SBTechnical Marketing Writer
Niemand kann Ransomware vollständig verhindern. Angreifer entwickeln ihre Taktiken kontinuierlich weiter, nutzen neu veröffentlichte Schwachstellen aus, kaufen gestohlene Zugangsdaten und setzen Social-Engineering-Techniken ein, um Zugriff auf die Daten von Organisationen zu erlangen.
Selbst Organisationen mit ausgereiften Sicherheitsprogrammen können Risiken ausgesetzt sein, weil ein einziges übersehenes Patch, ein kompromittiertes Konto, eine Fehlkonfiguration oder ein menschlicher Fehler eine Gelegenheit für Angreifer schaffen kann.
Deshalb vertreten wir bei Object First eine Denkweise nach dem Motto „Assume Breach, Prepare for Recovery“. Anstatt davon auszugehen, dass jeder Angriff gestoppt werden kann, empfehlen wir, dass Organisationen für die Gewissheit planen, dass ein Angreifer irgendwann in Ihr Produktionssystem eindringen wird. „Assume Breach“ bedeutet, Sicherheit und Infrastruktur so zu entwerfen, dass Zugangsdaten kompromittiert sein können, Endpunkte infiziert werden können oder Abwehrmaßnahmen umgangen werden können. „Prepare for Recovery“ bedeutet sicherzustellen, dass Backup-Daten sicher, wiederherstellbar und genau dann verfügbar sind, wenn sie am dringendsten benötigt werden. Ziel ist nicht nur, die Wahrscheinlichkeit eines Angriffs zu reduzieren, sondern auch die Geschäftsunterbrechung zu minimieren, falls einer erfolgreich ist.
Ransomware-Prävention kann nicht garantiert werden. Nur Wiederherstellung kann das. Die folgenden Best Practices der Cyberhygiene sind jedoch wirksame Wege, die Angriffsfläche zu reduzieren, übersehene Schwachstellen zu beseitigen und Hintertüren zu schließen, die Angreifer ausnutzen können.
1. Multi-Faktor-Authentifizierung (MFA) überall erzwingen
Gestohlene Zugangsdaten sind der häufigste Weg, eine Organisation zu kompromittieren. Das Erzwingen von MFA für Benutzerkonten, Administratorkonten, VPNs und Remote-Access-Services fügt eine entscheidende Schutzschicht hinzu, die verhindert, dass Angreifer kompromittierte Passwörter in vollständigen Systemzugriff umwandeln. Ist es nervig, sich 20-mal am Tag bei Microsoft Authenticator anzumelden? Ja. Reduziert es die Wahrscheinlichkeit eines Sicherheitsvorfalls erheblich? Ebenfalls ja.
2. Das Prinzip der geringsten Privilegien anwenden
Ihre Mitarbeitenden sollten nur Zugriff auf die Systeme und Daten haben, die sie für ihre Arbeit benötigen – nicht mehr und nicht weniger. Das Begrenzen übermäßiger administrativer Berechtigungen durch die Durchsetzung des Prinzips der geringsten Privilegien reduziert die Möglichkeiten für Angreifer, Berechtigungen zu eskalieren und nach der initialen Kompromittierung tiefer in die Umgebung vorzudringen.
3. Schwachstellen sofort patchen
Cyberkriminelle scannen aktiv nach nicht gepatchter Software, Betriebssystemen und internetexponierten Geräten. Eine konsistente Patch-Kadenz hilft, bekannte Sicherheitslücken zu schließen, bevor sie ausgenutzt werden können.
4. Sicher und Remote-Access-Tools überwachen
Remote-Zugriff sowie Remote Monitoring and Management (RMM)-Tools können zu Angriffswegen werden, wenn sie nicht kontrolliert werden. Pflegen Sie ein Inventar genehmigter Tools, überwachen Sie ungewöhnliche Aktivitäten und beschränken Sie den Zugriff auf freigegebene Methoden wie VPNs oder VDI. CISA empfiehlt außerdem, unnötigen RMM-Verkehr am Netzwerkperimeter zu blockieren und die Nutzung nicht autorisierter RMM-Software zu erkennen.
5. Mitarbeitende schulen, Bedrohungen zu erkennen
Phishing und Social Engineering sind wirksame Angriffsmethoden, weil sie Menschen statt Technologie ins Visier nehmen. Manche sind leicht zu erkennen (eklatante Tippfehler, Nachrichten von Ihrem CEO, Angebote für kostenlose Preise und alarmistische Formulierungen), andere sind schwerer zu entlarven. Laufende Awareness-Schulungen helfen Mitarbeitenden, verdächtige E-Mails, Links, Anhänge und Anfragen zu identifizieren, bevor daraus Sicherheitsvorfälle werden.
