Hasta ahora, hemos tratado las cosas que normalmente puede hacer para proteger sus datos y mantener la continuidad operativa ante un desastre. Pero hay un tipo de desastre que va en aumento y que vale la pena abordar por s¨ª solo: el ransomware.
Los ciberdelincuentes siempre han sido una amenaza, pero aunque los hacktivistas de anta?o estaban motivados por creencias pol¨ªticas, culturales y religiosas, los ciberdelincuentes actuales est¨¢n motivados en gran medida por los beneficios financieros. Ransomware, en el que un hacker le bloquea los datos mediante cifrado hasta que paga un rescate, es ahora un sector multimillonario. Y en un mundo en el que el tiempo de inactividad se traduce directamente en una p¨¦rdida de ingresos, nunca ha sido tan tentador pagar ese rescate.
En las siguientes secciones, trataremos las cosas que puede hacer para mitigar un ataque de ransomware.
C¨®mo prevenir un ataque de ransomware
La mejor manera de combatir el ransomware es evitar que ocurra en primer lugar. Se trata de obtener una visibilidad de todo el sistema, de practicar una buena higiene de datos y de tener un plan implementado para hacer frente a una amenaza una vez que la haya identificado.
- Registro y supervisi¨®n: Las herramientas de registro y supervisi¨®n del sistema pueden proporcionarle una vista general de sus sistemas y ayudarle a entender c¨®mo es su infraestructura de TI cuando todo funciona sin problemas. Las anal¨ªticas r¨¢pidas en tiempo real pueden ayudarle a detectar anomal¨ªas (por ejemplo, un pico de tr¨¢fico de una direcci¨®n IP sospechosa) y otras actividades que pueden llevarle a un posible ataque.
- Higiene de datos: Cuando los piratas inform¨¢ticos plantan malware, buscan vulnerabilidades de seguridad, como sistemas operativos sin parches, herramientas de terceros mal protegidas y una gesti¨®n de datos desordenada. La higiene de los datos significa implementar unas buenas pr¨¢cticas de gesti¨®n de los parches, configuraci¨®n del sistema y desinfecci¨®n de los datos. Estas cosas no solo hacen que su organizaci¨®n funcione mejor, sino que tambi¨¦n reducen en gran medida la superficie de ataque de un posible ataque.
- Seguridad operativa: Los humanos son una vulnerabilidad que a menudo se pasa por alto cuando se trata de ciberseguridad. La implementaci¨®n de la autenticaci¨®n multifactorial, los controles administrativos y la estratificaci¨®n de los datos puede garantizar que los datos solo est¨¦n disponibles para las personas autorizadas que los necesitan. La formaci¨®n de concienciaci¨®n sobre la seguridad que cubre las t¨¦cnicas de los hackers y los ataques de phishing puede ayudar a su organizaci¨®n a prepararse para detectar intentos reales en la naturaleza.
Qu¨¦ hacer durante un ataque de ransomware?
Los ciberataques no son tan evidentes en la vida real como lo son para los protagonistas de las pel¨ªculas. El ataque en s¨ª mismo puede durar solo 30-40 minutos a medida que acceden a sus archivos y se mueven lateralmente a trav¨¦s de sus redes, cifrando archivos y borrando copias de seguridad. Por otro lado, un atacante puede acechar en su red mucho despu¨¦s de acceder, supervisando sus respuestas a las anomal¨ªas a medida que planifica un ataque real. En cualquier caso, cuando recibe una nota de rescate para sus datos, el ataque ya se ha completado.
La ¨²nica manera de detectar un ataque de ransomware mientras sigue ocurriendo es notar los intentos de phishing fragmentados a medida que se producen (capacitando a sus empleados) o detectar actividades sospechosas en su red a trav¨¦s de SEIM y registros. Siempre que haya tomado estas medidas proactivas y tenga las herramientas necesarias, vale la pena tener un plan de respuesta a ciberincidentes (CIR) para hacer frente a la actividad an¨®mala cuando la descubra. Documente todo y notifique al personal inform¨¢tico pertinente para aislar los sistemas afectados y mitigar los da?os. Necesitar¨¢ esos registros para cumplir los requisitos de cumplimiento normativo y ayudar a las fuerzas del orden p¨²blico con las investigaciones si esa actividad demuestra ser un ataque de ransomware real. Veremos los detalles de la creaci¨®n de un plan CIR m¨¢s adelante en este art¨ªculo.
Recuperaci¨®n tras un desastre tras un ataque de ransomware
As¨ª que sus archivos se han cifrado y acaba de recibir una nota de ransomware. ?Cu¨¢les son sus opciones?
Una opci¨®n es pagar el rescate, pero hacerlo podr¨ªa arriesgarse a exponer a su organizaci¨®n a una mayor extorsi¨®n en el futuro.
Una mejor opci¨®n, siempre que haya seguido los pasos proactivos de mitigaci¨®n del ransomware descritos en las secciones anteriores, es purgar, restaurar y responder:
- Purgue sus sistemas de las vulnerabilidades que permitieron que los atacantes accedieran a sus datos. El hardware y el software comprometidos deben aislarse y desconectarse de la red inmediatamente. Se debe realizar una auditor¨ªa del sistema y de la red para garantizar que no quedan puertas traseras u otro malware. Es importante desinfectar sus sistemas antes de restaurar los datos de sus copias de seguridad y de ponerlos en marcha.
- Restaure los datos aprovechando su plan de copia de seguridad y recuperaci¨®n. Esperamos que tenga unas copias instant¨¢neas y una infraestructura de recuperaci¨®n de desastres que le permitan recoger las cosas justo antes de que se produzca el incidente cibern¨¦tico. Su equipo de defensa debe realizar un an¨¢lisis forense de sus datos de respaldo en un entorno virtual desinfectado para garantizar que los atacantes no se queden nada atr¨¢s. Est¨¢ buscando un punto de recuperaci¨®n sin impedimentos al que pueda devolver sus sistemas.?
- Respond aadecuadamente al ataque adoptando medidas para revisar los registros, auditar los sistemas y documentar la naturaleza del ataque. Para cumplir las normativas, es posible que tenga que notificar a los clientes una vulneraci¨®n de datos y que quiera que sus registros demuestren que su organizaci¨®n ha hecho todo lo posible para responder al ataque. La informaci¨®n obtenida del ataque puede aprovecharse para ayudar a las fuerzas del orden p¨²blico a localizar a los autores, as¨ª como para ayudar a proteger sus propios sistemas frente a futuros ataques.
M¨¢s informaci¨®n: ³Ò³Ü¨ª²¹ del Hacker para la Mitigaci¨®n y la Recuperaci¨®n del Ransomware
