Pencegahan dan Penguatan Keamanan

Tidak ada satu mekanisme pengamanan pun yang dapat menghentikan perangkat pemeras. Pencegahan menggunakan lapisan penghalang yang saling independen, sehingga jika satu lapisan dilewati, lapisan lainnya tetap berdiri. Tujuannya adalah membuat penyusupan lebih sulit, penyebaran lebih lambat, dan pemulihan terjamin.

Pelajaran ini membahas mekanisme pengamanan dengan dampak terbesar: cadangan, segmentasi, hak akses minimum, MFA, pemasangan pembaruan, dan pengurangan permukaan serangan.

Cadangan adalah perlindungan utama terhadap enkripsi. Strategi yang kuat mengikuti 3-2-1-1-0:

• 3 salinan data
• 2 jenis media yang berbeda
• 1 salinan di lokasi lain
• 1 salinan luring atau tidak dapat diubah
• 0 kesalahan yang diverifikasi melalui uji pemulihan berkala

Salinan yang tidak dapat diubah dan luring adalah yang dapat bertahan dari penyerang dengan hak administrator domain yang memburu cadangan Anda.

Cadangan yang tidak dapat diubah tidak dapat dimodifikasi atau dihapus selama periode penyimpanan yang ditetapkan, bahkan oleh administrator. Salinan yang terisolasi dari jaringan terputus secara fisik atau logis sehingga perangkat lunak berbahaya tidak dapat menjangkaunya.

Jaringan datar memungkinkan perangkat pemeras menyebar dari satu komputer yang terinfeksi ke seluruh sistem. Segmentasi membagi jaringan menjadi beberapa zona dengan lalu lintas yang dikendalikan di antaranya, sehingga membatasi cakupan dampak.

• Pisahkan jaringan pengguna, server, cadangan, dan manajemen
• Blokir lalu lintas antarstasiun kerja, yang merupakan jalur lateral umum
• Isolasi infrastruktur cadangan di balik mekanisme pengamanannya sendiri

Lebih baik lagi, terapkan mikrosegmentasi agar setiap beban kerja hanya berkomunikasi dengan bagian yang memang diperlukan.

Perangkat pemeras menyebar dengan hak akses apa pun yang dimiliki oleh objek yang berhasil disusupinya. Membatasi hak akses tersebut akan membatasi kerusakan.

• Pengguna tidak boleh menjadi administrator lokal di komputer mereka
• Gunakan akun terpisah dan khusus untuk tugas administratif
• Hindari penggunaan ulang kata sandi administrator lokal yang sama di banyak komputer
• Berikan akses tepat saat diperlukan dan cabut setelah selesai

Akun pengguna standar yang telah disusupi tidak dapat mengenkripsi seluruh lingkungan.

Kata sandi yang dicuri mendorong sebagian besar penyusupan. MFA memblokir penyerang yang memiliki kata sandi valid, tetapi tidak memiliki faktor kedua.

• Terapkan MFA pada semua akses jarak jauh: VPN, RDP, surat web, dan portal admin
• Utamakan metode yang tahan terhadap pengelabuan (kunci perangkat keras FIDO2) daripada SMS
• Lindungi diri dari kelelahan MFA dengan mewajibkan pencocokan angka

MFA pada akses yang menghadap internet adalah salah satu pencegahan perangkat pemeras yang paling efektif.

Sistem yang menghadap internet dan tidak diperbarui berulang kali dieksploitasi untuk mendapatkan akses awal. Prioritaskan pembaruan dan kurangi paparan.

• Pasang pembaruan untuk kerentanan yang menghadap internet dan sedang dieksploitasi terlebih dahulu
• Hapus atau batasi RDP dan SMB yang terbuka dari internet
• Hentikan layanan yang tidak digunakan dan protokol lama
• Pantau daftar kerentanan yang diketahui telah dieksploitasi untuk menentukan prioritas

Pengelabuan adalah metode pengiriman utama, sehingga perkuat kotak masuk dan titik akhir secara bersamaan.

• Pemfilteran email, penulisan ulang tautan, dan pengujian lampiran di lingkungan terisolasi
• SPF, DKIM, DMARC untuk mengurangi pemalsuan
• Blokir eksekusi makro dan skrip berisiko dari email dan internet
• Pasang EDR untuk mendeteksi perilaku berbahaya pada titik akhir

Padukan mekanisme teknis dengan pelatihan kesadaran pengguna tentang pelaporan pesan yang mencurigakan.

Membuat daftar izin untuk hal-hal yang boleh dijalankan dapat menghentikan sebagian besar muatan yang tidak dikenal. Padukan cara ini dengan menonaktifkan fitur yang sering disalahgunakan.

• Daftar izin aplikasi agar hanya berkas biner yang disetujui yang dapat berjalan
• Nonaktifkan makro Office dari sumber yang tidak tepercaya secara bawaan
• Batasi lingkungan skrip dan alat administrasi bawaan jika memungkinkan
• Aktifkan mitigasi eksploitasi pada OS dan perlindungan dari manipulasi pada alat keamanan

Perlindungan dari manipulasi penting karena operator berusaha menonaktifkan EDR sebelum melakukan enkripsi.

Pergerakan lateral berlangsung menggunakan kredensial yang dikumpulkan. Buat kredensial tersebut lebih sulit dicuri dan digunakan ulang.

• Lindungi sistem dari pengambilan kredensial dari memori
• Gunakan kata sandi administrator lokal yang unik untuk setiap komputer (dengan rotasi terkelola)
• Batasi lokasi tempat akun berhak istimewa dapat masuk (jangan gunakan administrator domain pada stasiun kerja)
• Pantau pola autentikasi yang tidak lazim

Membatasi penggunaan ulang kredensial memutus rantai antara satu komputer yang disusupi dan seluruh domain.

Mekanisme pengamanan akan menurun efektivitasnya tanpa pemeliharaan. Perlakukan pencegahan sebagai program yang berkelanjutan:

• Secara berkala uji pemulihan, bukan hanya penyelesaian pencadangan
• Adakan latihan simulasi agar tim mengetahui rencananya
• Inventarisasikan layanan yang terbuka dan akun berhak istimewa secara terus-menerus
• Ukur cakupan MFA, keterlambatan pemasangan pembaruan, dan celah segmentasi

Program yang telah diuji mengubah potensi bencana menjadi insiden yang dapat dikelola.

Pilih mekanisme pengamanan yang menjamin pemulihan.

Anda telah membangun pertahanan berlapis terhadap perangkat pemeras.

• Cadangan 3-2-1-1-0 dengan setidaknya satu salinan yang tidak dapat diubah atau terisolasi dari jaringan serta pemulihan yang telah diuji
• Segmentasi untuk membatasi penyebaran; hak akses minimum untuk membatasi kerusakan
• MFA pada semua akses jarak jauh; pasang pembaruan untuk kelemahan yang menghadap internet dan telah dieksploitasi terlebih dahulu
• Email, EDR, daftar izin aplikasi, dan perlindungan kredensial
• Jalankan semua ini sebagai sebuah program dengan uji pemulihan dan latihan simulasi

Berikutnya: mendeteksi serangan yang sudah berlangsung.