Prevenção e reforço de segurança

Nenhum controle isolado impede o ransomware. A prevenção cria barreiras independentes em camadas, para que, mesmo que uma seja contornada, as outras continuem de pé. O objetivo é dificultar a invasão, tornar a propagação mais lenta e garantir a recuperação.

Esta lição aborda os controles de maior impacto: cópias de segurança, segmentação, privilégio mínimo, MFA, aplicação de correções e redução da superfície de ataque.

As cópias de segurança são o seguro definitivo contra a criptografia. Uma estratégia robusta segue a regra 3-2-1-1-0:

• 3 cópias dos dados
• 2 tipos diferentes de mídia
• 1 cópia armazenada fora do local
• 1 cópia off-line ou imutável
• 0 erros verificados por testes regulares de restauração

A cópia imutável e off-line é a que sobrevive a um invasor com privilégios de administrador do domínio que procura pelas suas cópias de segurança.

As cópias de segurança imutáveis não podem ser modificadas nem excluídas durante um período de retenção definido, nem mesmo por um administrador. As cópias isoladas ficam fisicamente ou logicamente desconectadas, para que um programa malicioso não consiga alcançá-las.

Uma rede plana permite que o ransomware se espalhe de uma máquina infectada para todas as outras. A segmentação divide a rede em zonas com tráfego controlado entre elas, contendo o alcance do impacto.

• Separar as redes de usuários, servidores, cópias de segurança e gerenciamento
• Bloquear o tráfego entre estações de trabalho, um caminho lateral comum
• Isolar a infraestrutura de cópias de segurança atrás de seus próprios controles

Melhor ainda é aplicar a microssegmentação, para que cada carga de trabalho se comunique apenas com o que for necessário.

O ransomware se espalha com os privilégios do recurso que conseguir comprometer. Limitar esses privilégios limita os danos.

• Os usuários não devem ser administradores locais em suas máquinas
• Usar contas separadas e dedicadas para tarefas administrativas
• Evitar reutilizar a mesma senha de administrador local em várias máquinas
• Conceder acesso somente quando necessário e removê-lo ao terminar

Uma conta de usuário padrão comprometida não consegue criptografar todo o ambiente.

Senhas roubadas são responsáveis por uma grande parte das invasões. A MFA bloqueia invasores que têm uma senha válida, mas não possuem o segundo fator.

• Exigir MFA em todos os acessos remotos: VPN, RDP, correio eletrônico na web e portais administrativos
• Preferir métodos resistentes a mensagens fraudulentas, como chaves físicas de autenticação, em vez de SMS
• Proteger contra a fadiga causada pela MFA exigindo a confirmação por correspondência numérica

A MFA nos acessos expostos à internet é uma das medidas isoladas mais eficazes contra ransomware.

Sistemas expostos à internet e sem correções são explorados repetidamente para obter acesso inicial. Priorize as correções e reduza a exposição.

• Corrigir primeiro as vulnerabilidades expostas à internet e exploradas ativamente
• Remover ou restringir o RDP e o SMB expostos à internet
• Desativar serviços não utilizados e protocolos antigos
• Acompanhar listas de vulnerabilidades conhecidas e exploradas para definir prioridades

Mensagens fraudulentas são o principal método de entrega, portanto reforce a caixa de entrada e o dispositivo final em conjunto.

• Filtragem de e-mails, reescrita de endereços e execução de anexos em ambiente isolado
• SPF, DKIM, DMARC para reduzir a falsificação
• Bloqueio, por padrão, da execução de macros e scripts arriscados provenientes de e-mails e da internet
• Implantação do EDR para detectar comportamentos maliciosos nos dispositivos finais

Combine controles técnicos com treinamento de conscientização dos usuários sobre como denunciar mensagens suspeitas.

Permitir apenas o que pode ser executado impede a maioria das cargas desconhecidas. Combine isso com a desativação de recursos abusados.

• Lista de permissões de aplicativos para que somente binários aprovados sejam executados
• Desativar, por padrão, macros de aplicativos de escritório provenientes de fontes não confiáveis
• Restringir os mecanismos de criação de scripts e as ferramentas administrativas integradas quando possível
• Ativar a mitigação de explorações do OS e a proteção contra adulteração nas ferramentas de segurança

A proteção contra adulteração é importante porque os operadores tentam desativar o EDR antes de criptografar.

A movimentação lateral depende de credenciais coletadas. Torne-as mais difíceis de roubar e reutilizar.

• Proteger contra a extração de credenciais da memória
• Usar senhas exclusivas de administrador local para cada máquina, com rotação gerenciada
• Limitar os locais em que contas privilegiadas podem se autenticar, sem administrador do domínio em estações de trabalho
• Monitorar padrões incomuns de autenticação

Restringir a reutilização de credenciais rompe a cadeia entre uma máquina comprometida e todo o domínio.

Os controles se deterioram sem manutenção. Trate a prevenção como um programa contínuo:

• Testar regularmente as restaurações, não apenas a conclusão das cópias de segurança
• Realizar exercícios de simulação para que a equipe conheça o plano
• Inventariar continuamente os serviços expostos e as contas privilegiadas
• Medir a cobertura da MFA, o tempo até a aplicação de correções e as lacunas de segmentação

Um programa testado transforma uma possível catástrofe em um incidente administrável.

Você criou defesas em camadas contra o ransomware.

• Cópias de segurança 3-2-1-1-0, com pelo menos uma cópia imutável ou isolada e restaurações testadas
• Segmentação para conter a propagação; privilégio mínimo para limitar os danos
• MFA em todos os acessos remotos; corrigir primeiro as falhas expostas à internet e exploradas
• E-mail, EDR, lista de permissões de aplicativos e proteção de credenciais
• Executar tudo como um programa, com testes de restauração e exercícios de simulação

A seguir: detectar um ataque que já está em andamento.