当一家欧洲银行的中央IT系统检测到异常活动时，其内部安全团队迅速意识到该事件需要立即响应。他们发现了未经授权的基于VPN的访问尝试，且已持续数月。随后，他们聘请Unit 42来确定入侵的完整范围、识别任何持久性立足点并保护环境。

尽管该活动看似一场隐蔽的网络间谍行动，但实际入侵之所以成为可能，是因为基础安全控制存在缺口。威胁行为者并非依赖新颖技术，而是通过持久性、利用那些更强的身份保护和基本安全卫生即可防止的弱点而取得成功。此案例凸显了一个重要教训：有时最具破坏性的入侵始于最简单的疏忽。

内部侦察：高流量、高噪声的行动

入侵源自一个由第三方管理的外部网关设备，该设备未正确配置以强制执行严格的身份验证。攻击者利用被泄露的凭据，首先向内部系统进行身份验证。一旦进入内部，威胁行为者便对内部网络发起了一次发现行动。

威胁行为者进行了多轮侦察，在广泛的协议范围内执行了大量的主机和网络扫描，并与数千个系统进行了交互。这种广泛而高噪声的方法与其说是针对性打击，不如说是撒网以发现尽可能多的访问点。

身份验证滥用与文档浏览

该模式在凭据测试中继续延续。在几个月的时间里，威胁行为者发起了多次密码猜测行动。他们对内部系统进行了暴力身份验证尝试，重点关注管理员账户。

在此过程中，他们有系统地针对内部文档和数据共享。利用自动化Web请求，他们从内部系统抓取单个页面和附件，并枚举了各种运营和网络共享。

观察到的活动与通常与高级威胁行为者相关的行为不符。扫描和登录尝试背后的噪声，以及使用常见的系统标识符，表明这是一个机会主义攻击者，试图入侵多个系统。他们的行为几乎没有表现出隐藏或避免检测的努力。

早期检测、遏制与修复

在最后阶段，入侵者试图利用中央配置管理服务器上的Windows Server Update Services (WSUS) 远程代码执行漏洞来扩大控制。该服务器负责整个银行的软件分发，使其成为权限提升和长期持久化的主要目标。

然而，攻击者的好运到头了。在他们试图执行未授权代码的那一刻，Cortex XDR识别了该活动并在威胁升级之前将其遏制。攻击者被阻止获得持久性立足点或在网络中横向移动。

当Unit 42介入时，我们的团队启动了全面的威胁狩猎工作。我们对约数千个系统的端点遥测数据进行了深入取证审查，同时分析了数十台Windows和Linux服务器的日志。最终，未发现额外的攻击者存在或持久性后门。银行领导层迅速采取行动，审查了暴露的文档并轮换了所有已泄露的凭据，彻底消除了威胁。

本次调查揭示了什么

此案例是一个重要提醒：并非所有网络威胁都是高级且多层面的。机会主义攻击者乐于利用简单的疏忽——例如VPN上缺少多因素认证（MFA）或边缘设备未打补丁——来入侵并闯入环境。话虽如此，攻击者缺乏 sophistication 并不意味着他们无害。

防御此类入侵依赖于基础安全卫生和快速响应。这包括：

• 实施严格的身份访问控制

• 确保及时打补丁

• 使用端点检测阻止横向移动

通过将及时遏制与彻底的威胁狩猎相结合，该组织阻止了入侵演变为灾难性事件。

成果

Unit 42独立验证了该事件以确认根本原因，通过战略指导和完整的事件管理恢复了领导层的信心。除了解决直接威胁外，我们还提供了具体、优先排序的建议，以加固银行的安全态势。为确保增强保护，该组织通过部署额外的Cortex XSIAM和Cortex XDR许可证并扩大其事件响应保留服务，扩展了防御覆盖范围。

有兴趣了解更多最新攻击趋势吗？如果是，请查看我们的Unit 42全球事件响应报告，该报告基于我们直接响应全球超过750起真实网络攻击的经验，提炼了最关键发现。

附加资源

• Unit 42在行动中的九个故事 – Unit 42, Palo Alto Networks

• 网络安全事件响应现状 – Unit 42, Palo Alto Networks

• 网络韧性之路上的42条提示 – Unit 42, Palo Alto Networks

关于Unit 42

Unit 42 以所需的工具和专业知识强化您的团队，帮助您领先于威胁并保护您的业务。凭借我们经过验证的策略以及来自数千次安全事件的经验洞察，我们将帮助您的团队自信地应对最严峻的情况。

转载声明：本文为转载整理，原文版权归原作者及原站点所有。

原文来源：Palo Alto Unit42

原创地址：https://unit42.paloaltonetworks.com/noise-inside-network-third-party-risk/