หากทีมรักษาความปลอดภัยของคุณรู้สึกโล่งใจขึ้นเล็กน้อยเมื่อปีที่แล้ว เมื่อพาดหัวข่าวเกี่ยวกับแรนซัมแวร์ดูเหมือนจะลดน้อยลง งานวิจัยใหม่ชี้ว่าความโล่งใจนั้นอาจเกิดขึ้นเร็วเกินไป ตามรายงานจาก ZDNET การลดลงที่เห็นได้ชัดของกิจกรรมแรนซัมแวร์ไม่ใช่การถอยกลับของอาชญากรไซเบอร์แต่อย่างใด มันคือการสับเปลี่ยน โดยผู้โจมตีเปลี่ยนเป้าหมาย วิธีการ และกลยุทธ์การสร้างรายได้ แทนที่จะถอยกลับ สำหรับธุรกิจที่วางกลยุทธ์ป้องกันแรนซัมแวร์จากภาพภัยคุกคามของปีที่แล้ว นี่คือสัญญาณเตือนที่สำคัญ
ทำไม 'การลดลง' ของแรนซัมแวร์ถึงเป็นภาพลวงตา
บนผิวเผิน จำนวนเหตุการณ์แรนซัมแวร์ที่รายงานลดลงดูเหมือนเป็นข่าวดี แต่นักวิจัยชี้ว่าจำนวนเหตุการณ์ดิบอาจทำให้เข้าใจผิดได้ แก๊งแรนซัมแวร์บางกลุ่มเปลี่ยนชื่อ แยกตัว หรือเงียบหายไปเพียงเพื่อปรากฏตัวอีกครั้งภายใต้ชื่อใหม่ กลุ่มอื่นๆ เปลี่ยนจากการโจมตีปริมาณสูงแต่มูลค่าต่ำไปสู่การปฏิบัติการที่น้อยลงแต่มุ่งเป้ามากขึ้นต่อองค์กรที่สามารถจ่ายค่าไถ่ก้อนโตได้ เมื่อคุณวัดความสำเร็จเพียงจากจำนวนพาดหัวข่าว คุณจะพลาดการเปลี่ยนแปลงกลยุทธ์ที่ซ่อนอยู่ ภัยคุกคามไม่ได้หดหาย แต่มันเปลี่ยนรูปร่าง และความแตกต่างนั้นสำคัญอย่างยิ่งต่อวิธีที่ธุรกิจจัดสรรงบประมาณและความสนใจด้านความปลอดภัย
แก๊งแรนซัมแวร์กำลังสับเปลี่ยนกลยุทธ์อย่างไร
การสับเปลี่ยนนี้ปรากฏให้เห็นหลายรูปแบบ ผู้โจมตีหันมาผสมผสานการขโมยข้อมูลเข้ากับการเข้ารหัสมากขึ้น ดังนั้นแม้แต่บริษัทที่มีการสำรองข้อมูลที่แข็งแกร่งก็ยังต้องเผชิญกับภัยคุกคามจากการรั่วไหลของข้อมูลที่ละเอียดอ่อนหากปฏิเสธที่จะจ่าย โมเดลการรีดไถสองชั้นนี้คือสิ่งที่เกิดขึ้นเมื่อ Stadler Rail ปฏิเสธข้อเรียกร้องค่าไถ่ 12.3 ล้านดอลลาร์ จากกลุ่มที่เรียกตัวเองว่า Everest โดยเดิมพันว่าความสามารถในการฟื้นตัวของบริษัทมีมากกว่าความเสี่ยงจากการเปิดเผยข้อมูล กลุ่มอื่นๆ กำลังสร้างสรรค์มากขึ้นในระดับเทคนิค สายพันธุ์แรนซัมแวร์ GodDamn ที่ใช้ไดรเวอร์ที่เซ็นชื่อเพื่อปิดการใช้งานเครื่องมือแอนตี้ไวรัส แสดงให้เห็นว่าผู้โจมตีหาวิธีหลีกเลี่ยงการป้องกันที่บริษัทต่างๆ คิดว่ากำลังทำงานอยู่เบื้องหลัง