Защо дървото за решения при рансъмуер е важно, преди да зазвучи алармата

Когато удари рансъмуер, първите часове са хаотични. Системите блокират, служителите не могат да достъпят файловете си, а ръководителите се опитват да разберат какво точно е повредено. Според експерта по сигурност Shafer-Page организациите, които реагират най-ефективно, не са тези с най-големите бюджети за сигурност. Те са тези, които вече са решили предварително как точно ще реагират.

Това е основната идея зад изграждането на дърво за решения при рансъмуер: структурирана, предварително договорена рамка, която казва на реагиращите какви действия да предприемат, щом бъдат изпълнени определени условия. Вместо да се обсъжда стратегия в разгара на кризата, екипите просто следват клоните, които са начертали предварително. Звучи просто, но повечето организации все още нямат такова, поради което усилията за реакция толкова често ескалират щетите, вместо да ги овладеят.

Определяне на ясни прагове за данни и операции

Първият стълб на ефективното дърво за решения е дефинирането на прагове преди възникването на инцидент. Това означава да се оцени в конкретни термини какво се счита за сериозен удар по целостта на данните, какво се счита за нарушение на оперативната непрекъснатост, например производствени процеси, и какво се счита за щета по критични цифрови услуги като публично достъпни уебсайтове.

Без тази яснота, установена предварително, реагиращите на инциденти са оставени да гадаят в реално време колко сериозна е всъщност ситуацията. Спиране на производствена линия може да оправдае незабавно уведомяване на ръководството и преминаване към резервни системи. Деградирал уебсайт може и да не го оправдае. Но ако никой не е договорил къде са тези граници, екипите или реагират прекалено остро, изключвайки системи ненужно, или реагират недостатъчно, позволявайки на нападателя да се разпространи още повече, докато организацията обсъжда сериозността. Мисълта на Shafer-Page е ясна: неяснотата на този етап не само забавя реакцията, тя активно влошава резултатите.

Тук е и мястото, където организациите трябва да помислят за цифровите услуги, от които зависят ежедневно. Прекъсване на уебсайт може да изглежда маловажно на хартия, но да носи непропорционални последици за репутацията и приходите в зависимост от бизнеса. Картографирането на тези зависимости предварително, а не по време на самия инцидент, е това, което отличава контролираната реакция от импровизираната.

Правомощия за преговори и финансови ограничения

Втората фокусна област в дървото за решения са параметрите за преговори и тя е може би по-чувствителната от двете. Исканията за изнудване се нуждаят от ясна верига на правомощия. Кой има право да разговаря с нападателите? Кой може да разреши плащане и до каква сума? Това не са въпроси, на които една организация иска да отговаря за първи път, докато бележка с искане за откуп лежи пред нея.

Определянето на предварително зададени финансови ограничения постига две неща. Предотвратява решения, водени от паника, при които компанията се съгласява да плати много повече, отколкото трябва, просто защото ръководството се чувства притиснато до стената. И дава на преговарящите, били те вътрешни служители или външни консултанти, твърд мандат, в рамките на който да работят, вместо да търсят постоянно одобрение по време на преговорите, което нападателите могат да използват като знак за дезорганизация.

Струва си да се отбележи, че не всяка организация изобщо избира да преговаря. Някои субекти са взели решение, публично и предварително, че няма да платят, независимо какво се иска или заплашва. Правителството на Берлин отказа да преговаря с групата за рансъмуер Rhysida още преди нападателите да отворят търга си за данни — позиция, която работи само защото решението е взето предварително, а не под натиск. В другия край на спектъра скорошни изследвания показват, че плащането все още се случва по-често, отколкото мнозина предполагат: проучване установи, че 34% от фирмите в Австралия и Нова Зеландия все още плащат искания за откуп при рансъмуер, въпреки нарастващите доказателства, че плащането не гарантира надеждно възстановяване на данните или предотвратяване на бъдещи атаки.

Какво означава това за вас

Готовността за рансъмуер не е грижа само за големите предприятия с посветени екипи по сигурността. Малките бизнеси, неправителствените организации, училищата и местните власти са чести мишени именно защото обикновено им липсва план. Ако вашата организация обработва чувствителни данни, дори basic версия на дърво за решения при рансъмуер — кратък документ, който посочва кой решава какво и при какъв праг — може драматично да съкрати времето за реакция и да намали вероятността от скъпоструваща грешка.

За отделните хора изводът е по-косвен, но все пак relevant. Организациите, които реагират добре на рансъмуер, обикновено ограничават колко от личните ви данни се разкриват или изтичат. Разбирането, че такова планиране съществува, и питане дали компаниите и институциите, на които разчитате, го имат, е разумен въпрос, който да повдигнете като потребител или клиент.

Практични изводи

  • Определете предварително какво се счита за критично въздействие върху целостта на данните, операциите и публично достъпните услуги — не чакайте активен инцидент, за да решите.
  • Установете ясни правомощия кой може да преговаря с нападателите и задайте твърди финансови ограничения, преди да пристигне каквото и да е искане за откуп.
  • Прегледайте реални примери — както организации, отказали да платят, така и такива, които са платили — за да разберете компромисите, свързани с всеки път.
  • Третирайте готовността за рансъмуер като текущо упражнение, а не еднократен документ, и преразглеждайте праговете, когато системите и зависимостите на вашата организация се променят.