Cybersecurityincidenten worden bij veel organisaties pas maanden na de eerste kwaadaardige activiteit ontdekt. Uit onderzoek van de Compromise Assessment-divisie van Kaspersky blijkt dat bij 31 procent van de onderzochte incidenten aanvallers al langer dan drie maanden actief waren. Meer dan de helft van de ernstige incidenten bleef minstens negentig dagen onopgemerkt, en het oudste gevonden incident speelde al vier jaar.
Cybersecurityincidenten blijven bij veel organisaties lang onopgemerkt, blijkt uit onderzoek van de Compromise Assessment-divisie van Kaspersky. Volgens het bedrijf ontstaat dit door een reactieve beveiligingsaanpak, onvoldoende monitoring en operationele tekortkomingen binnen organisaties. Bij 31 procent van de onderzochte incidenten waren kwaadaardige activiteiten al langer dan drie maanden gaande voordat ze werden ontdekt. Meer dan de helft (52 procent) van de incidenten met een hoge ernst bleef minstens negentig dagen onopgemerkt. Het oudste incident dat het afgelopen jaar werd geïdentificeerd, speelde zelfs al vier jaar.
Detectie leunt op menselijke inbreng
Van alle ontdekte incidenten werd 20 procent handmatig gevonden. Kaspersky meldt dat 60 procent van de incidenten werd gemist omdat bestaande monitoringtools geen waarschuwingen met hoge betrouwbaarheid genereerden. Het bedrijf wijst dit toe aan een afhankelijkheid van geautomatiseerde tools die niet altijd correct zijn geconfigureerd of bewaakt. Kaspersky stelt dat monitoringtools doorlopend moeten worden aangepast aan het veranderende dreigingslandschap en dat menselijke analisten een rol blijven spelen bij het onderzoeken van waarschuwingen met lage betrouwbaarheid, die nu vaak onderzocht blijven liggen.
Back-ups als blinde vlek
Uit het onderzoek blijkt dat back-upsystemen bij veel organisaties buiten beeld blijven. Van alle ontdekte web shells, kwaadaardige scripts die aanvallers gebruiken om toegang te behouden, bevond 40 procent zich onopgemerkt in back-ups. Hierdoor konden deze na afronding van de eerste incidentresponsactiviteiten opnieuw worden hersteld. Kaspersky adviseert organisaties de integriteit en inhoud van back-ups structureel te controleren.
Communicatie als knelpunt
Bijna een derde (32 procent) van de compromise assessments bracht interne communicatieproblemen aan het licht, zoals onduidelijke bevestiging van genomen acties of kennisverlies door personeelsverloop. Volgens Kaspersky onderstreept dit de noodzaak van regelmatige oefeningen die technische handleidingen testen en communicatiewerkstromen tussen teams en afdelingen doorlichten.
Amged Wageh, expert bij Kaspersky Compromise Assessment, geeft aan dat organisaties te maken hebben met externe risico’s en met bedreigingen die zich binnen de eigen infrastructuur verschuilen, terwijl signalen van een compromis vaak onduidelijk blijven. Volgens Wageh vergroten proactieve beveiligingsaudits de kans dat een compromis wordt gedetecteerd. Het periodiek laten uitvoeren van compromise assessments door derden kan volgens hem de kans op onverwachte incidenten met hoge ernst verkleinen en de risicopositie van een organisatie verbeteren.
Aanbevolen maatregelen
Kaspersky adviseert organisaties onder meer om binnen dertig dagen een gezondheidscheck van de detectiemotor uit te voeren, met aandacht voor de integriteit van telemetrie en de relevantie van detectieregels. Daarnaast raadt het bedrijf aan een team in te richten dat waarschuwingen met lage betrouwbaarheid volgens een vast schema beoordeelt, en te zorgen voor continue monitoring aangevuld met threat hunting gericht op baselining en opkomende aanvalstechnieken. Ook adviseert Kaspersky de pijplijn voor kwetsbaarhedenbeheer te herzien, bewustwordingstrainingen te actualiseren met aandacht voor het lekken van inloggegevens via persoonlijke apparaten, en operationele afspraken vast te leggen voor communicatie tussen teams en documentatie van incidentrespons.
