- Det er svært at tro, at der kun er gået et år siden angrebet på Colonial Pipeline i USA. Dengang sagde vi, at angrebet var en advarsel om at der var 'åben jagt på infrastrukturudbydere'. Den forudsigelse har desværre vist sig at være alt for sand, siger Sean Deuby, der er kundedirektør hos Semperis

- Baseret på nylige rapporter fra FBI Internet Crime Complaint Center blev 649 infrastrukturenheder i USA alene ramt af ransomware sidste år - en tendens, der ikke viser tegn på at aftage. Da de fleste ransomware-angreb er rettet mod identitetsstyringssystemet Active Directory, fordi dette er den hurtigste måde for it-kriminelle at skabe sig adgang til en virksomhed på og herfra kunne kryptere virksomhedens data, så anbefaler vi offentlige myndigheder, transport-, energi- og forsyningsvirksomheder, der leverer kritiske infrastrukturtjenester, at tage øjeblikkelige skridt til at beskytte deres Active Directory.

- Et godt sted at starte er en sårbarhedsvurdering, der søger efter indikatorer for eksponering og kompromittering, der er specifikke for AD og Azure AD, siger Sean Deuby, der anbefaler virksomhedens egen gratis løsning Purple Knight.

Resultaterne af undersøgelse

Sidste år lancerede Semperis, der beskytter identitetsoplysninger i virksomheders hybride it-miljøer, et gratis værktøj til vurdering af AD-sikkerheden; Purple Knight. For et par måneder siden offentliggjordes resultaterne fra 1.000 virksomheder, der har anvendt Purple Knight.

Virksomhederne har fået point på tværs af fem Active Directory-sikkerhedskategorier og resultaterne var:

• De 1.000 virksomheder scorede i gennemsnit 68% på tværs af fem Active Directory-sikkerhedskategorier: AD-delegering, kontosikkerhed, AD-infrastruktursikkerhed, Group Policy-sikkerhed og Kerberos-sikkerhed. Dette er knap nok en tilfredsstillende.

• Store organisationer klarede sig dårligere - med en gennemsnitlig score på 64% - hvilket viser, at udfordringerne i forbindelse med sikring af Active Directory vokser med ældre applikationer og komplekse it-miljøer.

• Dårligst klarede kategorien kontosikkerhed sig. Den omfatter bl.a. indstillinger for individuelle konti, f.eks. privilegerede konti med adgangskoder, der aldrig udløber.

• Forsikringsselskaber havde den lavest samlede score (55%), efterfulgt af sundhedssektoren (63%) og transportsektoren (64%).

• Transportvirksomheder fik de dårligste resultater i kategorierne gruppepolitik (36%) og kontosikkerhed (46%).

• Virksomheder inden for offentlig infrastruktur fik den højeste samlede score (71%), efterfulgt af offentlige organisationer (70%).