Gli episodi di ransomware sono in aumento e, come abbiamo potuto constatare dai titoli pubblicati su , nessun settore ne è immune.
L’Agenzia per la sicurezza informatica e le infrastrutture ( ) del governo federale degli Stati Uniti ha esortato i dirigenti delle agenzie e delle imprese a proteggersi adottando le migliori pratiche fondamentali di “cyber igiene” .
Ritornare ai fondamenti delle operazioni IT e della sicurezza rappresenta il primo passo per aiutare la vostra organizzazione a evitare lo scenario peggiore.
Si prega di seguire questo breve webcast per saperne di più sugli attacchi ransomware e su come contribuire a prevenirli.
https://youtu.be/41n5NaBgF5o
Che cos’è il ransomware?
Il ransomware è un tipo di malware progettato, nella maggior parte dei casi, per crittografare dati e file presenti sulle reti delle vittime. Le organizzazioni colpite da un ransomware ricevono di fatto un ultimatum dai propri aggressori: pagare per ottenere la chiave di decrittazione oppure perdere per sempre i dati fondamentali per l’attività aziendale.
Poiché molte organizzazioni seguono le linee guida sulle migliori pratiche effettuando il backup dei dati offline, i loro ricattatori hanno recentemente iniziato a sottrarre informazioni sensibili prima ancora di crittografarle. Ciò esercita su di loro un’ulteriore pressione affinché paghino, pena la pubblicazione online dei dati personali dei clienti e dei dipendenti o dei segreti commerciali. Alcuni gruppi hanno addirittura esteso le proprie tattiche di estorsione fino a includere attacchi DDoS e a contattare clienti, azionisti e altre parti interessate per aumentare ulteriormente la pressione.
La sfida che le organizzazioni devono affrontare oggi consiste nel fatto che il modello “ransomware-as-a-service” (RaaS) ha ridotto in modo significativo le barriere all’ingresso per i gruppi di hacker “affiliati”. Finché le vittime continueranno a pagare, spesso grazie al rimborso previsto dalle polizze assicurative contro i rischi informatici, il numero di criminali informatici che si uniranno alla mischia non potrà che aumentare.
In che modo avvengono gli attacchi?
Sebbene i diversi gruppi di hacker abbiano preferenze diverse, un tipico attacco ransomware si articola, in linea di massima, in quattro fasi principali. Si tratta di:
- Il ransomware fa il suo ingresso nell'ambiente aziendale.
Ciò avviene spesso tramite un’e-mail di phishing del tipo “ ” ( ) che riesce a superare il filtro del Suo provider di gateway. Un’altra tattica diffusa consiste nel cercare le porte aperte del protocollo RDP (Remote Desktop Protocol) per poi assumere il controllo dei server remoti utilizzando credenziali di accesso già compromesse in precedenza o ricorrendo all’attacco di forza bruta sulle password.
- Il ransomware viene eseguito.
Ciò comporta spesso che un utente faccia clic su un documento Office Microsoft dannoso contenente macro.
- Il ransomware sfrutta l’ endpoint e e/o la rete con un certo livello di autorizzazioni.
Se l’utente o il sistema preso di mira non dispone di autorizzazioni sufficienti per consentire un ampio movimento laterale, ciò limiterà notevolmente il potenziale impatto dell’attacco. Ecco perché l’autore dell’attacco cercherà in genere di elevare i propri privilegi, solitamente sfruttando una vulnerabilità del sistema. Il movimento laterale viene spesso effettuato utilizzando strumenti legittimi e file binari “living off the land” per mantenere l’anonimato.
- È giunto il momento che il settore della sicurezza informatica intervenga
Qualora un attacco riesca a violare la sicurezza aziendale, spetta ai team di risposta agli incidenti limitare rapidamente il suo impatto. Un piano di risposta agli incidenti ben strutturato e sottoposto a frequenti test può fare davvero la differenza in questo contesto.
Come posso prevenire il ransomware?
Se la vostra organizzazione si è preparata adeguatamente alle fasi sopra descritte, sarà in grado di mitigare efficacemente i rischi informatici derivanti dal ransomware. Quanto prima si riesca a bloccare l'attacco nella fase di esecuzione, tanto meglio è.
Di seguito è riportata una breve lista di controllo che illustra le misure amministrative, procedurali e tecniche in grado di migliorare la resilienza della vostra organizzazione.
