Άμυνα δικτύου για ransomware με τεχνητή νοημοσύνη: μια νέα προτεραιότητα καθώς οι τακτικές αλλάζουν

Νέα έρευνα της Check Point αναδεικνύει μια αλλαγή στον τρόπο που εργάζονται οι διαχειριστές ransomware, και γιατί το παλιό εγχειρίδιο των αντιγράφων ασφαλείας και της επαναφοράς δεν αρκεί πλέον από μόνο του. Τα δεδομένα δείχνουν κάτι αντιδιαισθητικό: καθώς η τεχνολογία αντιγράφων ασφαλείας και ανάκτησης έχει βελτιωθεί, οι επιτιθέμενοι δεν έχουν παραιτηθεί. Έχουν προσαρμοστεί. Τα ποσοστά πληρωμής λύτρων έχουν μειωθεί για έξι συνεχόμενα έτη, από περίπου 85% το 2019 σε περίπου 23% σήμερα, και αυτή η πτώση αναδιαμορφώνει τη στρατηγική των επιτιθέμενων με τρόπους που ασκούν μεγαλύτερη πίεση σε άμυνες σε επίπεδο δικτύου, όπως η τμηματοποίηση και η ελεγχόμενη απομακρυσμένη πρόσβαση.

Αυτό έχει σημασία για οποιονδήποτε είναι υπεύθυνος για την προστασία επιχειρηματικών συστημάτων, και έχει σημασία για τον ευρύτερο διάλογο γύρω από την άμυνα δικτύου για ransomware με τεχνητή νοημοσύνη, επειδή τα εργαλεία που κάποτε θεωρούνταν προαιρετικά (τμηματοποίηση, πρόσβαση μέσω VPN, δικτύωση ελάχιστων προνομίων) γίνονται κεντρικά και όχι συμπληρωματικά.

Πώς η τεχνητή νοημοσύνη μειώνει το εμπόδιο εισόδου

Η έρευνα της Check Point επισημαίνει την τεχνητή νοημοσύνη ως παράγοντα που μειώνει την τεχνική δεξιότητα που απαιτείται για τη διεξαγωγή μιας επιχείρησης ransomware. Εργασίες που κάποτε απαιτούσαν εξειδικευμένες γνώσεις κωδικοποίησης, ανάπτυξη προσαρμοσμένου κακόβουλου λογισμικού ή βαθιά εξοικείωση με τα περιβάλλοντα-στόχους μπορούν πλέον να επιταχυνθούν ή να αυτοματοποιηθούν με εργαλεία τεχνητής νοημοσύνης. Αυτό δεν σημαίνει απαραίτητα ότι η τεχνητή νοημοσύνη εφευρίσκει νέες κατηγορίες επιθέσεων από τη μία μέρα στην άλλη, αλλά σημαίνει ότι περισσότεροι άνθρωποι μπορούν να συμμετάσχουν σε επιχειρήσεις ransomware με λιγότερη εμπειρία, και οι υπάρχουσες ομάδες μπορούν να λειτουργούν ταχύτερα και σε μεγαλύτερη κλίμακα.

Αυτό το μειωμένο εμπόδιο συνδέεται με ένα ευρύτερο μοτίβο που είναι ήδη ορατό στο τοπίο του ransomware. Όπως καλύπτεται σε ρεπορτάζ για το πώς το οικοσύστημα ransomware κατακερματίζεται σε δεκάδες ενεργές ομάδες, ο τομέας δεν ενοποιείται γύρω από λίγους κυρίαρχους παίκτες. Αντίθετα, διασπάται σε πολλές μικρότερες, πιο ευέλικτες επιχειρήσεις. Τα εργαλεία τεχνητής νοημοσύνης πιθανότατα επιταχύνουν αυτόν τον κατακερματισμό, καθιστώντας ευκολότερο για μικρότερες ή νεότερες ομάδες να εξαπολύουν αξιόπιστες επιθέσεις χωρίς τους πόρους που παλιά αποτελούσαν εμπόδιο.

