernéticos maliciosos são conhecidos por atacar organizações nos fins de semana e feriados quando há falhas na segurança cibernética organizacional – as organizações de infraestrutura crítica devem se proteger proativamente, minimizando as lacunas na cobertura.
  • Garanta que a equipe de segurança de TI/OT monitore os principais recursos de segurança interna e possa identificar comportamentos anômalos. Sinalize quaisquer IOCs e TTPs identificados para resposta imediata. (Consulte a tabela 1 para TTPs comumente observados).

Criar, manter e exercer uma resposta a incidentes cibernéticos, um plano de resiliência e um plano de continuidade de operações

  • Criar, manter e exercer uma resposta a incidentes cibernéticos e um plano de continuidade de operações.
  • Certifique-se de que os funcionários estejam familiarizados com as principais etapas que precisam tomar durante um incidente e estejam posicionados para agir de maneira calma e unificada. Principais perguntas:
    • Os funcionários têm o acesso de que precisam?
    • Eles conhecem os processos?
  • Para ativos/redes OT,
    • Identifique um plano de resiliência que aborde como operar se você perder o acesso ou o controle do ambiente de TI e/ou TO.
      • Identifique as interdependências da rede OT e de TI e desenvolva soluções alternativas ou controles manuais para garantir que as redes ICS possam ser isoladas se as conexões criarem risco para a operação segura e confiável dos processos OT. Teste regularmente os planos de contingência, como controles manuais, para que as funções críticas de segurança possam ser mantidas durante um incidente cibernético. Certifique-se de que a rede OT possa operar na capacidade necessária, mesmo que a rede de TI esteja comprometida.
    • Teste regularmente os controles manuais para que as funções críticas possam ser mantidas em execução se as redes ICS ou OT precisarem ser desligadas.
    • Implemente procedimentos de backup de dados nas redes de TI e OT. Os procedimentos de backup devem ser realizados com frequência e regularidade. Teste regularmente os procedimentos de backup e garanta que os backups sejam isolados das conexões de rede que possam permitir a disseminação de malware.
    • Além de fazer backup de dados, desenvolva documentos de recuperação que incluam definições de configuração para dispositivos comuns e equipamentos OT críticos. Isso pode permitir uma recuperação mais eficiente após um incidente.

Melhore a postura cibernética da sua organização

A CISA, o FBI e a NSA recomendam que as organizações apliquem as práticas recomendadas abaixo para gerenciamento de identidade e acesso, controles e arquitetura de proteção e gerenciamento de vulnerabilidade e configuração.

Gerenciamento de identidade e acesso

  • Exija autenticação multifator para todos os usuários, sem exceção.
  • Exija que as contas tenham senhas fortes e não permita que senhas sejam usadas em várias contas ou armazenadas em um sistema ao qual um adversário possa ter acesso.
  • Credenciais seguras. Atores de APT patrocinados pelo estado russo demonstraram sua capacidade de manter a persistência usando credenciais comprometidas.
    • Use soluções de virtualização em hardware e software modernos para garantir que as credenciais sejam armazenadas com segurança.
    • Desabilite o armazenamento de senhas de texto não criptografado na memória LSASS.
    • Considere desabilitar ou limitar o NTLM (New Technology Local Area Network Manager) e a autenticação WDigest.
    • Implemente o Credential Guard para Windows 10 e Server 2016 (consulte Microsoft: Gerenciar o Windows Defender Credential Guard para obter mais informações). Para Windows Server 2012R2, habilite a Luz de Processo Protegido para Autoridade de Segurança Local (LSA).
    • Minimize a superfície de ataque do Active Directory para reduzir a atividade maliciosa de concessão de tíquetes. Atividades maliciosas como “Kerberoasting” tiram proveito do TGS do Kerberos e podem ser usadas para obter credenciais com hash que os invasores tentam decifrar.
  • Defina uma política de senha forte para contas de serviço.
  • Audite os controladores de domínio para registrar solicitações bem-sucedidas do Kerberos TGS e garantir que os eventos sejam monitorados quanto a atividades anômalas.
    • Contas seguras.
    • Aplicar o princípio do privilégio mínimo. As contas de administrador devem ter a permissão mínima necessária para realizar suas tarefas.
    • Certifique-se de que haja contas administrativas exclusivas e distintas para cada conjunto de tarefas administrativas.
    • Crie contas não privilegiadas para usuários privilegiados e certifique-se de que eles usem as contas não privilegiadas para todos os acessos não privilegiados (por exemplo, navegação na web, acesso a e-mail).

Controles de proteção e arquitetura

  • Identifique, detecte e investigue atividades anormais que possam indicar movimento lateral de um agente de ameaça ou malware. Use ferramentas de monitoramento de rede e logs baseados em host e ferramentas de monitoramento, como uma ferramenta de detecção e resposta de endpoint (EDR). As ferramentas de EDR são particularmente úteis para detectar conexões laterais, pois têm informações sobre conexões de rede comuns e incomuns para cada host.
  • Ative filtros de spam fortes.
    • Habilite filtros de spam fortes para evitar que e-mails de phishing cheguem aos usuários finais.
    • Filtre e-mails contendo arquivos executáveis ​​para evitar que cheguem aos usuários finais.
    • Implemente um programa de treinamento de usuários para desencorajar os usuários de visitar sites maliciosos ou abrir anexos maliciosos.

Observação: a CISA, o FBI e a NSA também recomendam, como um esforço de longo prazo, que as organizações de infraestrutura crítica implementem a segmentação de rede para separar os segmentos de rede com base na função e na funcionalidade. A segmentação de rede pode ajudar a evitar o movimento lateral controlando os fluxos de tráfego entre – e o acesso a – várias sub-redes.

