Até agora, abordamos as coisas que você geralmente pode fazer para proteger seus dados e manter a continuidade dos negócios em caso de desastre. Mas há um tipo de desastre que está em ascens?o e vale a pena resolver sozinho: ransomware.
Os criminosos cibernéticos sempre foram uma amea?a, mas embora os hacktivistas do passado tenham sido motivados por cren?as políticas, culturais e religiosas, os criminosos cibernéticos de hoje s?o amplamente motivados por ganhos financeiros. Ransomware, no qual um hacker bloqueia você dos seus dados por criptografia até que você pague um resgate, agora é um setor multimilionário. E em um mundo onde o tempo de inatividade se traduz diretamente em perda de receita, nunca foi t?o tentador pagar apenas esse resgate.
Nas se??es a seguir, abordaremos o que você pode fazer para mitigar um ataque ransomware.
Preven??o de ataques ransomware
A melhor maneira de combater o ransomware é evitar que ele ocorra em primeiro lugar. Trata-se de obter visibilidade de todo o sistema, praticar uma boa higiene de dados e ter um plano em vigor para lidar com uma amea?a depois de identificá-la.
- Registro e monitoramento: As ferramentas de registro e monitoramento do sistema podem oferecer uma vis?o geral de seus sistemas e ajudar a entender como é sua infraestrutura de TI quando tudo está funcionando sem problemas. A análise rápida em tempo real pode ajudar a detectar anomalias (por exemplo, um pico no tráfego de um endere?o IP suspeito) e outras atividades que podem te levar a um possível ataque.
- Higiene de dados: Quando os hackers plantam malware, eles buscam vulnerabilidades de seguran?a, como sistemas operacionais n?o corrigidos, ferramentas de terceiros mal seguras e gerenciamento de dados desorganizado. Higiene de dados significa implementar boas práticas de gerenciamento de patches, configura??o do sistema e sanitiza??o de dados. Essas coisas n?o apenas tornam sua organiza??o mais tranquila, mas também reduzem muito a superfície de ataque de um possível hacker.
- Seguran?a operacional: Os seres humanos s?o uma vulnerabilidade frequentemente negligenciada quando se trata de ciberseguran?a. A implementa??o de autentica??o multifator, controles administrativos e camadas de dados pode garantir que os dados estejam disponíveis apenas para as pessoas autorizadas que precisam deles. O treinamento de conscientiza??o sobre seguran?a que aborda as técnicas de hackers e ataques de phishing pode ajudar a preparar sua organiza??o para detectar tentativas reais na natureza.
O que fazer durante um ataque ransomware?
Os ataques cibernéticos n?o s?o t?o óbvios na vida real quanto para os protagonistas do cinema. O ataque em si pode durar apenas de 30 a 40 minutos, pois eles acessam seus arquivos e se movem lateralmente por suas redes, criptografando arquivos e excluindo backups. Por outro lado, um invasor pode se esconder em sua rede muito depois de obter acesso, monitorando suas respostas a anomalias enquanto planeja um ataque real. De qualquer forma, quando você recebe uma nota de resgate para seus dados, o ataque já foi concluído.
A única maneira de detectar um ataque ransomware enquanto ele ainda está acontecendo é observar tentativas de phishing frustradas conforme elas acontecem (treinando seus funcionários) ou detectar atividades suspeitas em sua rede por meio de SEIMs e logs. Desde que você tenha tomado essas medidas proativas e tenha as ferramentas necessárias, vale a pena ter um plano de resposta a incidentes cibernéticos (CIR, Cyber Incident Response) para lidar com a atividade an?mala quando você a descobrir. Documente tudo e notifique o pessoal de TI relevante para isolar os sistemas afetados e reduzir os danos. Você precisará desses registros para atender aos requisitos de conformidade e ajudar a polícia com investiga??es caso essa atividade se prove ser um ataque ransomware real. Vamos abordar os detalhes da cria??o de um plano de CIR mais adiante neste artigo.
Recupera??o de desastres pós-ataque de ransomware
Assim, seus arquivos foram criptografados e você acabou de receber uma nota de ransomware. Quais s?o suas op??es?
Uma op??o é pagar apenas o resgate, mas isso pode arriscar expor sua organiza??o a mais extors?o no futuro.
Uma op??o melhor, desde que você tenha seguido as etapas proativas de mitiga??o de ataques ransomware descritas nas se??es anteriores, é limpar, restaurar e responder:
- Elimine os sistemas das vulnerabilidades que permitiram aos invasores acessar seus dados. Hardware e software comprometidos devem ser isolados e desconectados da rede imediatamente. Uma auditoria de sistema e rede deve ser realizada para garantir que n?o haja backdoors ou outros malwares. ? importante higienizar seus sistemas antes de restaurar dados de seus backups e entrar em opera??o.
- Restaure dados aproveitando seu plano de backup e recupera??o. Esperamos que você tenha alguns snapshots e uma infraestrutura de recupera??o de desastres em vigor para permitir que você retire as coisas logo antes que o incidente cibernético ocorra. Sua equipe de defesa deve realizar uma análise forense de seus dados de backup em um ambiente virtual higienizado para garantir que os invasores n?o deixem nada para trás. Você está procurando um ponto de recupera??o n?o adulterado para o qual possa reverter seus sistemas.?
- Responda ao ataque adequadamente tomando medidas para revisar registros, sistemas de auditoria e documentar a natureza do ataque. Para cumprir os regulamentos, você pode precisar notificar os clientes sobre uma viola??o de dados e desejar que seus logs demonstrem que sua organiza??o fez tudo o que podia para responder ao ataque. As informa??es obtidas com o ataque podem ser aproveitadas para ajudar as autoridades a rastrear os agressores, além de ajudar a proteger seus próprios sistemas contra ataques futuros.
Saiba mais: Guia do hacker para mitiga??o e recupera??o de Ransomware
