แรนซัมแวร์ทำลายระบบการกู้คืนก่อนที่จะเข้ารหัสไฟล์ใด ๆ
คนส่วนใหญ่มักนึกภาพการโจมตีด้วยแรนซัมแวร์เป็นเหตุการณ์เดียวที่เกิดขึ้นอย่างกะทันหัน: ไฟล์ถูกเข้ารหัส ข้อความเรียกค่าไถ่ปรากฏขึ้น และองค์กรต้องเร่งตอบสนอง แต่ในความเป็นจริง ส่วนที่สร้างความเสียหายมากที่สุดของการโจมตีด้วยแรนซัมแวร์มักเกิดขึ้นก่อนที่ไฟล์แม้แต่ไฟล์เดียวจะถูกล็อก ผู้โจมตีจงใจทำลายระบบสำรองข้อมูลและตัวเลือกการกู้คืนก่อนเป็นอันดับแรก เพื่อที่เมื่อการเข้ารหัสเกิดขึ้นจริง เหยื่อจะไม่มีตาข่ายนิรภัยเหลือไว้ให้พึ่งพา
นี่คือข้อมูลเชิงลึกหลักที่อยู่เบื้องหลังการให้ความสำคัญที่เพิ่มขึ้นในด้านปฏิบัติการรักษาความปลอดภัย: วิศวกรรมการตรวจจับที่สร้างขึ้นโดยเฉพาะเพื่อจับการก่อวินาศกรรมก่อนการเข้ารหัส พฤติกรรมสองอย่างโดดเด่นเป็นสัญญาณเตือนล่วงหน้าที่เชื่อถือได้ อย่างแรกคือการลบ Shadow Copy ซึ่งผู้โจมตีจะล้าง Windows Volume Shadow Copies ซึ่งเป็นสแนปช็อตในตัวที่ช่วยให้ผู้ดูแลระบบสามารถย้อนกลับไปยังเวอร์ชันก่อนหน้าที่สะอาดของระบบได้ อย่างที่สองคือการใช้ Group Policy Objects (GPO) ในทางที่ผิดเพื่อส่งเพย์โหลดที่เป็นอันตรายไปทั่วทั้งเครือข่ายในครั้งเดียว เปลี่ยนบัญชีที่ถูกบุกรุกเพียงบัญชีเดียวให้กลายเป็นกลไกการกระจายมวลชน
การกระทำทั้งสองอย่างเงียบเมื่อเทียบกับการเข้ารหัสเอง พวกมันไม่ได้ล็อกใครออกจากอะไรในทันที นั่นคือเหตุผลที่มันอันตราย: มันเกิดขึ้นในช่วงเวลาก่อนที่ใครจะสังเกตเห็นว่ามีบางอย่างผิดปกติ และมันถูกออกแบบมาโดยเฉพาะเพื่อทำให้การกู้คืนเป็นไปไม่ได้เมื่อการโจมตีเริ่มชัดเจน
ทำไมวิศวกรรมการตรวจจับจึงเปลี่ยนเส้นเวลา
การตรวจสอบความปลอดภัยแบบดั้งเดิมมักเน้นที่ช่วงเวลาของผลกระทบ คือจุดที่ไฟล์ถูกเข้ารหัสและระบบดับมืด เมื่อถึงจุดนั้น ความเสียหายก็เกิดขึ้นเกือบหมดแล้ว วิศวกรรมการตรวจจับพลิกเส้นเวลานั้นด้วยการสร้างการแจ้งเตือนรอบขั้นตอนการเตรียมการที่ผู้โจมตีทำก่อนที่การเข้ารหัสจะเริ่มขึ้น
การแจ้งเตือนเกี่ยวกับการลบ Shadow Copy หมายถึงการปฏิบัติต่อมันเป็นเหตุการณ์ที่น่าสงสัยโดยเนื้อแท้ ไม่ใช่การดูแลระบบตามปกติ ผู้ดูแลระบบที่ถูกต้องตามกฎหมายแทบไม่จำเป็นต้องลบ Shadow Copy เป็นจำนวนมากบนหลายระบบในช่วงเวลาสั้น ๆ เมื่อรูปแบบนั้นปรากฏขึ้น มันเป็นสัญญาณที่ชัดเจนว่ามีบางอย่างกำลังทำงานเพื่อลบความสามารถขององค์กรในการกู้คืนด้วยตัวเอง
ในทำนองเดียวกัน การตรวจสอบการเปลี่ยนแปลง GPO ที่ส่งสคริปต์หรือไฟล์ปฏิบัติการใหม่ทั่วทั้งองค์กร จะจับผู้โจมตีได้ในขณะที่พวกเขากำลังพยายามขยายการเข้าถึง GPO เป็นเครื่องมือการดูแลระบบที่ทรงพลังเพราะมันสามารถเข้าถึงทุกเครื่องในโดเมนได้ พลังนั้นเองที่ทำให้มันเป็นเป้าหมายที่น่าสนใจสำหรับผู้โจมตีที่ต้องการกระจายเพย์โหลดแรนซัมแวร์ให้กว้างและเร็วที่สุดเท่าที่จะทำได้
ด้วยการสร้างกฎการตรวจจับรอบพฤติกรรมเฉพาะเหล่านี้ของผู้โจมตีที่เข้าใจกันดี ทีมรักษาความปลอดภัยมีโอกาสเข้าแทรกแซงก่อนที่การเข้ารหัสจะเริ่มต้น ไม่ใช่หลังจากนั้น นี่คือการเปลี่ยนแปลงที่มีความหมายจากการตอบสนองต่อเหตุการณ์เชิงรับไปสู่การขัดขวางเชิงรุก
