Ochrona przed ransomware zaczyna się przed zaszyfrowaniem danych

‍

Ransomware może rozpocząć się od pozornie niewielkiego zdarzenia: otwarcia złośliwego załącznika, przejęcia konta użytkownika, wykorzystania podatności w systemie albo uzyskania dostępu do urządzenia, które nie zostało odpowiednio zabezpieczone.

Po wejściu do środowiska atakujący może przez pewien czas rozpoznawać infrastrukturę, zdobywać kolejne uprawnienia i szukać dostępu do ważniejszych systemów. Może również próbować wyłączyć mechanizmy ochronne, usunąć kopie zapasowe lub przygotować jednoczesny atak na wiele urządzeń.

Samo szyfrowanie danych często pojawia się dopiero na końcu tego procesu.

Dlatego ochrona przed ransomware obejmuje kilka różnych obszarów bezpieczeństwa. Ochrona urządzeń i serwerów pozwala wykrywać podejrzane działania na poziomie endpointów. Zabezpieczenia sieci ograniczają komunikację i możliwość przemieszczania się pomiędzy systemami. Mechanizmy ochrony tożsamości utrudniają wykorzystanie przejętych kont. Systemy monitorowania pozwalają łączyć informacje z różnych źródeł i szybciej zauważyć nietypową aktywność.

Ważną częścią całego środowiska są również kopie zapasowe oraz procedury odzyskiwania danych. W przypadku poważnego incydentu liczy się każda godzina potrzebna na przywrócenie najważniejszych systemów.

Dobrze zaprojektowana ochrona pozwala zatrzymać zagrożenie na różnych etapach i ograniczyć jego wpływ na działanie organizacji.

squareTec projektuje i integruje takie środowiska, dopasowując architekturę bezpieczeństwa do istniejącej infrastruktury, systemów i wymagań organizacji.

‍

Jak działa ochrona przed ransomware?

Atak ransomware może przebiegać przez kilka etapów. Na każdym z nich organizacja ma inne możliwości wykrycia zagrożenia i ograniczenia jego skutków.

Zapobieganie uzyskaniu dostępu

Pierwszym zadaniem jest ograniczenie możliwości wejścia do środowiska organizacji. W praktyce oznacza to między innymi ochronę poczty i ruchu internetowego, zabezpieczenie urządzeń końcowych, zarządzanie podatnościami oraz kontrolę dostępu do systemów.

Znaczenie ma również sposób zarządzania kontami uprzywilejowanymi. Przejęte konto administratora może dać napastnikowi znacznie większe możliwości działania niż zwykłe konto użytkownika.

Wykrywanie podejrzanej aktywności

Nie każdy atak można rozpoznać na podstawie konkretnego pliku lub znanej sygnatury. W wielu przypadkach ważniejsze jest zachowanie urządzenia, użytkownika albo aplikacji.

Masowa zmiana plików, nietypowe uruchamianie procesów, próby uzyskania dodatkowych uprawnień czy komunikacja z nieznanymi zasobami mogą wskazywać na trwający incydent.

Im wcześniej takie zachowanie zostanie zauważone, tym więcej możliwości pozostaje po stronie organizacji.

Ograniczenie rozprzestrzeniania się ataku

Po uzyskaniu dostępu napastnik może próbować przejść z jednego urządzenia do kolejnych systemów. W dużej organizacji może to oznaczać stopniowe przejmowanie kolejnych segmentów infrastruktury.

Segmentacja sieci, kontrola komunikacji i odpowiednio zdefiniowane uprawnienia ograniczają możliwość takiego przemieszczania się.

Ma to szczególne znaczenie w środowiskach, w których obok klasycznej infrastruktury IT działają systemy OT, urządzenia IoT, systemy automatyki lub rozwiązania odpowiedzialne za bezpieczeństwo techniczne.

Izolacja i reakcja

Po wykryciu zagrożenia liczy się czas potrzebny na podjęcie działania.

W zależności od zastosowanej architektury można odizolować urządzenie, zablokować określoną komunikację, odebrać uprawnienia albo zatrzymać podejrzany proces.

Część takich działań może zostać zautomatyzowana. Pozostałe wymagają decyzji zespołu odpowiedzialnego za bezpieczeństwo i znajomości zależności pomiędzy systemami.

Odzyskanie działania

Kopie zapasowe są jednym z podstawowych elementów przygotowania organizacji na ransomware. Powinny być odpowiednio chronione, odseparowane od głównego środowiska i regularnie sprawdzane pod kątem możliwości odtworzenia danych.

