Wyzwanie
W marcu 2023 r. zespół ds. cyberbezpieczeństwa agencji stanął w obliczu poważnego kryzysu bezpieczeństwa.
Pierwsze sygnały ostrzegawcze:
- Wzrost złośliwej aktywności w sieci o 175%
- Atakujący wykorzystywali rotacyjne adresy IP do omijania zabezpieczeń
- Tradycyjne narzędzia bezpieczeństwa (standardowe reguły zapory sieciowej i przestarzałe źródła zagrożeń) okazały się niewystarczające.
Naruszenie:
- 15 kwietnia atakujący uzyskali dostęp do serwera deweloperskiego
- Naruszenie pozostało niewykryte przez 12 dni
- Atakujący ukryli swój ruch jako normalną komunikację HTTPS
- Źródło zostało powiązane z nieznanymi dostawcami usług hostingowych
Incydent ten jasno pokazał, że dotychczasowe podejście agencji do bezpieczeństwa było niewystarczające. Konieczne było przejście od działania reaktywnego do bardziej proaktywnego zapobiegania zagrożeniom.
Rozwiązanie
Agencja organów ścigania wdrożyła BP Feed od FS Group — kompleksową bazę danych zawierającą 120 000 adresów IP powiązanych z kuloodpornym hostingiem, codziennie aktualizowaną o klasyfikację oraz oceny poziomu zagrożenia. Rozwiązanie okazało się niezwykle skuteczne, wykrywając złośliwe adresy IP 2-3 tygodnie wcześniej niż inni dostawcy oraz identyfikując o 40% więcej infrastruktury kuloodpornej.
Integracja była prosta. Na potrzeby początkowej konfiguracji zespół FS Group dostarczył klientowi kompleksowy plik danych o złośliwych adresach IP w formacie .json. Plik ten zawiera pełny zestaw danych do integracji z ich systemami, co umożliwiło natychmiastowe monitorowanie zagrożeń i blokowanie. Po zakończeniu konfiguracji zespół ds. bezpieczeństwa agencji otrzymał strumieniowy dostęp do danych w czasie rzeczywistym bezpośrednio w swoim środowisku.
Sprawa Doppelganger pokazuje możliwości BP Feed. System zidentyfikował złośliwe adresy IP w kwietniu 2023 roku, ponad rok przed publicznym odkryciem przez EU DisinfoLab w lipcu 2024 roku, zapewniając agencji wczesną ochronę.
Rezultaty
Kluczowe usprawnienia po wdrożeniu BP Feed:
- Wykrywanie zagrożeń szybsze o 50% (czas wykrycia zagrożenia skrócony z 96 do 48 godzin)
- Zmniejszona ilość incydentów bezpieczeństwa o 40% (z 25 do 15 miesięcznie)
- Znaczne redukcje w zakresie rozpoznania (-65%), złośliwego oprogramowania (-45%) i phishingu (-35%)
Na podstawie ankiety zespołowej (75 uczestników):
- Zwiększona pewność w wykrywaniu zagrożeń o 92%
- Zredukowanie czasu poświęcanego na ręczne dochodzenie o 85%
- Szybsza reakcja na zagrożenia o 78%
Koszty naruszenia danych w branżach infrastruktury krytycznej przekraczają 5 mln USD.. IBM, 2023.
Średnio, szkolenie pracowników, planowanie reakcji na incydenty i rozpoznanie zagrożeń obniżają koszt naruszenia danych o ponad 240 000 USD IBM, 2024.
