Zabezpečenie od spoločnosti Microsoft
Niekde práve teraz prebieha brífing predstavenstva o ransomwari. Manažér informačnej bezpečnosti vysvetľuje, čo sa stalo, koľko to stálo a aká bola reakcia. Brífing je presný. No zároveň mu uniká podstata. Debata o ransomwari, ktorú vedie väčšina predstavenstiev, sa začína na nesprávnom mieste – riešia samotný incident, a nie systém, ktorý za ním stojí.
Najdôležitejšia konverzácia o ransomwari sa neuskutočňuje v centrách bezpečnostných operácií. Odohráva sa v zasadacej miestnosti predstavenstva.
Príliš veľa brífingov o ransomwari sa začína v momente zašifrovania. V tej chvíli je už útok v záverečnej fáze. Počiatočný prístup si útočníci pravdepodobne kúpili už pred niekoľkými týždňami. Útočníci získali prihlasovacie údaje. Pohyb v sieti prebiehal potichu a nenápadne. Organizácia sa nestala cieľom zo dňa na deň. Existuje industrializované kriminálne trhovisko navrhnuté tak, aby vyhľadávalo organizácie, ako je tá vaša, a zneužívalo ich.
Tento rozdiel je dôležitý, pretože mení to, do čoho predstavenstvá investujú.
Keď sa predstavenstvá sústredia len na finálnu fázu incidentu, je prirodzené, že investície smerujú najmä do odstraňovania následkov. Obnova je nesmierne dôležitá. Sama o sebe však ekonomické fungovanie útočníkov nezmení. Organizácie, ktoré sú pred ransomwarom o krok vpred, sa nezameriavajú len na to, ako zvládnuť ochromenie prevádzky. Investujú do prerušenia reťazca útoku ešte predtým, než k škode dôjde.
Tento posun sa stáva kritickým, pretože ransomware sa rozvinul do podoby vyspelej kriminálnej ekonomiky.
Dnes si už sofistikované útoky nevyžadujú sofistikovaných útočníkov. Počiatočný prístup sa dá kúpiť rovnako ľahko, ako keď si kúpite čokoládovú tyčinku z automatu. Platformy pre phishing ako službu sa predávajú na predplatné rovnako ako streamovacie alebo zábavné služby. Služby na podpisovanie škodlivého softvéru pomáhajú škodlivému kódu pôsobiť dôveryhodne. AI urýchľuje prieskum, prispôsobenie a sociálne inžinierstvo v každej fáze životného cyklu prieniku.
Manažéri informačnej bezpečnosti, ktorí majú na svoje predstavenstvá najväčší vplyv, neposkytujú len podrobnejšie brífingy o hrozbách. Ukazujú, že ransomware predstavuje najmä prevádzkové a ekonomické riziko.
Pozrime sa, ako na to.
1. Ide o biznisové riziko, nielen o bezpečnostný problém.
Ransomware zasiahne firmu na všetkých frontoch – prináša so sebou prevádzkové, finančné aj reputačné riziko, ako aj riziko straty kontinuity podnikania. Predstavenstvá už rozumejú rizikám v dodávateľskom reťazci aj na trhu. Ransomware sa od toho príliš nelíši. Hneď ako k problému zaujmú nový postoj, otázka sa posunie od „ako sa zotavíme rýchlejšie“ k „ako znížime mieru ohrozenia ešte predtým, než dôjde k ochromeniu prevádzky“. Dôležité je oboje. Iba jedno z toho však mení ekonomické pravidlá útoku.
Ekosystém ransomwaru má dnes efektivitu vyspelého trhu: zdieľaná infraštruktúra, špecializovaní poskytovatelia služieb a postupy podporované AI znižujú útočníkom náklady v každej fáze. Narušenie aktivít skupiny Fox Tempest zásahom Microsoftu to priamo dokazuje. Nebol to samotný ransomwarový aktér. Išlo o zdieľanú infraštruktúru, od ktorej záviseli stovky kriminálnych operácií s cieľom maskovať škodlivé údajové časti ako legitímne. Jej ochromenie oslabilo schopnosti celého ekosystému naraz. Obrancovia musia postupovať rovnako: zamerať sa na zdieľanú infraštruktúru útočníkov v predstihu, a nie iba reagovať na vzniknuté škody.
Organizácie, ktoré sú o krok vpred, uprednostňujú ochranu identity, detekciu sprostredkovateľov prístupu, viditeľnosť útočných ciest a nepretržitú analýzu hrozieb, ktorá umožňuje narušiť útok ešte pred nasadením ransomwaru – a zároveň investujú do odolnosti, aby zvládli obnovu, keď k nemu dôjde.
Každá organizácia sa skôr či neskôr stane terčom útoku. Rozhodujúce nie je to, či k prieniku dôjde, ale či organizácia dokáže zamedziť šíreniu, udržať prevádzku a zotaviť sa bez katastrofálnych následkov na podnikanie. To si vyžaduje investície do kontinuity prevádzky a zotavenia po havárii, nemenných a segmentovaných záloh, stratégií na izoláciu identít a testovania prevádzkovej obnovy. A takisto je potrebné merať to podstatné: nielen čas obnovy, ale aj interval medzi počiatočným napadnutím a zastavením šírenia útoku. Práve toto časové okno rozhoduje o tom, či sa prienik zmení na podnikovú krízu.
Predstavenstvá už rozumejú rizikám v dodávateľskom reťazci aj na trhu. Ransomware sa od toho príliš nelíši. Hneď ako k problému zaujmú nový postoj, otázka sa posunie od „ako sa zotavíme rýchlejšie“ k „ako znížime mieru ohrozenia ešte predtým, než dôjde k ochromeniu prevádzky“.
Microsoft sleduje ekosystém ransomwaru ako služby a publikuje o ňom od roku 2020.
Stratégia reakcií, ktorá dávala zmysel v roku 2020, už dnes nestačí. A takisto nestačí ani diskusia predstavenstva, ktorá uviazla v prostredí hrozieb roku 2020.
Každý týždeň až do septembra Microsoft v reálnom čase mapuje scénu počítačových zločinov a publikuje informácie, ktoré naši analytici hrozieb sledujú u viac ako 65 finančne motivovaných aktérov pôsobiacich v koordinovanom kriminálnom ekosystéme. Seriál Hot Cybercrime Summer je navrhnutý tak, aby prinášal presne tento typ kľúčových poznatkov – podáva ich jazykom, ktorý lídri v oblasti zabezpečenia potrebujú na prijímanie opatrení a na argumentáciu pred ľuďmi, ktorí financujú obranu.
Sledujte tento seriál. A oprite sa o tieto poznatky pri najbližšej diskusii v predstavenstve. Podklady máte k dispozícii. Otázkou je, či ich vaša organizácia skutočne využíva. Blog zabezpečení od Microsoftu | Analýza ransomwarových hrozieb
Manažéri informačnej bezpečnosti nesú osobnú zodpovednosť za riziká, na ktorých vyhodnotenie ich predstavenstvá zatiaľ nemajú dostatok podkladov. Zmazať tento rozdiel je to najdôležitejšie, čo môže líder v oblasti bezpečnosti urobiť.“
Sledujte zabezpečenie od spoločnosti Microsoft