และแรนซัมแวร์ไม่ได้ยึดติดกับเป้าหมายที่ชัดเจนเช่นการเงินหรือการดูแลสุขภาพ การโจมตี Cropwise แพลตฟอร์มเกษตรแม่นยำที่เชื่อมโยงกับ Syngenta Group ซึ่งถูกอ้างความรับผิดชอบโดยกลุ่มที่เรียกตัวเองว่า ShadowByt3$ เป็นเครื่องเตือนใจว่าอุตสาหกรรมใดก็ตามที่มีข้อมูลการดำเนินงานที่มีค่าก็ตกเป็นเป้าหมายได้
4 แนวป้องกันหลักที่ธุรกิจต้องการในตอนนี้
เมื่อพิจารณาจากการสับเปลี่ยนนี้ นักวิจัยด้านความปลอดภัยชี้ไปที่แนวป้องกันพื้นฐานจำนวนหนึ่งที่ยังคงจำเป็นไม่ว่าภูมิทัศน์ภัยคุกคามจะเปลี่ยนไปอย่างไร ประการแรก การสำรองข้อมูลที่ยืดหยุ่นและผ่านการทดสอบแล้วซึ่งแยกออกจากเครือข่ายหลัก เพื่อที่การเข้ารหัสระบบที่ใช้งานจริงจะไม่ส่งผลกระทบต่อเส้นทางการกู้คืนของคุณด้วย ประการที่สอง การควบคุมข้อมูลประจำตัวและการเข้าถึงที่แข็งแกร่ง รวมถึงการยืนยันตัวตนแบบหลายปัจจัย เนื่องจากข้อมูลประจำตัวที่ถูกขโมยหรืออ่อนแอยังคงเป็นหนึ่งในจุดเข้าถึงที่พบบ่อยที่สุดสำหรับผู้โจมตี ประการที่สาม การแพตช์และการจัดการช่องโหว่อย่างทันท่วงที เพื่อปิดช่องว่างที่เปิดโอกาสให้ผู้โจมตีแทรกซึมเข้ามาก่อนที่ฝ่ายป้องกันจะทันสังเกตเห็น ประการที่สี่ การแบ่งส่วนเครือข่าย ซึ่งจำกัดว่าผู้โจมตีสามารถเคลื่อนที่ไปได้ไกลแค่ไหนเมื่อเข้ามาภายในแล้ว โดยจำกัดความเสียหายแทนที่จะปล่อยให้จุดตั้งหลักเพียงจุดเดียวลุกลามไปสู่การบุกรุกเครือข่ายทั้งหมด
สิ่งเหล่านี้ไม่ใช่แนวคิดใหม่ แต่การสับเปลี่ยนกลยุทธ์แรนซัมแวร์เป็นเครื่องเตือนใจว่าการละเลยข้อใดข้อหนึ่งจะสร้างช่องโหว่ที่ผู้โจมตีกำลังมองหาอย่างแข็งขันเพื่อใช้ประโยชน์
VPN และการเข้าถึงแบบเข้ารหัสมีบทบาทอย่างไรในความสามารถในการต้านทานแรนซัมแวร์
การเข้าถึงระยะไกลที่ปลอดภัยมีบทบาทเงียบๆ แต่สำคัญในชุดแนวป้องกันนี้ VPN และเครื่องมือการเชื่อมต่อแบบเข้ารหัสอื่นๆ ช่วยให้แน่ใจว่าข้อมูลที่เคลื่อนที่ระหว่างพนักงานระยะไกล สำนักงานสาขา และระบบหลักจะไม่ถูกดักจับ และสามารถกำหนดค่าให้บังคับใช้การเข้าถึงแบบแบ่งส่วนที่จำกัดการเคลื่อนที่ด้านข้างหากข้อมูลประจำตัวถูกบุกรุก การจับคู่ VPN