Se hai parlato con FI su un canale separato, hai effettivamente parlato con FI e loro lo sanno, quindi per definizione, non è un phishing .

Ciò che mi colpisce come strano è "ma non possono (non) fornire ulteriori informazioni" e "rifiutare non è davvero un'opzione". Questi 2 fatti non possono coesistere se sei un'entità separata dall'IF.

Il tuo respingimento è semplice: i criteri del firewall richiedono un motivo legittimo insieme a una data di fine per la revisione / rimozione della regola. Non si aggiungono regole del firewall solo perché qualcuno al di fuori dell'organizzazione te lo ha detto. L'FI non ha idea se il blocco di tali IP possa influire sulle operazioni.

• che effetto dovrebbe avere questa regola?
• per quanto tempo deve esistere la regola?
• chi (persona nominata) possiede questa regola sul lato FI?
• quali rimedi ci si aspetta se la regola ha un effetto negativo sulle operazioni?
• quale effetto ci sarà tra le vostre aziende se la regola non viene applicata esattamente come richiesto ?

Non aggiungerai la regola del firewall senza sapere qual è l'impatto , positivo o negativo. Se desiderano un maggiore controllo sui tuoi firewall, possono fornire e gestire i tuoi firewall per te.

D'altra parte, se possiedono te e i rischi, si assumono i rischi di questo cambiamento, quindi aggiungi le regole.

Come per un direttore che invia questo richiesta, non è così strano. Quando hai bisogno che qualcuno faccia qualcosa, fai in modo che la persona con più potere faccia la richiesta. Il direttore potrebbe non avere idea di cosa sia un firewall, ma la richiesta viene effettuata a nome di quella persona. Sono anche curioso di sapere perché sia ​​necessaria così tanta influenza. Sembra che vogliano spingerti a farlo senza doverti spiegare. Non lasciare che siano loro a dettare la tua politica e il modo migliore per proteggere la tua azienda.

Mi allontanerei dal fatto che questo sia un tentativo di ingegneria sociale e più verso un FI peer che è estremamente cauto riguardo alla divulgazione di informazioni: potrebbero aver avuto qualche tipo di incidente che coinvolge questi IP e non sono nella fase in cui vogliono divulgare qualsiasi altra cosa.

Considerala in questo modo: cosa dovrebbe davvero guadagnare un apparente attore di minacce da questo?

Hai menzionato che molti degli IP sono legati a società tecnologiche.

• Queste società forniscono hosting web che potrebbe essere utilizzato come infrastruttura dannosa?
• Queste società forniscono servizi proxy di cui si potrebbe abusare?
• Queste aziende forniscono software di test di sicurezza che potrebbe essere utilizzato in modo dannoso?

Sebbene le organizzazioni stesse possano essere legittime, potrebbero essere sfruttate senza ulteriori informazioni da questo FI, non prenderei provvedimenti: l'onere della prova spetta al mittente di questa lista.

Questo è effettivamente low-qua lity threat intelligence: non fornisce alcuna prova che valga la pena agire sugli indicatori.

Per inciso, esiste un modo per impostare il monitoraggio su questi IP nel frattempo? Alcune indagini da parte tua potrebbero fornire le informazioni necessarie per determinare il motivo per cui questi sono presumibilmente degni di essere bloccati (anche alcuni scavi OSINT potrebbero essere fruttuosi).

Il mio CFO ha ricevuto un'e-mail da un direttore di un istituto finanziario in cui si informava che tutto il traffico (in entrata e in uscita) da determinati indirizzi IP doveva essere bloccato sul firewall. Il direttore dell'istituto finanziario è stato consigliato dal suo dipartimento IT di inviare questa mail. L'elenco degli indirizzi (circa 40) era in un PDF protetto da password allegato. La password è stata inviata al mio CFO tramite messaggio di testo.

L'unica parte che trovo strana è che la C F O è coinvolta in tutto questo . I CTO (o subordinati) si occupano abitualmente di cyberintelligence e condivisione di informazioni tra istituzioni e agenzie di intelligence nazionali (FBI, CERT, ecc.).

Inizialmente ho pensato che fosse un tentativo malizioso di convincere il nostro CFO a aprire un PDF infetto o un tentativo di phishing / caccia alla balena, ma sembra legittimo. Abbiamo parlato con il dipartimento IT di FI e dicono che è autentico, ma non possono (non) fornire ulteriori informazioni. A causa della natura del rapporto tra la mia azienda e FI, rifiutare non è davvero un'opzione. Da quello che posso vedere la maggior parte degli indirizzi IP sembra appartenere a società tecnologiche.

La tua diligenza merita un applauso; questo è un vettore plausibile.

