Издание Hacker News недавно сообщило, что «ландшафт вымогательского ПО находится в состоянии колебания, зарегистрировав 18-процентное снижение активности в первом квартале 2024 года по сравнению с предыдущим кварталом».
Однако причин для радости нет.
В той же статье отмечается, что вымогательская программа Black Basta,которая впервые появилась в 2022 году, с тех пор атаковала более 500 объектов частной промышленности и критической инфраструктуры.
Далее – » Ransomware Roundup» от BlackFog за первый квартал 2024 года: Первый квартал 2024 года побил рекорды: было зарегистрировано 192 публично раскрытые атаки с использованием вымогательского ПО, что на 48 % больше, чем в 2023 году. В обзоре также отмечается, что более чем в пять раз больше атак остаются незарегистрированными, поэтому реальные цифры гораздо выше. Судя по тому, что видят специалисты Arcserve, отчет BlackFog, похоже, более точно отражает угрозы, с которыми сталкиваются средние предприятия.
Защита от программ-вымогателей требует
Целенаправленных инвестиций в ИТ
Эти цифры подчеркивают важность построения эффективной стратегии защиты от программ-вымогателей для ИТ-специалистов средних предприятий. Очень важно вовлечь в процесс всех сотрудников организации, но все усилия должны начинаться с самого верха, поскольку это требует определенных инвестиций. Руководители должны понимать, к каким последствиям может привести неподготовленность – в долларовом эквиваленте и с точки зрения времени простоя.
Анализ затрат и выгод, иллюстрирующий потенциальную стоимость успешной атаки программы-вымогателя, покажет, что инвестиции в защиту данных со стороны ИТ-отдела являются здравым смыслом. Вы также должны описать, как эти инвестиции будут потрачены на реализацию многоуровневой стратегии защиты от программ-вымогателей, которая сократит время простоя и обеспечит постоянную защиту ваших данных от любых угроз.
Предотвращение вымогательства: Укрепление защиты
Вот некоторые первоначальные шаги, которые вам следует предпринять:
Обучение и повышение осведомленности в области кибербезопасности
Ваши сотрудники – это первая линия защиты от вымогательства. Поэтому вы должны вовлечь всех сотрудников своей организации в его предотвращение. Необходимо проводить регулярные и постоянные тренинги для обучения сотрудников, в том числе тому, как:
- Распознавать фишинговые письма, вложения и вредоносные веб-сайты
- Не загружать подозрительные вложения и не переходить по незнакомым ссылкам.
- Немедленно сообщать о подозрительных действиях в отдел информационных технологий
Усовершенствованная система безопасности электронной почты
По данным Агентства кибербезопасности и защиты инфраструктуры (CISA), более 90% всех кибератак, включая вымогательство, начинаются с фишинга. Поэтому вам необходимо инвестировать в передовые решения для защиты электронной почты, которые используют сложные алгоритмы для сканирования входящих сообщений на наличие признаков фишинга или вредоносных вложений.
Эти решения обеспечивают еще один уровень безопасности:
- Анализ содержимого электронной почты на наличие известных сигнатур вредоносных программ
- Сравнение URL-адресов в письмах с известными вредоносными сайтами
- Помещение в карантин или пометка подозрительных писем для дальнейшей оценки
Обнаружение вредоносных программ: Отслеживание активности системы
Быстрое обнаружение крайне важно для минимизации последствий атаки программы-вымогателя. Вот технологии и стратегии, которые помогут вам быть в курсе подозрительной активности в ваших системах.
Решения для защиты конечных точек
Решения для защиты конечных точек, такие как Sophos Intercept X Endpoint, останавливают современные атаки до того, как они затронут ваши системы. Intercept X включает в себя технологию CryptoGuard, которая универсально обнаруживает и блокирует вымогательское ПО, включая новые разновидности, локальные и удаленные атаки вымогательского ПО. Используя передовой математический анализ содержимого файлов, CryptoGuard обнаруживает вредоносное шифрование, где бы оно ни происходило. Независимо от выбранного вами решения, убедитесь, что оно включает в себя:
- Сканирование вредоносных программ в режиме реального времени, перехват вредоносных загрузок и установок
- Интеграцию с глобальными сетями анализа угроз для борьбы с новыми и возникающими угрозами.