กับนโยบายการเข้าถึงที่เข้มงวดหมายความว่าแม้ผู้โจมตีจะได้จุดตั้งหลัก พวกเขาก็จะไม่ได้แผนที่เครือข่ายทั้งหมดของคุณโดยอัตโนมัติ สิ่งนี้มีความเกี่ยวข้องอย่างยิ่งเนื่องจากแก๊งแรนซัมแวร์มุ่งเป้าไปที่องค์กรและหน่วยงานขนาดเล็กที่อาจไม่มีทีมรักษาความปลอดภัยเฉพาะมากขึ้น ดังที่เห็นในกรณีของ หน่วยงานรัฐบาลสหรัฐฯ ที่จ่ายเงินประมาณ 1 ล้านดอลลาร์ให้กับกลุ่มที่เรียกว่า Kairos หลังจากข้อมูล 2TB ถูกขโมย การเข้าถึงแบบเข้ารหัสและแบ่งส่วนจะไม่หยุดยั้งทุกการโจมตี แต่มันเพิ่มต้นทุนและความซับซ้อนให้กับผู้โจมตี ซึ่งมักจะเพียงพอที่จะทำให้พวกเขาเปลี่ยนไปหาเป้าหมายที่ง่ายกว่า
สิ่งนี้มีความหมายต่อคุณอย่างไร
หากคุณดูแลด้านไอทีหรือความปลอดภัยให้กับธุรกิจขนาดเล็กหรือขนาดกลาง ประเด็นสำคัญไม่ใช่ความตื่นตระหนก แต่เป็นการปรับเทียบใหม่ อย่าทึกทักว่าพาดหัวข่าวที่เบาบางลงของปีที่แล้วหมายความว่าภัยคุกคามได้ผ่านพ้นไปแล้ว แก๊งแรนซัมแวร์เป็นธุรกิจที่ปรับตัวได้ในแบบของพวกเขาเอง และพวกเขาตอบสนองต่อสิ่งที่ใช้ได้ผล นั่นหมายความว่าแนวป้องกันของคุณต้องปรับตัวได้เช่นเดียวกัน โดยได้รับการทบทวนอย่างสม่ำเสมอแทนที่จะถูกมองว่าเป็นรายการตรวจสอบที่ทำเพียงครั้งเดียว
ข้อปฏิบัติที่นำไปใช้ได้
ตรวจสอบกลยุทธ์การสำรองข้อมูลของคุณและยืนยันว่าการสำรองข้อมูลแยกออกจากกันและได้รับการทดสอบอย่างสม่ำเสมอเพื่อการกู้คืน ไม่ใช่แค่การสร้าง ทบทวนว่าใครเข้าถึงอะไรได้บ้าง และเข้มงวดการยืนยันตัวตนแบบหลายปัจจัยสำหรับบัญชีระยะไกลและบัญชีที่มีสิทธิพิเศษทั้งหมด ติดตามการแพตช์ให้เป็นปัจจุบันอยู่เสมอ โดยเฉพาะอย่างยิ่งสำหรับระบบที่เชื่อมต่อกับอินเทอร์เน็ตและโครงสร้างพื้นฐาน VPN เอง สุดท้าย ประเมินว่าการแบ่งส่วนเครือข่ายและการตั้งค่าการเข้าถึงระยะไกลที่ปลอดภัยของคุณจะสามารถจำกัดวงผู้โจมตีที่ผ่านแนวป้องกันด่านแรกของคุณเข้ามาได้จริงหรือไม่ แทนที่จะทึกทักว่ามันจะไม่มีวันถูกทดสอบ องค์กรที่ปฏิบัติต่อกลยุทธ์ป้องกันแรนซัมแวร์ทั่วทั้งธุรกิจว่าเป็นวินัยที่ต่อเนื่อง ไม่ใช่โครงการที่เสร็จสิ้นแล้ว คือองค์กรที่อยู่ในตำแหน่งที่ดีที่สุดในการรับมือกับภัยคุกคามในรูปแบบใดก็ตามที่จะเกิดขึ้นต่อไป
