NIST publiceert nieuwe cybersecurity-tools om door staten gesteunde dreigingen te bestrijden

Special Publication 800-172 is ontworpen om gevoelige informatie in diverse elektronische systemen te beschermen.

Naties over de hele wereld voegen cyberoorlog toe aan hun arsenal, met hooggeschoolde teams die aanvallen lanceren tegen andere landen. Deze adversaries worden ook de "advanced persistent threat," of APT, genoemd, omdat ze de tools en middelen bezitten om hun doelen herhaaldelijk over een langere periode na te streven, aanpassend aan de inspanningen van verdedigers om hen te weerstaan.

Kwetsbare data omvat de gevoelige maar ongeclassificeerde informatie die wordt beheerd door overheid, industrie en academie ter ondersteuning van diverse federale programma's. Nu biedt een gefinaliseerde publicatie van het National Institute of Standards and Technology (NIST) richtlijnen om dergelijke "controlled unclassified information" (CUI) te beschermen tegen de APT. NIST's Special Publication (SP) 800-172, Enhanced Security Requirements for Protecting Controlled Unclassified Information: A Supplement to NIST SP 800-171, biedt een set tools ontworpen om de inspanningen van door staten gesteunde hackers te contraresteren en complementeert een andere NIST-publicatie gericht op het beschermen van CUI.

"Cyberaanvallen worden uitgevoerd met stille wapens, en in sommige situaties zijn die wapens ondetecteerbaar," zei Ron Ross, een informaticus en NIST-fellow. "Omdat u de directe effecten van de volgende hack misschien niet 'voelt', kunt u denken dat het ergens over de weg komt; maar in realiteit gebeurt het nu."

De federale overheid steunt zwaar op niet-federale dienstverleners om een breed scala aan missies uit te voeren met informatiesystemen – een term die computers omvat, maar ook een reeks andere gespecialiseerde technologieën zoals industriële controlsystemen en het Internet of Things. De bescherming van gevoelige federale informatie die in niet-federale systemen resideert – zoals die gebruikt door staten en lokale overheden, colleges en universiteiten, en onafhankelijke onderzoeksorganisaties – is van vitaal belang, omdat het direct de capaciteit van de federale overheid kan beïnvloeden om haar operaties uit te voeren. Een hack in 2018 die gevoelige informatie in gevaar bracht, inspireerde direct het NIST-team's werk aan SP 800-172.

Voheen genummerd SP 800-171B tijdens de conceptfasen, biedt SP 800-172 additionele aanbevelingen voor het hanteren van CUI in situaties waarin die informatie een hoger dan gebruikelijk risico op blootstelling loopt. CUI omvat een brede verscheidenheid aan informatietypes, van individuele namen of burgerservicenummers tot kritieke defensie-informatie.

"We hebben SP 800-171 ontwikkeld in reactie op grote cyberaanvallen op Amerikaanse kritieke infrastructuur, en het bijbehorende document SP 800-172 is ontworpen om aanvallen van geavanceerde cyberdreigingen zoals de APT te mitigeren," zei Ross. "Het implementeren van de cyberbeveiligingseisen in SP 800-172 zal systeemeigenaren helpen te beschermen wat staatniveau-hackers als bijzonder hoogwaardige doelen beschouwen: gevoelige informatie over mensen, technologieën, innovatie en intellectueel eigendom, de onthulling waarvan onze economie en nationale veiligheid in het geding kan brengen."

De versterkte beveiligingseisen moeten worden geïmplementeerd additional tot die in SP 800-171, aangezien die publicatie niet is ontworpen om de APT aan te pakken. De eisen in SP 800-172 zijn van toepassing op de componenten van niet-federale systemen die CUI verwerken, opslaan of transmitteren of die bescherming bieden voor dergelijke componenten. Om de scope verder te vernauwen, worden de eisen alleen toegepast wanneer de aangewezen CUI geassocieerd is met een kritiek programma of high-value asset – de hoogste prioriteit voor bescherming.

Voornamelijk ontwikkeld voor administrators zoals programmamanagers, CIO's en systeemauditeuren, adressert de publicatie de bescherming van CUI voor systeemcomponenten door penetratie-resistente architectuur, schade-beperkende operaties, en ontwerpen om cyberweerbaarheid en overlevingsbaarheid te bereiken. De tools, verdeeld in 14 families, zijn niet bedoeld om en masse geïmplementeerd te worden, maar geselecteerd volgens de behoeften van de organisatie.

"Meest waarschijnlijk zal een organisatie die deze richtlijnen implementeert niet alle versterkte beveiligingseisen willen gebruiken die we hier aanbieden," zei Ross. "De beslissing om een bepaalde set versterkte beveiligingseisen te selecteren, zal gebaseerd zijn op uw missie en zakelijke behoeften – en dan geleid en geïnformeerd door lopende risicobeoordelingen."

In reactie op feedback ontvangen tijdens de publieke commentaarperiode, bevat de definitieve concept bijgewerkte scoping en toepasbaarheidsrichtlijnen en een flexibele benadering voor vereistenselectie om organisaties in staat te stellen hun beveiligingsoplossingen aan te passen.

Ross zei dat de tools in de nieuwe publicatie hoop moeten bieden aan iedereen die zoekt om zich te verdedigen tegen hacks, zelfs door zo intimiderende een dreiging als de APT.

"De adversaries brengen hun 'A-game' in deze cyberaanvallen 24 uur per dag, 7 dagen per week," zei hij. "U kunt beginnen met ervoor te zorgen dat de schade geminimaliseerd wordt als u SP 800-172's cyberbeveiliging gebruikt."

Originele bron: https://www.nist.gov/news-events/news/2021/02/nist-offers-tools-help-defend-against-state-sponsored-hackers