Deze week identificeerden we een intrigerende use case met betrekking tot de WP3[.]XYZ-aanval (link naar onze blogpost). Het wekte interesse in de hele community en leidde tot betere detectiepercentages op platforms zoals VirusTotal (VirusTotal link).
Hoewel de meesten onze inspanningen waardeerden, bekritiseerden anderen ons omdat we de hoofdoorzaak niet identificeerden of diensten aanbevalen om gehackte websites op te schonen. Desondanks willen we de community bewust maken van potentiële aanvallen en beloven we het in de toekomst nog beter te doen.
Wanneer valse positieven dichtbij komen
Na publicatie van de blog gebeurde er iets onverwachts: onze hoofdwebsite, cside.com, werd gemarkeerd als verdacht. Dit incident is significant omdat het benadrukt hoe een eenvoudig vals positief niet alleen technische workflows kan verstoren, maar ook de reputatie en operaties van een bedrijf.
Voor technische lezers onderstreept het het belang van nauwkeurige detectieregels, terwijl het voor niet-technische lezers aantoont hoe dergelijke problemen kunnen escaleren en vertrouwen en bedrijfscontinuïteit kunnen beïnvloeden.
Natuurlijk werden we verrast en begonnen we onmiddellijk met onderzoek.
Bij nader onderzoek leek het erop dat enkele luie detectieregels het probleem mogelijk hadden veroorzaakt.
Ik heb meer dan vier jaar in endpoint security gewerkt voordat ik overstapte naar een SOC (Security Operations Center) analistenrol. Deze ervaring gaf me directe inzichten in de uitdagingen van het beheren van waarschuwingen en detecties—een onderwerp dat nauw verbonden is met de werkelijke kosten van valse positieven.
Als iemand die detectieregels heeft geschreven, begrijp ik de verleiding om shortcuts te nemen. Vroeg in mijn carrière maakte ik vergelijkbare fouten. Met ervaring leerde ik het verschil tussen goede en slechte regels en het belang van het benutten van de juiste technologieën voor het schrijven van regels. Dit is waarom de meeste beveiligingsleveranciers meerdere engines gebruiken om verschillende soorten aanvallen effectief aan te pakken.
In dit geval leek het probleem voort te komen uit twee factoren:
- Het WP3[.]XYZ-subdomein: We gebruiken een dienst om korte beschrijvingen van domeinen te genereren met behulp van interne gegevens en AI (Domain Insights). Hoewel de beschrijvingen bedoeld zijn om nuttige context te bieden, zijn ze niet bedoeld voor detectiedoeleinden.
- Verkeerde interpretatie door AV-leveranciers: Sommige antivirusleveranciers markeerden de domeinnaam simpelweg omdat deze in onze URL verscheen. Dit soort detectie, uitsluitend gebaseerd op de URL-structuur, mist context en kan leiden tot onnodige verstoringen.
Om de community te helpen, deelden we de volledige code in onze blog zodat andere bedrijven hun detecties konden verbeteren. Het markeren van een domein dat kwaadaardige payloads levert zonder de juiste context is echter een problematische praktijk. We hebben dit probleem in detail behandeld in een andere blogpost (Are Threat Feeds Still Good in 2024?).
De werkelijke kosten van valse positieven
Valse positieven lijken op het eerste gezicht misschien onbeduidend, maar hun impact kan diepgaand zijn:
- Operationele verstoring: Zelfs een vals positief percentage van 1:100.000 kan ernstige gevolgen hebben als het kritieke transacties verstoort. Stel je bijvoorbeeld voor dat een betaalgateway tijdens een piekseizoen voor winkelen ten onrechte wordt gemarkeerd. Dit zou duizenden legitieme transacties kunnen blokkeren, wat resulteert in gefrustreerde klanten, verloren inkomsten en mogelijke schade aan de reputatie van het bedrijf.
- SOC-analist vermoeidheid: Valse positieven kunnen duizenden uren verspillen terwijl analisten proberen niet-problemen te triëren en onderzoeken. Deze vermoeidheid kan ertoe leiden dat echte positieven (TPs) onopgemerkt blijven.
- Bedrijfsimpact: Dit is de meest zorgwekkende consequentie, omdat het de hele operatie van een bedrijf in gevaar kan brengen.
Laten we dieper ingaan op punt drie.
Bij cside zijn we een kleine, jonge startup, en onze reis is gevoed door passie en een verlangen om zinvol bij te dragen aan de cybersecurity community. Als beveiligingsproducten onze website echter als kwaadaardig markeren, zou dit alles waar we voor hebben gewerkt in gevaar kunnen brengen.
Ik herinner me de aanvankelijke paniek bij het zien van de detectie—het ging niet alleen om het oplossen van een probleem, maar om het beschermen van het vertrouwen dat we bij onze klanten hebben opgebouwd. De tijd en energie die besteed wordt aan het aanpakken van dergelijke problemen zou de operaties aanzienlijk kunnen verstoren, vooral voor kleine bedrijven zoals het onze. Terwijl grote bedrijven dergelijke uitdagingen misschien kunnen doorstaan, zou het voor kleinere organisaties rampzalig kunnen zijn.
Waarom het belangrijk is
De werkelijke kosten van valse positieven gaan verder dan technische uitdagingen. Het beïnvloedt bedrijven, klanten en levensonderhoud. Degenen die de gevolgen uit de eerste hand hebben ervaren, weten hoe diep het pijn doet.
Onze toewijding bij cside
Bij cside geloven we sterk in een nul valse positieven beleid.
We streven ernaar om:
- Alles wat we weten open en transparant met de community te delen.
- Onze eigen producten te gebruiken om nauwkeurigheid en betrouwbaarheid te waarborgen.
- De impact van valse positieven te minimaliseren terwijl we onze detectiecapaciteiten verbeteren.
We begrijpen de kosten van zowel valse positieven als cyberaanvallen, en daarom zijn we toegewijd aan voortdurende verbetering en samenwerking met de bredere community.
Als u vragen of suggesties heeft, neem gerust contact op. We staan altijd open voor feedback om onze inspanningen nog beter te maken.
