Prontidão contra Ransomware para Cadeias de Suprimentos: Prevenção, Contenção e Recuperação

Ransomware tem estado no topo das preocupações de muitos de nós na indústria de cibersegurança, à medida que vimos um número crescente de ataques impactando redes hospitalares, governos locais e a cadeia de suprimentos em geral. Um ataque de ransomware a uma empresa tipicamente resulta em perda de acesso a dados e sistemas por algum período e vem com impacto financeiro através de receita perdida e dinheiro gasto em esforços de recuperação. Quando um ataque de ransomware é direcionado a uma empresa que faz parte da cadeia de suprimentos, pode ter um impacto muito mais amplo, pois apenas um provedor de serviços pode ter efeito direto em centenas ou milhares de empresas.

Entender a prontidão da sua organização para a ameaça de ransomware é imperativo, e saber como os fornecedores na sua cadeia de suprimentos entram na sua preparação de prontidão é uma peça crítica da sua estratégia geral.

Pode ser avassalador tentar garantir que todas as suas defesas estão cobertas e que você fez tudo que pode para prevenir ou diminuir o impacto de um ataque de ransomware. Uma estratégia forte é abrangente e multicamadas — abrangendo arquitetura, endpoints, usuários e muito mais.

Então, por onde começar? Uma abordagem estruturada e lógica pode ajudar a trazer alguma ordem para entender a prontidão de ransomware da sua organização. Para ajudar a fazer isso, vamos olhar para três categorias primárias: prevenção, contenção e recuperação.

Prevenção

Nosso objetivo primário é manter o ransomware fora do nosso ambiente, impedindo que ele entre desde o início. Dessa postura defensiva, precisamos olhar para sua infraestrutura dos controles de perímetro até os usuários finais. Embora pudéssemos cobrir este tópico extensivamente, focaremos nossa atenção nas lacunas onde o ransomware é mais comumente introduzido.

• Protocolo de área de trabalho remota (RDP). Embora não seja uma tecnologia nova ou um novo vetor de ataque, RDP tem sido alvo regular devido a vulnerabilidades, má configuração ou suscetibilidade a ataques de força bruta. Com o recente aumento na força de trabalho remota e o correspondente aumento no uso de RDP, atacantes estão tendo um dia de campo com os novos alvos. Atividades de prevenção aqui incluem limitar o número de portas abertas, controles de autenticação fortes (incluindo autenticação multifator) e um sólido programa de gestão de vulnerabilidades.
• Phishing. Emails de phishing podem ser especialmente perigosos pois podem contornar muitos dos seus controles de segurança permitindo que conteúdo malicioso seja entregue diretamente ao que é mais frequentemente seu elo de segurança mais fraco — o usuário final. Emails de phishing tipicamente tentam obter credenciais do usuário ou contêm anexos ou links maliciosos, fornecendo aos atacantes um caminho direto para seu ambiente. Atividades de prevenção aqui incluem uso de solução de segurança de email, treinamento de segurança e conscientização para usuários finais, e soluções de detecção e resposta de endpoint.

Em última análise, as técnicas de prevenção recomendadas não são novas. São os mesmos princípios-chave que a comunidade de segurança da informação tem discutido por algum tempo — restringir o que é acessível da internet, varredura de vulnerabilidades, patching e controles de autenticação fortes.

Contenção

Então, apesar dos seus melhores esforços, ransomware entra no seu ambiente. Como você pode impedir a propagação? Considere um incêndio em um prédio: a estratégia de contenção vem antes do incêndio real através do uso de corta-fogos, materiais retardantes de chama, etc. É o mesmo para ataques como ransomware. Aqui estão duas estratégias-chave de contenção:

• Uso de contas privilegiadas. Atacantes adoram visar contas privilegiadas pois elas fornecem altos níveis de acesso a sistemas e dados, bem como as permissões necessárias para executar código malicioso. Reutilização de senhas, senhas de contas de serviço armazenadas em texto claro, senhas facilmente adivinhadas, etc. são todos problemas comuns contribuindo para comprometimento de contas.

Uma abordagem holística para gestão de contas privilegiadas é a chave aqui. Isso inclui entender quais contas privilegiadas você tem e a que elas têm acesso; como são usadas (ex: admin de domínio vs. conta de serviço); e como essas contas são acessadas e gerenciadas (ex: uso de uma solução de gestão de contas privilegiadas).

• Segmentação de rede. Redes planas são um cenário de sonho para um atacante. Uma vez obtidas credenciais, eles podem mover-se livremente por toda a rede da organização e ter acesso irrestrito a sistemas e dados. No mínimo, você deve usar segmentação para restringir movimento lateral o máximo possível, de modo que um atacante teria um tempo muito mais difícil atravessando sua rede e obtendo acesso a sistemas e dados adicionais.

Recuperação

Além de um plano de resposta a incidentes, o plano mais crítico para auxiliar nos seus esforços de recuperação é um plano de resiliência empresarial. Como o negócio continuará a funcionar? Um plano de resiliência forte ajudará a restaurar a funcionalidade dos seus sistemas de negócios principais.

Vetores de ataque comuns para organizações incluem fornecedores terceirizados na cadeia de suprimentos. Então, como podemos identificar e reduzir os riscos que nossos fornecedores apresentam? Primeiro, responda a estas perguntas críticas:

• Quem são seus fornecedores?
• Que serviço cada fornecedor fornece à sua organização?

Identificar quem são seus fornecedores não é tarefa simples. É possível que você tenha fornecedores que têm acesso à sua rede ou dados e você não sabe sobre isso? Absolutamente. A realidade é que a capacidade existe de ir diretamente a uma solução baseada em nuvem e, com nada mais que um cartão de crédito e alguns cliques do mouse, você agora tem um fornecedor com acesso aos seus dados. Se você não sabe quem eles são, é impossível avaliar o risco deles para sua organização. Quanto ao que fazem, os fornecedores na sua cadeia de suprimentos podem realizar todo tipo de serviços. Alguns inerentemente fornecem um risco maior à sua empresa baseados nos dados ou sistemas internos a que têm acesso.

Responder a estas perguntas é um ótimo ponto de partida para realizar atividades de avaliação adequadas contra esses fornecedores. O objetivo é obter conforto suficiente de que os fornecedores têm os controles apropriados em vigor para proteger seus sistemas ou dados baseados nos serviços que estão fornecendo para você. Existem muitas estratégias de avaliação para alavancar, incluindo revisão de certificações como SOC ou ISO, questionários de avaliação como o SIG, resultados de testes de penetração, etc. Independentemente de como você aborda, validar que seus fornecedores têm esses controles em vigor pode reduzir o risco de sua organização ser impactada no caso de um ataque.

À medida que sistemas se tornam mais conectados e complexos, atacantes ainda podem encontrar algum caminho através das suas defesas. Mas estar preparado para um ataque de ransomware pode reduzir significativamente o impacto e a interrupção na sua organização. Com uma estratégia de defesa em profundidade, junto com planos apropriados de contenção e resiliência, a força cibernética da sua organização só pode aumentar.

Gary Brickhouse é diretor de segurança da informação da GuidePoint Security.