ШІ-захист мережі від програм-вимагачів: новий пріоритет у міру зміни тактик

Нове дослідження Check Point висвітлює зміну в тому, як працюють оператори програм-вимагачів, і чому старий підхід із резервним копіюванням та відновленням більше не є достатнім сам по собі. Дані показують дещо контрінтуїтивне: у міру вдосконалення технологій резервного копіювання та відновлення, атакуючі не здалися. Вони адаптувалися. Рівень виплат викупу знижується шостий рік поспіль — з приблизно 85% у 2019 році до близько 23% сьогодні, і це падіння змінює стратегію атакуючих так, що це створює більший тиск на мережевий захист, як-от сегментація та контрольований віддалений доступ.

Це важливо для кожного, хто відповідає за захист бізнес-систем, і це важливо для ширшої дискусії про ШІ-захист мережі від програм-вимагачів, оскільки інструменти, які колись здавалися необов'язковими (сегментація, доступ через VPN, принцип найменших привілеїв у мережі), стають центральними, а не допоміжними.

Як ШІ знижує поріг входу

Дослідження Check Point вказує на штучний інтелект як на фактор, що знижує технічні навички, необхідні для проведення операцій з програмами-вимагачами. Завдання, які колись вимагали спеціальних знань у кодуванні, розробки кастомного шкідливого програмного забезпечення або глибокого знайомства з цільовими середовищами, тепер можуть бути прискорені або автоматизовані за допомогою ШІ-інструментів. Це не обов'язково означає, що ШІ за одну ніч винаходить нові категорії атак, але це означає, що більше людей можуть брати участь в операціях із програмами-вимагачами з меншим досвідом, а існуючі групи можуть діяти швидше та в більших масштабах.

Це зниження порогу входу пов'язане з ширшою закономірністю, яка вже видима в ландшафті програм-вимагачів. Як висвітлено у звіті про те, як екосистема програм-вимагачів фрагментується на десятки активних груп, ця сфера не консолідується навколо кількох домінуючих гравців. Натомість вона розпадається на багато менших, більш гнучких операцій. ШІ-інструменти, ймовірно, прискорюють цю фрагментацію, полегшуючи меншим або новішим групам запуск серйозних атак без ресурсів, які раніше були бар'єром.

Чому падіння рівня виплат викупу підштовхує атакуючих до крадіжки даних

Падіння рівня виплат викупу не є ознакою того, що програми-вимагачі зникають. Це ознака того, що саме лише шифрування перестало бути надійним джерелом прибутку. Коли організації можуть відновити системи з резервних копій без виплати, важіль впливу, який колись забезпечувало шифрування, зникає. Атакуючі відповіли зміщенням акценту на крадіжку даних та вимагання на основі загрози публічного розголошення, а не покладаючись лише на блокування файлів.

Це важлива відмінність для тих, хто захищається. Стратегія захисту від програм-вимагачів, побудована на принципі «у нас гарні резервні копії, тому ми захищені», вирішує половину загрози, пов'язану з шифруванням, але майже нічого не робить, щоб запобігти копіюванню та викраденню даних до того, як відбудеться шифрування. Якщо атакуючі можуть переміщатися латерально по мережі, знаходити сховища чутливих даних і тихо витягувати інформацію, резервні копії стають нерелевантними для цієї частини атаки. Загроза вимагання зміщується з «заплатіть, щоб отримати свої дані назад» на «заплатіть, або ми зіллємо те, що вже забрали».

Де резервні копії не спрацьововують: аргументи на користь сегментації та контрольованого доступу

Саме тут архітектура мережі стає настільки ж важливою, як і планування відновлення. Резервні копії захищають від втрати даних, але вони нічого не роблять, щоб запобігти атакуючому переглядати плоску мережу, перестрибувати між системами та отримувати доступ до даних, до яких вони ніколи не мали права торкатися. У цьому середовищі більше значення мають два контролі:

Сегментація мережі обмежує, наскільки далеко може переміститися атакуючий після отримання початкового доступу. Якщо скомпрометований пристрій знаходиться в ізольованому сегменті з обмеженими шляхами до чутливих систем, радіус ураження порушення різко зменшується, навіть якщо ШІ-асистовані інструменти допомогли атакуючому швидко проникнути.

Контроль доступу на основі VPN та ідентифікації обмежує, хто і що взагалі може отримати доступ до внутрішніх ресурсів. Замість того, щоб дозволяти широкий мережевий доступ після потрапляння всередину периметра, сучасні підходи до доступу безперервно перевіряють ідентичність і стан пристрою та маршрутизують трафік через контрольовані, зашифровані канали. Це зменшує ймовірність того, що єдине скомпрометоване облікове дані або кінцева точка стануть шлюзом до всієї мережі.

Разом ці контролі вирішують ту частину ланцюга атаки, яку резервні копії не можуть: фазу розвідки та латерального переміщення, де насправді відбувається крадіжка даних.

Що це означає для вас

Для ІТ-команд і команд безпеки висновок простий: планування відновлення та контроль доступу потрібно розглядати як взаємодоповнюючі, а не взаємозамінні. Гарні резервні копії захищають від простоїв і втрати даних через шифрування, але вони не зупиняють крадіжку, а крадіжка дедалі частіше стає важелем, на який покладаються атакуючі. Перегляд того, наскільки плоскою чи сегментованою є ваша мережа і наскільки жорстко контролюється віддалений і внутрішній доступ, є практичним наступним кроком незалежно від розміру компанії.

Для окремих користувачів і менших організацій цей принцип також масштабується. Обмеження того, до чого може отримати доступ окремий пристрій або обліковий запис, використання надійного контролю доступу для віддалених з'єднань і скептичне ставлення до незвичної активності облікових записів — усе це зменшує ймовірність того, що одна скомпрометована точка входу перетвориться на повномасштабне порушення.

Практичні висновки

  • Не покладайтеся лише на резервні копії; вони вирішують проблему шифрування, але не крадіжки даних, яка тепер є основною тактикою вимагання.
  • Проведіть аудит сегментації мережі, щоб обмежити латеральне переміщення у разі компрометації пристрою або облікового запису.
  • Посиліть VPN та контроль віддаленого доступу за допомогою перевірки ідентичності, а не широкої довіри до периметра.
  • Будьте в курсі того, як еволюціонують групи програм-вимагачів, оскільки ШІ-інструменти дозволяють більшій кількості менших і швидших операцій діяти у фрагментованій екосистемі.
  • Розглядайте ШІ-захист мережі від програм-вимагачів як постійну багаторівневу стратегію, а не разове оновлення.

Оскільки ШІ продовжує змінювати економіку та механіку програм-вимагачів, організації, які триматимуться найкраще, будуть тими, хто розглядає мережевий захист, а не лише відновлення, як свою першу лінію оборони.