Moderna cyberattacker är sällan isolerade incidenter. Ofta är de en del av ihållande kampanjer som genomförs av aktörer med uthålliga hot. När angriparna väl har lyckats ta sig in i en miljö återvänder de ofta, antingen för att de fortfarande har tillgång till den eller för att de svagheter som möjliggjorde intrånget fortfarande kan utnyttjas. Precis som alla andra brottslingar tenderar de att välja den väg som ger minst motstånd. Om en organisations försvar verkar svagt eller dåligt övervakat blir det ett mer attraktivt mål än en organisation med starkare säkerhetskontroller och synliga detekteringsfunktioner.

Om en organisation har utsatts för en attack en gång är risken stor att den kommer att utsättas igen. Att förstå varför cyberattacker upprepas är avgörande för att kunna bygga upp en effektiv cybersäkerhetsstrategi.

Cyberattackernas omfattning och uthållighet

Cyberattacker sker i en enorm global skala. Enligt branschforskning sker mer än 2.200 cyberattacker varje dag, vilket motsvarar ungefär en attack var 39:e sekund. Detta återspeglar den ökande automatiseringen och industrialiseringen av cyberbrottslighet.

Mer oroande är hur ofta organisationer utsätts mer än en gång.

Forskning från flera hotrapporter visar på ett tydligt mönster:

• 56% av organisationerna har utsatts för mer än en ransomware-attack inom två år.
• 38% av offren för ransomware rapporterar att de attackerats flera gånger.
• Upp till 80% av de organisationer som betalade en lösensumma attackerades igen, ibland av samma hotaktör.
• Ett av tre offer för utpressningstrojaner upplever en upprepad attack efter det första intrånget.

Dessa siffror belyser en viktig realitet i modern cyberbrottslighet, nämligen att när angriparna vet att en organisation kan utsättas för intrång blir den ett känt och attraktivt mål.

Ur angriparens perspektiv kräver det mycket mindre ansträngning att återvända till en tidigare utsatt organisation än att identifiera ett nytt offer.

Angripare lämnar sällan organisationen när de väl har fått tillgång

Ett annat skäl till att cyberattacker sällan är engångsföreteelser är att angriparna ofta har dold tillgång till komprometterade nätverk.

När hotaktörer först tar sig in, utför de sällan sitt slutliga mål omedelbart. Istället upprättar de vanligtvis mekanismer som gör det möjligt för dem att återvända senare. Dessa kan inkludera:

• äventyrade eller stulna inloggningsuppgifter
• dolda administratörskonton
• schemalagda uppgifter eller verktyg för fjärråtkomst
• Bakdörrar till skadlig programvara eller kommando- och kontrollkanaler

Säkerhetsteam kallar tiden mellan den första kompromissen och upptäckten för angriparens uppehållstid. Under denna period kartlägger angriparna i tysthet miljön, eskalerar privilegier och identifierar kritiska system.

När det synliga stadiet av en attack inträffar, till exempel ransomware eller datastöld, kan angriparna redan ha kontroll över flera system i nätverket.

Om incidenthanteringen endast fokuserar på de omedelbara symptomen på attacken kan dessa dolda fotfästen förbli på plats. Som ett resultat kan angriparna återvända veckor eller månader senare.

Cyberbrottslighet fungerar som ett ekosystem

Cyberbrottslighet har utvecklats till ett komplext och mycket specialiserat ekosystem. Olika hotaktörer fokuserar nu på specifika stadier i attackens livscykel.

Till exempel

• Initial access brokers specialiserar sig på att ta sig in i företagsnätverk.
• Ransomware-operatörer distribuerar skadlig kod och utför utpressning.
• Datamäklare säljer stulen information på underjordiska marknadsplatser.

Denna arbetsfördelning innebär att en enda kompromettering kan leda till flera attacker över tid.

En initial accessmäklare kan sälja nätverksåtkomst till en ransomware-grupp. Denna ransomware-grupp kan sedan stjäla data och sälja den igen till andra brottslingar. I vissa fall kan en och samma organisation utsättas för flera separata attacker som alla härrör från samma ursprungliga intrång.

Forskning har visat att upprepade ransomware-attacker ofta utförs av samma hotaktör som genomförde den ursprungliga attacken, vilket visar hur angripare återanvänder kända åtkomstvägar.

Samma säkerhetsproblem kan fortfarande utnyttjas

Upprepade cyberattacker är ofta ett tecken på att underliggande säkerhetsproblem inte har åtgärdats fullt ut.

Många framgångsrika intrång sker på grund av vanliga svagheter som t.ex:

• sårbarheter i programvara som inte åtgärdats
• svag identitets- och åtkomsthantering
• avsaknad av multifaktorautentisering
• överdrivna privilegier
• felkonfigurerade molntjänster
• begränsad synlighet i hybridmiljöer

Om dessa problem inte identifieras och prioriteras för åtgärdande kan angripare helt enkelt upprepa samma angreppsväg.

Om angripare till exempel får åtkomst genom komprometterade inloggningsuppgifter räcker det kanske inte med att återställa lösenordet. Utan starkare identitetskontroller, t.ex. multifaktorautentisering, kan angriparna rikta in sig på en annan användare med samma teknik.

