企业核心数据频遭窃取！网御星云UEBA提供技术防范

2021年12月以来，黑客组织Lapsus$完成了多次高调的网络入侵行动，对全球多家知名企业进行了网络攻击，窃取了重要数据并胁迫受害目标索取赎金。其中，窃取了某芯片制造商1TB数据，并导致其内部电子邮件系统瘫痪；盗取了某电子公司190GB的数据，其中可能包含其核心技术。本文将对此案例进行分析，并利用UEBA技术提出安全防范建议。

1. 威胁分析

（1）勒索组织分析

Lapsus$是一个非传统的数据勒索黑客组织，他们不会在受害者的设备上安装勒索软件，但会通过破坏公司系统，窃取源代码、客户名单、数据库和其他有价值的数据，以赎金勒索受害者，否则便公开窃取的数据。

该组织主要通过社会工程实现非法入侵。具体来讲，Lapsus$会对目标组织及其合作伙伴（例如客服中心和服务台）的员工展开贿赂或欺诈，借此获取内部访问权限。有消息称，至少自2021年11月以来，Lapsus$就一直通过各个社交媒体平台招募企业内部员工。

（2）攻击策略分析

Lapsus$的攻击策略包括呼叫形式的社会工程、换手机卡以实现账户接管、访问个人邮箱账户、获取访问凭证等。

呼叫形式的社会工程：致电目标组织的客服台，用话术诱导技术支持人员重置高权限账户的凭证。

换手机卡以实现账户接管：以贿赂或诱导的方式让移动运营商的员工将目标手机号码转移到他们指定的设备中。以此为基础，攻击者就能获得短信或电话发送给受害者的一次性密码，并借此重置以短信形式进行验证的在线账户密码。

访问个人邮箱账户：目前大部分员工都会配合VPN来远程访问雇主网络，因此可通过目标组织员工的个人电子邮箱账户下手，从而访问目标组织的关键账户。

获取访问凭证：收买目标组织的员工/供应商/业务合作伙伴以获取访问凭证。夺取私人（非工作相关）账户，静待对方完成访问后再搜寻可用于访问企业系统的其他凭证。通常员工经常会使用个人账户或号码作为双因素验证或密码恢复方法，所以攻击者也可以借此实现密码重置和账户恢复操作。

2. 安全建议

（1）提高人员安全意识

人是安全链中最薄弱的一环，很多内部风险的起因往往是由于人的安全意识匮乏导致。人员网络安全意识培养至关重要，包括定期进行安全意识的宣传、制定员工规范操作计算机的相关规定、制定安全制度考核、制定应急处置方案和做好应急演练等。

（2）采用用户实体行为分析UEBA技术

用户实体行为分析（UEBA，user entity behavior analytics）技术作为目前异常发现的重要分析技术，主要围绕用户、账号、敏感数据、关键应用、访问方式、时间、地点、频度等信息，基于统计和机器学习构建用户关联实体的画像和行为基线，偏离了这些基线的可疑活动视为异常，识别违规访问、数据泄露、账号滥用等异常行为，并发现未知的安全威胁。