Готовность к вымогательским вирусам в цепочках поставок: предотвращение, сдерживание и восстановление

Вымогательские вирусы (ransomware) в фокусе многих в кибербезопасности, поскольку мы видим растущее число атак на сети больниц, местные правительства и более широкие цепочки поставок. Атака на компанию обычно приводит к потере доступа к данным и системам на некоторый период и финансовым потерям через упущенную выручку и затраты на восстановление. Когда атака направлена на компанию, входящую в цепочку поставок, влияние может быть намного шире, так как один провайдер услуг может напрямую влиять на сотни или тысячи компаний.

Понимание готовности вашей организации к угрозе ransomware критично, и знание того, как вендоры в вашей цепочке поставок учитываются в готовности — ключевой элемент общей стратегии.

Можно почувствовать перегруз, пытаясь обеспечить все линии обороны и сделать всё возможное для предотвращения или снижения влияния атаки. Сильная стратегия масштабна и многослойная — охватывает архитектуру, эндпойнты, пользователей и многое другое.

С чего начать? Структурированный логический подход может привести порядок в понимание готовности к ransomware. Рассмотрим три основные категории: предотвращение, сдерживание и восстановление.

Предотвращение

Первичная цель — держать ransomware вне среды, предотвращая попадание с самого начала. С этой оборонительной позиции нужно смотреть на инфраструктуру от периметра контроля до конечных пользователей. Покрыть тему можно долго, но сфокусируемся на пробоях, через которые ransomware чаще всего проникает.

• Remote Desktop Protocol (RDP). Не новая технология или вектор атаки, RDP регулярно атакуется из-за уязвимостей, ошибок конфигурации или уязвимости к брутфорсу. С недавним ростом удаленной работы и соответствующим ростом использования RDP атакующие имеют поле дня с новыми целями. Меры предотвращения: ограничение открытых портов, сильные контроль аутентификации (включая MFA) и надежная программа управления уязвимостями.
• Фишинг. Фишинговые письма особенно опасны, так как могут обходить многие контроль безопасности, доставляя вредоносный контент напрямую к самому слабому звену — конечному пользователю. Они обычно пытаются получить учетные данные или содержат вредоносные вложения/ссылки, давая атакующим прямой путь в среду. Меры: email-безопасность, обучение безопасности и осведомленности пользователей, решения endpoint detection and response (EDR).

В конечном счете, рекомендуемые техники предотвращения не новы. Это те же ключевые принципы, которые инфобез сообщество обсуждает давно — ограничение доступа из интернета, сканирование уязвимостей, патчинг и сильные контроль аутентификации.

Сдерживание

Итак, несмотря на лучшие усилия, ransomware попал в среду. Как остановить распространение? Рассмотрим пожар в здании: стратегия сдерживания приходит до пожара через противопожарные стены, огнеупорные материалы и т.д. То же для атак вроде ransomware. Две ключевые стратегии сдерживания:

• Использование привилегированных учетных записей. Атакующие любят целиться в привилегированные аккаунты, так как они дают высокий доступ к системам и данным и права для выполнения вредоносного кода. Повторное использование паролей, пароли сервисных аккаунтов в открытом виде, легко угадываемые пароли — частые проблемы, ведущие к компрометации.

Холистический подход к управлению привилегированными аккаунтами — ключ. Это включает понимание, какие привилегированные аккаунты у вас есть и к чему они имеют доступ; как они используются (domain admin vs service account); и как к ним получают доступ и управляют (например, использование решения PAM).

• Сегментация сети. Плоские сети — мечта атакующего. Получив учетные данные, они могут свободно перемещаться по всей сети организации и иметь неограниченный доступ к системам и данным. Минимум — использовать сегментацию для ограничения латерального движения, чтобы атакующему было гораздо сложнее пройти по сети и получить доступ к дополнительным системам и данным.

Восстановление

Помимо плана реагирования на инциденты, самый критичный план для помощи в восстановлении — план бизнес-устойчивости (resiliency). Как бизнес продолжит функционировать? Сильный план устойчивости поможет восстановить функциональность ключевых бизнес-систем.

Частые векторы атак — сторонние вендоры в цепочке поставок. Как идентифицировать и снизить риски, которые они несут? Сначала ответьте на критические вопросы:

• Кто ваши вендоры?
• Какую услугу каждый вендор предоставляет вашей организации?

Фактическая идентификация вендоров — не простая задача. Возможно, у вас есть вендоры с доступом к вашей сети или данным, о которых вы не знаете? Абсолютно. Реальность такова: можно напрямую обратиться к облачному решению и с ничего больше, чем кредитной картой и парой кликов, у вас появляется вендор с доступом к вашим данным. Если вы не знаете, кто они, невозможно оценить их риск для вашей организации. Что они делают — вендоры в цепочке поставок могут выполнять разные услуги. Некоторые по своей природе несут более высокий риск, основанный на данных или внутренних системах, к которым имеют доступ.

Ответы на эти вопросы — отличная отправная точка для проведения адекватных оценочных активностей по этим вендорам. Цель — получить достаточное удобство, что вендоры имеют соответствующие контролы для защиты ваших систем или данных на основе предоставляемых услуг. Существует много стратегий оценки: обзор сертификаций SOC или ISO, анкеты оценки вроде SIG, результаты пентестов и т.д. Независимо от подхода, валидация контролов вендоров может снизить риск воздействия на вашу организацию в случае атаки.

По мере того как системы становятся более связанными и сложными, атакующие могут найти проход через ваши защиты. Но готовность к атаке ransomware может существенно снизить влияние и простой вашей организации. С глубинной стратегией обороны, вместе с адекватными планами сдерживания и устойчивости, кибер-сила вашей организации может только расти.

Гэри Брикхаус — CISO GuidePoint Security.