Apărarea rețelei împotriva ransomware-ului cu AI: o nouă prioritate pe măsură ce tacticile se schimbă

Noi cercetări de la Check Point evidențiază o schimbare în modul în care operatorii de ransomware lucrează și de ce vechea tactică de backup-și-restaurare nu mai este suficientă de una singură. Datele arată ceva contraintuitiv: pe măsură ce tehnologia de backup și recuperare s-a îmbunătățit, atacatorii nu au renunțat. S-au adaptat. Ratele de plată a răscumpărărilor au scăzut timp de șase ani consecutivi, de la aproximativ 85% în 2019 la aproximativ 23% astăzi, iar această scădere remodelează strategia atacatorilor în moduri care pun mai multă presiune pe apărările la nivel de rețea, cum ar fi segmentarea și accesul remote controlat.

Acest lucru contează pentru oricine este responsabil de protejarea sistemelor de afaceri și contează pentru discuția mai largă despre apărarea rețelei împotriva ransomware-ului cu AI, deoarece instrumentele care odată păreau opționale (segmentarea, accesul prin VPN, rețelistica cu privilegii minime) devin centrale, nu suplimentare.

Cum reduce AI bariera de intrare

Cercetarea Check Point indică inteligența artificială ca factor care reduce abilitățile tehnice necesare pentru a opera o afacere de ransomware. Sarcinile care odată necesitau cunoștințe specializate de codare, dezvoltare de malware personalizat sau familiaritate profundă cu mediile țintă pot fi acum accelerate sau automatizate cu instrumente AI. Asta nu înseamnă neapărat că AI inventează noi categorii de atac peste noapte, dar înseamnă că mai mulți oameni pot participa la operațiuni de ransomware cu mai puțină experiență, iar grupurile existente pot opera mai rapid și la o scară mai mare.

Această barieră redusă se conectează la un tipar mai larg, deja vizibil în peisajul ransomware-ului. După cum s-a relatat în reportajele despre modul în care ecosistemul ransomware se fragmentează în zeci de grupuri active, domeniul nu se consolidează în jurul câtorva jucători dominanți. În schimb, se scindează în multe operațiuni mai mici, mai agile. Instrumentele AI probabil accelerează această fragmentare, facilitând pentru grupurile mai mici sau mai noi lansarea de atacuri credibile fără resursele care obișnuiau să fie o barieră.

De ce ratele în scădere ale plăților împing atacatorii către furtul de date

Scăderea ratelor de plată a răscumpărărilor nu este un semn că ransomware-ul dispare. Este un semn că criptarea singură a încetat să fie o sursă fiabilă de bani. Când organizațiile pot restaura sistemele din backup fără să plătească, pârghia pe care o oferea criptarea dispare. Atacatorii au răspuns prin mutarea accentului către furtul de date și extorcare bazată pe amenințarea expunerii publice, în loc să se bazeze doar pe blocarea fișierelor.

Aceasta este o distincție semnificativă pentru apărători. O strategie anti-ransomware construită pe „avem backup-uri bune, deci suntem acoperiți" abordează jumătatea amenințării legată de criptare, dar face puțin pentru a împiedica copierea și exfiltrarea datelor înainte de criptare. Dacă atacatorii se pot deplasa lateral printr-o rețea, pot găsi depozite de date sensibile și pot extrage informații în liniște, backup-urile devin irelevante pentru acea parte a atacului. Amenințarea extorcării se mută de la „plătiți-ne ca să vă recuperați datele" la „plătiți-ne sau divulgăm ce am luat deja".

Unde backup-urile eșuează: argumentul pentru segmentare și acces controlat

Aici arhitectura rețelei devine la fel de importantă ca planificarea recuperării. Backup-urile protejează împotriva pierderii datelor, dar nu fac nimic pentru a preveni ca un atacator să navigheze printr-o rețea plată, să sară între sisteme și să ajungă la date pe care nu a fost niciodată autorizat să le atingă. Două controale contează mai mult în acest mediu:

Segmentarea rețelei limitează cât de departe se poate deplasa un atacator odată ce obține acces inițial. Dacă un dispozitiv compromis se află pe un segment izolat, cu căi restricționate către sistemele sensibile, raza de explozie a unei breșe se reduce dramatic, chiar dacă instrumentele asistate de AI au ajutat atacatorul să intre rapid.

Controlul accesului bazat pe VPN și conștient de identitate restricționează cine și ce poate ajunge la resursele interne. În loc să permită acces larg la rețea odată ce cineva este în interiorul perimetrului, abordările moderne de acces verifică continuu identitatea și postura dispozitivului și direcționează traficul prin canale controlate, criptate. Aceasta reduce șansele ca o singură credențială sau un singur endpoint compromis să devină o poartă către întreaga rețea.

Împreună, aceste controale abordează partea lanțului de atac pe care backup-urile nu o pot acoperi: faza de recunoaștere și mișcare laterală unde are loc efectiv furtul de date.

Ce înseamnă asta pentru tine

Pentru echipele IT și de securitate, concluzia este simplă: planificarea recuperării și controlul accesului trebuie tratate ca fiind complementare, nu interschimbabile. Backup-urile bune protejează împotriva timpului de nefuncționare și pierderii datelor din cauza criptării, dar nu opresc furtul, iar furtul este din ce în ce mai mult pârghia pe care se bazează atacatorii. Revizuirea cât de plată sau segmentată este rețeaua ta și cât de strict este controlat accesul remote și intern este un pas practic următor, indiferent de dimensiunea companiei.

Pentru utilizatorii individuali și organizațiile mai mici, principiul se reduce la scară. Limitarea a ceea ce poate accesa un singur dispozitiv sau cont, utilizarea controalelor stricte de acces pentru conexiunile remote și scepticismul față de activitatea neobișnuită a conturilor reduc toate șansele ca un singur punct de intrare compromis să se transforme într-o breșă la scară largă.

Concluzii acționabile

  • Nu te baza doar pe backup-uri; ele abordează criptarea, dar nu și furtul de date, care este acum o tactică principală de extorcare.
  • Auditază segmentarea rețelei pentru a limita mișcarea laterală dacă un dispozitiv sau cont este compromis.
  • Consolidează VPN-ul și controalele de acces remote cu verificarea identității, nu cu încredere largă în perimetru.
  • Rămâi informat despre cum evoluează grupurile de ransomware, deoarece instrumentele AI permit mai multe operațiuni, mai mici și mai rapide, într-un ecosistem fragmentat.
  • Tratează apărarea rețelei împotriva ransomware-ului cu AI ca pe o strategie continuă, în straturi, nu ca pe o actualizare unică.

Pe măsură ce AI continuă să remodeleze economia și mecanica ransomware-ului, organizațiile care rezistă cel mai bine vor fi cele care tratează apărarea rețelei, nu doar recuperarea, ca prima lor linie de protecție.