Zsarolóvírus-védelem lépésről lépésre

A zsarolóvírus ma nem véletlenszerű fertőzés, hanem üzleti modell. A támadók célzottan választanak áldozatot, hetekig bent vannak a hálózatban, mielőtt bármit titkosítanának, és az adatot előbb kiszivárogtatják, hogy a mentés megléte se mentse meg az áldozatot a fizetéstől. Ez a cikk arról szól, hol lehet ezt a láncot megtörni.

Hogyan zajlik valójában

A titkosítás a támadás utolsó lépése, nem az első. Ami előtte történik, jellemzően hetekig tart, és ez az az időablak, ahol meg lehet állítani.

A tanulság: a szervezetnek jellemzően egy-két hete van észrevenni valamit. A támadás nem villámcsapás, hanem lassú beszivárgás, amit a legtöbb áldozat egyszerűen nem lát.

A négy kontroll, ami ténylegesen megállítja

Sok mindent lehet tenni, de a valós incidensek elemzése alapján négy kontroll adja a védelem gerincét.

1. MFA mindenre, ami kívülről elérhető

A belépés túlnyomó része ellopott hitelesítő adaton keresztül történik. VPN, távoli asztal, webmail, felhőszolgáltatás: ha ezek bármelyike egyfaktoros, ott van a bejárat.

Fontos a kivételek megszüntetése. Egyetlen szolgáltatásfiók vagy örökölt protokoll MFA nélkül elég ahhoz, hogy az egészet megkerüljék. A phishing-ellenálló módszer (FIDO2 hardveres kulcs) a legerősebb, de a szám-egyeztetéses push is nagyságrendekkel jobb a semminél.

2. Izolált, tesztelt mentés

Ez a különbség a néhány napos és a több hónapos helyreállítás között. Három követelmény:

• A mentés ne legyen elérhető ugyanazokkal a hitelesítő adatokkal, mint az éles rendszer. Ha a mentőszerver tartományi tag, és a támadó tartományi admin, akkor a mentés nincs.
• Legyen megváltoztathatatlan (immutable) vagy offline másolat. Az objektumzárolás vagy a szalag ma is releváns.
• Rendszeresen teszteljék a visszaállítást. A mentés léte nem bizonyíték. Negyedévente egy valós visszaállítási próba az egyetlen igazolás.

3. Szegmentálás

A titkosítás azért fáj annyira, mert egy lapos hálózaton egyszerre mindent elér. Ha a kritikus rendszerek külön szegmensben vannak, szigorú beengedéssel, a kár töredéke lesz.

Minimum: tartományvezérlők, mentési infrastruktúra és a pénzügyi rendszerek saját szegmensben. Ehhez jön a kliens-izoláció, hogy egy munkaállomás ne érje el a másik adminisztratív portjait.

4. Detektálás a felderítési fázisban

A támadó a felderítéskor olyan dolgokat csinál, amiket normál üzemben senki: tömeges tartományi lekérdezés, hálózati megosztások pásztázása, jogosultság-emelési kísérletek, gyanús eszközök futtatása.

Ezek észlelhetők, ha van naplógyűjtés és van, aki nézi a riasztásokat. Egy be nem kapcsolt vagy senki által nem figyelt EDR pontosan annyit ér, mint a semmi.

Mit tegyen az első órákban

Ha már megtörtént, a sorrend számít.

Ne kapcsolja ki a gépeket. A memóriában lévő nyomok elvesznek, és bizonyos esetekben a titkosítási kulcs is ott van. A hálózatról viszont válassza le őket.

Izolálja a hálózatot, de ne kapkodva. Ipari környezetben a szegmens lekapcsolása leállíthatja a folyamatot, ezért a döntést az üzemeltetéssel közösen kell meghozni.

Ne írjon felül semmit. A naplók, a memóriakép és a lemezképek a vizsgálat alapjai. A "gyorsan újratelepítjük" reflex a leggyakoribb hiba, mert utána senki nem tudja megmondani, hogyan jutottak be, tehát a támadó vissza fog jönni.

Jelentsen. NIS2 hatálya alatt a korai előrejelzés határideje 24 óra. Ha személyes adat is érintett, a GDPR 72 órás bejelentési kötelezettsége is él.

Ne fizessen elhamarkodottan. A fizetés nem garantálja a visszaállítást, nem garantálja az ellopott adat törlését, és több esetben visszatérő célponttá teszi a szervezetet. A döntést csak a helyreállítási képesség felmérése után szabad meghozni.

Erről részletesen az incidens első 24 órájáról szóló cikkünkben írtunk.

Mit tegyen utána

A helyreállítás nem ér véget a rendszerek visszaállításával.

• Gyökérok-elemzés. Ha nem derül ki a belépési pont, a visszaállított rendszer ugyanolyan sebezhető marad.
• Hitelesítő adatok teljes cseréje. Minden jelszó, szolgáltatásfiók, API-kulcs és tanúsítvány, a tartományi kulcsokat is beleértve.
• Az ellopott adat kezelése. Értesítési kötelezettségek, érintettek tájékoztatása, jogi következmények.
• A hiányzó kontrollok pótlása. Az incidens megmutatta, mi hiányzott. Ez a ritka pillanat, amikor a szervezetben van akarat a befektetésre.

Reális elvárás

Nincs olyan kontroll, ami száz százalékos védelmet ad. A cél nem a támadás lehetetlenné tétele, hanem az, hogy a támadás észlelhető legyen a titkosítás előtt, és hogy a szervezet helyre tudjon állni fizetés nélkül.

Ez a két képesség mérhető. Az elsőt egy penetrációs teszt és a riasztás-kezelési gyakorlat méri, a másodikat egy valós visszaállítási próba. Ha ezt a kettőt évente egyszer végigcsinálja, többet tett, mint a szervezetek nagy része.

A mentési stratégiáról és a hálózati szegmentálásról külön cikkben írtunk részletesen.