Ransomware ยังคงเร็วขึ้นเรื่อย ๆ และการตอบสนองก็เร็วตาม Microsoft ได้เปิดเผยรายละเอียดว่าเทคโนโลยีการแยกอุปกรณ์อัตโนมัติของบริษัทสามารถหยุดการโจมตี Ransomware ได้อย่างรวดเร็ว โดยตัดเครื่องที่ถูกบุกรุกออกจากเครือข่ายที่เหลือภายในเวลาเพียง 128 วินาที การเปิดเผยนี้มาพร้อมกับรายงานหลายฉบับที่ยืนยันว่าภัยคุกคาม Ransomware ยังคงเพิ่มสูงขึ้น ซึ่งเป็นเครื่องเตือนใจว่าขณะนี้ความเร็วในการตรวจจับมีความสำคัญไม่แพ้ความแข็งแกร่งของระบบป้องกันใด ๆ
สำหรับทีมรักษาความปลอดภัยองค์กร 128 วินาทีคือความสำเร็จที่น่ายินดี แต่สำหรับผู้ใช้ทั่วไปที่ไม่มีศูนย์ปฏิบัติการความปลอดภัยเฝ้าดูการจราจรข้อมูลตลอด 24 ชั่วโมง มันกลับก่อให้เกิดคำถามที่ยากขึ้นว่า จะเกิดอะไรขึ้นเมื่อไม่มีระบบอัตโนมัติมาขวางกั้นระหว่างคุณกับผู้โจมตี?
เทคโนโลยีการแยกอุปกรณ์ใน 128 วินาทีของ Microsoft ทำอะไรได้จริง
แนวทางของ Microsoft มุ่งเน้นที่การระบุอุปกรณ์ที่มีพฤติกรรมเหมือนถูกบุกรุกโดยอัตโนมัติ เช่น กิจกรรมการเข้ารหัสไฟล์ที่ผิดปกติ และตัดการเข้าถึงเครือข่ายก่อนที่มัลแวร์จะแพร่กระจายไปยังเครื่องอื่น ตัวเลข 128 วินาทีแสดงถึงช่วงเวลาระหว่างการตรวจจับกับการแยกอุปกรณ์อย่างสมบูรณ์ ซึ่งเป็นช่วงที่อุปกรณ์ที่ติดเชื้อถูกกักกันเสมือนจริง ขณะที่ทีมสอบสวนหาสาเหตุว่าเกิดอะไรขึ้น
การตอบสนองอัตโนมัติเช่นนี้เกิดขึ้นได้ก็เพราะองค์กรขนาดใหญ่มีโครงสร้างพื้นฐานที่คอยตรวจสอบปลายทางอย่างต่อเนื่องและดำเนินการกับสัญญาณภัยคุกคามแบบเรียลไทม์ นี่เป็นความก้าวหน้าที่มีความหมายสำหรับเครือข่ายองค์กร ซึ่งแล็ปท็อปที่ติดเชื้อเพียงเครื่องเดียวอาจกลายเป็นจุดเริ่มต้นของการเข้ารหัสทั่วทั้งบริษัทได้ แต่มันก็ยังเน้นย้ำว่าการป้องกัน Ransomware สมัยใหม่ต้องพึ่งพาเครื่องมือที่ผู้ใช้ส่วนใหญ่ไม่สามารถเข้าถึงได้มากเพียงใด
ทำไม Ransomware ถึงทำงานเร็วกว่าที่ผู้ใช้ตามบ้านส่วนใหญ่จะตอบสนองได้
