Volgens CISA beschrijft een gezamenlijk advies (AA26-281A) van de FBI, CISA, de NSA en partnerdiensten uit onder meer het VK, Canada, Japan en Spanje hoe China-gelieerde actoren, gefaciliteerd door het bedrijf Integrity Technology Group, geautomatiseerde scanners combineren met handmatig inbreken. Ze misbruiken kwetsbare webtoepassingen, proberen wachtwoorden uit tegen Exchange- en Office 365-omgevingen, houden toegang vast met VPN-clients die zich als systeemprocessen voordoen en lezen op grote schaal mailboxen uit. Doelwitten zijn onder meer overheid, zorg, industrie en IT.
Wat betekent dit? De technieken zijn niet exotisch: ze slagen waar basismaatregelen ontbreken. Voor bestuurders en CISO’s is de vraag of MFA op webmail en VPN overal afgedwongen is, of ongebruikte diensten zijn uitgezet en of detectie afwijkend gedrag opmerkt, zoals ongebruikelijke Active Directory-replicatie en veel uitgaand verkeer. Het advies bevat bovendien technieken waartegen u uw detectieregels kunt toetsen. Een tijdige melding aan het toezicht hangt af van hoe snel u zo’n inbraak herkent. Onze dienst Verkorten tijd-tot-detectie helpt hierbij, omdat dit advies draait om afwijkend gedrag dat u snel moet herkennen en melden.