VPN zaštita od ransomware napada koji pokreću zakone o povredi podataka

VPN zaštita od ransomware napada koji pokreću zakone o povredi podataka

Većina ljudi ransomware zamišlja kao scenarij zaključavanja i zahtjeva: napadači šifriraju vaše datoteke, vi platite, dobijete ih natrag. Stvarnost je mnogo štetnija. Suvremene ransomware grupe ne samo da šifriraju podatke; prvo ih ukradu. Taj drugi korak, eksfiltracija podataka, je ono što ransomware incident pretvara u pravno prijavljivu povredu podataka, pokrećući obveze obavještavanja prema zakonima poput HIPAA-e, državnih zakona o povredi podataka i FTC-ovog Pravila o obavijesti o povredi zdravstvenih podataka. Razumijevanje gdje VPN zaštita od ransomware napada spada u ovu sliku pomaže i pojedincima i organizacijama da inteligentnije reagiraju.

Kako ransomware postaje prijavljiva povreda podataka

Ne kvalificira se svaki ransomware napad kao povreda podataka prema zakonu SAD-a. Samo šifriranje, gdje su podaci izmiješani na vašim vlastitim sustavima, ali ih nikada ne napuštaju, možda neće prijeći pravni prag. Okidač je neovlašteno pribavljanje ili pristup zaštićenim informacijama. Kada napadači kopiraju datoteke prije nego što ih šifriraju, ta eksfiltracija pretvara incident u povredu koja zahtijeva obavještavanje pogođenih pojedinaca, regulatora, a u nekim slučajevima i medija.

Ovaj model "dvostruke iznude" sada je standardna praksa među ransomware grupama. Napadači prijete objavljivanjem ukradenih podataka na stranicama za curenje informacija ako se otkupnina ne plati, što im daje dvije točke pritiska. Pravna izloženost za žrtve organizacije slijedi istu dvostruku strukturu: operativni poremećaj zbog šifriranja plus regulatorne i reputacijske posljedice zbog povrede.

Conduent povreda podataka, koja je izložila osjetljive osobne podatke otprilike 25 milijuna Amerikanaca, ilustrira upravo ovaj obrazac. Tvrtka za poslovne usluge koja obrađuje podatke za pružatelje zdravstvenih usluga i vladine agencije postala je sredstvo kroz koje je ransomware napad prešao u teritorij povrede podataka, pogađajući ljude koji nisu imali izravan odnos s kompromitiranom tvrtkom.

Gdje VPN-ovi spadaju u lanac ransomware napada

Kako bismo razumjeli što VPN realno može učiniti, pomaže mapirati tipični lanac napada ransomwarea. Napadači najčešće stječu početni pristup putem phishing e-pošte, izloženih portova za udaljenu radnu površinu (RDP) ili nezakrpanih ranjivosti u sustavima okrenutim internetu. Nakon što se učvrste, kreću se lateralno kroz mrežu, eskaliraju privilegije, identificiraju vrijedne podatke, eksfiltriraju ih i konačno implementiraju teret za šifriranje.

VPN djeluje prvenstveno na dvije točke u tom lancu.

Prvo, za udaljene radnike koji se povezuju s korporativnim resursima, VPN šifrira tunel između krajnje točke i mreže. To sprječava napadače da presretnu vjerodajnice ili tokene sesije preko nesigurnih veza, osobito na javnom Wi-Fi-ju, što je uobičajeni vektor za prikupljanje vjerodajnica koji dovodi do kasnijih upada.

Drugo, VPN-ovi od lokacije do lokacije segmentiraju mrežni promet između podružnica i podatkovnih centara. Pravilna segmentacija ograničava lateralno kretanje. Ako napadač kompromitira jedan segment, dobro konfigurirana VPN arhitektura sa strogim kontrolama pristupa može usporiti ili spriječiti njihovo širenje na sustave koji drže osjetljive podatke, što je upravo onaj tip podataka koji, ako se eksfiltrira, pokreće obavijest o povredi.

Za organizacije, uparivanje VPN pristupa s višefaktorskom autentifikacijom posebno je važno. Samo CISA-ino vodstvo za ransomware izričito ističe MFA na svim VPN vezama kao temeljnu kontrolu, i to s dobrim razlogom: ukradene vjerodajnice korištene protiv nezaštićene VPN krajnje točke jedan su od najčešćih puteva ulaska za ransomware operatere.

