Ransomware bliver stadig hurtigere, og det samme gør responsen. Microsoft har detaljeret beskrevet, hvordan deres automatiserede enhedsisolationsteknologi kan stoppe et ransomwareangreb hurtigt ved at afskære en kompromitteret maskine fra resten af netværket på blot 128 sekunder. Offentliggørelsen kommer samtidig med, at flere rapporter bekræfter, at ransomwaretruslen fortsætter med at stige – en påmindelse om, at detektionshastighed nu betyder lige så meget som styrken af et enkelt forsvarssystem.

For virksomheders sikkerhedsteams er 128 sekunder en milepæl, der er værd at fejre. For almindelige brugere uden et security operations center, der overvåger deres trafik døgnet rundt, rejser det et sværere spørgsmål: hvad sker der, når der ikke er noget automatiseret system mellem dig og en angriber?

Hvad Microsofts 128-sekunders enhedsisolation faktisk gør

Microsofts tilgang fokuserer på automatisk at identificere en enhed, der opfører sig som om den er kompromitteret – f.eks. usædvanlig filkrypteringsaktivitet – og afskære dens netværksadgang, før malwaren kan sprede sig til andre maskiner. Tallet på 128 sekunder repræsenterer tidsrummet mellem detektion og fuld isolation, en periode hvor den inficerede enhed i princippet er i karantæne, mens efterforskere finder ud af, hvad der er sket.

Denne form for automatiseret reaktion er kun mulig, fordi store organisationer har infrastrukturen til løbende at overvåge slutpunkter og handle på trusselssignaler i realtid. Det er et betydningsfuldt fremskridt for virksomhedsnetværk, hvor en enkelt inficeret bærbar ellers kan blive indgangen til en virksomhedsomfattende krypteringshændelse. Men det understreger også, hvor meget moderne ransomwareforsvar afhænger af værktøjer, som de fleste enkeltpersoner simpelthen ikke har adgang til.

Hvorfor ransomware bevæger sig hurtigere, end de fleste hjemmebrugere kan reagere

Moderne ransomware ligger ikke stille på et system og venter på at blive opdaget. Når den først aktiveres, kan krypteringen sprede sig på tværs af filer og tilsluttede drev på få minutter – nogle gange hurtigere, end en person kunne opdage, at noget er galt, endsige trække stikket til routeren eller slukke en enhed. Det er netop derfor, virksomhedsforsvar er bygget op omkring automatisering frem for menneskelig reaktionstid.

Hjemmebrugere og små virksomheder mangler typisk et tilsvarende tidligt varslingssystem. Der er intet sikkerhedsteam, der holder øje med unormal filaktivitet kl. 2 om natten, og ingen automatiseret kill switch, der isolerer en enhed i det øjeblik noget ser mistænkeligt ud. Når et løsesumsnotat vises på skærmen, er krypteringen normalt allerede gennemført. Denne kløft mellem automatiserede virksomhedsreaktioner og forbrugernes reaktionstid er den centrale udfordring for alle uden dedikeret it-support.

Hvad dette betyder for dig: Praktiske skridt uden virksomhedsværktøjer

Du behøver ikke et virksomheds-sikkerhedsbudget for at opbygge meningsfulde forsvarsværker mod ransomware. Målet er at reducere både sandsynligheden for infektion og skaden, hvis den alligevel sker.

Start med sikkerhedskopier. Regelmæssige offline- eller cloud-sikkerhedskopier, der ikke er konstant forbundet til din primære enhed, betyder, at selv et succesfuldt ransomwareangreb ikke vil koste dig dine filer. Hold operativsystemer og software opdateret, da mange ransomwareinfektioner udnytter kendte sårbarheder, som patches allerede lukker. Vær forsigtig med vedhæftede filer i e-mails og links, og betragt uopfordrede anmodninger om fjernadgang eller softwareinstallation med mistro – især hvis de hævder at være fra it-support.

Et godt antivirus- eller endpoint-beskyttelsesværktøj med realtidsovervågning kan fange mistænkelig adfærd, selv uden isolationssystemer på virksomhedsniveau. Netværkssegmentering derhjemme – f.eks. at holde smartenheder på et separat netværk fra computere med følsomme filer – kan også begrænse, hvor langt en infektion spreder sig, hvis en enhed bliver kompromitteret. Ingen af disse tiltag genskaber en 128-sekunders automatiseret reaktion, men tilsammen reducerer de angrebsfladen betydeligt.

Hvordan ransomwarebander kommer ind, før isolation overhovedet har betydning

Intet isolationssystem – automatiseret eller ej – har nogen betydning, hvis angriberne aldrig udløser en detekterbar hændelse i første omgang. I stigende grad fokuserer ransomwaregrupper på at komme stille ind og deaktivere forsvar, før nogen opdager det. En nylig kampagne viste angribere, der udgav sig for at være falsk it-support på Microsoft Teams for at sætte gang i et ransomware-bølge og narre medarbejdere til at give direkte adgang. Andre grupper er gået videre og bruger teknikker som den, der blev set i GodDamn ransomware, der misbrugte en signeret driver til at dræbe antivirusværktøjer fuldstændigt og fjerne selve den beskyttelse, der normalt ville udløse en automatiseret isolationsreaktion.

Disse taktikker er vigtige, fordi de rammer de antagelser, der er indbygget i moderne forsvarssystemer. Hvis en angriber kan deaktivere sikkerhedssoftware eller overbevise en bruger om frivilligt at give adgang, får de detektionssystemer, der muliggør hurtig isolation, aldrig chancen for at aktivere.

Konklusionen

Microsofts 128-sekunders isolationskapacitet er et stærkt eksempel på, hvordan automatiseret, hurtig reaktion kan stoppe et ransomwareangreb hurtigt, når det først er opdaget. Men detektion er kun halvdelen af ligningen. Efterhånden som ransomwaregrupper bliver bedre til social engineering og til at deaktivere sikkerhedsværktøjer, før krypteringen overhovedet begynder, forbliver forebyggelse og lagdelt forsvar lige så afgørende for almindelige brugere, som reaktionshastighed er for store organisationer.

Hvis du vil forstå, hvordan angribere rent faktisk får fodfæste, før noget isolationssystem træder i kraft, er det værd at læse, hvordan grupper har brugt falske supporthenvendelser og AV-dræber-teknikker til fuldstændigt at omgå forsvarsværker. At holde sig informeret om disse indgangstaktikker er et af de mest praktiske skridt, enhver læser kan tage for at undgå ransomware i første omgang.