หนึ่งปีต่อมา: สิ่งที่เกิดขึ้นจริงในรัฐเนวาดา

หนึ่งปีหลังจากที่ผู้ไม่หวังดีแอบ infiltrate ระบบของรัฐเนวาดา เจ้าหน้าที่ได้เปิดเผยรายละเอียดใหม่เกี่ยวกับการโจมตีและมาตรการตอบสนองของรัฐ ตามข้อมูลจากสำนักงานเทคโนโลยีของผู้ว่าการรัฐ แฮกเกอร์ซ่อนตัวอยู่ภายในเครือข่ายของรัฐโดยไม่ถูกตรวจพบเป็นเวลานานก่อนที่จะปล่อย ransomware ในช่วงปลายเดือนสิงหาคม การ dwell time ลักษณะนี้ ที่ผู้โจมตีซุ่มอยู่ในเครือข่ายเพื่อสำรวจระบบและจุดเข้าถึงก่อนโจมตี เป็นเอกลักษณ์ของการปฏิบัติการ ransomware ที่ซับซ้อน และเป็นหนึ่งในปัญหาที่ยากที่สุดสำหรับผู้ป้องกันในการตรวจจับแบบเรียลไทม์

เมื่อ ransomware ทำงานในที่สุด มันก็รบกวนบริการของรัฐและบังคับให้เจ้าหน้าที่ต้องตัดสินใจสำคัญ: จ่ายค่าไถ่หรือสร้างใหม่ รัฐเนวาดาเลือกที่จะไม่จ่าย

ทำไมรัฐเนวาดาจึงปฏิเสธที่จะจ่ายค่าไถ่

รายงานหลังปฏิบัติการของรัฐให้เครดิตการตัดสินใจนี้กับความเชื่อมั่นในระบบสำรองข้อมูล แทนที่จะเจรจากับผู้กรรโชก รัฐเนวาดาใช้ข้อมูลสำรองที่มีอยู่เพื่อสร้างระบบที่ได้รับผลกระทบขึ้นใหม่ตั้งแต่ต้น ผลลัพธ์ตามที่ระบุในรายงานมีความสำคัญ: บริการที่จำเป็นได้รับการฟื้นฟูภายใน 28 วัน และข้อมูลของรัฐประมาณ 90% ที่ได้รับผลกระทบจากการโจมตีได้รับการกู้คืนโดยไม่ต้องจ่ายเงินแม้แต่ดอลลาร์เดียวให้กับผู้โจมตี

ผลลัพธ์นี้มีความสำคัญเกินขอบเขตของรัฐเนวาดา กลุ่ม ransomware อาศัยสมมติฐานว่าเหยื่อไม่มีทางเลือกอื่นนอกจากต้องจ่าย เมื่อองค์กรสามารถแสดงได้ว่าข้อมูลสำรองเป็นปัจจุบัน แยกจากเครือข่ายหลัก และสามารถกู้คืนได้จริง มันก็ลดอำนาจต่อรองที่ผู้โจมตีมีลงอย่างมาก เป็นพลวัตคล้ายกับสิ่งที่เกิดขึ้นในความพยายามกรรโชกอื่นๆ ที่มีชื่อเสียง รวมถึงกรณีที่คนวงในถูกเข้าหาและติดสินบนโดยตรงเพื่อช่วยให้ผู้โจมตีเข้าถึงระบบ ดังที่เห็นใน แผนสินบน ransomware จากคนวงใน Tesla ซึ่งความสามารถของบริษัทในการต้านทานสิ่งล่อใจทางการเงินและการถูก compromise จากภายในพิสูจน์ว่าสำคัญพอๆ กับการป้องกันทางเทคนิค

มุ่งสู่ Zero Trust

หลังจากเหตุการณ์โจมตี ผู้นำด้านเทคโนโลยีของรัฐเนวาดาได้ส่งสัญญาณถึงการเปลี่ยนไปสู่รูปแบบความปลอดภัยแบบ zero trust ในอนาคต Zero trust คือกรอบการทำงานที่สร้างบนหลักการง่ายๆ: ไม่มีผู้ใช้ อุปกรณ์ หรือแอปพลิเคชันใดที่ได้รับความเชื่อถือโดยอัตโนมัติ แม้ว่าจะอยู่ภายในขอบเขตเครือข่ายแล้วก็ตาม ทุกคำขอเข้าถึงต้องได้รับการตรวจสอบอย่างต่อเนื่อง ไม่ว่าจะมาจากที่ใด

แนวทางนี้จัดการกับช่องโหว่ที่ทำให้ผู้โจมตีในรัฐเนวาดาปฏิบัติการได้โดยไม่ถูกตรวจพบเป็นเวลานาน ความปลอดภัยเครือข่ายแบบดั้งเดิมมักสมมติว่าสิ่งใดก็ตามที่อยู่ภายในขอบเขตแล้วนั้นปลอดภัย ซึ่งเป็นจุดบอดที่เปิดโอกาสให้ผู้บุกรุกเคลื่อนที่ไปมาก่อนที่จะปล่อย ransomware รูปแบบ zero trust จะต้องการการตรวจสอบอย่างต่อเนื่องในทุกขั้นตอน ทำให้ผู้โจมตีซ่อนตัวอยู่ในระบบเพื่อวางแผนโจมตีครั้งใหญ่ได้ยากขึ้นมาก

