Até agora, abordamos as coisas que você geralmente pode fazer para proteger seus dados e manter a continuidade dos negócios em caso de desastre. Mas há um tipo de desastre que está em ascensão e vale a pena resolver sozinho: ransomware.
Os criminosos cibernéticos sempre foram uma ameaça, mas embora os hacktivistas do passado tenham sido motivados por crenças políticas, culturais e religiosas, os criminosos cibernéticos de hoje são amplamente motivados por ganhos financeiros. Ransomware, no qual um hacker bloqueia você dos seus dados por criptografia até que você pague um resgate, agora é um setor multimilionário. E em um mundo onde o tempo de inatividade se traduz diretamente em perda de receita, nunca foi tão tentador pagar apenas esse resgate.
Nas seções a seguir, abordaremos o que você pode fazer para mitigar um ataque ransomware.
Prevenção de ataques ransomware
A melhor maneira de combater o ransomware é evitar que ele ocorra em primeiro lugar. Trata-se de obter visibilidade de todo o sistema, praticar uma boa higiene de dados e ter um plano em vigor para lidar com uma ameaça depois de identificá-la.
- Registro e monitoramento: As ferramentas de registro e monitoramento do sistema podem oferecer uma visão geral de seus sistemas e ajudar a entender como é sua infraestrutura de TI quando tudo está funcionando sem problemas. A análise rápida em tempo real pode ajudar a detectar anomalias (por exemplo, um pico no tráfego de um endereço IP suspeito) e outras atividades que podem te levar a um possível ataque.
- Higiene de dados: Quando os hackers plantam malware, eles buscam vulnerabilidades de segurança, como sistemas operacionais não corrigidos, ferramentas de terceiros mal seguras e gerenciamento de dados desorganizado. Higiene de dados significa implementar boas práticas de gerenciamento de patches, configuração do sistema e sanitização de dados. Essas coisas não apenas tornam sua organização mais tranquila, mas também reduzem muito a superfície de ataque de um possível hacker.
- Segurança operacional: Os seres humanos são uma vulnerabilidade frequentemente negligenciada quando se trata de cibersegurança. A implementação de autenticação multifator, controles administrativos e camadas de dados pode garantir que os dados estejam disponíveis apenas para as pessoas autorizadas que precisam deles. O treinamento de conscientização sobre segurança que aborda as técnicas de hackers e ataques de phishing pode ajudar a preparar sua organização para detectar tentativas reais na natureza.
O que fazer durante um ataque ransomware
Os ataques cibernéticos não são tão óbvios na vida real quanto para os protagonistas do cinema. O ataque em si pode durar apenas de 30 a 40 minutos, pois eles acessam seus arquivos e se movem lateralmente por suas redes, criptografando arquivos e excluindo backups. Por outro lado, um invasor pode se esconder em sua rede muito depois de obter acesso, monitorando suas respostas a anomalias enquanto planeja um ataque real. De qualquer forma, quando você recebe uma nota de resgate para seus dados, o ataque já foi concluído.
A única maneira de detectar um ataque ransomware enquanto ele ainda está acontecendo é observar tentativas de phishing frustradas conforme elas acontecem (treinando seus funcionários) ou detectar atividades suspeitas em sua rede por meio de SEIMs e logs. Desde que você tenha tomado essas medidas proativas e tenha as ferramentas necessárias, vale a pena ter um plano de resposta a incidentes cibernéticos (CIR, Cyber Incident Response) para lidar com a atividade anômala quando você a descobrir. Documente tudo e notifique o pessoal de TI relevante para isolar os sistemas afetados e reduzir os danos. Você precisará desses registros para atender aos requisitos de conformidade e ajudar a polícia com investigações caso essa atividade se prove ser um ataque ransomware real. Vamos abordar os detalhes da criação de um plano de CIR mais adiante neste artigo.
Recuperação de desastres pós-ataque de ransomware
Assim, seus arquivos foram criptografados e você acabou de receber uma nota de ransomware. Quais são suas opções?
Uma opção é pagar apenas o resgate, mas isso pode arriscar expor sua organização a mais extorsão no futuro.
Uma opção melhor, desde que você tenha seguido as etapas proativas de mitigação de ataques ransomware descritas nas seções anteriores, é limpar, restaurar e responder:
- Elimine os sistemas das vulnerabilidades que permitiram aos invasores acessar seus dados. Hardware e software comprometidos devem ser isolados e desconectados da rede imediatamente. Uma auditoria de sistema e rede deve ser realizada para garantir que não haja backdoors ou outros malwares. É importante higienizar seus sistemas antes de restaurar dados de seus backups e entrar em operação.
- Restaure dados aproveitando seu plano de backup e recuperação. Esperamos que você tenha alguns snapshots e uma infraestrutura de recuperação de desastres em vigor para permitir que você retire as coisas logo antes que o incidente cibernético ocorra. Sua equipe de defesa deve realizar uma análise forense de seus dados de backup em um ambiente virtual higienizado para garantir que os invasores não deixem nada para trás. Você está procurando um ponto de recuperação não adulterado para o qual possa reverter seus sistemas.
- Responda ao ataque adequadamente tomando medidas para revisar registros, sistemas de auditoria e documentar a natureza do ataque. Para cumprir os regulamentos, você pode precisar notificar os clientes sobre uma violação de dados e desejar que seus logs demonstrem que sua organização fez tudo o que podia para responder ao ataque. As informações obtidas com o ataque podem ser aproveitadas para ajudar as autoridades a rastrear os agressores, além de ajudar a proteger seus próprios sistemas contra ataques futuros.
Saiba mais: Guia do hacker para mitigação e recuperação de Ransomware
