Hasta ahora, hemos tratado las cosas que normalmente puede hacer para proteger sus datos y mantener la continuidad operativa ante un desastre. Pero hay un tipo de desastre que va en aumento y que vale la pena abordar por sí solo: el ransomware.
Los ciberdelincuentes siempre han sido una amenaza, pero aunque los hacktivistas de antaño estaban motivados por creencias políticas, culturales y religiosas, los ciberdelincuentes actuales están motivados en gran medida por los beneficios financieros. Ransomware, en el que un hacker le bloquea los datos mediante cifrado hasta que paga un rescate, es ahora un sector multimillonario. Y en un mundo en el que el tiempo de inactividad se traduce directamente en una pérdida de ingresos, nunca ha sido tan tentador pagar ese rescate.
En las siguientes secciones, trataremos las cosas que puede hacer para mitigar un ataque de ransomware.
Cómo prevenir un ataque de ransomware
La mejor manera de combatir el ransomware es evitar que ocurra en primer lugar. Se trata de obtener una visibilidad de todo el sistema, de practicar una buena higiene de datos y de tener un plan implementado para hacer frente a una amenaza una vez que la haya identificado.
- Registro y supervisión: Las herramientas de registro y supervisión del sistema pueden proporcionarle una vista general de sus sistemas y ayudarle a entender cómo es su infraestructura de TI cuando todo funciona sin problemas. Las analíticas rápidas en tiempo real pueden ayudarle a detectar anomalías (por ejemplo, un pico de tráfico de una dirección IP sospechosa) y otras actividades que pueden llevarle a un posible ataque.
- Higiene de datos: Cuando los piratas informáticos plantan malware, buscan vulnerabilidades de seguridad, como sistemas operativos sin parches, herramientas de terceros mal protegidas y una gestión de datos desordenada. La higiene de los datos significa implementar unas buenas prácticas de gestión de los parches, configuración del sistema y desinfección de los datos. Estas cosas no solo hacen que su organización funcione mejor, sino que también reducen en gran medida la superficie de ataque de un posible ataque.
- Seguridad operativa: Los humanos son una vulnerabilidad que a menudo se pasa por alto cuando se trata de ciberseguridad. La implementación de la autenticación multifactorial, los controles administrativos y la estratificación de los datos puede garantizar que los datos solo estén disponibles para las personas autorizadas que los necesitan. La formación de concienciación sobre la seguridad que cubre las técnicas de los hackers y los ataques de phishing puede ayudar a su organización a prepararse para detectar intentos reales en la naturaleza.
Qué hacer durante un ataque de ransomware
Los ciberataques no son tan evidentes en la vida real como lo son para los protagonistas de las películas. El ataque en sí mismo puede durar solo 30-40 minutos a medida que acceden a sus archivos y se mueven lateralmente a través de sus redes, cifrando archivos y borrando copias de seguridad. Por otro lado, un atacante puede acechar en su red mucho después de acceder, supervisando sus respuestas a las anomalías a medida que planifica un ataque real. En cualquier caso, cuando recibe una nota de rescate para sus datos, el ataque ya se ha completado.
La única manera de detectar un ataque de ransomware mientras sigue ocurriendo es notar los intentos de phishing fragmentados a medida que se producen (capacitando a sus empleados) o detectar actividades sospechosas en su red a través de SEIM y registros. Siempre que haya tomado estas medidas proactivas y tenga las herramientas necesarias, vale la pena tener un plan de respuesta a ciberincidentes (CIR) para hacer frente a la actividad anómala cuando la descubra. Documente todo y notifique al personal informático pertinente para aislar los sistemas afectados y mitigar los daños. Necesitará esos registros para cumplir los requisitos de cumplimiento normativo y ayudar a las fuerzas del orden público con las investigaciones si esa actividad demuestra ser un ataque de ransomware real. Veremos los detalles de la creación de un plan CIR más adelante en este artículo.
Recuperación tras un desastre tras un ataque de ransomware
Así que sus archivos se han cifrado y acaba de recibir una nota de ransomware. ¿Cuáles son sus opciones?
Una opción es pagar el rescate, pero hacerlo podría arriesgarse a exponer a su organización a una mayor extorsión en el futuro.
Una mejor opción, siempre que haya seguido los pasos proactivos de mitigación del ransomware descritos en las secciones anteriores, es purgar, restaurar y responder:
- Purgue sus sistemas de las vulnerabilidades que permitieron que los atacantes accedieran a sus datos. El hardware y el software comprometidos deben aislarse y desconectarse de la red inmediatamente. Se debe realizar una auditoría del sistema y de la red para garantizar que no quedan puertas traseras u otro malware. Es importante desinfectar sus sistemas antes de restaurar los datos de sus copias de seguridad y de ponerlos en marcha.
- Restaure los datos aprovechando su plan de copia de seguridad y recuperación. Esperamos que tenga unas copias instantáneas y una infraestructura de recuperación de desastres que le permitan recoger las cosas justo antes de que se produzca el incidente cibernético. Su equipo de defensa debe realizar un análisis forense de sus datos de respaldo en un entorno virtual desinfectado para garantizar que los atacantes no se queden nada atrás. Está buscando un punto de recuperación sin impedimentos al que pueda devolver sus sistemas.
- Respond aadecuadamente al ataque adoptando medidas para revisar los registros, auditar los sistemas y documentar la naturaleza del ataque. Para cumplir las normativas, es posible que tenga que notificar a los clientes una vulneración de datos y que quiera que sus registros demuestren que su organización ha hecho todo lo posible para responder al ataque. La información obtenida del ataque puede aprovecharse para ayudar a las fuerzas del orden público a localizar a los autores, así como para ayudar a proteger sus propios sistemas frente a futuros ataques.
Más información: Guía del Hacker para la Mitigación y la Recuperación del Ransomware