Non si specifica cosa siano queste "aziende tecnologiche", ma se si tratta di cose come AWS, DigitalOcean, Linode, Vultr, Choopa, Hetzner, OVH, Velia, et al. allora dovresti sapere che queste aziende tecnologiche (e molte altre più piccole, inclusi i seedbox dei torrent) sono regolarmente implicate in botnet, malware e frodi finanziarie. Tutto ciò che offre hosting condiviso o servizi VPS è una possibile piattaforma per il lancio di attacchi. Posso dirti per esperienza diretta che molti giornalisti di HSA, W2, frodi sulla dichiarazione dei redditi e altre truffe come i rapporti Krebs vengono lanciati da servizi VPS economici come questi.

Questo approccio ti colpisce come sospettoso? C'è dell'ingegneria sociale in corso qui?

Le informazioni sugli incidenti attuali possono essere condivise formalmente (attraverso la pubblicazione nelle mailing list US-CERT, tra le istituzioni su DIBNET, FS-ISAC, ecc.) o tramite strani schemi di condivisione di PDF tra dirigenti che hanno avuto origine da ciò che avrebbe dovuto essere un suggerimento dell'FBI non divulgabile e non attribuibile. Succede.

Quando l'FBI è la fonte di origine, generalmente forniscono pochi dettagli o nessun contesto e quindi scuotere l'albero e rifiutarsi di agire senza ulteriori informazioni potrebbe non essere ricevuto bene dai tuoi superiori. Continua a resistere e finirai come lo shmuck di Equifax che ha ritardato la riparazione di Struts prima della violazione; è stato il primo a essere gettato sotto l'autobus. Apparentemente hai un accordo commerciale che ti obbliga a implementare alcuni blocchi IP basati sulle informazioni sulle minacce ricevute. Fallo e basta.

Ancora una volta, l'unica parte sospetta per me è che il destinatario era il CFO. Ma ciò potrebbe essere semplicemente dovuto alla natura di una relazione esistente tra lui e quel direttore.

È del tutto possibile che qualcuno stia cercando di creare caos facendoti bloccare gli IP delle aziende con cui fai affari, ma sembra inverosimile - richiede molta conoscenza interna e impegno per realizzare una piccola interruzione nel peggiore dei casi.

Quale potrebbe essere la natura della minaccia?

Il direttore dell'istituto finanziario X è stato informato di un incidente. Probabilmente sono stati compromessi da uno o più di questi 40 IP o resi consapevoli di una minaccia da una fonte esterna. Potrebbero o meno aver osservato prove che la tua azienda potrebbe anche essere un potenziale obiettivo, tramite le credenziali che hanno visto tentati, gli endpoint richiesti o i dati esfiltrati. Hanno ritenuto opportuno condividere queste informazioni con la tua azienda in modo da poter adottare misure proattive.

Tra te e me, non sono turbato da questo scenario. Questo è il genere di cose che vengo a trovare nella mia casella di posta ogni lunedì (e specialmente nei giorni che seguono le festività nazionali - gli aggressori stranieri adorano aspettare fino a quando non sanno che nessuno sarà in ufficio per qualche giorno. settimana ...).

Quello che faccio personalmente con questi elenchi prima di implementare i blocchi è eseguirli attraverso i nostri log e vedere quale attività possono aver fatto gli stessi attori con i nostri sistemi. Cerca attività da parte di qualsiasi IP all'interno delle stesse sottoreti; gli IP forniti potrebbero non essere gli stessi che potrebbero averti già preso di mira. A volte scopre prove di compromissione che non rientravano nell'ambito dell'intelligence fornita.

Il fatto che il reparto IT non conosca i motivi del blocco degli IP e il fatto che i dirigenti di FI stiano collaborando con il CFO, al contrario del CTO, suggerisce che si tratta di un problema di conformità.

Potresti dover affrontare l'implementazione di sanzioni, AML o liste nere antiterrorismo. Possibilmente audit PCI.

Ho lavorato in banche e le procedure di conformità possono essere piuttosto bizzarre e difficili da implementare. Potresti chiedere alla conformità l'approvazione della misura stessa.

Questo approccio ti sembra sospetto?

Hai detto: " A causa della natura del rapporto tra la mia azienda e FI, rifiutare non è davvero un'opzione. "

Questa è un'affermazione molto interessante. In definitiva, senza essere disponibile sui dettagli di quella relazione, non credo che nessuno possa dire se questo approccio sia sospetto o meno. Sembra certamente che gli accordi contrattuali tra le due società coprissero questo scenario. Se è vero, allora no, non è sospetto.

C'è dell'ingegneria sociale in corso qui?

Non sembra. Se hai confermato verbalmente che il reparto IT dell'altra azienda ha effettivamente inviato questa richiesta / ordine, no, non si tratta di un problema di ingegneria sociale.

Quale potrebbe essere la natura della minaccia?

Forse l'altra azienda ha la prova che quelle aziende tecnologiche sono state infiltrate. Forse l'altra società è semplicemente preoccupata che il loro IP possa essere rubato da quelle società. Senza sapere chi è coinvolto è impossibile indovinare.