Дізнайтеся, що ваші інструменти поки що не показують.
- Сьогодні питання не в тому, чи станете ви жертвою здирників, а в тому, чи встигнете ви вчасно їх виявити.
- Однак прогалини у видимості не тільки уповільнюють роботу. Вони відкривають шлях для латерального переміщення, крадіжки даних та мільйонних збитків, пов’язаних із відновленням та простоями.
- Щоб випередити зловмисників, вам потрібно думати, як вони: ретельно перевіряти всі аспекти вашого середовища на наявність сліпих зон і передбачати їх наступні кроки.
У першому кварталі 2025 року кількість атак із використанням програм-вимагачів зросла на 46%(oof), а середній час перебування у системі у випадках із програмами-вимагачами склав п’ять днів у 2024 році. Враховуючи, що багато атак відбуваються у неробочий час, у захисників залишається менше часу для реагування, перш ніж APT завдадуть серйозних збитків. У міру скорочення можливостей тиск зростає у всіх галузях. Незалежно від того, чи ви є великим підприємством або малим бізнесом, програми-вимагачі не роблять відмінностей – мабуть, це їхня єдина гідність, і дуже сумна. Як і їх різноманітні цілі, їх тактики стають дедалі складнішими і їх важче знайти.
Буквально минулого місяця елітна команда фахівців з пошуку загроз Symantec та Carbon Black виявила програму-вимагач Fog, що використовує незвичайний набір інструментів, що може свідчити про цілеспрямоване шпигунство з метою вимагання грошей (начебто шпигунства само по собі було недостатньо). Ці незрозумілі комбінації та несподівані дії вказують на те, що унікальні ланцюжки складних тактик, технік та процедур (TTPs) стають новою нормою.
І наслідки цього є серйозними. У червні банда здирників, що використовує програму-вимагач Qilin, розкрила майже 40 000 номерів соціального страхування та порушила видавничу діяльність компанії Lee Enterprises, що призвело до витрат на відновлення у розмірі 2 мільйонів доларів та значних збитків.
Боротьба з програмами-вимагачами вимагає цілодобового моніторингу та виявлення, але захистити те, чого не бачиш, неможливо. Скористайтеся цим контрольним списком, щоб виявити, що показує ваша поточна система видимості, і що ще важливіше, що вона не показує.
7 способів побачити те, що зловмисники сподіваються, ви пропустите
На сучасному полі бою вам необхідний повний огляд інструментів, людей та шляхів, які люблять використовувати зловмисники. З чого розпочати?
1. Підвищуйте видимість ідентифікаційних даних до того, як зловмисники проникнуть у систему
Вкрадені облікові дані залишаються найпоширенішим вектором початкового доступу для порушень, а в 44% випадків зломів у 2024 році є програма-вимагач. Однак, раннє виявлення моделей доступу та використання облікових даних допомагає блокувати латеральні переміщення, перш ніж зловмисники зможуть навіть подумати про запуск шифрування. Що потрібно зробити:
- Налаштуйте контроль доступу на основі політик відповідно до вимог нормативних вимог не покладаючись на універсальні рішення.
- Відстежуйте привілейовані облікові записи, активність MFA та будь-які аномалії входу до системи у гібридних середовищах.
2. Спостерігайте за поведінкою кінцевих точок (а не лише за тим, що запущено)
Кінцеві точки – точка нульового відліку. Без видимості поведінки додатків та процесів здирники можуть поширюватися непомітно. А оскільки кінцеві точки часто є найрізноманітнішою і слабо керованою частиною середовища, де багато випущених з уваги ресурсів, застарілих систем і неузгоджених засобів контролю, вони можуть стати розсадником кіберзлочинної діяльності.
- Виявляйте будь-які випущені з уваги активи, такі як застарілі системи та контейнери. У поєднанні з комплексним рішенням для запобігання витоку даних (DLP) це допоможе усунути місця, де зловмисники можуть легко втекти.
- Застосовуйте моніторинг та засоби контролю до своїх програм, щоб дозволити запуск лише довірених програм, заблокувати інші та зменшити поверхню атаки.
3. Слідкуйте за своєю мережею, щоб вчасно виявляти бічні переміщення
Якщо ви не бачите, як програма-вимагач переміщається вашою мережею, ви не можете її зупинити. Запитайте себе: чи повністю контролюються бічні переміщення, чи тільки на периметрі?
- Використовуйте глибоку перевірку та розширену аналітику, щоб виявляти загрози між сегментами, а не лише на периметрі.