Kako biste razumjeli tehničke mehanizme koji stoje iza toga kako se ransomware širi nakon što uđe u mrežu, vrijedno je pregledati osnove ponašanja ove kategorije zlonamjernog softvera, budući da je faza šifriranja samo posljednji čin mnogo duljeg upada.

Ograničenja: Ono što VPN ne može blokirati

VPN zaštita od ransomware napada je stvarna, ali ograničena. VPN nije zamjena za sigurnost krajnjih točaka i ova je razlika važna.

Ako zaposlenik klikne na zlonamjerni privitak e-pošte na uređaju koji je već povezan s VPN-om, zlonamjerni softver ima izravan pristup zaštićenoj mreži. Šifrirani tunel radi u oba smjera: štiti legitimni promet i također nosi zlonamjerni promet nakon što je krajnja točka kompromitirana. VPN ne provjerava sadržaj na zlonamjerni softver, ne krpa ranjivosti softvera i ne sprječava korisnike u preuzimanju zaraženih datoteka.

Ransomware grupe također su specifično ciljale sam VPN softver. Ranjivosti u široko korištenim VPN proizvodima iskorištene su kao početni vektori pristupa, što znači da nezakrpana VPN aplikacija može postati vrata kroz koja napadači ulaze, umjesto barijere koja ih drži vani. Održavanje ažurnosti VPN softvera nije opcionalno; to je dio obrane.

Dodatno, VPN ne pruža nikakvu zaštitu protiv insajderskih prijetnji, kompromitiranih računa dobavljača ili napadača koji su već uspostavili postojanost drugim sredstvima prije nego što se VPN politika provede.

Što bi pojedinci i organizacije trebali učiniti sada

Za organizacije, prioritet je tretiranje VPN pristupa kao jednog sloja unutar šire arhitekture nultog povjerenja. To znači provođenje MFA-e na svakoj VPN vezi, primjenu pristupa s najmanjim privilegijama tako da korisnici mogu dosegnuti samo sustave relevantne za njihovu ulogu i praćenje VPN zapisa radi anomalnog ponašanja poput prijava u neuobičajenim satima ili s neočekivanih lokacija.

Segmentaciju mreže putem VPN politike treba preispitati s pragom obavijesti o povredi na umu. Upitajte koji sustavi drže podatke koji bi, ako se eksfiltriraju, pokrenuli obveze izvještavanja i osigurajte da su ti sustavi najstrože kontrolirani segmenti.

Upravljanje zakrpama za VPN uređaje zaslužuje posebnu pažnju. Mnogi visokoprofilirani ransomware incidenti posljednjih godina mogu se pratiti unatrag do nezakrpanih ranjivosti u VPN proizvodima. Tretiranje ažuriranja VPN softvera s istom hitnošću kao zakrpe operativnog sustava zatvara često zanemarenu prazninu.

Za pojedince, korištenje VPN-a na javnim ili dijeljenim mrežama smanjuje rizik od presretanja vjerodajnica. Međutim, osobnu upotrebu VPN-a treba upariti s jakim, jedinstvenim lozinkama i MFA-om na svakom važnom računu, budući da je krađa vjerodajnica, a ne presretanje mreže, vjerojatnija prijetnja na osobnoj razini.

Sigurnosne kopije ostaju najpouzdanija kontrola oporavka od ransomwarea. Izvanmrežne ili nepromjenjive sigurnosne kopije koje napadači ne mogu dosegnuti ili šifrirati su ono što omogućuje obnavljanje operacija bez plaćanja otkupnine i bez posljedica obavijesti o povredi koje slijede nakon gubitka podataka.

Lekcija iz incidenata poput Conduent povrede je da neadekvatne mrežne kontrole u jednoj organizaciji mogu izložiti desetke milijuna ljudi koji nikada nisu izravno komunicirali s tom organizacijom. Pregled vaše VPN konfiguracije, politika pristupa i strategije segmentacije nije apstraktna vježba. To je praktičan posao koji određuje hoće li ransomware napad ostati zadržan ili će postati povreda koja nosi pravne, financijske i reputacijske posljedice godinama.