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

ผู้อ่านส่วนใหญ่ไม่ได้ดูแลเครือข่ายของรัฐบาล แต่บทเรียนจากประสบการณ์ของรัฐเนวาดาก็ใช้ได้กับบุคคลและองค์กรขนาดเล็กเช่นกัน Ransomware ไม่เลือกปฏิบัติตามขนาด และหลักการเดียวกันที่ช่วยให้รัฐเนวาดารอดจากการจ่ายค่าไถ่ นั่นคือข้อมูลสำรองที่เชื่อถือได้และการจำกัดการเคลื่อนที่ของผู้บุกรุกเมื่อเข้ามาข้างในแล้ว เป็นสิ่งที่ใครก็สามารถนำไปปฏิบัติได้

เริ่มจากข้อมูลสำรอง หากคุณยังไม่มีสำเนาไฟล์สำคัญเก็บไว้ที่อื่นแยกจากอุปกรณ์หลักและบัญชีคลาวด์ ไม่ว่าจะเป็นฮาร์ดไดรฟ์ภายนอกหรือบริการที่คุณควบคุม ตอนนี้คือเวลาที่จะตั้งค่า เป้าหมายคือความซ้ำซ้อน: หากสำเนาหนึ่งถูก compromise หรือเข้ารหัส อีกสำเนายังคงไม่ถูกแตะต้อง

นอกจากนี้ให้ใส่ใจว่าบัญชีหรืออุปกรณ์ใดอุปกรณ์หนึ่งมีการเข้าถึงมากแค่ไหน การใช้รหัสผ่านที่ไม่ซ้ำกัน การเปิดใช้การยืนยันตัวตนหลายปัจจัย และการจำกัดสิทธิ์ผู้ดูแลระบบบนอุปกรณ์ที่ใช้ร่วมกัน ล้วนเป็นเวอร์ชันขนาดเล็กของหลักการ zero trust ที่รัฐเนวาดากำลังนำมาใช้ในระดับรัฐ

ภาพใหญ่

ประสบการณ์ของรัฐเนวาดาเป็นกรณีศึกษาที่มีประโยชน์เพราะมันไม่จบลงด้วยการจ่ายเงิน การปฏิเสธที่จะจ่ายของรัฐซึ่งหนุนด้วยข้อมูลสำรองที่ใช้งานได้และไทม์ไลน์การกู้คืนที่รวดเร็ว แสดงให้เห็นว่าการวางแผนความยืดหยุ่นสามารถลดทอนอำนาจต่อรองที่กลุ่ม ransomware ต้องพึ่งพาได้ มันยังแสดงให้เห็นว่าทำไมรัฐบาลระดับรัฐและท้องถิ่น ซึ่งมักขาดเงินทุนและบุคลากรเมื่อเทียบกับทีมความปลอดภัยภาคเอกชน จึงยังคงเป็นเป้าหมายที่น่าสนใจ: ผู้โจมตีพนันว่าการกู้คืนจะแพงเกินไปหรือช้าเกินไป และเหยื่อจะจ่ายเพียงเพื่อให้ปัญหาหายไป

สิ่งที่ควรนำไปปฏิบัติ:

  • รักษาข้อมูลสำรองที่แยกจากเครือข่ายหรืออุปกรณ์หลัก และทดสอบว่าสามารถกู้คืนได้จริง
  • เปิดใช้การยืนยันตัวตนหลายปัจจัยทุกที่ที่มีให้ โดยเฉพาะบนบัญชีที่มีข้อมูลละเอียดอ่อน
  • จำกัดสิทธิ์ของบัญชีและอุปกรณ์ เพื่อให้การเข้าสู่ระบบที่ถูก compromise เพียงครั้งเดียวไม่สามารถให้การเข้าถึงในวงกว้าง
  • เฝ้าระวังกิจกรรมบัญชีที่ผิดปกติ เนื่องจากผู้โจมตีมักซุ่มอยู่โดยไม่ถูกตรวจพบเป็นสัปดาห์หรือเดือนก่อนโจมตี
  • ติดตามว่าองค์กรที่คุณพึ่งพา ตั้งแต่รัฐบาลท้องถิ่นไปจนถึงฝ่ายไอทีในที่ทำงาน กำลังปรับปรุงแนวปฏิบัติด้านความปลอดภัยอย่างไรหลังเหตุการณ์เช่นนี้

การโจมตี ransomware ไม่มีทีท่าจะหายไป แต่การฟื้นตัวของรัฐเนวาดาแสดงให้เห็นว่าการเตรียมพร้อม ไม่ใช่แค่การป้องกัน สามารถกำหนดได้ว่าการโจมตีจะกลายเป็นหายนะหรือความยุ่งยากที่จัดการได้