Prävention und Härtung

Keine einzelne Schutzmaßnahme stoppt Ransomware. Prävention legt unabhängige Barrieren übereinander, sodass nach der Umgehung einer Barriere weitere bestehen bleiben. Das Ziel ist, das Eindringen zu erschweren, die Ausbreitung zu verlangsamen und die Wiederherstellung zu garantieren.

Diese Lektion behandelt die Schutzmaßnahmen mit der größten Wirkung: Backups, Segmentierung, geringste Berechtigungen, MFA, Patchen und die Verringerung der Angriffsfläche.

Backups sind die wichtigste Versicherung gegen Verschlüsselung. Eine robuste Strategie folgt dem Prinzip 3-2-1-1-0:

• 3 Kopien der Daten
• 2 verschiedene Medientypen
• 1 Kopie an einem anderen Standort
• 1 Kopie offline oder unveränderlich
• 0 Fehler, verifiziert durch regelmäßige Wiederherstellungstests

Die unveränderliche und offline gespeicherte Kopie übersteht auch einen Angreifer mit Domänenadministratorrechten, der Ihre Backups sucht.

Unveränderliche Backups können während eines festgelegten Aufbewahrungszeitraums weder geändert noch gelöscht werden, auch nicht von einem Administrator. Physisch isolierte Kopien sind physisch oder logisch getrennt, sodass Schadsoftware sie nicht erreichen kann.

In einem flachen Netzwerk kann sich Ransomware von einem infizierten Host auf alle anderen Systeme ausbreiten. Segmentierung teilt das Netzwerk in Zonen auf und kontrolliert den Datenverkehr zwischen ihnen, wodurch der Wirkungsbereich begrenzt wird.

• Benutzer-, Server-, Backup- und Verwaltungsnetzwerke trennen
• Datenverkehr von Arbeitsstation zu Arbeitsstation blockieren, da er ein häufiger Pfad für laterale Bewegung ist
• Die Backup-Infrastruktur durch eigene Schutzmaßnahmen isolieren

Noch besser ist eine Mikrosegmentierung, bei der jede Workload nur mit den unbedingt erforderlichen Systemen kommunizieren kann.

Ransomware breitet sich mit den Berechtigungen des jeweils kompromittierten Kontos aus. Wenn Sie diese Berechtigungen begrenzen, begrenzen Sie auch den Schaden.

• Benutzer sollten auf ihren Geräten keine lokalen Administratoren sein
• Für administrative Aufgaben separate, dedizierte Konten verwenden
• Dasselbe lokale Administratorkennwort nicht auf mehreren Geräten wiederverwenden
• Zugriff just in time gewähren und nach Abschluss der Aufgabe wieder entziehen

Ein kompromittiertes Standardbenutzerkonto kann nicht die gesamte Umgebung verschlüsseln.

Gestohlene Passwörter sind für einen großen Teil der Eindringversuche verantwortlich. MFA hält Angreifer auf, die zwar ein gültiges Passwort, aber nicht den zweiten Faktor besitzen.

• MFA für jeden Fernzugriff erzwingen: VPN, RDP, Webmail und Admin-Portale
• Phishingresistente Methoden wie FIDO2-Hardwareschlüssel gegenüber SMS bevorzugen
• Schutz vor MFA-Müdigkeit durch die Anforderung eines Nummernabgleichs

MFA für Zugänge aus dem Internet ist eine der wirksamsten Einzelmaßnahmen zur Verhinderung von Ransomware.

Ungepatchte Systeme mit Internetzugang werden immer wieder für den Erstzugriff ausgenutzt. Priorisieren und verringern Sie die Angriffsfläche.

• Zuerst Schwachstellen patchen, die aus dem Internet erreichbar und aktiv ausgenutzt werden
• Dem Internet ausgesetztes RDP und SMB entfernen oder einschränken
• Nicht verwendete Dienste und veraltete Protokolle außer Betrieb nehmen
• Listen bekanntermaßen ausgenutzter Schwachstellen zur Priorisierung verfolgen

Phishing ist die häufigste Verbreitungsmethode. Sichern Sie deshalb Posteingang und Endpunkt gemeinsam ab.

• E-Mail-Filterung, Umschreiben von Links und Sandboxing von Anhängen
• SPF, DKIM, DMARC zur Verringerung von Spoofing
• Riskante Makro- und Skriptausführung aus E-Mails und dem Internet blockieren
• EDR bereitstellen, um bösartiges Verhalten auf Endpunkten zu erkennen

Kombinieren Sie technische Schutzmaßnahmen mit einer Sensibilisierung der Benutzer für das Melden verdächtiger Nachrichten.

Allowlisting für ausführbare Dateien stoppt die meisten unbekannten Payloads. Kombinieren Sie dies mit der Deaktivierung missbrauchter Funktionen.

• Anwendungs-Allowlisting, sodass nur genehmigte Binärdateien ausgeführt werden
• Office-Makros aus nicht vertrauenswürdigen Quellen standardmäßig deaktivieren
• Skripting-Hosts und integrierte Admin-Tools, soweit möglich, einschränken
• Exploit-Schutz des Betriebssystems und Manipulationsschutz für Sicherheitstools aktivieren

Manipulationsschutz ist wichtig, weil Angreifer versuchen, EDR vor der Verschlüsselung zu deaktivieren.

Laterale Bewegung basiert auf abgegriffenen Zugangsdaten. Erschweren Sie deren Diebstahl und Wiederverwendung.

• Vor dem Auslesen von Zugangsdaten aus dem Arbeitsspeicher schützen
• Eindeutige lokale Administratorkennwörter pro Host verwenden und verwaltet rotieren
• Beschränken, von wo aus sich privilegierte Konten anmelden dürfen; kein Domänenadministrator auf Arbeitsstationen
• Ungewöhnliche Authentifizierungsmuster überwachen

Die Einschränkung der Wiederverwendung von Zugangsdaten durchbricht die Kette zwischen einem kompromittierten Host und der gesamten Domäne.

Schutzmaßnahmen verlieren ohne Pflege an Wirksamkeit. Betrachten Sie Prävention als fortlaufendes Programm:

• Regelmäßig Wiederherstellungen testen, nicht nur den Abschluss von Backups
• Planspiele durchführen, damit das Team den Plan kennt
• Aus dem Internet erreichbare Dienste und privilegierte Konten kontinuierlich inventarisieren
• MFA-Abdeckung, Patch-Verzögerungen und Lücken bei der Segmentierung messen

Ein getestetes Programm macht aus einer möglichen Katastrophe einen beherrschbaren Vorfall.

Sie haben einen mehrschichtigen Schutz gegen Ransomware aufgebaut.

• 3-2-1-1-0-Backups mit mindestens einer unveränderlichen oder physisch isolierten Kopie und getesteten Wiederherstellungen
• Segmentierung zur Begrenzung der Ausbreitung; geringste Berechtigungen zur Begrenzung des Schadens
• MFA für jeden Fernzugriff; internetseitig erreichbare und ausgenutzte Schwachstellen zuerst patchen
• E-Mail-Schutz, EDR, Anwendungs-Allowlisting und Schutz von Zugangsdaten
• Das Ganze als Programm mit Wiederherstellungstests und Planspielen betreiben

Als Nächstes: einen bereits laufenden Angriff erkennen.