Γιατί τα μειωμένα ποσοστά πληρωμής ωθούν τους επιτιθέμενους προς την κλοπή δεδομένων

Η πτώση των ποσοστών πληρωμής λύτρων δεν είναι ένδειξη ότι το ransomware υποχωρεί. Είναι ένδειξη ότι η κρυπτογράφηση από μόνη της έχει πάψει να αποτελεί αξιόπιστη πηγή εσόδων. Όταν οι οργανισμοί μπορούν να επαναφέρουν συστήματα από αντίγραφα ασφαλείας χωρίς να πληρώσουν, η μόχλευση που κάποτε παρείχε η κρυπτογράφηση εξατμίζεται. Οι επιτιθέμενοι έχουν ανταποκριθεί μετατοπίζοντας την έμφαση προς την κλοπή δεδομένων και τον εκβιασμό βάσει της απειλής δημόσιας έκθεσης, αντί να βασίζονται αποκλειστικά στο κλείδωμα αρχείων.

Αυτή είναι μια σημαντική διάκριση για τους υπερασπιστές. Μια στρατηγική ransomware που βασίζεται στο "έχουμε καλά αντίγραφα ασφαλείας, άρα είμαστε καλυμμένοι" αντιμετωπίζει το μισό της απειλής που αφορά την κρυπτογράφηση, αλλά κάνει ελάχιστα για να αποτρέψει την αντιγραφή και εξαγωγή δεδομένων πριν καν συμβεί η κρυπτογράφηση. Εάν οι επιτιθέμενοι μπορούν να κινηθούν πλευρικά μέσα σε ένα δίκτυο, να βρουν ευαίσθητες αποθήκες δεδομένων και να εξάγουν αθόρυβα πληροφορίες, τα αντίγραφα ασφαλείας καθίστανται άσχετα για εκείνο το μέρος της επίθεσης. Η απειλή εκβιασμού μετατοπίζεται από το "πληρώστε μας για να πάρετε πίσω τα δεδομένα σας" στο "πληρώστε μας ή διαρρέουμε ό,τι ήδη πήραμε".

Πού υστερούν τα αντίγραφα ασφαλείας: η περίπτωση της τμηματοποίησης και της ελεγχόμενης πρόσβασης

Εδώ είναι που η αρχιτεκτονική δικτύου γίνεται εξίσου σημαντική με τον σχεδιασμό ανάκτησης. Τα αντίγραφα ασφαλείας προστατεύουν από την απώλεια δεδομένων, αλλά δεν κάνουν τίποτα για να αποτρέψουν έναν επιτιθέμενο από το να περιηγηθεί σε ένα επίπεδο δίκτυο, να μεταπηδήσει μεταξύ συστημάτων και να φτάσει σε δεδομένα που δεν είχε ποτέ εξουσιοδότηση να αγγίξει εξ αρχής. Δύο έλεγχοι έχουν μεγαλύτερη σημασία σε αυτό το περιβάλλον:

Η τμηματοποίηση δικτύου περιορίζει πόσο μακριά μπορεί να κινηθεί ένας επιτιθέμενος μόλις αποκτήσει αρχική πρόσβαση. Εάν μια παραβιασμένη συσκευή βρίσκεται σε ένα απομονωμένο τμήμα με περιορισμένες διαδρομές προς ευαίσθητα συστήματα, η ακτίνα έκρηξης μιας παραβίασης συρρικνώνεται δραματικά, ακόμη κι αν εργαλεία υποβοηθούμενα από τεχνητή νοημοσύνη βοήθησαν τον επιτιθέμενο να εισέλθει γρήγορα.

Ο έλεγχος πρόσβασης που βασίζεται σε VPN και ταυτότητα περιορίζει ποιος και τι μπορεί να προσεγγίσει εσωτερικούς πόρους γενικά. Αντί να επιτρέπεται ευρεία πρόσβαση στο δίκτυο μόλις κάποιος βρεθεί εντός του περιμέτρου, οι σύγχρονες προσεγγίσεις πρόσβασης επαληθεύουν συνεχώς την ταυτότητα και τη στάση της συσκευής, και δρομολογούν την κυκλοφορία μέσω ελεγχόμενων, κρυπτογραφημένων καναλιών. Αυτό μειώνει τις πιθανότητες ένα μοναδικό παραβιασμένο διαπιστευτήριο ή τελικό σημείο να γίνει πύλη προς ολόκληρο το δίκτυο.

