Hasta ahora, hemos cubierto las cosas que generalmente puede hacer para proteger sus datos y mantener la continuidad del negocio ante un desastre. Pero hay un tipo de desastre que está en aumento y que vale la pena abordar por sí solo: ransomware.
Los ciberdelincuentes siempre han sido una amenaza, pero si bien los hacktivistas de ayer estaban motivados por creencias políticas, culturales y religiosas, los ciberdelincuentes actuales están en gran medida motivados por las ganancias financieras. Ransomware, en el que un hacker lo bloquea de sus datos a través de la encriptación hasta que paga un rescate, ahora es una industria multimillonaria. Y en un mundo en el que el tiempo de inactividad se traduce directamente en la pérdida de ingresos, nunca ha sido más tentador pagar ese rescate.
En las siguientes secciones, cubriremos las cosas que puede hacer para mitigar un ataque de ransomware.
Cómo prevenir un ataque de ransomware
La mejor manera de combatir el ransomware es evitar que ocurra en primer lugar. Se trata de obtener visibilidad de todo el sistema, practicar una buena higiene de datos y tener un plan implementado para lidiar con una amenaza una vez que lo haya identificado.
- Registro y monitoreo: Las herramientas de registro y monitoreo de sistemas pueden brindarle una vista panorámica de sus sistemas y ayudarlo a comprender cómo es su infraestructura de TI cuando todo funciona sin problemas. Las técnicas de análisis rápidas en tiempo real pueden ayudarlo a detectar anomalías (p. ej., un pico en el tráfico de una dirección IP sospechosa) y otras actividades que pueden provocarle un posible ataque.
- Higiene de datos: Cuando los hackers plantan malware, buscan vulnerabilidades de seguridad, como sistemas operativos sin parches, herramientas de terceros mal seguras y administración de datos desordenada. La higiene de datos significa implementar una buena administración de parches, configuración del sistema y prácticas de desinfección de datos. Estas cosas no solo hacen que su organización funcione de manera más fluida, sino que también reducen en gran medida la superficie de ataque de un posible ataque informático.
- Seguridad operativa: Los humanos son una vulnerabilidad que a menudo se pasa por alto cuando se trata de ciberseguridad. La implementación de la autenticación multifactor, los controles administrativos y el nivelado de datos puede garantizar que los datos solo estén disponibles para las personas autorizadas que los necesitan. La capacitación de concientización sobre seguridad que cubre las técnicas de los hackers y los ataques de phishing puede ayudar a preparar a su organización para detectar intentos reales en la naturaleza.
Qué hacer durante un ataque de ransomware
Los ciberataques no son tan evidentes en la vida real como lo son para los protagonistas de las películas. El ataque en sí puede durar solo de 30 a 40 minutos a medida que acceden a sus archivos y se mueven lateralmente a través de sus redes, encriptando archivos y eliminando copias de seguridad. Por otro lado, un atacante puede acechar su red mucho después de obtener acceso, monitoreando sus respuestas a las anomalías mientras planifica un ataque real. De cualquier manera, cuando reciba una nota de rescate para sus datos, el ataque ya se ha completado.
La única forma de detectar un ataque de ransomware mientras aún está sucediendo es notar los intentos de phishing frustrados a medida que ocurren (capacitando a sus empleados) o detectar actividad sospechosa en su red a través de SEIM y registros. Siempre que haya tomado estos pasos proactivos y tenga las herramientas necesarias, vale la pena tener un plan de respuesta a incidentes cibernéticos (CIR) para lidiar con la actividad anómala cuando la descubra. Documente todo y notifique al personal de TI relevante para aislar los sistemas afectados y mitigar los daños. Necesitará esos registros para cumplir con los requisitos de cumplimiento y ayudar a las fuerzas de seguridad con las investigaciones en caso de que esa actividad demuestre ser un ataque de ransomware real. Analizaremos los detalles de la creación de un plan de CIR más adelante en este artículo.
Recuperación ante desastres después de un ataque de ransomware
Por lo tanto, sus archivos han sido encriptados y acaba de recibir una nota de ransomware. ¿Cuáles son sus opciones?
Una opción es simplemente pagar el rescate, pero hacerlo podría arriesgarse a exponer a su organización a una mayor extorsión en el futuro.
Una mejor opción, siempre que haya seguido los pasos de mitigación proactiva de ransomware descritos en las secciones anteriores, es purgar, restaurar y responder:
- Purgue sus sistemas de las vulnerabilidades que permitieron a los atacantes acceder a sus datos. El hardware y el software comprometidos deben aislarse y desconectarse de la red de inmediato. Se debe realizar una auditoría del sistema y la red para garantizar que no queden puertas traseras u otro malware. Es importante desinfectar sus sistemas antes de restaurar los datos de sus copias de seguridad y ponerlos en marcha.
- Restaure los datos aprovechando su plan de copia de seguridad y recuperación. Esperamos que tenga algunas snapshots e infraestructura de recuperación ante desastres implementadas que le permitan recoger las cosas justo antes de que ocurriera el incidente cibernético. Su equipo de defensa debe realizar un análisis forense de sus datos de copia de seguridad dentro de un entorno virtual desinfectado para garantizar que los atacantes no dejen nada atrás. Está buscando un punto de recuperación sin problemas al que pueda volver a utilizar sus sistemas.
- Respond aal ataque de manera adecuada tomando medidas para revisar registros, auditar sistemas y documentar la naturaleza del ataque. Para cumplir con las regulaciones, es posible que deba notificar a los clientes sobre una violación de datos y querrá que sus registros demuestren que su organización hizo todo lo posible para responder al ataque. La información obtenida del ataque puede aprovecharse para ayudar a las fuerzas de seguridad a rastrear a los perpetradores, así como ayudar a proteger sus propios sistemas contra futuros ataques.
Más información: Guía del hacker para la mitigación y recuperación Ransomware
