Los incidentes de ransomware están en aumento y, como hemos visto en los titulares , ninguna industria está exenta.
El gobierno federal de los EE. UU. ha instado a las agencias y a los líderes comerciales a protegerse mediante la implementación de las mejores prácticas fundamentales de higiene cibernética.
Volver a los conceptos básicos de las operaciones y la seguridad de TI es el primer paso para ayudar a su organización a evitar el peor escenario posible.
Vea esta breve transmisión web para obtener más información sobre los ataques de ransomware y cómo ayudar a prevenirlos.
https://youtu.be/41n5NaBgF5o
¿Qué es el ransomware?
El ransomware es un tipo de malware diseñado en la mayoría de los casos para cifrar datos y archivos en redes de víctimas. Las organizaciones afectadas por el ransomware reciben efectivamente un ultimátum de sus atacantes: pagan y reciben la clave de descifrado o pierden sus datos críticos para el negocio para siempre.
A medida que muchas organizaciones responden a los consejos de mejores prácticas al hacer una copia de seguridad de los datos fuera de línea, sus extorsionadores recientemente se han llevado a robar información confidencial antes de cifrarla. Esto les ejerce una presión adicional para pagar o hacer que los datos personales o secretos comerciales de los clientes y empleados se publiquen en línea. Algunos grupos incluso han extendido sus tácticas de extorsión para incluir ataques de DDoS y comunicarse con clientes, accionistas y otros para aumentar aún más la presión.
El desafío que enfrentan las organizaciones hoy en día es que el modelo de ransomware como servicio (RaaS) ha reducido significativamente las barreras de entrada para los grupos de amenazas “afiliados”. Siempre que las víctimas continúen pagando, a menudo reembolsadas por pólizas de ciberseguro, la cantidad de ciberdelincuentes que se unan a la lucha solo aumentará.
¿Cómo ocurren los ataques?
Aunque los diferentes grupos de amenazas tienen diferentes preferencias, hay aproximadamente cuatro etapas clave para un ataque típico de ransomware. Estos son:
- El ransomware entra en el entorno corporativo.
Esto a menudo sucede a través de un correo electrónico de phishing que lo hace pasar por su proveedor de puerta de enlace. Otra táctica popular es escanear los puertos abiertos del protocolo de escritorio remoto (Remote Desktop Protocol, RDP) y luego secuestrar servidores remotos con inicios de sesión previamente vulnerados o forzar brutamente las contraseñas.
- Se ejecuta ransomware.
Esto a menudo implica que un usuario haga clic en un documento malicioso de Microsoft Office con macros.
- El ransomware explota el endpoint y/o la red con algún nivel de permisos.
Si el usuario/máquina objetivo no tiene permisos suficientes para admitir un movimiento lateral amplio, limitará en gran medida el impacto potencial del ataque. Es por eso que el perpetrador generalmente intentará elevar los privilegios, generalmente explotando una vulnerabilidad del sistema. El movimiento lateral a menudo se logra utilizando herramientas legítimas y binarios de “vivir fuera de la tierra” para mantenerse oculto.
- Tiempo para que la seguridad de TI responda
Si un ataque ha violado con éxito la seguridad corporativa, la responsabilidad recae en los equipos de respuesta a incidentes para limitar rápidamente su impacto. Un plan de respuesta a incidentes bien diseñado y probado con frecuencia puede marcar una gran diferencia aquí.
¿Cómo puedo prevenir el ransomware?
Si su organización se ha preparado bien para los pasos anteriores, estará en una buena posición para mitigar los riesgos cibernéticos derivados del ransomware. Cuanto antes en la fase de ejecución pueda detener el ataque, mejor.
Esta es una breve lista de verificación que cubre las medidas administrativas, técnicas y de procesos que pueden mejorar la resiliencia de su organización.
- Mantener copias de seguridad fuera de línea
- Mantener imágenes doradas de sistemas críticos para que puedan reconstruirse
- Mantener y probar un plan de respuesta a incidentes
- Actualizar y ejecutar regularmente programas de concientización de seguridad para el personal
- Realizar escaneos regulares de vulnerabilidades
- Asegúrese de que sus puntos finales siempre estén parcheados y actualizados
- Bloque SMBv1 y utilice solo SMBv3+
- Bloquear conexiones externas a puertos SMB
- Proteja los puntos finales RDP orientados a Internet
- Implemente AV actualizados en todas partes
- Considere la lista blanca de aplicaciones
- Administrar proveedores externos a través de un programa de gestión de riesgos de proveedores
- Utilice autenticación multifactor (MFA) siempre que sea posible
- Usar contraseñas seguras y únicas
- Sepa qué activos tiene y dónde están, con diagramas de red actualizados
- Restringir el uso de PowerShell; usar la última versión (5.0)
- Controladores de dominio seguros y de parches
Cómo puede ayudar Tanium
Según los datos de Verizon de 2021, el 10 % de las filtraciones de datos involucraron ransomware, el doble de la cifra del año pasado. Afortunadamente, Tanium ofrece una gama de capacidades para mejorar la resiliencia de su organización a los ataques, mejorar la visibilidad y el control, y acelerar la respuesta a incidentes. Así es como:
Gestión de activos
No puede gestionar lo que no puede ver. Incluso un host vulnerable puede proporcionar a los atacantes de ransomware un punto de entrada en la red. Tanium le ayuda a encontrar esos sistemas.
Parcheo
Tanium ayuda a su organización a garantizar que sus puntos finales se parcheen, lo que reduce la superficie de ataque corporativo. Si los actores de amenazas explotan nuevas vulnerabilidades, como fue el caso con el infame “ransomware” de WannaCry, Tanium puede aplicar parches a velocidad y escala para restringir sus oportunidades.
Gestión de configuración
El ransomware a menudo aprovecha las acciones abiertas o las configuraciones erróneas. Tanium puede ayudarlo proactivamente a identificar y corregir estos problemas, mientras que Tanium Enforce puede limitar la exposición al ayudar a garantizar que los puntos finales se refuercen contra el ataque y estén en línea con la política corporativa.
Limitar el movimiento lateral
Tanium Impact ayuda a las organizaciones a limitar el movimiento lateral en un entorno. Los sistemas afectados, incluidos los dispositivos fuera de las instalaciones, pueden ponerse en cuarentena desde la capa de endpoint sin necesidad de tecnología de firewall específica. También nos integramos con dispositivos de red para bloquear a través de Cisco ISE o Palo Alto. Tanium Enforce puede ayudar a limitar el acceso a la red configurando firewalls de host.
Limitar/descubrir datos confidenciales
Tanium Reveal le ayuda a identificar dónde residen los datos confidenciales en su entorno, lo que permite acciones adicionales para reducir la exposición al ransomware.
Identificación
Las señales de Tanium pueden identificar una posible actividad de ransomware y alertar a los administradores para que inicien la acción.
Prevención
Tanium Enforce puede realizar listas de permisos utilizando Applocker para evitar que se ejecuten ejecutables no autorizados en los puntos finales.
Alcance
Si el ransomware ya ha infectado su organización, Tanium puede determinar cuántos archivos se han cifrado y limitar cualquier daño adicional a través de Tanium Live Response y Tanium index.
Solicite una evaluación de riesgos gratuita.
