Tot nu toe hebben we de dingen behandeld die u over het algemeen kunt doen om uw data te beschermen en de bedrijfscontinuïteit te behouden in het geval van een ramp. Maar er is één soort ramp die in opkomst is en de moeite waard is om alleen aan te pakken: ransomware.
Cybercriminelen zijn altijd al een bedreiging geweest, maar hoewel de hacktivisten van vroeger werden gemotiveerd door politieke, culturele en religieuze overtuigingen, worden de huidige cybercriminelen grotendeels gemotiveerd door financiële winsten. Ransomware , waarbij een hacker u via encryptie uit uw data houdt totdat u losgeld betaalt, is nu een sector die miljoenen dollars waard is. En in een wereld waar downtime zich direct vertaalt in verloren inkomsten, is het nog nooit zo verleidelijk geweest om gewoon dat losgeld te betalen.
In de volgende paragrafen behandelen we de dingen die u kunt doen om een ransomware-aanval te beperken.
Voorkomen van een ransomware-aanval
De beste manier om ransomware te bestrijden is om te voorkomen dat het in de eerste plaats optreedt. Het gaat om het verkrijgen van systeembrede zichtbaarheid, het toepassen van goede datahygiëne en het hebben van een plan om een bedreiging aan te pakken zodra u deze hebt geïdentificeerd.
- Loggen en monitoren: Logging- en systeemmonitoringtools kunnen u een overzicht geven van uw systemen en u helpen begrijpen hoe uw IT-infrastructuur eruitziet wanneer alles soepel draait. Snelle realtime analyses kunnen u helpen om anomalieën op te sporen (bijv. een piek in het verkeer van een verdacht IP-adres) en andere activiteiten die u kunnen omleiden tot een potentiële aanval.
- Datahygiëne: Wanneer hackers malware planten, zijn ze op zoek naar beveiligingskwetsbaarheden zoals ongepatchte besturingssystemen, slecht beveiligde tools van derden en rommelig datamanagement. Datahygiëne betekent het implementeren van goede praktijken voor patchbeheer, systeemconfiguratie en dataontsmetting. Deze dingen zorgen er niet alleen voor dat uw organisatie soepeler werkt, maar ze verminderen ook het aanvalsoppervlak van een potentiële hack aanzienlijk.
- Operationele beveiliging: Mensen worden vaak over het hoofd gezien als het gaat om cybersecurity. Het implementeren van multi-factor authenticatie, administratieve controles en data tiering kan ervoor zorgen dat data alleen beschikbaar zijn voor de geautoriseerde personen die het nodig hebben. Beveiligingsbewustzijnstraining over de technieken van hackers en phishing-aanvallen kan uw organisatie helpen zich voor te bereiden op het opsporen van echte pogingen in het wild.
Wat te doen tijdens een ransomware-aanval
Cyberaanvallen zijn in het echte leven niet zo duidelijk als voor de hoofdrolspelers van films. De aanval zelf kan slechts 30-40 minuten duren omdat ze toegang hebben tot uw bestanden en zijwaarts door uw netwerken gaan, bestanden versleutelen en back-ups verwijderen. Aan de andere kant kan een aanvaller lang na het verkrijgen van toegang op uw netwerk schuilgaan en uw reacties op anomalieën volgen terwijl ze een daadwerkelijke aanval plannen. Hoe dan ook, tegen de tijd dat u een losgeldbriefje voor uw data ontvangt, is de aanval al voltooid.
De enige manier om een ransomware-aanval op te vangen terwijl deze nog steeds plaatsvindt, is door op de hoogte te zijn van gefolieerde phishing-pogingen terwijl ze plaatsvinden (door uw werknemers op te leiden) of verdachte activiteiten op uw netwerk op te vangen via SEIM's en logs. Als u deze proactieve stappen hebt genomen en over de nodige tools beschikt, loont het om een cyberincident response (CIR)-plan te hebben om de afwijkende activiteit aan te pakken wanneer u het ontdekt. Documenteer alles en breng het relevante IT-personeel op de hoogte om getroffen systemen te isoleren en schade te beperken. U hebt die dossiers nodig om te voldoen aan de nalevingsvereisten en om wetshandhaving te helpen bij onderzoeken als die activiteit een echte ransomware-aanval blijkt te zijn. We behandelen de details van het maken van een CIR-plan later in dit artikel.
Post-ransomware aanval disaster recovery
Uw bestanden zijn dus versleuteld en u hebt zojuist een ransomware-bericht ontvangen. Wat zijn uw opties?
Een optie is gewoon het losgeld te betalen, maar dit kan uw organisatie blootstellen aan verdere afpersing.
Een betere optie, mits u de proactieve stappen voor ransomwarebeperking hebt gevolgd die in eerdere paragrafen zijn beschreven, is het opschonen, herstellen en reageren:
- Verwijder uw systemen van de kwetsbaarheden die de aanvallers toegang geven tot uw data. Aangetaste hardware en software moeten onmiddellijk worden geïsoleerd en losgekoppeld van het netwerk. Er moet een systeem- en netwerkaudit worden uitgevoerd om ervoor te zorgen dat er geen achterdeuren of andere malware achterblijft. Het is belangrijk om uw systemen te ontsmetten voordat u data van uw back-ups herstelt en live gaat.
- Herstel data door gebruik te maken van uw back-up- en herstelplan. Hopelijk beschikt u over een aantal snapshots en een infrastructuur voor disaster recovery, zodat u alles kunt oppikken vlak voordat het cyberincident plaatsvond. Uw verdedigingsteam moet een forensische analyse van uw back-updata uitvoeren binnen een ontsmette virtuele omgeving om ervoor te zorgen dat de aanvallers niets achterlieten. U bent op zoek naar een ongestoord herstelpunt waarnaar u uw systemen kunt terugrollen.
- Reageer op de aanval door maatregelen te nemen om dossiers en auditsystemen te beoordelen en de aard van de aanval te documenteren. Om aan de regelgeving te voldoen, moet u klanten mogelijk op de hoogte stellen van een datalek en wilt u dat uw logboeken aantonen dat uw organisatie er alles aan heeft gedaan om op de aanval te reageren. De informatie die uit de aanval wordt verkregen, kan worden gebruikt om wetshandhavingsinstanties te helpen de daders op te sporen en uw eigen systemen te beveiligen tegen toekomstige aanvallen.
Meer lezen. Hacker's gids voor ransomwarebeperking en Ransomwareherstel
