Bending the Curve: Operational Cyber Epidemiology for Ransomware
Dit artikel stelt een operationeel cyber-epidemiologisch framework voor dat het SEIR-model aanpast aan ransomware-incidentmanagement, waarbij een gedeelde taal en realtime metrieken zoals reproductienummers worden geboden om beslissingen over indamming te sturen en de verspreidingsdynamiek over diverse incidenten heen te verminderen.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je een wereld voor waarin computervirussen niet gewoon stil op een harde schijf liggen te wachten tot ze door een scanner worden gevonden. Stel je in plaats daarvan voor dat ze zich gedragen als een sluipend griepvirus in een drukke school. Eén leerling krijgt het, niest in de gang, en plotseling staat de hele kantine te hoesten. In de echte wereld van cybersecurity is dit precies hoe ransomware vaak werkt. Het raakt niet alleen één computer; het springt van machine naar machine, gebruikmakend van gestolen wachtwoorden en gedeelde tools om sneller te verspreiden dan iemand het kan stoppen. Lange tijd probeerden beveiligingsteams deze aanvallen te behandelen als een simpel "detecteren en verwijderen"-spel, waarbij ze op zoek gingen naar de boef en hem eruit schopten. Maar de auteurs van dit artikel suggereren dat die aanpak lijkt op het proberen te stoppen van een griepuitbraak door alleen de persoon te behandelen die als eerste niesde, terwijl je negeert dat het virus zich al via de ventilatieschachten verspreidt.
Om de oplossing te begrijpen, hebben we drie eenvoudige ideeën uit de wereld van de volksgezondheid nodig. Ten eerste is er de "incubatietijd", de tijd tussen het oplopen van een bacterie en het daadwerkelijk ziek worden of het verspreiden ervan aan anderen. In computers is dit de "dwell time" (verblijftijd), waarbij hackers al binnen zijn en stilletjes hun tools opzetten voordat ze chaos veroorzaken. Ten tweede is er het "reproductiegetal", een chique manier om te vragen: "Als één geïnfecteerd ding andere aanraakt, hoeveel nieuwe infecties veroorzaakt het dan?" Als het antwoord meer dan één is, groeit het probleem; als het minder dan één is, sterft het probleem uit. Ten slotte is er het idee van "groepsimmuniteit", waarbij genoeg mensen beschermd zijn (of in dit geval genoeg computers gepatcht en geïsoleerd zijn) zodat het virus geen nieuwe gastheer kan vinden om naar over te springen. Het artikel stelt een grote vraag: kunnen we deze ouderwetse gezondheidstools gebruiken om moderne computerrampen te beheersen?
De auteurs, onder leiding van Stephen V. Flowerday en collega's, stellen een nieuwe manier voor om ransomware te bestrijden, genaald "Operationele Cyber-epidemiologie". Ze suggereren dat beveiligingsteams, in plaats van alleen naar malware te zoeken, moeten handelen als ziektedetectives. Ze introduceren een framework dat de verspreiding van een cyberaanval mapt op een klassiek gezondheidsmodel genaamd SEIR (Susceptible, Exposed, Infectious, Removed – Vatbaar, Blootgesteld, Infectieus, Verwijderd). In deze digitale versie is een computer "Vatbaar" als deze kwetsbaar is, "Blootgesteld" als hackers zijn binnengeslopen maar nog geen chaos veroorzaken, "Infectieus" als het actief naar andere machines springt, en "Verwijderd" als het is geïsoleerd en schoongemaakt.
De belangrijkste bevinding van het artikel is dat beveiligingsteams door deze fasen te volgen, slimmere en snellere beslissingen kunnen nemen. Ze betogen dat het meest kritieke moment niet is wanneer de encryptie begint, maar tijdens de "Blootgestelde" fase, wanneer de hackers nog aan het schuilen zijn. De auteurs stellen voor om een simpele wiskundige truc te gebruiken om te zien of de aanval wint of verliest. Ze berekenen een getal genaamd het "effectieve reproductiegetal" (Re). Als dit getal boven de 1 ligt, is de aanval in groei en moet het team in paniek raken en meer systemen isoleren. Als het getal onder de 1 zakt, neemt de aanval af en kunnen ze zich concentreren op het opruimen. Het artikel laat zien dat door het netwerk te behandelen als een populatie mensen in plaats van een lijst met apparaten, teams de "curve" van infecties kunnen voorkomen dat deze naar boven buigt.
De auteurs zijn echter voorzichtig om niet te beloven dat dit een wondermiddel is. Ze sluiten expliciet de gedachte uit dat dit een perfecte, precieze wetenschap is voor elke individuele computer. Ze geven toe dat echte computernetwerken rommelig en ingewikkeld zijn, waarbij sommige machines fungeren als "super-spreaders" (zoals een populaire leerling die met iedereen praat) terwijl anderen slechts toeschouwers zijn. De wiskunde die ze gebruiken is een "vuistregel" of een grove gids om leiders te helpen beslissen wanneer ze de noodrem moeten aantrekken, en geen kristallen bol die de toekomst met 100% nauwkeurigheid voorspelt. Ze verduidelijken ook dat deze methode het beste werkt voor aanvallen die daadwerkelijk van machine naar machine verspreiden; als een hacker alleen gegevens steelt zonder zich te verspreiden, is het "reproductiegetal" niet echt van toepassing.
Het artikel gebruikt praktijkvoorbeelden om hun punt te bewijzen, waarbij ze kijkt naar beroemde aanvallen zoals WannaCry, NotPetya en de SolarWinds-breach. Ze laten zien hoe WannaCry zich als een bosbrand verspreidde omdat het op eigen kracht kon springen, terwijl NotPetya een "supply chain"-truc gebruikte, waarbij het zich verspreidde via een vertrouwde software-update. Door hun nieuwe "epidemiologische" lens toe te passen, laten ze zien dat verschillende soorten aanvallen verschillende medicijnen nodig hebben. Voor de snel verspreidende aanvallen moet je gaten snel dichten. Voor de aanvallen die zich verspreiden via vertrouwde accounts, moet je de toegang tot de sleutels blokkeren.
Uiteindelijk suggereert het artikel dat de beste manier om een ransomware-crisis aan te pakken, is door te stoppen met gissen en te beginnen met meten. Het biedt een checklist van "Essentiële Elementen van Informatie" — eenvoudige zaken zoals hoeveel nieuwe computers er per uur geïnfecteerd raken of hoeveel nieuwe netwerksegmenten worden getroffen. Als deze cijfers stijgen, weet het team dat ze onmiddellijk meer gebieden moeten isoleren. Als ze dalen, weet het team dat hun indamming werkt. De auteurs geloven dat door een gemeenschappelijke taal van "uitbraken" te spreken in plaats van alleen "bugs", beveiligingsteams, directeuren en zelfs niet-technische leiders de situatie beter kunnen begrijpen en snellere, levensreddende beslissingen kunnen nemen voor de organisatie. Het gaat er niet om om elke inbraak te voorkomen, maar om ervoor te zorgen dat wanneer er een plaatsvindt, het niet uitmondt in een totale ramp.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.