รายการตรวจสอบความพร้อมรับมือแรนซัมแวร์ที่เผยแพร่ใหม่จาก Adaptive Security นำเสนอแผนปฏิบัติการที่ตรงไปตรงมา: สำรองข้อมูลสำคัญด้วยพื้นที่จัดเก็บแบบ immutable, ปรับปรุงความปลอดภัยของการเข้าถึงระยะไกล, ทดสอบการกู้คืนข้อมูลอย่างสม่ำเสมอ, ฝึกอบรมพนักงาน และสร้างแผนรับมือเหตุการณ์ก่อนที่เหตุการณ์จะเกิดขึ้นแทนที่จะสร้างระหว่างเกิดเหตุ คำแนะนำนี้มุ่งเป้าไปที่องค์กรทุกขนาด แต่สาระสำคัญเบื้องหลังใช้ได้กับทีมขนาดเล็กและพนักงานที่ทำงานระยะไกลซึ่งพึ่งพา VPN, เราเตอร์ที่บ้าน และอุปกรณ์ส่วนตัวในการทำงานพอๆ กัน

แรนซัมแวร์ไม่เลือกปฏิบัติตามขนาดของบริษัท ผู้โจมตีมักมองหาจุดเข้าที่ง่ายที่สุด และจุดนั้นก็คือการเชื่อมต่อระยะไกลที่มีการป้องกันไม่ดีมากกว่าไฟร์วอลล์องค์กรที่แข็งแกร่งมากขึ้นเรื่อยๆ

เหตุใดการเข้าถึงระยะไกลจึงเป็นจุดอ่อนที่สุดในการโจมตีด้วยแรนซัมแวร์

รายการตรวจสอบความพร้อมรับมือแรนซัมแวร์ส่วนใหญ่วางการปรับปรุงความปลอดภัยของการเข้าถึงระยะไกลไว้ใกล้ตำแหน่งบนสุดของรายการด้วยเหตุผลที่ดี เกตเวย์ VPN, โปรโตคอลเดสก์ท็อประยะไกล และพอร์ทัลเข้าสู่ระบบคลาวด์เป็นประตูที่ผู้โจมตีพยายามเปิดก่อนเพราะมักถูกเปิดเผยสู่อินเทอร์เน็ตสาธารณะและป้องกันด้วยเพียงรหัสผ่านเท่านั้น รหัสผ่านที่อ่อนแอหรือถูกนำไปใช้ซ้ำ การขาดการยืนยันตัวตนหลายปัจจัย และซอฟต์แวร์ VPN ที่ไม่ได้รับการอัปเดตเปิดทางให้ผู้โจมตีเข้าไปอย่างเงียบๆ ซึ่งดูเหมือนการใช้งานของผู้ใช้ทั่วไปจนกว่าจะสายเกินไป

สำหรับพนักงานที่ทำงานระยะไกลและทีมขนาดเล็ก ความเสี่ยงนี้ยิ่งทวีคูณ การตั้งค่าสำนักงานที่บ้านแทบไม่มีการตรวจสอบ การจัดการแพตช์ หรือการแบ่งส่วนเครือข่ายเหมือนสภาพแวดล้อมขององค์กร หากข้อมูลประจำตัว VPN ของพนักงานระยะไกลคนเดียวถูกบุกรุก ผู้โจมตีมักจะเคลื่อนที่ในแนวนอนไปยังไดรฟ์ที่ใช้ร่วมกัน พื้นที่จัดเก็บคลาวด์ หรือระบบของบริษัทก่อนที่ใครจะสังเกตเห็น การปรับปรุงความปลอดภัยของการเข้าถึงระยะไกลหมายถึงการบังคับใช้การยืนยันตัวตนหลายปัจจัยในการเข้าสู่ระบบทุกครั้ง อัปเดตไคลเอนต์ VPN และเฟิร์มแวร์อยู่เสมอ และจำกัดสิ่งที่แต่ละเซสชันระยะไกลสามารถเข้าถึงได้บนเครือข่าย