På samma sätt eliminerar inte patchning av ett enda sårbart system risken om liknande exponeringar finns på andra ställen i miljön.

Det är därför många säkerhetsansvariga övergår till kontinuerlig hantering av hot, som fokuserar på att identifiera och minska exploaterbara sårbarheter innan angriparna kan använda dem.

Angriparna rör sig snabbare än någonsin

Hastigheten på moderna cyberattacker ökar också.

Forskning inom Threat Intelligence visar att angripare kan röra sig i sidled i komprometterade nätverk extremt snabbt. Enligt data från Crowdstrike har tiden mellan den första kompromissen och den interna förflyttningen sjunkit till mindre än 30 minuter.

Automatisering, AI-aktiverade phishing-kampanjer och verktyg för att stjäla inloggningsuppgifter gör att angriparna kan arbeta i stor skala. Detta gör det lättare för hotaktörer att upprepade gånger rikta in sig på organisationer och anpassa sina tekniker.

Som ett resultat måste organisationer anta att attacker inte bara kommer att återkomma utan också utvecklas i sofistikerad form.

Hur Integrity360 hjälper organisationer

För att förhindra upprepade cyberattacker krävs mer än reaktiva säkerhetskontroller. Organisationer behöver kontinuerlig insyn, proaktiv riskhantering och snabba svarsfunktioner.

Integrity360 tillhandahåller en rad cybersäkerhetstjänster som är utformade för att hantera dessa utmaningar.

Hanterad detektering och respons (MDR)

Integrity360:s tjänst Managed Detection and Response (MDR) ger kontinuerlig övervakning av slutpunkter, nätverk, molnmiljöer och identiteter.

Genom att analysera säkerhetstelemetri i realtid gör MDR det möjligt för organisationer att upptäcka misstänkt aktivitet tidigt i attackens livscykel. Detta minskar avsevärt angriparnas uppehållstid och förhindrar att hot eskalerar till större intrång.

Kontinuerlig övervakning hjälper också till att identifiera upprepade attackförsök innan de lyckas.

Kontinuerlig hantering av hot och exponering (CTEM)

Continuous Threat Exposure Management (CTEM) fokuserar på att identifiera och prioritera de säkerhetsluckor som är mest sannolika att utnyttjas av angripare.

I stället för att enbart förlita sig på periodisk sårbarhetsscanning ger CTEM kontinuerlig insikt i en organisations attackyta. Detta gör det möjligt för säkerhetsteamen att fokusera på att åtgärda de risker som är viktigast.

Genom att proaktivt ta itu med dessa exponeringar kan organisationer förhindra att angripare återanvänder samma angreppsvägar.

Svar på incidenter (IR)

När ett intrång inträffar är det viktigt att snabbt begränsa det.

Integrity360:s Incident Response-team hjälper organisationer att utreda och begränsa attacker, identifiera grundorsaker och eliminera kvarstående mekanismer som angripare kan ha etablerat.

Det är viktigt att incidenthanteringen går längre än att bara återställa systemen. Det fokuserar på att säkerställa att angripare inte kan återvända genom samma åtkomstvägar.

Cyberresiliens kräver kontinuerligt försvar

Cyberattacker är sällan isolerade händelser. De är en del av ihållande kampanjer som genomförs av motståndare som anpassar sig, återvänder och utnyttjar samma svagheter upprepade gånger.

Statistiken visar att organisationer ofta utsätts för upprepade attacker, i synnerhet när underliggande sårbarheter inte har åtgärdats.

För organisationer är lärdomen tydlig. Cybersäkerhet kan inte förlita sig på punktvisa försvar eller engångsanpassningar. Den måste vara kontinuerlig, proaktiv och inriktad på att identifiera exponeringar innan angriparna utnyttjar dem.

Genom att kombinera kontinuerlig övervakning, exponeringshantering och effektiv incidenthantering kan organisationer avsevärt minska sannolikheten för upprepade attacker och bygga upp en starkare långsiktig cyberresiliens.

FRÅGOR OCH SVAR: Varför cyberattacker sällan är en engångsföreteelse

Varför återvänder angriparna efter en cyberattack?

Angripare återvänder ofta eftersom de redan förstår organisationens miljö. Om sårbarheter, inloggningsuppgifter eller åtkomstpunkter fortfarande kan utnyttjas kräver det mycket mindre ansträngning att upprepa attacken än att rikta in sig på en ny organisation.

Hur ofta upplever organisationer upprepade cyberattacker?

Forskning visar att 38% av offren för ransomware attackeras mer än en gång, och över hälften av organisationerna upplever flera attacker inom två år.

Vad orsakar upprepade cyberintrång?

Vanliga orsaker är opatchade sårbarheter, svaga identitetskontroller, dålig överblick över olika miljöer och ofullständig incidenthantering som inte lyckas ta bort angriparens uthållighet.

Hur kan organisationer förhindra upprepade cyberattacker?

För att förhindra upprepade attacker krävs kontinuerlig övervakning, proaktiv exponeringshantering, stark identitetssäkerhet och effektiva incidenthanteringsfunktioner.