Równie ważna jest kolejność przywracania systemów. W dużej organizacji nie wszystkie aplikacje mają takie samo znaczenie dla działalności. Przygotowana wcześniej lista systemów krytycznych i procedura ich odtworzenia pozwalają skrócić czas potrzebny na powrót do normalnego działania.

‍

Ochrona przed ransomware w środowiskach IT, OT i systemach bezpieczeństwa

Infrastruktura dużej organizacji często obejmuje znacznie więcej niż komputery użytkowników i serwery.

W zależności od działalności mogą w niej funkcjonować systemy IT, środowiska OT, urządzenia IoT, monitoring wizyjny, kontrola dostępu, systemy automatyki, serwery aplikacyjne i rozwiązania rozmieszczone w wielu lokalizacjach.

Każdy z tych elementów ma własne wymagania dotyczące dostępności, aktualizacji, komunikacji i sposobu zabezpieczenia. W środowisku operacyjnym nie zawsze można po prostu wyłączyć urządzenie, zmienić jego konfigurację lub przeprowadzić aktualizację bez wcześniejszej analizy wpływu na działanie całego systemu.

Dlatego architektura ochrony powinna uwzględniać rzeczywiste zależności pomiędzy systemami.

‍

Integracja systemów bezpieczeństwa

W dużej organizacji może jednocześnie działać wiele rozwiązań odpowiedzialnych za bezpieczeństwo: ochrona endpointów, firewall, EDR lub XDR, systemy IAM, zabezpieczenia poczty, backup, SIEM oraz narzędzia do monitorowania infrastruktury.

Każde z nich dostarcza innych informacji. Jedno może wykryć podejrzane logowanie, inne nietypowy proces na komputerze, a jeszcze inne komunikację z podejrzanym adresem.

Połączenie tych informacji pozwala spojrzeć na incydent szerzej i lepiej ocenić jego zakres.

squareTec integruje rozwiązania różnych producentów z istniejącą infrastrukturą organizacji. W zależności od projektu architektura może obejmować między innymi rozwiązania klasy XDR, SIEM, IAM, ochronę sieci, endpointów i infrastruktury.

Dobór technologii zależy od środowiska klienta, jego wymagań oraz systemów, które już funkcjonują w organizacji.

‍

Przygotowanie organizacji na incydent ransomware

Technologie stanowią jedną część przygotowania do ataku. Równie ważne jest określenie sposobu postępowania w sytuacji, gdy zagrożenie zostanie wykryte.

Warto wcześniej określić:

• które systemy są krytyczne dla działania organizacji,
• które urządzenia i segmenty sieci można odizolować,
• kto podejmuje decyzję o odcięciu systemu,
• jakie dane wymagają priorytetowego odtworzenia,
• gdzie znajdują się kopie zapasowe,
• jak wygląda proces przywracania systemów,
• które zespoły powinny zostać zaangażowane w obsługę incydentu.

Tak przygotowany proces pozwala ograniczyć czas potrzebny na podejmowanie decyzji w trakcie rzeczywistego zdarzenia.

W przypadku dużych organizacji ma to szczególne znaczenie, ponieważ pojedynczy incydent może dotknąć jednocześnie wielu lokalizacji, systemów i zespołów.

‍

Jak pomagamy chronić organizację przed ransomware?

Projektujemy i integrujemy środowisko ochrony dopasowane do infrastruktury, systemów i sposobu działania organizacji.

Zakres prac może obejmować:

• Analizę zabezpieczeń – ocenę obecnej architektury, konfiguracji i sposobu ochrony najważniejszych zasobów.
• Segmentację sieci IT i OT – wydzielenie środowisk i ograniczenie komunikacji pomiędzy systemami, które nie powinny mieć do siebie bezpośredniego dostępu.
• Ochronę poczty elektronicznej – ograniczenie ryzyka związanego z phishingiem, złośliwymi załącznikami i odnośnikami.
• Ochronę stacji roboczych i serwerów – wykrywanie i blokowanie podejrzanych procesów oraz zachowań.
• Backup i disaster recovery – zabezpieczenie kopii danych i przygotowanie środowiska do odtworzenia kluczowych systemów.
• Integrację z SOC – przekazywanie i korelację informacji o zdarzeniach oraz wsparcie procesów reagowania.
• Procedury reagowania na incydenty – przygotowanie scenariuszy działania, izolacji zagrożonych zasobów i przywracania systemów.