Rok później: Co tak naprawdę wydarzyło się w Nevadzie

Rok po tym, jak cyberprzestępcy po cichu przeniknęli do systemów stanowych Nevady, urzędnicy ujawniają nowe szczegóły dotyczące przebiegu ataku i reakcji stanu. Według Biura Technologicznego Gubernatora hakerzy przez dłuższy czas pozostawali niewykryci w sieciach stanowych, zanim pod koniec sierpnia wdrożyli ransomware. Tak długi czas przebywania w systemie, gdy napastnicy pozostają w sieci, mapując systemy i punkty dostępu przed uderzeniem, jest znakiem rozpoznawczym zaawansowanych operacji ransomware i jednym z najtrudniejszych problemów, jakie obrońcy muszą wychwycić w czasie rzeczywistym.

Gdy ransomware w końcu został aktywowany, zakłócił usługi stanowe i zmusił urzędników do podjęcia krytycznej decyzji: zapłacić okup czy odbudować systemy. Nevada zdecydowała się nie płacić.

Dlaczego Nevada odmówiła zapłaty okupu

Raport powdrożeniowy stanu przypisuje tę decyzję zaufaniu do systemów kopii zapasowych. Zamiast negocjować z szantażystami, Nevada oparła się na istniejących kopiach zapasowych danych, aby odbudować dotknięte systemy od podstaw. Wyniki, szczegółowo opisane w raporcie, były znaczące: kluczowe usługi przywrócono w ciągu 28 dni, a około 90% danych stanowych dotkniętych atakiem odzyskano bez wysłania ani jednego dolara do napastników.

Ten wynik ma znaczenie poza granicami Nevady. Grupy ransomware polegają na założeniu, że ofiary nie mają innego wyjścia, jak tylko zapłacić. Gdy organizacja może wykazać, że jej kopie zapasowe są aktualne, odizolowane od głównej sieci i rzeczywiście możliwe do przywrócenia, odbiera to napastnikom znaczną część dźwigni. To podobna dynamika do tej, która rozgrywa się w innych głośnych próbach wymuszenia, w tym w przypadkach, gdy osoby z wewnątrz są bezpośrednio namawiane i przekupywane, aby pomóc napastnikom uzyskać dostęp, jak widać w spisku dotyczącym łapówki za ransomware od osoby z wewnątrz Tesli, gdzie zdolność firmy do oparcia się pokusie finansowej i wewnętrznemu naruszeniu okazała się równie ważna jak jej zabezpieczenia techniczne.

W kierunku Zero Trust

W następstwie ataku kierownictwo technologiczne Nevady zasygnalizowało przejście w przyszłości na model bezpieczeństwa zero trust. Zero trust to framework oparty na prostej przesłance: żaden użytkownik, urządzenie ani aplikacja nie są automatycznie zaufane, nawet jeśli znajdują się już wewnątrz obwodu sieci. Każde żądanie dostępu musi być weryfikowane w sposób ciągły, niezależnie od tego, skąd pochodzi.

To podejście bezpośrednio adresuje lukę, która pozwoliła napastnikom w Nevadzie działać niewykrytymi tak długo. Tradycyjne bezpieczeństwo sieci często zakłada, że wszystko, co znajduje się już wewnątrz obwodu, jest bezpieczne, co jest dokładnie tym martwym punktem, który pozwolił intruzom poruszać się przed wdrożeniem ransomware. Model zero trust wymagałby ciągłej weryfikacji na każdym etapie, znacznie utrudniając napastnikowi ciche pozostawanie w systemie podczas planowania większego uderzenia.

Co to oznacza dla Ciebie

Większość czytelników nie zarządza siecią rządową stanu, ale wnioski z doświadczeń Nevady dotyczą równie mocno osób prywatnych i małych organizacji. Ransomware nie kieruje się rozmiarem, a te same zasady, które uratowały Nevadę przed zapłatą okupu — niezawodne kopie zapasowe i ograniczanie tego, jak daleko intruz może się poruszać po dostaniu się do środka — może wdrożyć każdy.

Zacznij od kopii zapasowych. Jeśli nie masz jeszcze kopii ważnych plików przechowywanej gdzieś oddzielnie od głównych urządzeń i kont w chmurze, czy to na dysku zewnętrznym, czy w usłudze, którą kontrolujesz, czas to skonfigurować. Celem jest redundancja: jeśli jedna kopia zostanie naruszona lub zaszyfrowana, druga pozostaje nietknięta.

Zwróć też uwagę na to, jak duży dostęp ma pojedyncze konto lub urządzenie. Używanie unikalnych haseł, włączanie uwierzytelniania wieloskładnikowego i ograniczanie uprawnień administracyjnych na współdzielonych urządzeniach to małe wersje zasady zero trust, którą Nevada przyjmuje teraz na poziomie stanowym.

Szerszy obraz

Doświadczenie Nevady jest użytecznym studium przypadku właśnie dlatego, że nie zakończyło się wypłatą. Odmowa zapłaty przez stan, poparta działającymi kopiami zapasowymi i szybkim harmonogramem odzyskiwania, pokazuje, że planowanie odporności może stępić dźwignię, na której polegają grupy ransomware. Ilustruje też, dlaczego rządy stanowe i lokalne, często niedofinansowane i niedostatecznie obsadzone kadrowo w porównaniu z zespołami bezpieczeństwa sektora prywatnego, pozostają atrakcyjnymi celami: napastnicy zakładają, że odzyskiwanie będzie zbyt kosztowne lub zbyt wolne, a ofiara po prostu zapłaci, aby problem zniknął.

Praktyczne wnioski:

  • Utrzymuj kopie zapasowe oddzielone od głównej sieci lub urządzeń i testuj, czy rzeczywiście można je prawidłowo przywrócić.
  • Włączaj uwierzytelnianie wieloskładnikowe wszędzie, gdzie jest oferowane, szczególnie na kontach z wrażliwymi danymi.
  • Ograniczaj uprawnienia kont i urządzeń, aby jedno przejęte logowanie nie dawało szerokiego dostępu.
  • Obserwuj nietypową aktywność kont, ponieważ napastnicy często czają się niewykryci przez tygodnie lub miesiące przed uderzeniem.
  • Śledź, jak organizacje, na których polegasz — od samorządu lokalnego po IT w miejscu pracy — aktualizują swoje praktyki bezpieczeństwa po incydentach takich jak ten w Nevadzie.

Ataki ransomware nie znikną, ale odzyskiwanie Nevady pokazuje, że przygotowanie, nie tylko zapobieganie, może zdecydować, czy atak stanie się katastrofą, czy możliwym do opanowania zakłóceniem.