Finora abbiamo trattato le cose che puoi fare in genere per proteggere i tuoi dati e mantenere la business continuity in caso di emergenza. Ma c'è un tipo di disastro che è in aumento e vale la pena affrontare da solo: il ransomware.
I criminali informatici sono sempre stati una minaccia, ma mentre gli hacker di un tempo erano motivati da convinzioni politiche, culturali e religiose, oggi i criminali informatici sono in gran parte motivati da guadagni finanziari. Ransomware, in cui un hacker ti blocca dai dati tramite crittografia fino a quando non paghi un riscatto, è ora un settore multimilionario. E in un mondo in cui il downtime si traduce direttamente in una perdita di fatturato, non è mai stato così allettante pagare quel riscatto.
Nelle sezioni seguenti, tratteremo le cose che puoi fare per contenere un attacco ransomware.
Prevenzione di un attacco ransomware
Il modo migliore per combattere il ransomware è evitare che si verifichi in primo luogo. Si tratta di ottenere una visibilità a livello di sistema, mettere in pratica una buona igiene dei dati e mettere in atto un piano per gestire una minaccia una volta identificata.
- Registrazione e monitoraggio: Gli strumenti di registrazione e monitoraggio dei sistemi possono fornire una visione d'insieme dei sistemi e aiutarti a capire come si presenta l'infrastruttura IT quando tutto funziona correttamente. I veloci analytics in tempo reale possono aiutarti a individuare le anomalie (ad esempio un picco di traffico dovuto a un indirizzo IP sospetto) e altre attività che possono portarti a un potenziale attacco.
- Igiene dei dati: Quando gli hacker piantano malware, sono alla ricerca di vulnerabilità di sicurezza come sistemi operativi privi di patch, strumenti di terze parti mal protetti e una gestione dei dati disordinata. Per igiene dei dati si intende l'implementazione di buone procedure di gestione delle patch, configurazione dei sistemi e sanificazione dei dati. Oltre a rendere la tua organizzazione più fluida, questi fattori riducono notevolmente la superficie di attacco di un potenziale attacco.
- Sicurezza operativa: Gli esseri umani sono una vulnerabilità spesso trascurata quando si tratta di sicurezza informatica. L'implementazione di autenticazione multifattore, controlli amministrativi e tiering dei dati può garantire la disponibilità dei dati solo alle persone autorizzate che ne hanno bisogno. La formazione sulla sensibilizzazione alla sicurezza che copre le tecniche degli hacker e gli attacchi di phishing può aiutare la tua organizzazione a individuare tentativi reali.
Cosa fare durante un attacco ransomware
Gli attacchi informatici non sono così ovvi nella vita reale come lo sono per i protagonisti dei film. L'attacco stesso può durare solo 30-40 minuti quando accede ai file e si sposta lateralmente attraverso le reti, crittografando i file ed eliminando i backup. D'altro canto, un utente malintenzionato potrebbe rimanere in difficoltà sulla rete molto tempo dopo aver ottenuto l'accesso, monitorando le risposte alle anomalie mentre pianifica un attacco effettivo. In ogni caso, quando ricevi una nota di riscatto per i tuoi dati, l'attacco è già stato completato.
L'unico modo per rilevare un attacco ransomware mentre è ancora in corso è prendere nota dei tentativi di phishing non appena si verificano (formando i dipendenti) o rilevare attività sospette sulla rete tramite SEIM e log. Se hai adottato queste misure proattive e disponi degli strumenti necessari, è necessario disporre di un piano di risposta agli incidenti informatici (CIR) per gestire l'attività anomala quando la scopri. Documentare tutto e informare il personale IT interessato per isolare i sistemi interessati e ridurre i danni. Nel caso in cui l'attività dovesse rivelarsi un vero attacco ransomware, è necessario disporre di tali record per soddisfare i requisiti di conformità e aiutare le forze dell'ordine a svolgere indagini. In questo articolo tratteremo i dettagli della creazione di un piano CIR.
Disaster recovery dopo un attacco ransomware
I tuoi file sono stati crittografati e hai appena ricevuto una nota di ransomware. Quali sono le tue opzioni?
Un'opzione è quella di pagare il riscatto, ma così facendo si rischia di esporre l'organizzazione a ulteriori estorsioni.
Un'opzione migliore, a condizione di aver seguito i passaggi di mitigazione proattiva del ransomware descritti nelle sezioni precedenti, è quella di eliminare, ripristinare e rispondere:
- Elimina i sistemi dalle vulnerabilità che hanno consentito agli autori degli attacchi di accedere ai tuoi dati. L'hardware e il software compromessi devono essere isolati e disconnessi immediatamente dalla rete. È necessario condurre un audit di sistema e di rete per garantire che non rimangano backdoor o altri malware. È importante eseguire la sanificazione dei sistemi prima di eseguire il restore dei dati dai backup e metterli in funzione.
- Ripristina i dati sfruttando il tuo piano di backup e ripristino. Ci auguriamo che siano presenti alcune snapshot e un'infrastruttura di disaster recovery per consentire di eseguire il pick-up subito prima che si verifichi l'incidente informatico. Il tuo team di difesa dovrebbe eseguire un'analisi forense dei dati di backup all'interno di un ambiente virtuale sanificato per assicurarsi che gli autori degli attacchi non abbiano lasciato nulla alle spalle. Stai cercando un punto di ripristino non manomesso in cui puoi riportare i tuoi sistemi.
- Rispondi in modo appropriato all'attacco adottando misure per esaminare i record, controllare i sistemi e documentare la natura dell'attacco. Per rispettare le normative, potrebbe essere necessario informare i clienti di una violazione dei dati e i log devono dimostrare che l'organizzazione ha fatto tutto il possibile per rispondere all'attacco. Le informazioni ottenute dall'attacco possono essere sfruttate per aiutare le forze dell'ordine a monitorare gli autori, oltre che per proteggere i tuoi sistemi dagli attacchi futuri.
Maggiori informazioni: Guida dell'hacker alla riduzione e al ripristino dal Ransomware