กลยุทธ์การสำรองข้อมูลที่ขจัดแรงจูงใจในการจ่ายค่าไถ่

แกนหลักของรายการตรวจสอบความพร้อมรับมือแรนซัมแวร์คือกลยุทธ์การสำรองข้อมูล และการเน้นย้ำเรื่องพื้นที่จัดเก็บแบบ immutable ในรายการนี้เป็นสิ่งที่ควรให้ความสนใจ การสำรองข้อมูลแบบ immutable ไม่สามารถแก้ไขหรือลบได้ แม้แต่โดยผู้ที่มีสิทธิ์เข้าถึงระดับผู้ดูแลระบบ ซึ่งหมายความว่าหากแรนซัมแวร์เข้ารหัสไฟล์ที่ใช้งานอยู่ของคุณ สำเนาสำรองของคุณจะยังคงไม่ถูกแตะต้องและสามารถกู้คืนได้ นี่คือสิ่งที่ขจัดแรงจูงใจในการจ่ายค่าไถ่จริงๆ: หากคุณสามารถกู้คืนข้อมูลได้อย่างรวดเร็วและมั่นใจ อำนาจต่อรองของผู้โจมตีก็จะหายไป

สำหรับบุคคลและทีมขนาดเล็ก สิ่งนี้ไม่จำเป็นต้องมีโครงสร้างพื้นฐานระดับองค์กร การผสมผสานระหว่างการสำรองข้อมูลบนคลาวด์ที่มีประวัติเวอร์ชันและสำเนาไฟล์สำคัญแบบออฟไลน์หรือแยกจากเครือข่ายสามารถให้การปกป้องในระดับใกล้เคียงกันได้มาก การยืนกรานของรายการตรวจสอบเรื่องการทดสอบการกู้คืนข้อมูล ไม่ใช่แค่การเรียกใช้การสำรองข้อมูล เป็นรายละเอียดที่ควรกล่าวถึงซ้ำ การสำรองข้อมูลที่ไม่เคยถูกทดสอบว่าสามารถกู้คืนได้เต็มรูปแบบคือการสำรองข้อมูลที่คุณไม่สามารถพึ่งพาได้จริงเมื่อถึงเวลาสำคัญ

ความเสี่ยงจากฟิชชิงที่เกี่ยวข้องกับพนักงานและครัวเรือนซึ่งก่อให้เกิดการติดเชื้อ

การสำรองข้อมูลและการควบคุมการเข้าถึงมีความสำคัญ แต่การติดเชื้อแรนซัมแวร์ส่วนใหญ่ยังคงเริ่มต้นจากอีเมลฟิชชิงหรือลิงก์ที่เป็นอันตราย การฝึกอบรมพนักงานให้รู้จักข้อความที่น่าสงสัยเป็นส่วนมาตรฐานของรายการตรวจสอบความพร้อมรับมือแรนซัมแวร์ แต่สำหรับพนักงานที่ทำงานระยะไกลและแบบผสม การฝึกอบรมนั้นจำเป็นต้องขยายไปถึงระดับครัวเรือนด้วย อุปกรณ์ที่ใช้ร่วมกันที่บ้าน สมาชิกในครอบครัวที่ใช้คอมพิวเตอร์เครื่องเดียวกันทั้งทำงานและท่องเว็บส่วนตัว และนิสัยที่ไม่ระมัดระวัง เช่น การคลิกลิงก์ในข้อความที่ไม่คาดคิด ล้วนสร้างช่องโหว่ที่ทีมรักษาความปลอดภัยขององค์กรไม่สามารถตรวจสอบได้โดยตรง

นิสัยง่ายๆ ช่วยได้มาก: ตรวจสอบที่อยู่ผู้ส่งก่อนคลิกลิงก์ หลีกเลี่ยงการดาวน์โหลดไฟล์แนบที่ไม่ได้รับการร้องขอ และแยกบัญชีส่วนตัวและบัญชีงานออกจากกันให้มากที่สุด ไม่มีสิ่งใดต้องใช้ความรู้ด้านเทคนิค เพียงแค่ความตระหนักรู้ที่สม่ำเสมอผ่านการฝึกอบรมที่มีอุปสรรคต่ำเป็นประจำ แทนที่จะจัดฝึกอบรมปีละครั้งเดียว

