Zapobieganie i wzmacnianie zabezpieczeń

Żadne pojedyncze zabezpieczenie nie powstrzyma ransomware. Zapobieganie tworzy niezależne bariery, dzięki czemu obejście jednej z nich pozostawia pozostałe. Celem jest utrudnienie włamania, spowolnienie rozprzestrzeniania się i zagwarantowanie możliwości odzyskania danych.

Ta lekcja omawia zabezpieczenia o największym znaczeniu: kopie zapasowe, segmentację, najmniejsze uprawnienia, MFA, stosowanie poprawek i ograniczanie powierzchni ataku.

Kopie zapasowe są najlepszym zabezpieczeniem przed szyfrowaniem. Solidna strategia opiera się na regule 3-2-1-1-0:

• 3 kopie danych
• 2 różne typy nośników
• 1 kopia przechowywana poza siedzibą
• 1 kopia offline lub niezmienna
• 0 błędów potwierdzonych regularnymi testami odtwarzania

To właśnie niezmienna i odłączona od sieci kopia przetrwa atakującego z uprawnieniami administratora domeny, który szuka kopii zapasowych.

Niezmiennych kopii zapasowych nie można modyfikować ani usuwać przez określony czas przechowywania, nawet z uprawnieniami administratora. Kopie odseparowane są fizycznie lub logicznie odłączone, dzięki czemu złośliwe oprogramowanie nie może do nich dotrzeć.

Płaska sieć pozwala ransomware rozprzestrzenić się z jednego zainfekowanego hosta na wszystkie pozostałe. Segmentacja dzieli sieć na strefy, między którymi przepływ ruchu jest kontrolowany, ograniczając zakres skutków ataku.

• Oddzielne sieci użytkowników, serwerów, kopii zapasowych i zarządzania
• Blokowanie ruchu między stacjami roboczymi, stanowiącego częstą ścieżkę ruchu bocznego
• Izolowanie infrastruktury kopii zapasowych za pomocą własnych mechanizmów kontroli

Jeszcze lepszym rozwiązaniem jest zastosowanie mikrosegmentacji, dzięki której każde obciążenie komunikuje się tylko z tym, z czym musi.

Ransomware rozprzestrzenia się z uprawnieniami elementu, który przejmie. Ograniczenie tych uprawnień ogranicza szkody.

• Użytkownicy nie powinni być lokalnymi administratorami na swoich komputerach
• Należy używać oddzielnych, dedykowanych kont do zadań administracyjnych
• Należy unikać ponownego używania tego samego hasła lokalnego administratora na wielu komputerach
• Dostęp należy przyznawać just in time i odbierać po zakończeniu zadania

Przejęte konto standardowego użytkownika nie może zaszyfrować całego środowiska.

Skradzione hasła odpowiadają za dużą część włamań. MFA blokuje atakujących, którzy mają prawidłowe hasło, ale nie mają drugiego czynnika.

• Należy wymusić MFA dla całego zdalnego dostępu: VPN, RDP, poczty internetowej i portali administracyjnych
• Należy preferować metody odporne na phishing (sprzętowe klucze FIDO2) zamiast SMS-ów
• Należy chronić przed atakami polegającymi na zmęczeniu MFA, wymagając zgodności numeru

MFA dla dostępu wystawionego do internetu jest jednym z najskuteczniejszych zabezpieczeń przed ransomware.

Niezałatane systemy dostępne z internetu są wielokrotnie wykorzystywane do uzyskania początkowego dostępu. Należy ustalać priorytety i ograniczać ekspozycję.

• W pierwszej kolejności należy stosować poprawki dotyczące luk dostępnych z internetu i aktywnie wykorzystywanych
• Należy usunąć lub ograniczyć RDP i SMB wystawione do internetu
• Należy wycofać nieużywane usługi i starsze protokoły
• Należy śledzić listy znanych, wykorzystywanych luk w celu ustalania priorytetów

Phishing jest najczęstszą metodą dostarczania złośliwego oprogramowania, dlatego należy jednocześnie wzmocnić ochronę skrzynki odbiorczej i punktu końcowego.

• Filtrowanie poczty, przepisywanie linków i uruchamianie załączników w piaskownicy
• SPF, DKIM, DMARC w celu ograniczenia podszywania się
• Blokowanie wykonywania ryzykownych makr i skryptów z poczty e-mail i internetu
• Wdrożenie rozwiązania EDR do wykrywania złośliwego zachowania na punktach końcowych

Kontrole techniczne należy łączyć ze szkoleniem użytkowników w zakresie zgłaszania podejrzanych wiadomości.

Dodanie do listy dozwolonych elementów, które mogą być uruchamiane, zatrzymuje większość nieznanych ładunków. Należy połączyć to z wyłączaniem nadużywanych funkcji.

• Dodawanie aplikacji do listy dozwolonych, aby uruchamiane były tylko zatwierdzone pliki binarne
• Domyślne wyłączanie makr pakietu Office pochodzących z niezaufanych źródeł
• Ograniczanie hostów skryptowych i wbudowanych narzędzi administracyjnych, gdy jest to możliwe
• Włączanie mechanizmów systemu operacyjnego ograniczających wykorzystanie luk oraz ochrony przed manipulacją w narzędziach bezpieczeństwa

Ochrona przed manipulacją ma znaczenie, ponieważ operatorzy próbują wyłączyć EDR przed rozpoczęciem szyfrowania.

Ruch boczny opiera się na przechwyconych danych uwierzytelniających. Należy utrudniać ich kradzież i ponowne wykorzystanie.

• Należy chronić przed wykradaniem danych uwierzytelniających z pamięci
• Należy używać unikalnych haseł lokalnego administratora dla każdego hosta (z zarządzaną rotacją)
• Należy ograniczać miejsca, z których mogą logować się konta uprzywilejowane (bez logowania administratora domeny na stacjach roboczych)
• Należy monitorować nietypowe wzorce uwierzytelniania

Ograniczenie ponownego użycia danych uwierzytelniających przerywa łańcuch między jednym przejętym hostem a całą domeną.

Zabezpieczenia słabną bez bieżącego utrzymania. Zapobieganie należy traktować jako stały program:

• Regularne testowanie odtwarzania, a nie tylko sprawdzanie zakończenia tworzenia kopii zapasowych
• Przeprowadzanie ćwiczeń scenariuszowych, aby zespół znał plan działania
• Ciągła inwentaryzacja usług wystawionych na zewnątrz i kont uprzywilejowanych
• Mierzenie pokrycia MFA, opóźnień we wdrażaniu poprawek i luk w segmentacji

Przetestowany program zmienia potencjalną katastrofę w incydent możliwy do opanowania.

Zbudowano wielowarstwową ochronę przed ransomware.

• Kopie zapasowe 3-2-1-1-0 z co najmniej jedną niezmienną lub odseparowaną kopią oraz przetestowanym odtwarzaniem
• Segmentacja ograniczająca rozprzestrzenianie się oraz najmniejsze uprawnienia ograniczające szkody
• MFA dla całego zdalnego dostępu; w pierwszej kolejności należy stosować poprawki dotyczące luk dostępnych z internetu i wykorzystywanych
• Poczta e-mail, EDR, dodawanie aplikacji do listy dozwolonych i ochrona danych uwierzytelniających
• Prowadzenie całości jako programu obejmującego testy odtwarzania i ćwiczenia scenariuszowe

Następny temat: wykrywanie trwającego już ataku.