Deteksi dan Indikator Awal

Operator perangkat pemeras menghabiskan waktu berjam-jam atau berhari-hari di dalam jaringan sebelum melakukan enkripsi. Waktu berdiam ini adalah jendela deteksi Anda. Menangkap penyusupan selama pengintaian atau pergerakan lateral memungkinkan Anda mengendalikannya sebelum ada berkas yang dikunci.

Deteksi berfokus pada perilaku, bukan hanya tanda tangan, karena penyerang menyalahgunakan alat yang sah agar tetap tidak terlihat.

Indikator awal sering muncul di perimeter dan lapisan identitas:

• Login berhasil dari geografi yang tidak lazim atau perjalanan yang mustahil
• Lonjakan upaya RDP atau VPN yang gagal (serangan tebak paksa)
• Koneksi eksternal baru dari server yang menghadap internet
• Pengguna melaporkan email pengelabuan setelah mengekliknya

Menghubungkan catatan identitas dengan data jaringan membantu mengungkap tanda-tanda ini sebelum penyerang semakin masuk ke sistem.

Setelah masuk, penyerang memetakan lingkungan. Aktivitas penemuan ini mudah terlihat jika Anda memantaunya.

Penyebaran antar komputer meninggalkan jejak yang khas:

• Penggunaan alat eksekusi jarak jauh di banyak komputer dalam waktu singkat
• Akun berhak istimewa masuk ke komputer yang biasanya tidak pernah mereka akses
• Pembuatan layanan baru atau tugas terjadwal di beberapa titik akhir
• Pola akses SMB atau berbagi administratif yang tidak lazim

Satu akun yang tiba-tiba melakukan autentikasi ke puluhan komputer merupakan sinyal kuat yang harus segera diselidiki.

Sebelum mengenkripsi, operator berupaya membutakan pertahanan Anda. Upaya menonaktifkan alat keamanan merupakan peringatan dengan tingkat keyakinan tinggi.

• Menghentikan atau mencopot layanan EDR atau antivirus
• Menonaktifkan pencatatan atau menghapus catatan peristiwa
• Mengubah kebijakan keamanan atau menambahkan pengecualian

Aktifkan perlindungan terhadap pengubahan dan berikan peringatan atas setiap upaya menonaktifkan pertahanan; administrator yang sah jarang melakukan hal ini secara massal.

Menghancurkan opsi pemulihan merupakan langkah yang hampir selalu dilakukan sebelum enkripsi dan menjadi pemicu deteksi tahap akhir yang sangat baik.

Kelompok pemerasan ganda mencuri data sebelum mengenkripsinya. Pantau lalu lintas keluar untuk mendeteksi penyiapan dan transfer.

• Transfer keluar berukuran besar ke penyimpanan awan atau alamat IP yang tidak dikenal
• Alat pengarsipan yang tiba-tiba memampatkan kumpulan data berukuran besar
• Penggunaan baru utilitas transfer berkas dari server
• Lonjakan lebar pita keluar di luar jam kerja

Pemantauan lalu lintas keluar dan DLP dapat mendeteksi tahap pencurian meskipun tahap-tahap sebelumnya terlewatkan.

Penipuan menyediakan deteksi yang murah dan menghasilkan sinyal kuat. Tanam umpan yang tidak mungkin disentuh oleh pengguna yang sah.

• Berkas umpan di direktori yang memberikan peringatan saat diakses atau diubah
• Kredensial umpan yang memicu alarm jika pernah digunakan
• Folder jaringan bernilai tinggi palsu yang dipantau untuk mendeteksi setiap interaksi

Saat perangkat lunak pemeras mengenkripsi berkas secara massal, berkas umpan akan terkena lebih awal sehingga memberi Anda peringatan segera dengan sedikit alarm palsu.

Fase enkripsi itu sendiri memiliki jejak yang dapat dikenali dan dapat ditangkap oleh EDR serta pemantauan berkas dalam hitungan detik.

• Sebuah proses membaca dan menulis ulang dengan cepat banyak berkas
• Penggantian nama berkas secara massal atau munculnya ekstensi baru yang seragam
• Lonjakan tiba-tiba pada entropi berkas (data terenkripsi tampak acak)
• Berkas catatan tebusan bermunculan di berbagai direktori

Respons otomatis dapat mengisolasi komputer segera setelah pola ini dimulai sehingga jumlah berkas yang hilang dapat dibatasi.

Indikator hanya berguna jika dikumpulkan dan dikorelasikan. Pusatkan telemetri agar sinyal yang terpisah membentuk gambaran yang jelas.

• Kirim catatan titik akhir, identitas, jaringan, dan cadangan ke SIEM
• Buat aturan deteksi untuk perilaku di atas dan kurangi alarm palsu
• Petakan peringatan ke tahapan serangan (MITRE ATT&CK) untuk memberikan konteks
• Pastikan catatan tahan terhadap pengubahan agar penyerang tidak dapat menghapus jejak mereka

Deteksi hanya bernilai jika memicu respons dengan cepat. Persiapkan sebelumnya:

• Tentukan peringatan mana yang memerlukan isolasi komputer otomatis
• Tetapkan jalur eskalasi yang jelas dan cakupan petugas siaga
• Berlatihlah agar penanggap bertindak dalam hitungan menit, bukan jam

Semakin awal Anda mendeteksi dalam rantai serangan, semakin banyak yang dapat Anda bendung. Pelajaran berikutnya membahas tindakan setelah serangan dikonfirmasi.

Identifikasi sinyal awal yang paling bernilai.

Anda telah mempelajari cara mengenali serangan selama penyerang masih bertahan di lingkungan Anda.

• Deteksi menargetkan perilaku: login yang tidak biasa, pengintaian AD, dan pergerakan lateral
• Pengubahan pertahanan dan penghapusan salinan bayangan merupakan pemicu deteksi dengan tingkat keyakinan tinggi
• Pantau lalu lintas keluar untuk mendeteksi eksfiltrasi; tanam berkas umpan dan kredensial umpan
• Deteksi enkripsi berbasis perilaku (entropi, penggantian nama secara massal) memungkinkan isolasi otomatis
• Pusatkan pencatatan dalam SIEM dengan catatan tahan terhadap pengubahan dan jalur cepat dari peringatan ke tindakan

Berikutnya: merespons dan memulihkan diri dari serangan yang telah dikonfirmasi.