- Скористайтеся перевіркою в реальному часі по всій мережі. Рішення Security Service Edge (SSE) (особливо інтегровані з SWG, ZTNA та CASB) можуть допомогти у цьому, відстежуючи трафік між користувачами, додатками та потоками даних, незалежно від їхнього розташування.
4. Розширюйте видимість хмарних робочих навантажень чи місця зберігання даних
Програми-вимагачі полюватимуть за вашими даними, де б вони не знаходилися і куди б не переміщалися. Якщо ви не стежите за своєю хмарою, ваші програми стають легкою здобиччю. Людський фактор – причина 95% витоків даних – робить хмарні робочі процеси особливо вразливими.
- Не випускайте з уваги жодних небезпечних дій, що відбуваються між програмами, користувачами та даними, і скануйте на наявність шкідливого контенту та неправильних налаштувань, перш ніж зловмисники зможуть ними скористатися.
- Оснастіть свої команди DLP для захисту конфіденційних ресурсів та додатків, розміщених у хмарі.
5. Слідкуйте за своїми даними як яструб (який ніколи не моргає)
Усі ми знаємо, що дані – це цінний ресурс, тому відривати від них погляд – погана ідея. Вам потрібно постійно бачити, як переміщуються ваші дані, хто до них отримує доступ і чи не порушуються будь-які правила.
- Відслідковуйте конфіденційні дані під час передачі та зберігання, щоб швидко виявляти порушення політик чи витік даних.
- Зберігайте конфіденційність даних, щоб спростити виявлення несанкціонованого доступу, забезпечити дотримання політик та скоротити кількість помилкових спрацьовувань.
6. Під час моніторингу комунікацій дивіться на загальну картину
Електронна пошта, як і раніше, залишається одним з основних каналів проникнення програм-вимагачів, і достатньо одного пропущеного попереджувального сигналу, щоб зловмисники проникли в систему. Видимість на всіх рівнях комунікацій (навіть найдрібніших) може запобігти падінню першого доміно.
- Скануйте аномальну поведінку користувачів, яка може вказувати на фішинг, спуфінг (включаючи луна-спуфінг, який обходить автентифікацію) та шкідливі вкладення.
- Шифруйте повідомлення при передачі, навіть якщо одержувачі не використовують PGP, PDP або S/MIME, за допомогою захищених паролем PDF-файлів або безпечної доставки через веб-портал.
7. Випереджайте зловмисників, перш ніж вони доберуться до вас
Зловмисники постійно оновлюють свої сценарії, щоби пробити вчорашні захисні механізми. Будучи в курсі їхніх останніх тактик, ви зможете краще візуалізувати весь ланцюг атак і припинити їх, перш ніж вони переростуть у серйозну загрозу.
- Слідкуйте, як вони використовують вбудовані інструменти для технік LOTL (Living Off the Land)(улюблених зловмисниками у всьому світі) з метою ухилення від традиційних методів виявлення.
- Спостерігайте за шаблонами атак, щоб передбачати їх наступні кроки замість того, щоб ганятися за окремими попередженнями.
- Слідкуйте за останніми та найкращими даними про загрози, що надаються спеціалістами з пошуку загроз Symantec та Carbon Black.
Symantec та Carbon Black беруть на себе найскладніші випробування, щоб вам не довелося цього робити
Об’єднаний портфель продуктів Symantec та Carbon Black пройшов випробування в реальних умовах та довів свою ефективність. Об’єднана компанія була визнана однією з найкращих компаній у сфері кібербезпеки в США на 2025 рік за версією Newsweek та Statista і пропонує перевірені, випробувані та надійні рішення, які перевершують конкурентів у реальних умовах – там, де це найважливіше.
Відзначені нагородами рішення кажуть самі за себе:
- Легендарні рішення для захисту кінцевих точок Symantec і Carbon Black отримали найвищий рейтинг AAA від SE Lab за 100% виявлення 556 корисних навантажень програм-здирників та повну видимість ланцюжка атак.
- Symantec DLP з передовими технологіями виявлення контенту, безшовною інтеграцією та потужними API отримав безліч нагород, у тому числі місце у категорії «Лідери» у звіті IDC MarketScape за 2025 рік по глобальному ринку DLP та звання «Найкращий гравець» у звіті Radicati Group «Запобігання втраті даних – ринковий квадрант 2025».
- Відзначене нагородами партнерство з Google дозволяє SSE забезпечити пропускну здатність, що у 100 разів перевищує пропускну спроможність конкуруючих рішень.
Джерело: Can You See Ransomware Coming? Run This Vision Check.