- Eseguire backup offline
- Si raccomanda di conservare immagini di riferimento dei sistemi critici, in modo da poterli ripristinare
- Garantire la corretta gestione e verificare un piano di risposta agli incidenti
- Aggiornare regolarmente ed attuare programmi di sensibilizzazione in materia di sicurezza rivolti al personale
- Effettuare regolarmente analisi delle vulnerabilità
- Assicuratevi che i vostri endpoint siano sempre aggiornati con le patch e all’avanguardia
- Bloccare il blocco SMBv1 e utilizzare esclusivamente SMBv3+
- Bloccare le connessioni esterne alle porte dell' SMB
- Proteggere gli endpoint RDP esposti a Internet
- Deploy soluzioni antivirus sempre aggiornate ovunque
- Si prega di prendere in considerazione l'utilizzo di una lista bianca delle applicazioni
- Gestire i fornitori esterni attraverso un programma di gestione del rischio fornitori
- Utilizzi l’autenticazione a più fattori (MFA) ogni volta che sia possibile
- Utilizzi password complesse e uniche
- Scoprite quali risorse possedete e dove si trovano, grazie a schemi di rete aggiornati
- Limitare l'uso di PowerShell; utilizzare l'ultima versione (5,0)
- Proteggere e applicare le patch ai controller di dominio
In che modo “ Tanium ” può esservi d’aiuto
Secondo i dati di Verizon riportati su , il 2021, 10% delle violazioni dei dati ha coinvolto il ransomware, il doppio rispetto al dato dello scorso anno. Fortunatamente, Tanium offre una serie di funzionalità volte a migliorare la resilienza della Sua organizzazione agli attacchi, a potenziare la visibilità e il controllo e ad accelerare la risposta agli incidenti. Ecco come fare:
Asset gestione
Non è possibile gestire ciò che non si vede. Basta un solo host vulnerabile per fornire agli autori di attacchi ransomware un punto di accesso alla rete. Tanium Vi aiuta a individuare tali sistemi.
Applicazione delle patch
Tanium aiuta la Sua organizzazione a garantire che gli endpoint siano aggiornati con le patch, riducendo così la superficie di attacco aziendale. Qualora gli autori delle minacce sfruttassero nuove vulnerabilità, come è avvenuto nel caso del famigerato “ransomware” WannaCry, Tanium è in grado di applicare le patch con rapidità e su larga scala per limitare le loro possibilità di azione.
Gestione della configurazione
Il ransomware spesso sfrutta le condivisioni aperte o le configurazioni errate. Tanium può aiutarLa in modo proattivo a identificare e risolvere tali problemi, mentre Tanium Enforce può limitare l’esposizione contribuendo a garantire che gli endpoint siano protetti dagli attacchi e conformi alla politica aziendale.
Limitazione del movimento laterale
Tanium Impact aiuta le organizzazioni a limitare gli spostamenti laterali all’interno di un ambiente. I sistemi compromessi, compresi i dispositivi esterni alla sede aziendale, possono essere messi in quarantena direttamente dal livello “ endpoint ” senza che sia necessaria una tecnologia firewall specifica. Inoltre, ci integriamo con i dispositivi di rete per effettuare il blocco tramite Cisco ISE o Palo Alto. Tanium Enforce può contribuire a limitare l'accesso alla rete configurando i firewall degli host.
Limitazione/divulgazione dei dati sensibili
Tanium Reveal Vi aiuta a individuare dove si trovano i dati sensibili nel vostro ambiente, consentendovi di intraprendere ulteriori azioni per ridurre l’esposizione al ransomware.
Identificazione
Tanium I segnali consentono di individuare potenziali attività di ransomware e di avvisare gli amministratori affinché intervengano.
Prevenzione
Tanium Enforce È possibile utilizzare AppLocker per creare elenchi di autorizzazioni, al fine di impedire l'esecuzione di file eseguibili non autorizzati sugli endpoint.
Definizione dell'ambito
Se un ransomware ha già infettato la Sua organizzazione, Tanium è in grado di individuare il numero di file crittografati e di limitare eventuali ulteriori danni tramite Tanium , Live Response e Tanium index.
Richieda una valutazione gratuita dei rischi " " all'indirizzo.