Ransomware สมัยใหม่ไม่ได้นั่งเงียบ ๆ อยู่ในระบบรอให้ถูกค้นพบ เมื่อมันเริ่มทำงาน การเข้ารหัสสามารถแพร่กระจายไปยังไฟล์และไดรฟ์ที่เชื่อมต่ออยู่ภายในไม่กี่นาที บางครั้งเร็วกว่าที่คนจะสังเกตเห็นสิ่งผิดปกติเสียอีก ไม่ต้องพูดถึงการถอดปลั๊กเราเตอร์หรือปิดอุปกรณ์ นั่นคือเหตุผลที่แน่ชัดว่าทำไมระบบป้องกันขององค์กรจึงสร้างขึ้นบนระบบอัตโนมัติมากกว่าเวลาตอบสนองของมนุษย์
ผู้ใช้ตามบ้านและธุรกิจขนาดเล็กมักไม่มีระบบเตือนภัยล่วงหน้าที่เทียบเท่า ไม่มีทีมรักษาความปลอดภัยคอยเฝ้าดูกิจกรรมไฟล์ที่ผิดปกติตอนตี 2 และไม่มีสวิตช์ตัดการทำงานอัตโนมัติที่จะแยกอุปกรณ์ทันทีเมื่อมีสิ่งผิดปกติ กว่าที่ข้อความเรียกค่าไถ่จะปรากฏบนหน้าจอ การเข้ารหัสก็มักจะเสร็จสิ้นไปแล้ว ช่องว่างระหว่างการตอบสนองอัตโนมัติระดับองค์กรกับเวลาตอบสนองระดับผู้บริโภคนี้คือความท้าทายหลักสำหรับใครก็ตามที่ไม่มีฝ่ายสนับสนุนไอทีโดยเฉพาะ
สิ่งนี้มีความหมายอย่างไรสำหรับคุณ: ขั้นตอนปฏิบัติโดยไม่ต้องใช้เครื่องมือระดับองค์กร
คุณไม่จำเป็นต้องมีงบประมาณความปลอดภัยระดับองค์กรเพื่อสร้างเกราะป้องกันที่มีความหมายต่อ Ransomware เป้าหมายคือการลดทั้งโอกาสติดเชื้อและความเสียหายหากมันเกิดขึ้น
เริ่มต้นด้วยการสำรองข้อมูล การสำรองข้อมูลแบบออฟไลน์หรือบนคลาวด์เป็นประจำที่ไม่ได้เชื่อมต่อกับอุปกรณ์หลักของคุณตลอดเวลา หมายความว่าแม้การโจมตี Ransomware จะสำเร็จ คุณก็จะไม่สูญเสียไฟล์ของคุณ อัปเดตระบบปฏิบัติการและซอฟต์แวร์ให้ทันสมัยอยู่เสมอ เนื่องจากการติดเชื้อ Ransomware จำนวนมากใช้ประโยชน์จากช่องโหว่ที่รู้จักแล้วซึ่งแพตช์แก้ไขไปแล้ว ระมัดระวังไฟล์แนบอีเมลและลิงก์ และปฏิบัติต่อคำขอเข้าถึงระยะไกลหรือการติดตั้งซอฟต์แวร์ที่ไม่พึงประสงค์ด้วยความสงสัย โดยเฉพาะหากพวกเขาอ้างว่าเป็นฝ่ายสนับสนุนไอที
โปรแกรมแอนตี้ไวรัสหรือเครื่องมือปกป้องปลายทางที่ดีที่มีการเฝ้าติดตามแบบเรียลไทม์สามารถจับพฤติกรรมน่าสงสัยได้แม้ไม่มีระบบแยกอุปกรณ์ระดับองค์กร การแบ่งเครือข่ายภายในบ้าน เช่น การเก็บอุปกรณ์อัจฉริยะไว้บนเครือข่ายแยกจากคอมพิวเตอร์ที่เก็บไฟล์สำคัญ ยังสามารถจำกัดขอบเขตการแพร่กระจายหากมีอุปกรณ์หนึ่งถูกบุกรุก แม้ไม่มีขั้นตอนใดที่สร้างการตอบสนองอัตโนมัติ 128 วินาทีขึ้นมาใหม่ได้ แต่เมื่อรวมกันแล้วก็ช่วยลดพื้นที่การโจมตีลงได้อย่างมาก