6. Auf verdächtige Aktivitäten überwachen
Je früher verdächtige Aktivitäten erkannt werden, desto schneller können sie eingedämmt werden. Kontinuierliches Monitoring, Endpoint Detection, Threat Hunting und Verhaltensanalytik können helfen, ransomwarebezogene Aktivitäten zu identifizieren, bevor eine flächendeckende Verschlüsselung beginnt.
Object First Ootbi-Appliances enthalten eine integrierte Honeypot-Funktion, die hilft, potenzielle Bedrohungen früher im Angriffslifecycle zu erkennen. Durch das Platzieren von Köderdateien, die darauf ausgelegt sind, Ransomware-Aktivitäten anzuziehen, kann der Honeypot unautorisierte Verschlüsselungsversuche identifizieren und Warnmeldungen erzeugen, bevor Angreifer die Produktions-Backup-Daten beeinträchtigen können. Frühwarnfunktionen wie diese helfen Security-Teams, verdächtiges Verhalten schneller zu untersuchen und Maßnahmen zu ergreifen, bevor ein Vorfall eskaliert.
7. Kritische Systeme und Daten segmentieren
Netzwerksegmentierung begrenzt, wie weit sich ein Angreifer nach dem Erlangen von Zugriff bewegen kann. Das Trennen kritischer Anwendungen, Backup-Infrastruktur und sensibler Daten kann helfen, Bedrohungen einzudämmen und die Auswirkungen einer erfolgreichen Kompromittierung zu reduzieren.
8. Wiederherstellung testen, bevor Sie sie brauchen
Eine Backup-Strategie ist nur dann wirksam, wenn die Wiederherstellung funktioniert, wenn es am meisten darauf ankommt. Regelmäßige Wiederherstellungstests verifizieren die Backup-Integrität, validieren Wiederherstellungsziele und geben Teams die Sicherheit, dass sie nach einem Vorfall schnell saubere Daten wiederherstellen können. Führen Sie Tabletop-Simulationen durch, um sicherzustellen, dass Teams unter dem Druck eines Angriffs zusammenarbeiten können.
9. Einen Disaster-Recovery-Plan (DRP) erstellen und pflegen
Im Gegensatz zu Tabletop-Übungen, die Entscheidungsfindung und Reaktionsprozesse anhand simulierter Szenarien validieren, fokussiert ein DRP auf die operativen Details der Wiederherstellung: was wiederhergestellt werden muss, in welcher Reihenfolge, durch wen und mit welchen Ressourcen. Ein gut gepflegter DRP hilft, Wiederherstellung von einer stressigen Improvisation in einen wiederholbaren Prozess zu überführen.
Ein Disaster Recovery-Plan (DRP) liefert eine klare Roadmap zur Wiederherstellung kritischer Systeme und Daten nach einer Störung. Er sollte Wiederherstellungsprioritäten, Wiederherstellungsziele, Rollen, Kommunikationsabläufe und schrittweise Wiederherstellungsprozeduren definieren, damit Teams im Ereignisfall effektiv ausführen können.
10. Backup-Daten mit Absolute Immutability schützen
Angreifer nehmen zunehmend Backup-Repositories ins Visier, weil Wiederherstellungsdaten das sind, worauf Organisationen ausschließlich angewiesen sind, um den Betrieb nach einem Angriff wiederherzustellen. Angreifer versuchen routinemäßig, Backup-Daten zu verschlüsseln, zu löschen oder anderweitig zu kompromittieren, um die Auswirkungen eines Vorfalls zu erhöhen.
Object Firsts Absolute Immutability hilft sicherzustellen, dass Backup-Daten während ihrer gesamten Aufbewahrungsfrist geschützt bleiben. Wenn Backup-Daten gegen Änderungen oder Löschung abgesichert sind, können Organisationen eine vertrauenswürdige Wiederherstellungsquelle vorhalten, wenn es am wichtigsten ist.
Konzentrieren Sie sich bei der Bewertung von Backup-Infrastruktur auf die Integrität und Zuverlässigkeit der Wiederherstellungsdaten. Wiederherstellung hängt davon ab, dass Backup-Kopien intakt, verfügbar und zur Wiederherstellung bereit bleiben – unabhängig von den Maßnahmen, die Angreifer an anderer Stelle in der Umgebung ergreifen. Absolute Immutability gibt die Sicherheit, dass geschützte Backup-Daten vorhanden sind, wenn die Wiederherstellung beginnt.