การสร้างแผนรับมือเหตุการณ์ก่อนการโจมตี ไม่ใช่ระหว่างการโจมตี

ส่วนสุดท้ายของรายการตรวจสอบ และอาจเป็นส่วนที่ถูกมองข้ามมากที่สุด คือการมีแผนรับมือเหตุการณ์ที่เป็นลายลักษณ์อักษรไว้ก่อนที่การโจมตีจะเกิดขึ้น การรู้ว่าต้องติดต่อใคร วิธีแยกระบบที่ได้รับผลกระทบ และวิธีสื่อสารกับพนักงาน ลูกค้า หรือหน่วยงานกำกับดูแล ไม่ควรต้องคิดขึ้นมาในช่วงที่เหตุการณ์กำลังดำเนินอยู่อย่างโกลาหล ผลที่ตามมาของการข้ามขั้นตอนนี้อาจรุนแรงและยืดเยื้อ ดังที่เห็นใน ค่าปรับ HSE หลังการโจมตีด้วยแรนซัมแวร์ที่โรงพยาบาล Tullamore ซึ่งช่องโหว่ด้านความพร้อมและการควบคุมการเข้าถึงในสภาพแวดล้อมที่มีข้อมูลอ่อนไหวนำไปสู่ค่าปรับ 300,000 ยูโรจากหน่วยงานกำกับดูแลข้อมูลของไอร์แลนด์

ความหมายสำหรับคุณ

หากคุณทำงานระยะไกลหรือบริหารทีมขนาดเล็ก คุณไม่จำเป็นต้องมีงบประมาณระดับองค์กรเพื่อปฏิบัติตามรายการตรวจสอบความพร้อมรับมือแรนซัมแวร์ที่ครอบคลุม เปิดใช้งานการยืนยันตัวตนหลายปัจจัยบน VPN และบัญชีคลาวด์ของคุณ เก็บการสำรองข้อมูลแบบ immutable หรือออฟไลน์ของสิ่งที่คุณไม่สามารถยอมรับได้ว่าจะสูญเสีย และปฏิบัติต่อการตระหนักรู้เรื่องฟิชชิงเป็นนิสัยที่ต้องทำต่อเนื่อง ไม่ใช่การฝึกอบรมครั้งเดียว ผู้โจมตีมองหาเส้นทางที่มีการต่อต้านน้อยที่สุด และวินัยพื้นฐานเกี่ยวกับการเข้าถึงและการสำรองข้อมูลจะนำคุณออกจากหมวดหมู่นั้น

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

  • เปิดใช้งานการยืนยันตัวตนหลายปัจจัยบนบัญชี VPN และการเข้าถึงระยะไกลทั้งหมด ไม่ใช่แค่อีเมล
  • จัดเก็บการสำรองข้อมูลแบบ immutable หรือออฟไลน์อย่างน้อยหนึ่งชุดและทดสอบกระบวนการกู้คืนเป็นระยะ
  • ฝึกฝนตัวเองและสมาชิกในครัวเรือนให้สังเกตความพยายามฟิชชิงบนอุปกรณ์ที่ใช้ร่วมกัน
  • เขียนแผนรับมือเหตุการณ์พื้นฐาน รวมถึงผู้ที่ต้องติดต่อและวิธีแยกอุปกรณ์ที่ถูกบุกรุก ก่อนที่คุณจะต้องใช้
  • ทบทวนผลที่ตามมาในโลกจริง เช่น กรณี HSE เพื่อเป็นเครื่องเตือนใจว่าช่องโหว่ด้านความพร้อมมีต้นทุนที่ยั่งยืนเกินกว่าการโจมตีครั้งแรก