Finora abbiamo trattato le cose che puoi fare in genere per proteggere i tuoi dati e mantenere la business continuity in caso di emergenza. Ma c'รจ un tipo di disastro che รจ in aumento e vale la pena affrontare da solo: il ransomware.
I criminali informatici sono sempre stati una minaccia, ma mentre gli hacker di un tempo erano motivati da convinzioni politiche, culturali e religiose, oggi i criminali informatici sono in gran parte motivati da guadagni finanziari. Ransomware, in cui un hacker ti blocca dai dati tramite crittografia fino a quando non paghi un riscatto, รจ ora un settore multimilionario. E in un mondo in cui il downtime si traduce direttamente in una perdita di fatturato, non รจ mai stato cosรฌ allettante pagare quel riscatto.
Nelle sezioni seguenti, tratteremo le cose che puoi fare per contenere un attacco ransomware.
Prevenzione di un attacco ransomware
Il modo migliore per combattere il ransomware รจ evitare che si verifichi in primo luogo. Si tratta di ottenere una visibilitร a livello di sistema, mettere in pratica una buona igiene dei dati e mettere in atto un piano per gestire una minaccia una volta identificata.
- Registrazione e monitoraggio: Gli strumenti di registrazione e monitoraggio dei sistemi possono fornire una visione d'insieme dei sistemi e aiutarti a capire come si presenta l'infrastruttura IT quando tutto funziona correttamente. I veloci analytics in tempo reale possono aiutarti a individuare le anomalie (ad esempio un picco di traffico dovuto a un indirizzo IP sospetto) e altre attivitร che possono portarti a un potenziale attacco.
- Igiene dei dati: Quando gli hacker piantano malware, sono alla ricerca di vulnerabilitร di sicurezza come sistemi operativi privi di patch, strumenti di terze parti mal protetti e una gestione dei dati disordinata. Per igiene dei dati si intende l'implementazione di buone procedure di gestione delle patch, configurazione dei sistemi e sanificazione dei dati. Oltre a rendere la tua organizzazione piรน fluida, questi fattori riducono notevolmente la superficie di attacco di un potenziale attacco.
- Sicurezza operativa: Gli esseri umani sono una vulnerabilitร spesso trascurata quando si tratta di sicurezza informatica. L'implementazione di autenticazione multifattore, controlli amministrativi e tiering dei dati puรฒ garantire la disponibilitร dei dati solo alle persone autorizzate che ne hanno bisogno. La formazione sulla sensibilizzazione alla sicurezza che copre le tecniche degli hacker e gli attacchi di phishing puรฒ aiutare la tua organizzazione a individuare tentativi reali.
Cosa fare durante un attacco ransomwareย
Gli attacchi informatici non sono cosรฌ ovvi nella vita reale come lo sono per i protagonisti dei film. L'attacco stesso puรฒ durare solo 30-40 minuti quando accede ai file e si sposta lateralmente attraverso le reti, crittografando i file ed eliminando i backup. D'altro canto, un utente malintenzionato potrebbe rimanere in difficoltร sulla rete molto tempo dopo aver ottenuto l'accesso, monitorando le risposte alle anomalie mentre pianifica un attacco effettivo. In ogni caso, quando ricevi una nota di riscatto per i tuoi dati, l'attacco รจ giร stato completato.
L'unico modo per rilevare un attacco ransomware mentre รจ ancora in corso รจ prendere nota dei tentativi di phishing non appena si verificano (formando i dipendenti) o rilevare attivitร sospette sulla rete tramite SEIM e log. Se hai adottato queste misure proattive e disponi degli strumenti necessari, รจ necessario disporre di un piano di risposta agli incidenti informatici (CIR) per gestire l'attivitร anomala quando la scopri. Documentare tutto e informare il personale IT interessato per isolare i sistemi interessati e ridurre i danni. Nel caso in cui l'attivitร dovesse rivelarsi un vero attacco ransomware, รจ necessario disporre di tali record per soddisfare i requisiti di conformitร e aiutare le forze dell'ordine a svolgere indagini. In questo articolo tratteremo i dettagli della creazione di un piano CIR.
Disaster recovery dopo un attacco ransomware
I tuoi file sono stati crittografati e hai appena ricevuto una nota di ransomware. Quali sono le tue opzioni?
Un'opzione รจ quella di pagare il riscatto, ma cosรฌ facendo si rischia di esporre l'organizzazione a ulteriori estorsioni.
Un'opzione migliore, a condizione di aver seguito i passaggi di mitigazione proattiva del ransomware descritti nelle sezioni precedenti, รจ quella di eliminare, ripristinare e rispondere:
- Elimina i sistemi dalle vulnerabilitร che hanno consentito agli autori degli attacchi di accedere ai tuoi dati. L'hardware e il software compromessi devono essere isolati e disconnessi immediatamente dalla rete. ร necessario condurre un audit di sistema e di rete per garantire che non rimangano backdoor o altri malware. ร importante eseguire la sanificazione dei sistemi prima di eseguire il restore dei dati dai backup e metterli in funzione.
- Ripristina i dati sfruttando il tuo piano di backup e ripristino. Ci auguriamo che siano presenti alcune snapshot e un'infrastruttura di disaster recovery per consentire di eseguire il pick-up subito prima che si verifichi l'incidente informatico. Il tuo team di difesa dovrebbe eseguire un'analisi forense dei dati di backup all'interno di un ambiente virtuale sanificato per assicurarsi che gli autori degli attacchi non abbiano lasciato nulla alle spalle. Stai cercando un punto di ripristino non manomesso in cui puoi riportare i tuoi sistemi.ย
- Rispondi in modo appropriato all'attacco adottando misure per esaminare i record, controllare i sistemi e documentare la natura dell'attacco. Per rispettare le normative, potrebbe essere necessario informare i clienti di una violazione dei dati e i log devono dimostrare che l'organizzazione ha fatto tutto il possibile per rispondere all'attacco. Le informazioni ottenute dall'attacco possono essere sfruttate per aiutare le forze dell'ordine a monitorare gli autori, oltre che per proteggere i tuoi sistemi dagli attacchi futuri.
Maggiori informazioni: Guida dell'hacker alla riduzione e al ripristino dal Ransomware
