Ein Jahr später: Was in Nevada tatsächlich geschah

Ein Jahr, nachdem Bedrohungsakteure still und leise in die staatlichen Systeme Nevadas eingedrungen sind, teilen Beamte neue Details darüber, wie sich der Angriff entfaltet hat und wie der Staat reagiert hat. Laut dem Technologiebüro des Gouverneurs saßen Hacker über einen längeren Zeitraum unentdeckt in staatlichen Netzwerken, bevor sie Ende August Ransomware einsetzten. Diese Art von Verweildauer, bei der Angreifer in einem Netzwerk verweilen und Systeme sowie Zugangspunkte kartieren, bevor sie zuschlagen, ist ein Kennzeichen hochentwickelter Ransomware-Operationen und eines der schwierigsten Probleme für Verteidiger, in Echtzeit zu erkennen.

Als die Ransomware schließlich aktiviert wurde, störte sie staatliche Dienste und zwang Beamte zu einer kritischen Entscheidung: das Lösegeld zahlen oder neu aufbauen. Nevada entschied sich, nicht zu zahlen.

Warum Nevada sich weigerte, das Lösegeld zu zahlen

Der Nachbericht des Staates schreibt diese Entscheidung dem Vertrauen in seine Backup-Systeme zu. Statt mit Erpressern zu verhandeln, stützte sich Nevada auf bestehende Datensicherungen, um betroffene Systeme von Grund auf neu aufzubauen. Die Ergebnisse, wie im Bericht dargelegt, waren erheblich: Wesentliche Dienste wurden innerhalb von 28 Tagen wiederhergestellt, und etwa 90 % der vom Angriff betroffenen staatlichen Daten wurden wiederhergestellt, ohne einen einzigen Dollar an die Angreifer zu zahlen.

Dieses Ergebnis ist über Nevadas Grenzen hinaus von Bedeutung. Ransomware-Gruppen verlassen sich auf die Annahme, dass Opfer keine andere Wahl haben, als zu zahlen. Wenn eine Organisation nachweisen kann, dass ihre Backups aktuell, vom Primärnetzwerk isoliert und tatsächlich wiederherstellbar sind, entzieht sie den Angreifern einen Großteil ihres Hebels. Es ist eine ähnliche Dynamik wie bei anderen hochkarätigen Erpressungsversuchen, einschließlich Fällen, in denen Insider direkt angesprochen und bestochen werden, um Angreifern überhaupt erst Zugang zu verschaffen, wie im Tesla-Insider-Ransomware-Bestechungsplan zu sehen, wo die Fähigkeit eines Unternehmens, finanzieller Versuchung und interner Kompromittierung zu widerstehen, sich als ebenso wichtig erwies wie seine technischen Abwehrmaßnahmen.

Auf dem Weg zu Zero Trust

Nach dem Angriff hat Nevadas Technologieführung einen Wandel hin zu einem Zero-Trust-Sicherheitsmodell für die Zukunft signalisiert. Zero Trust ist ein Rahmenwerk, das auf einer einfachen Prämisse aufbaut: Kein Benutzer, Gerät oder keine Anwendung wird automatisch vertraut, selbst wenn sie sich bereits innerhalb des Netzwerkperimeters befindet. Jede Zugriffsanfrage muss kontinuierlich verifiziert werden, unabhängig davon, woher sie kommt.

Dieser Ansatz adressiert direkt die Schwachstelle, die es Nevadas Angreifern ermöglichte, so lange unentdeckt zu operieren. Traditionelle Netzwerksicherheit geht oft davon aus, dass alles, was sich bereits innerhalb des Perimeters befindet, sicher ist, was genau der blinde Fleck ist, der es den Eindringlingen ermöglichte, sich vor dem Einsatz von Ransomware zu bewegen. Ein Zero-Trust-Modell würde eine fortlaufende Verifizierung bei jedem Schritt erfordern, was es für einen Angreifer weit schwieriger macht, still in einem System zu sitzen, während er einen größeren Schlag plant.

Was das für Sie bedeutet

Die meisten Leser betreiben kein staatliches Regierungsnetzwerk, aber die Lehren aus Nevadas Erfahrung gelten genauso für Einzelpersonen und kleine Organisationen. Ransomware unterscheidet nicht nach Größe, und dieselben Prinzipien, die Nevada davor bewahrten, ein Lösegeld zu zahlen – zuverlässige Backups und die Begrenzung, wie weit sich ein Eindringling im Inneren bewegen kann –, sind Dinge, die jeder in die Praxis umsetzen kann.

Beginnen Sie mit Backups. Wenn Sie noch keine Kopie Ihrer wichtigen Dateien an einem Ort haben, der von Ihren Hauptgeräten und Cloud-Konten getrennt ist, sei es auf einem externen Laufwerk oder einem Dienst, den Sie kontrollieren, ist jetzt der richtige Zeitpunkt, dies einzurichten. Das Ziel ist Redundanz: Wenn eine Kopie kompromittiert oder verschlüsselt wird, bleibt eine andere unberührt.

Achten Sie auch darauf, wie viel Zugriff ein einzelnes Konto oder Gerät hat. Die Verwendung einzigartiger Passwörter, die Aktivierung der Multi-Faktor-Authentifizierung und die Einschränkung administrativer Privilegien auf gemeinsam genutzten Geräten sind alles kleine Versionen des Zero-Trust-Prinzips, das Nevada nun auf staatlicher Ebene übernimmt.

Das größere Bild

Nevadas Erfahrung ist gerade deshalb eine nützliche Fallstudie, weil sie nicht mit einer Auszahlung endete. Die Weigerung des Staates zu zahlen, gestützt auf funktionierende Backups und eine schnelle Wiederherstellungszeit, zeigt, dass Resilienzplanung den Hebel stumpf machen kann, auf den Ransomware-Gruppen angewiesen sind. Es veranschaulicht auch, warum staatliche und lokale Regierungen, die oft unterfinanziert und unterbesetzt sind im Vergleich zu Sicherheitsteams des Privatsektors, attraktive Ziele bleiben: Angreifer wetten darauf, dass die Wiederherstellung zu kostspielig oder zu langsam sein wird und dass das Opfer einfach zahlt, um das Problem loszuwerden.

Umsetzbare Erkenntnisse:

  • Pflegen Sie Backups, die von Ihrem Hauptnetzwerk oder Ihren Geräten getrennt sind, und testen Sie, ob sie tatsächlich ordnungsgemäß wiederhergestellt werden.
  • Aktivieren Sie Multi-Faktor-Authentifizierung überall, wo sie angeboten wird, besonders bei Konten mit sensiblen Daten.
  • Begrenzen Sie Konto- und Geräteprivilegien, damit ein einzelnes kompromittiertes Login keinen umfassenden Zugriff gewähren kann.
  • Achten Sie auf ungewöhnliche Kontoaktivitäten, da Angreifer oft wochen- oder monatelang unentdeckt lauern, bevor sie zuschlagen.
  • Verfolgen Sie, wie Organisationen, auf die Sie sich verlassen, von der lokalen Regierung bis zur IT am Arbeitsplatz, ihre Sicherheitspraktiken nach Vorfällen wie dem in Nevada aktualisieren.

Ransomware-Angriffe werden nicht verschwinden, aber Nevadas Wiederherstellung zeigt, dass Vorbereitung, nicht nur Prävention, bestimmen kann, ob ein Angriff zu einer Katastrophe oder einer überschaubaren Störung wird.