Ако вашият екип по сигурността си отдъхна малко по-спокойно миналата година, когато заглавията за рансъмуер сякаш забавиха темпо, нови изследвания показват, че това облекчение може да е било преждевременно. Според репортаж на ZDNET, видимият спад в рансъмуер активността изобщо не е било отстъпление от страна на киберпрестъпниците. Това е било прегрупиране – нападателите са променили целите, методите и стратегиите си за монетизация, вместо да се откажат. За бизнесите, които изграждат защита срещу рансъмуер на базата на миналогодишната картина на заплахите, това е важен сигнал за събуждане.

Защо „спадът“ на рансъмуера беше илюзия

На повърхността, спад в докладваните инциденти с рансъмуер изглежда като добра новина. Но изследователите посочват, че суровият брой инциденти може да бъде подвеждащ. Някои рансъмуер групи се ребрандират, разделят се или притихват, само за да се появят отново под нови имена. Други преминават от масови атаки с ниска стойност към по-малко на брой, но по-целенасочени операции срещу организации, които могат да си позволят по-големи откупи. Когато измервате успеха само по броя на заглавията, пропускате основната промяна в стратегията. Заплахата не се е свила – тя е променила формата си, а тази разлика е от огромно значение за начина, по който бизнесите разпределят бюджетите си за сигурност и вниманието си.

Как рансъмуер групите прегрупират тактиките си

Прегрупирането се проявява по няколко начина. Нападателите все по-често комбинират кражба на данни с криптиране, така че дори компания със солидни резервни копия все още е изправена пред заплахата от изтичане на чувствителна информация, ако откаже да плати. Този модел на двойно изнудване е точно това, което се разигра, когато Stadler Rail отказа искане за откуп от 12,3 милиона долара от група, наричаща себе си Everest, залагайки, че собствената ѝ устойчивост надделява над риска от разкрити данни. Други групи стават по-креативни на техническо ниво. Щамът рансъмуер GodDamn, злоупотребяващ с подписан драйвер, за да деактивира антивирусни инструменти, показва как нападателите намират начини да заобиколят точно защитите, които компаниите предполагат, че работят във фонов режим. И рансъмуерът не се придържа само към очевидни цели като финанси или здравеопазване. Атаката срещу Cropwise, платформата за прецизно земеделие, свързана със Syngenta Group, за която пое отговорност група, наречена ShadowByt3$, е напомняне, че всяка индустрия, която държи ценни оперативни данни, е честна игра.

Четирите основни защити, от които бизнесът се нуждае сега

Предвид това прегрупиране, изследователите по сигурността посочват няколко основни защити, които остават съществени, независимо от това как се променя пейзажът на заплахите. Първо – устойчиви, тествани резервни копия, които са изолирани от основната мрежа, така че криптирането на продукционните системи да не компрометира и пътя ви за възстановяване. Второ – силен контрол на идентичността и достъпа, включително многофакторна автентикация, тъй като откраднатите или слаби удостоверения остават една от най-честите входни точки за нападателите. Трето – навременно поставяне на кръпки и управление на уязвимостите, които затварят пропуските, позволяващи на нападателите да се промъкнат, преди защитниците дори да забележат. Четвърто – мрежова сегментация, която ограничава докъде може да стигне нападателят, след като веднъж е вътре, сдържайки щетите, вместо да позволи на едно опорно място да прерасне в пълно компрометиране на мрежата.

Нито една от тези идеи не е нова, но прегрупирането на тактиките на рансъмуера е напомняне, че пренебрегването на която и да е от тях създава възможност, която нападателите активно търсят да използват.

Къде се вписват VPN-ите и криптираният достъп в устойчивостта срещу рансъмуер

Сигурният отдалечен достъп играе тиха, но решаваща роля в този защитен стек. VPN-ите и други инструменти за криптирана връзка помагат да се гарантира, че данните, движещи се между отдалечени служители, клонове и основни системи, не са изложени на прихващане, и могат да бъдат конфигурирани така, че да налагат точно типа сегментиран достъп, който ограничава латералното движение, ако удостоверенията бъдат компрометирани. Съчетаването на VPN със строги политики за достъп означава, че дори ако нападателят стъпи в мрежата, той не получава автоматично карта на цялата ви мрежа. Това е особено актуално, тъй като рансъмуер групите все по-често се насочват към по-малки организации и агенции, които може да нямат специализирани екипи по сигурност, както се видя в случая, при който правителствена агенция на САЩ плати около 1 милион долара на група, наречена Kairos, след като бяха откраднати 2TB данни. Криптираният, сегментиран достъп няма да спре всяка атака, но повишава цената и сложността за нападателите, което често е достатъчно, за да ги накара да се насочат към по-лесна цел.

Какво означава това за вас

Ако управлявате ИТ или сигурността за малък или среден бизнес, ключовият извод не е паника, а прекалибриране. Не приемайте, че по-леките заглавия от миналата година означават, че заплахата е отминала. Рансъмуер групите са адаптивни бизнеси сами по себе си и реагират на това, което работи. Това означава, че вашите защити трябва да бъдат също толкова адаптивни – да се преразглеждат редовно, вместо да се третират като еднократен контролен списък.

Практически изводи

Направете одит на стратегията си за резервни копия и потвърдете, че копията са изолирани и редовно тествани за възстановяване, а не само за създаване. Прегледайте кой до какво има достъп и затегнете многофакторната автентикация за всички отдалечени и привилегировани акаунти. Бъдете в крак с поставянето на кръпки, особено за интернет-свързаните системи и самата VPN инфраструктура. Накрая, оценете дали вашата мрежова сегментация и конфигурация за сигурен отдалечен достъп реално биха задържали нападател, преминал първата линия на защита, вместо да предполагате, че никога няма да бъде тествана. Организациите, които третират стратегиите за защита срещу рансъмуер в целия бизнес като непрекъсната дисциплина, а не като завършен проект, са най-добре подготвени да преодолеят всякаква форма, която заплахата приеме по-нататък.