Μαζί, αυτοί οι έλεγχοι αντιμετωπίζουν το μέρος της αλυσίδας επίθεσης που τα αντίγραφα ασφαλείας δεν μπορούν: τη φάση αναγνώρισης και πλευρικής κίνησης όπου συμβαίνει στην πραγματικότητα η κλοπή δεδομένων.

Τι σημαίνει αυτό για εσάς

Για τις ομάδες IT και ασφάλειας, το συμπέρασμα είναι απλό: ο σχεδιασμός ανάκτησης και ο έλεγχος πρόσβασης πρέπει να αντιμετωπίζονται ως συμπληρωματικά, όχι εναλλάξιμα. Τα καλά αντίγραφα ασφαλείας προστατεύουν από διακοπή λειτουργίας και απώλεια δεδομένων λόγω κρυπτογράφησης, αλλά δεν σταματούν την κλοπή, και η κλοπή είναι ολοένα και περισσότερο η μόχλευση στην οποία βασίζονται οι επιτιθέμενοι. Η επανεξέταση του πόσο επίπεδο ή τμηματοποιημένο είναι το δίκτυό σας, και πόσο αυστηρά ελέγχεται η απομακρυσμένη και εσωτερική πρόσβαση, είναι ένα πρακτικό επόμενο βήμα ανεξαρτήτως μεγέθους εταιρείας.

Για μεμονωμένους χρήστες και μικρότερους οργανισμούς, η αρχή κλιμακώνεται και προς τα κάτω. Το να περιορίζετε τι μπορεί να προσεγγίσει οποιαδήποτε μεμονωμένη συσκευή ή λογαριασμός, η χρήση ισχυρών ελέγχων πρόσβασης για απομακρυσμένες συνδέσεις, και η καχυποψία για ασυνήθιστη δραστηριότητα λογαριασμού μειώνουν όλα τις πιθανότητες ένα παραβιασμένο σημείο εισόδου να μετατραπεί σε πλήρους κλίμακας παραβίαση.

Πρακτικά συμπεράσματα

  • Μην βασίζεστε μόνο σε αντίγραφα ασφαλείας· αντιμετωπίζουν την κρυπτογράφηση αλλά όχι την κλοπή δεδομένων, που αποτελεί πλέον πρωταρχική τακτική εκβιασμού.
  • Ελέγξτε την τμηματοποίηση του δικτύου για να περιορίσετε την πλευρική κίνηση εάν μια συσκευή ή λογαριασμός παραβιαστεί.
  • Ενισχύστε τους ελέγχους VPN και απομακρυσμένης πρόσβασης με επαλήθευση ταυτότητας αντί για ευρεία εμπιστοσύνη στο περίγραμμα.
  • Μείνετε ενημερωμένοι για το πώς εξελίσσονται οι ομάδες ransomware, καθώς τα εργαλεία τεχνητής νοημοσύνης επιτρέπουν περισσότερες, μικρότερες και ταχύτερες επιχειρήσεις σε ένα κατακερματισμένο οικοσύστημα.
  • Αντιμετωπίστε την άμυνα δικτύου για ransomware με τεχνητή νοημοσύνη ως μια συνεχή πολυεπίπεδη στρατηγική, όχι ως μια εφάπαξ αναβάθμιση.

Καθώς η τεχνητή νοημοσύνη συνεχίζει να αναδιαμορφώνει τα οικονομικά και τους μηχανισμούς του ransomware, οι οργανισμοί που θα αντέξουν καλύτερα θα είναι εκείνοι που αντιμετωπίζουν την άμυνα δικτύου, όχι μόνο την ανάκτηση, ως πρώτη γραμμή προστασίας.