  • Implemente adequadamente a segmentação de rede entre as redes de TI e OT. A segmentação de rede limita a capacidade dos adversários de migrar para a rede OT, mesmo que a rede de TI esteja comprometida. Defina uma zona desmilitarizada que elimine a comunicação não regulamentada entre as redes de TI e OT.
  • Organize os ativos de OT em zonas lógicas, levando em consideração a criticidade, a consequência e a necessidade operacional. Defina condutas de comunicação aceitáveis ​​entre as zonas e implemente controles de segurança para filtrar o tráfego de rede e monitorar as comunicações entre as zonas. Proibir protocolos ICS de atravessar a rede de TI.

Gerenciamento de Vulnerabilidade e Configuração

  • Atualize o software, incluindo sistemas operacionais, aplicativos e firmware em ativos de rede de TI, em tempo hábil. Priorize a correção de vulnerabilidades exploradas conhecidas , especialmente aquelas CVEs identificadas neste CSA e, em seguida, vulnerabilidades críticas e altas que permitem a execução remota de código ou negação de serviço em equipamentos voltados para a Internet.
    • Considere usar um sistema de gerenciamento de patches centralizado. Para redes OT, use uma estratégia de avaliação baseada em risco para determinar os ativos e zonas da rede OT que devem participar do programa de gerenciamento de patches.
    • Considere inscrever-se nos serviços de higiene cibernética da CISA , incluindo verificação de vulnerabilidades, para ajudar a reduzir a exposição a ameaças. O serviço de varredura de vulnerabilidades da CISA avalia a presença de rede externa executando varreduras contínuas de endereços IP públicos e estáticos para serviços acessíveis e vulnerabilidades.
  • Use programas antivírus recomendados pelo setor.
    • Defina programas antivírus/antimalware para realizar verificações regulares de ativos de rede de TI usando assinaturas atualizadas.
    • Use uma estratégia de inventário de ativos baseada em risco para determinar como os ativos de rede OT são identificados e avaliados quanto à presença de malware.
  • Implemente programas rigorosos de gerenciamento de configuração. Garanta que os programas possam rastrear e mitigar ameaças emergentes. Revise as configurações do sistema quanto a configurações incorretas e falhas de segurança.
  • Desabilite todas as portas e protocolos desnecessários
    • Revise os logs de dispositivos de segurança de rede e determine se deve desligar portas e protocolos desnecessários. Monitore portas e protocolos comuns para atividades de comando e controle.
    • Desative ou desative quaisquer serviços desnecessários (por exemplo, PowerShell) ou funcionalidade nos dispositivos.
  • Certifique-se de que o hardware OT esteja no modo somente leitura.

Aumentar a vigilância organizacional

  • Revise regularmente os relatórios sobre essa ameaça. Considere se inscrever para receber notificações CISA para receber informações oportunas sobre problemas de segurança atuais, vulnerabilidades e atividades de alto impacto.

Recursos

  • Para obter mais informações sobre atividades cibernéticas maliciosas patrocinadas pelo Estado russo, consulte cisa.gov/Russia.
  • Consulte o Relatório de análise CISA Fortalecendo as configurações de segurança para se defender contra invasores direcionados aos serviços de nuvem para obter orientações sobre como fortalecer as práticas de segurança de nuvem de sua organização.
  • Líderes de pequenas empresas e agências governamentais pequenas e locais devem consultar o Cyber ​​Essentials da CISA para obter orientação sobre como desenvolver um entendimento acionável da implementação de práticas organizacionais de segurança cibernética.
  • Os proprietários e operadores de infraestrutura crítica com redes OT/ICS devem revisar os seguintes recursos para obter informações adicionais:
    • NSA e CISA em conjunto CSA NSA e CISA recomendam ações imediatas para reduzir a exposição em tecnologias operacionais e sistemas de controle
    • Ficha informativa CISA Rising Ransomware Threat to Operational Technology Assets para recomendações adicionais.

Programa Recompensas pela Justiça

Se você tiver informações sobre operações cibernéticas russas patrocinadas pelo Estado visando a infraestrutura crítica dos EUA, entre em contato com o Programa de Recompensas pela Justiça do Departamento de Estado. Você pode ser elegível para uma recompensa de até US$ 10 milhões, que o DOS está oferecendo por informações que levem à identificação ou localização de qualquer pessoa que, agindo sob a direção ou controle de um governo estrangeiro, participe de atividade cibernética maliciosa contra ataques críticos dos EUA. infra-estrutura em violação do Computer Fraud and Abuse Act (CFAA). Entre em contato com +1-202-702-7843 no WhatsApp, Signal ou Telegram, ou envie informações pela linha de dicas seguras do Rewards for Justice, localizada na Dark Web. Para mais detalhes, consulte rewardsforjustice.net/malicious_cyber_activity.

Ressalvas

As informações que você acessou ou recebeu estão sendo fornecidas “no estado em que se encontram” apenas para fins informativos. A CISA, o FBI e a NSA não endossam nenhum produto ou serviço comercial, incluindo quaisquer objetos de análise. Qualquer referência a produtos, processos ou serviços comerciais específicos por marca de serviço, marca registrada, fabricante ou de outra forma não constitui ou implica endosso, recomendação ou favorecimento por parte da CISA, FBI ou NSA.

Referências

[1] Consultoria Conjunta NCSC-CISA UK: TTPs adicionais associados a atores cibernéticos SVR

Revisões

11 de janeiro de 2022: Versão inicial

Fonte: CISA

Descubra mais sobre DCiber

Assine para receber os posts mais recentes por e-mail.

ARTIGOS RELACIONADOSMais do autor