Verizon Business Report Speaks Volumes

This morning I attended a call discussing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 new Verizon Business 2008 Data Breach Investigations Report. I'd like to quote cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 linked blog post and a previous article titled I Was an Anti-MSS Zealot, both of which I recommend reading in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir entirety. First I cite some background on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 study.

Verizon Business began an initiative in 2007 to identify a comprehensive set of metrics to record during each data compromise investigation. As a result of this effort, we pursued a post-mortem examination of over 500 security breach and data compromise engagements between 2004 and 2007 which provided us with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 vast amount of factual evidence used to compile this study. This data covers 230 million compromised records. Amongst cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se are roughly one-quarter of all publicly disclosed data breaches in both 2006 and 2007, including three of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 five largest data breaches ever reported.

The Verizon Business 2008 Data Breach Investigations Report contains first-hand information on actual security breaches... (emphasis added)

That's awesome -- a study based on what Verizon's Incident Response Team found during cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir work. Next let's read some thoughts from one of Verizon's security team.

I used to think that Intrusion Detection Systems (IDS) and Managed Security Services (MSS) were a waste of time. After all, most attacks that I had worked on began, and were over, within seconds, and were typically totally automated...

But cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Verizon Business 2008 Data Breach Investigations Report tells a very different story. The successful attacks were almost universally multi-faceted and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 various timeframes are truly astounding. The series of pie charts in Figure 21 are cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 most interesting data.



The first chart shows that more than half of attacks take days, weeks, or months from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 point of entry of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 attack (cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 first successful attack step) to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 point of data compromise (not simply system compromise, but cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 point at which cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 criminal has actually done material harm). 90% take more than hours and over 50% take days or longer. Clearly if an appropriate log was instrumented and being regularly reviewed or an IDS alarm occurred, you would notice and could stop cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 attack in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 vast majority of our cases.

The second pie chart in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 series reveals that 63% of companies do not discover cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 compromise for months and that almost 80% of cases do not learn of attacks for weeks after cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y occur. In 95% of cases it took cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 organization longer than days after cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 compromise to learn of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 attack. There are hundreds of cases in which cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 inside team eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r didn’t look at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 logs (in 82% of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 breaches in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 study, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 evidence was manifested in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir logs), or for some ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r reason (were frustrated, tired, overwhelmed by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 logs, found cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m to be not-interesting, felt cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y were too noisy after a few days or weeks) simply quit looking... (emphasis added)

That is amazing. Consider cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following regarding patching.

[O]nly 22% of our cases involved exploitation of a vulnerability, of which, more than 80% were known, and of those all had a patch available at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 time of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 attack. This is not to say that patching is not effective, or necessary, but we do suggest that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 emphasis on it is misplaced and inappropriately exaggerated by most organizations. For cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 sake of clarity, 78% of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 breaches we handled would have still occurred if systems had been 100% patched cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 instance a patch was available. Clearly patching isn’t cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 solution to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 majority of breaches we investigated.

How about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 source of attacks?

While criminals more often came from external sources, and insider attacks result in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 greatest losses, criminals at, or via partner connections actually represent cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 greatest risk. This is due to our risk equation: Threat X Impact = Risk

• External criminals pose cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 greatest threat (73%), but achieve cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 least impact (30,000 compromised records), resulting in a Psuedo Risk Score of 21,900


• Insiders pose cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 least threat (18%), and achieve cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 greatest impact (375,000 compromised records), resulting in a Pseudo Risk Score of 67,500


• Partners are middle in both (39% and 187,500), resulting in a Pseudo Risk Score of 73,125

While cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se are rudimentary numbers, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 relative risk scores are reasonable and discernable. It is also worth noting that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Partner numbers rose 5-fold over cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 duration of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 study, making partner crime cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 leading factor in breaches. This is likely due to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ever increasing number of partner connections businesses are establishing, while doing little to nothing to increase cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir ability to monitor or control cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir partner’s security posture. Perhaps as expected, insider breaches are cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 result of your IT Administrators 50% of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 time. (Note cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 original blog post doesn't say 39%, although cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 report and briefing does.)

I think that's consistent with what I've said: external attacks are cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 most prevalent, but insiders can cause cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 worst damage. (The authors note cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 definition of "insiders" can be fuzzy, with partners sometimes considered insiders.)

This chart is one of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 saddest of all.



Unfortunately, it confirms my own experience and that of my colleagues.

I'll add a few more items:

• Three quarters of all breaches are not discovered by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 victim


• Attacks are typically not terribly difficult or do not require advanced skills


• 85% of attacks are opportunistic racá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r than targeted


• 87% could have been prevented by reasonable measures any company should have been capable of implementing or performing

Sounds like my Caveman post from last year.

I am really glad Verizon published this report and I look forward to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 next edition in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fall.