- Поведенческий анализ, например, Intercept X, который обнаруживает необычные действия, такие как шифрование файлов, что может указывать на атаку выкупного ПО.
Системы обнаружения и предотвращения вторжений
Системы обнаружения вторжений (IDS) и системы предотвращения вторжений (IPS) – это решения для обеспечения сетевой безопасности, которые защищают от киберугроз разными способами. IPS – это активная система безопасности, которая:
- Обнаруживает потенциальные угрозы и автоматически реагирует на них, предотвращая или блокируя их в режиме реального времени.
- Использует сигнатурное обнаружение, обнаружение аномалий и эвристику для выявления угроз.
IDS – это пассивная система безопасности, которая отслеживает сетевой трафик или действия системы:
- Выявляет потенциальные инциденты безопасности, нарушения политики или аномальное поведение
- Анализирует сетевые пакеты, журналы или системные события, обнаруживая известные векторы атак, уязвимости или поведение, выходящее за рамки установленных базовых параметров.
Управление информацией и событиями безопасности (SIEM)
Конфигурируемая система SIEM собирает и агрегирует журналы из различных источников, обеспечивая целостное представление о состоянии безопасности. Возможности SIEM включают:
- Корреляцию событий в сети для обнаружения признаков атаки вымогателей
- Автоматическое оповещение и реагирование на основе обнаруженного поведения вымогателей
- Криминалистическую отчетность, помогающую понять векторы и пути атак
Реагирование и восстановление после воздействия вымогателей
Предприятия среднего размера, обычно генерируют огромное количество данных. Поскольку потеря данных и простои обходятся невероятно дорого, очень важно иметь планы и стратегии, чтобы минимизировать ущерб от атаки вымогателей, взлома или другой катастрофы данных.
План реагирования на инциденты и аварийного восстановления
У вас должен быть актуальный план реагирования на инциденты, специально предназначенный для борьбы с вымогательством, который включает в себя:
- Четкие роли, обязанности и каналы связи для команды реагирования
- Конкретные шаги по изоляции зараженных систем для предотвращения распространения вымогательского ПО
- Рекомендации по коммуникации для внутренних заинтересованных сторон и третьих лиц, таких как клиенты и партнеры
Вам также необходим комплексный, регулярно обновляемый план аварийного восстановления ИТ.
Сегментация сети
Разделив сеть на несколько сегментов, каждый из которых функционирует отдельно, вы сможете ограничить распространение программ-вымогателей:
- Изолируйте сегменты сети, чтобы в случае взлома одного из них остальные не пострадали
- Удерживайте вымогательское ПО в контролируемой среде, где с ним легче справиться и ликвидировать
Автоматизированное резервное копирование
Автоматическое резервное копирование, соответствующее целям по времени восстановления и точкам восстановления (RTOs/RPOs), установленным в вашем плане аварийного восстановления, – это главный ключ к устойчивости к вымогательству. Благодаря регулярному резервному копированию вы можете быть уверены, что ваши данные будут быстро восстановлены без уплаты выкупа. Хотя Arcserve Unified Data Protection (UDP) предлагает комплексный подход и многоуровневую защиту, любое решение для защиты данных, которое вы выберете для резервного копирования, должно обеспечивать:
- Автоматизацию резервного копирования на основе установленных вами политик и настроек.
- Поддержку стратегии резервного копирования 3-2-1-1, позволяющей легко хранить резервные копии данных на объекте, за его пределами, в облаке и в физической изоляции.
- Неизменяемое хранение как минимум одной резервной копии, гарантирующее, что ваши данные никогда не будут изменены или удалены неавторизованными пользователями.
Источник: How to Build a Multilayered Ransomware Defense Strategy
