Microsoft: Ransomware stoppad på 128 sekunder genom isolering

Ransomware blir allt snabbare, och det gör även responsen. Microsoft har beskrivit hur deras automatiska enhetsisoleringsteknik kan stoppa en ransomwareattack snabbt – och koppla bort en komprometterad maskin från resten av nätverket på bara 128 sekunder. Avslöjandet kommer samtidigt som flera rapporter bekräftar att ransomwarehotet fortsätter att öka, en påminnelse om att upptäcktshastighet idag är lika viktigt som styrkan hos varje enskilt försvar.

För företags säkerhetsteam är 128 sekunder en milstolpe värd att fira. För vanliga användare utan en säkerhetscentral som övervakar trafiken dygnet runt väcker det en svårare fråga: vad händer när det inte finns något automatiskt system mellan dig och en angripare?

Vad Microsofts 128-sekunders enhetsisolering faktiskt gör

Microsofts metod går ut på att automatiskt identifiera en enhet som beter sig som om den har komprometterats, till exempel ovanlig filkrypteringsaktivitet, och strypa dess nätverksåtkomst innan skadeprogrammet kan sprida sig till andra maskiner. Siffran 128 sekunder representerar fönstret mellan upptäckt och fullständig isolering, ett mellanrum då den infekterade enheten i praktiken sätts i karantän medan utredare tar reda på vad som hänt.

Den här typen av automatiserad respons är bara möjlig eftersom stora organisationer har infrastrukturen för att kontinuerligt övervaka endpoints och agera på hotsignaler i realtid. Det är ett meningsfullt framsteg för företagsnätverk, där en enda infekterad bärbar dator annars kan bli inkörsporten till en företagsomfattande krypteringshändelse. Men det understryker också hur mycket av det moderna ransomwareförsvaret som är beroende av verktyg som de flesta privatpersoner helt enkelt inte har tillgång till.

Varför ransomware rör sig snabbare än de flesta hemanvändare kan reagera

Modern ransomware sitter inte tyst på ett system och väntar på att bli upptäckt. När den väl aktiveras kan kryptering sprida sig över filer och anslutna enheter på några minuter, ibland snabbare än en person hinner märka att något är fel, än mindre dra ur routern eller stänga av en enhet. Det är just därför företagsförsvar byggs kring automatisering snarare än mänsklig reaktionstid.

Hemanvändare och småföretag saknar vanligtvis motsvarande system för tidig varning. Det finns inget säkerhetsteam som tittar efter onormal filaktivitet klockan två på natten, och ingen automatisk nödstopp som isolerar en enhet i samma ögonblick som något verkar misstänkt. När ett lösenmeddelande dyker upp på skärmen är krypteringen oftast redan klar. Denna klyfta mellan automatiserad respons på företagsnivå och reaktionstid på konsumentnivå är kärnutmaningen för alla utan dedikerad IT-support.

Vad detta innebär för dig: praktiska åtgärder utan företagsverktyg

Du behöver ingen företagsbudget för säkerhet för att bygga meningsfulla försvar mot ransomware. Målet är att minska både risken för infektion och skadan om det ändå skulle hända.

Börja med säkerhetskopior. Regelbundna, offline- eller molnbaserade säkerhetskopior som inte är ständigt anslutna till din huvudenhet innebär att även en lyckad ransomwareattack inte kostar dig dina filer. Håll operativsystem och programvara uppdaterade, eftersom många ransomwareinfektioner utnyttjar kända sårbarheter som redan är åtgärdade med patchar. Var försiktig med e-postbilagor och länkar, och behandla oombedda förfrågningar om fjärråtkomst eller programvaruinstallation med misstänksamhet, särskilt om de påstår sig komma från IT-support.

Ett bra antivirus- eller endpointskyddsverktyg med realtidsövervakning kan fånga misstänkt beteende även utan isoleringssystem på företagsnivå. Nätverkssegmentering hemma, som att hålla smarta enheter på ett separat nätverk från datorer som innehåller känsliga filer, kan också begränsa hur långt en infektion sprider sig om en enhet komprometteras. Inget av dessa steg återskapar en 128-sekunders automatiserad respons, men tillsammans minskar de attackytan avsevärt.

Hur ransomwaregäng tar sig in innan isolering ens spelar någon roll

Inget isoleringssystem, automatiserat eller inte, spelar någon roll om angripare aldrig utlöser en detekterbar händelse från första början. I allt högre grad fokuserar ransomwaregrupper på att ta sig in tyst och inaktivera försvar innan någon märker något. En nylig kampanj visade angripare som utger sig för att vara falsk IT-support på Microsoft Teams för att underblåsa en ransomwarevåg, och lura anställda att ge direkt åtkomst. Andra grupper har gått längre och använt tekniker som den som sågs i GodDamn-ransomwaren, som missbrukade en signerad drivrutin för att döda antivirusverktyg helt och hållet, och tog bort just de skydd som normalt skulle utlösa en automatisk isoleringsrespons.

Dessa taktiker spelar roll eftersom de riktar sig mot antagandena som är inbyggda i moderna försvarssystem. Om en angripare kan inaktivera säkerhetsprogramvara eller övertyga en användare att frivilligt lämna över åtkomst, får de detektionssystem som möjliggör snabb isolering aldrig chansen att aktiveras.

Sammanfattningen

Microsofts 128-sekunders isoleringskapacitet är ett starkt exempel på hur automatiserad, snabb respons kan stoppa ransomware snabbt när den väl upptäckts. Men upptäckt är bara halva ekvationen. I takt med att ransomwaregrupper blir bättre på social manipulation och att inaktivera säkerhetsverktyg innan kryptering ens börjar, förblir förebyggande och flerskiktat försvar lika avgörande för vanliga användare som responshastighet är för stora organisationer.

Om du vill förstå hur angripare faktiskt får fotfäste innan något isoleringssystem slår till, är det värt att läsa om hur grupper har använt falska supportförfrågningar och AV-dödande tekniker för att helt kringgå försvaren. Att hålla sig informerad om dessa metoder för intrång är ett av de mest praktiska steg en läsare kan ta för att undvika ransomware från första början.