แก๊ง Ransomware เข้ามาก่อนที่การแยกอุปกรณ์จะมีความหมายได้อย่างไร
ไม่มีระบบแยกอุปกรณ์ใด ไม่ว่าจะอัตโนมัติหรือไม่ก็ตาม ที่มีความหมายหากผู้โจมตีไม่เคยกระตุ้นเหตุการณ์ที่ตรวจจับได้ตั้งแต่แรก กลุ่ม Ransomware ต่างมุ่งเน้นการเข้ามาอย่างเงียบ ๆ และปิดการป้องกันก่อนที่ใครจะสังเกตเห็นมากขึ้นเรื่อย ๆ แคมเปญหนึ่งล่าสุดแสดงให้เห็นผู้โจมตีปลอมเป็น ฝ่ายสนับสนุนไอทีปลอมบน Microsoft Teams เพื่อจุดชนวนกระแส Ransomware หลอกให้พนักงานอนุญาตการเข้าถึงโดยตรง ส่วนกลุ่มอื่น ๆ ล้ำหน้าไปอีก โดยใช้เทคนิคอย่างที่พบใน Ransomware GodDamn ที่ใช้ไดรเวอร์ที่ลงนามแล้วเพื่อฆ่าเครื่องมือแอนตี้ไวรัส อย่างสิ้นเชิง กำจัดการป้องกันที่จะกระตุ้นการตอบสนองแยกอุปกรณ์อัตโนมัติตามปกติ
กลยุทธ์เหล่านี้มีความสำคัญเพราะพวกมันมุ่งเป้าไปที่สมมติฐานที่สร้างไว้ในระบบป้องกันสมัยใหม่ หากผู้โจมตีสามารถปิดการทำงานซอฟต์แวร์ความปลอดภัยหรือโน้มน้าวให้ผู้ใช้มอบการเข้าถึงด้วยความสมัครใจ ระบบตรวจจับที่ทำให้สามารถแยกอุปกรณ์ได้อย่างรวดเร็วก็จะไม่มีโอกาสทำงานเลย
บรรทัดล่างสุด
ความสามารถในการแยกอุปกรณ์ภายใน 128 วินาทีของ Microsoft เป็นตัวอย่างที่ดีว่าการตอบสนองอัตโนมัติที่รวดเร็วสามารถหยุดการโจมตี Ransomware ได้อย่างรวดเร็วเมื่อตรวจพบ อย่างไรก็ตามการตรวจจับเป็นเพียงครึ่งหนึ่งของสมการเท่านั้น เมื่อกลุ่ม Ransomware เก่งขึ้นในการใช้วิศวกรรมสังคมและปิดการทำงานเครื่องมือความปลอดภัยก่อนที่การเข้ารหัสจะเริ่มขึ้น การป้องกันและการวางระบบป้องกันหลายชั้นยังคงมีความสำคัญสำหรับผู้ใช้ทั่วไปพอ ๆ กับความเร็วในการตอบสนองสำหรับองค์กรขนาดใหญ่
หากคุณต้องการเข้าใจว่าผู้โจมตีเข้ามาตั้งหลักได้อย่างไรก่อนที่ระบบแยกอุปกรณ์จะเริ่มทำงาน การอ่านว่ากลุ่มต่าง ๆ ใช้คำขอสนับสนุนปลอมและเทคนิคการฆ่าแอนตี้ไวรัสเพื่อเลี่ยงการป้องกันทั้งหมดนั้นคุ้มค่า การติดตามข้อมูลเกี่ยวกับกลยุทธ์การเข้ามาเหล่านี้เป็นหนึ่งในขั้นตอนที่ปฏิบัติได้จริงที่สุดที่ผู้อ่านทุกคนสามารถทำได้เพื่อหลีกเลี่ยง Ransomware ตั้งแต่แรก