ประเด็นความเป็นส่วนตัวเบื้องหลังการทำลายระบบสำรองข้อมูล
ควรหยุดพิจารณาว่าทำไมการทำลายระบบสำรองข้อมูลจึงสำคัญมากเกินกว่าปัญหาปฏิบัติการเฉพาะหน้า เมื่อตัวเลือกการกู้คืนถูกทำลาย องค์กรจะถูกผลักดันให้เลือกทางเลือกที่แคบลงมาก และหนึ่งในทางเลือกที่พบบ่อยที่สุดคือการจ่ายค่าไถ่ งานวิจัยเกี่ยวกับผลลัพธ์ของแรนซัมแวร์แสดงให้เห็นว่าองค์กรจำนวนไม่น้อยยังคงเลือกที่จะจ่าย แม้ว่าการทำเช่นนั้นจะไม่รับประกันอะไรเลย การรายงานก่อนหน้าของเราเกี่ยวกับ 34% ขององค์กรในออสเตรเลียและนิวซีแลนด์ยังจ่ายค่าไถ่ พบว่าการจ่ายเงินนั้นห่างไกลจากการเป็นทางออกที่เชื่อถือได้ และการตัดสินใจนั้นมักเกิดขึ้นภายใต้ความกดดันแบบเดียวกับที่การทำลายระบบสำรองข้อมูลสร้างขึ้น
ที่นี่มีมิติความเป็นส่วนตัวด้วยเช่นกัน เมื่อระบบสำรองข้อมูลหายไปและการเจรจากลายเป็นหนทางเดียวที่เดินหน้าได้ องค์กรยังมีแนวโน้มที่จะเผชิญความเสี่ยงที่ข้อมูลจะถูกเปิดเผย ผู้โจมตีมักจับคู่การเข้ารหัสกับการขโมยข้อมูล โดยขู่ว่าจะรั่วไหลข้อมูลลูกค้าหรือพนักงานที่ละเอียดอ่อนหากไม่มีการจ่ายเงิน การทำลายระบบสำรองข้อมูลจะลบตัวเลือกในการกู้คืนและปฏิเสธการเจรจา ซึ่งเพิ่มโอกาสที่ข้อมูลส่วนบุคคลที่ถูกขโมยจะกลายเป็นเครื่องมือต่อรอง การจับการโจมตีให้เร็วขึ้น ก่อนที่ระบบสำรองข้อมูลจะถูกล้าง ช่วยรักษาได้มากกว่าโครงสร้างพื้นฐานด้านไอที มันรักษาความสามารถขององค์กรในการปฏิเสธข้อเรียกร้องค่าไถ่โดยไม่ต้องเสี่ยงกับข้อมูลส่วนบุคคลของผู้คนที่มันให้บริการ
สิ่งนี้หมายถึงอะไรสำหรับคุณ
หากคุณจัดการระบบไอทีให้กับธุรกิจ นี่คือเครื่องเตือนใจว่าการป้องกันแรนซัมแวร์ไม่สามารถหยุดอยู่ที่โปรแกรมป้องกันไวรัสบนอุปกรณ์ปลายทางหรือการตรวจจับไฟล์ที่ถูกเข้ารหัส จุดได้เปรียบที่แท้จริงมักอยู่หลายชั่วโมงหรือหลายวันก่อนหน้านั้น ในการเปลี่ยนแปลงการดูแลระบบที่เงียบซึ่งนำหน้าการโจมตีที่มองเห็นได้ หากคุณเป็นเพียงผู้บริโภคหรือพนักงานที่ข้อมูลอยู่ในระบบเหล่านี้ ข้อสรุปที่ได้จะอ้อมกว่าแต่ก็สำคัญไม่น้อย: องค์กรที่ลงทุนในวิศวกรรมการตรวจจับเชิงรุกมีโอกาสน้อยกว่าที่จะจบลงในสถานการณ์ที่ถูกบังคับให้จ่ายค่าไถ่หรือเจรจากับผู้โจมตีที่ถือข้อมูลส่วนบุคคลของคุณ
ข้อปฏิบัติที่เป็นรูปธรรม
สำหรับทีมรักษาความปลอดภัย มีขั้นตอนที่เป็นรูปธรรมสองสามขั้นตอนที่ตามมาจากสิ่งนี้โดยตรง: สร้างการแจ้งเตือนเฉพาะสำหรับเหตุการณ์การลบ Shadow Copy แทนที่จะปฏิบัติต่อมันเป็นเสียงรบกวนเบื้องหลัง ตรวจสอบการเปลี่ยนแปลง GPO ว่ามีขอบเขตหรือช่วงเวลาที่ผิดปกติหรือไม่ และเก็บสำเนาสำรองอย่างน้อยหนึ่งชุดที่แยกออกจากโดเมนทั้งหมด เพื่อให้บัญชีผู้ดูแลระบบที่ถูกบุกรุกเพียงบัญชีเดียวไม่สามารถเข้าถึงมันได้ สำหรับคนอื่น ๆ นี่เป็นเหตุผลที่ดีที่จะถามองค์กรที่ถือข้อมูลของคุณว่าแผนการกู้คืนของพวกเขาจริง ๆ เป็นอย่างไร และมันพึ่งพาระบบสำรองข้อมูลที่ผู้โจมตีสามารถลบได้ในไม่กี่นาทีหรือไม่
