SBTechnical Marketing Writer
Nessuno può prevenire completamente il ransomware. I criminali informatici evolvono continuamente le proprie tattiche, sfruttano vulnerabilità appena divulgate, acquistano credenziali rubate e utilizzano tecniche di ingegneria sociale per ottenere accesso ai dati delle organizzazioni.
Anche le organizzazioni con programmi di sicurezza maturi possono essere esposte al rischio, perché una singola patch mancata, un account compromesso, una configurazione errata o un errore umano possono creare un’opportunità per gli attaccanti.
Per questo, in Object First, promuoviamo una mentalità “Assume Breach, Prepare for Recovery”. Invece di presumere che ogni attacco possa essere fermato, sosteniamo che le organizzazioni debbano pianificare partendo dalla certezza che, prima o poi, un attaccante entrerà nel sistema di produzione. “Assume Breach” significa progettare sicurezza e infrastruttura aspettandosi che le credenziali possano essere compromesse, gli endpoint possano essere infettati o le difese possano essere aggirate. “Prepare for Recovery” significa garantire che i dati di backup restino sicuri, ripristinabili e pronti quando servono di più. L’obiettivo non è solo ridurre la probabilità di un attacco, ma anche minimizzare l’interruzione operativa se uno va a segno.
La prevenzione del ransomware non può essere garantita. Solo il ripristino può esserlo. Tuttavia, le seguenti best practice di igiene informatica sono modi efficaci per ridurre la superficie d’attacco, eliminare vulnerabilità trascurate e chiudere le backdoor che gli attaccanti possono sfruttare.
1. Richiedere l’autenticazione a più fattori (MFA) ovunque
Le credenziali rubate sono il modo più comune per compromettere un’organizzazione. Imporre la MFA su account utente, account amministrativi, VPN e servizi di accesso remoto aggiunge un livello critico di protezione che aiuta a impedire agli attaccanti di trasformare password compromesse in accesso completo ai sistemi. È fastidioso accedere a Microsoft Authenticator 20 volte al giorno? Sì. Ma riduce drasticamente la probabilità di un incidente di sicurezza? Anche sì.
2. Applicare il principio del minimo privilegio
I dipendenti dovrebbero avere accesso solo ai sistemi e ai dati necessari per svolgere il proprio lavoro—niente di più, niente di meno. Limitare privilegi amministrativi eccessivi applicando il principio del minimo privilegio riduce le opportunità per gli attaccanti di elevare i permessi e muoversi più in profondità nell’ambiente dopo la compromissione iniziale.
3. Applicare subito le patch alle vulnerabilità
I cybercriminali eseguono attivamente scansioni alla ricerca di software non patchato, sistemi operativi e dispositivi esposti su Internet. Stabilire una cadenza di patching coerente aiuta a chiudere le lacune di sicurezza note prima che possano essere sfruttate.
4. Sicuro e monitorare gli strumenti di accesso remoto
Gli strumenti di accesso remoto e di monitoraggio e gestione remota (RMM) possono diventare vettori di attacco se lasciati senza controllo. Mantenere un inventario degli strumenti approvati, monitorare attività anomale e limitare l’accesso tramite metodi approvati come VPN o VDI. CISA raccomanda inoltre di bloccare il traffico RMM non necessario al perimetro di rete e di rilevare l’uso non autorizzato di software RMM.
5. Formare i dipendenti a riconoscere le minacce
Il phishing e l’ingegneria sociale sono metodi di attacco efficaci perché prendono di mira le persone invece della tecnologia. Alcuni sono facilmente riconoscibili (refusi grossolani, messaggi dal tuo CEO, offerte di premi gratuiti e testi allarmistici), ma altri sono più difficili da individuare. Una formazione continua sulla consapevolezza aiuta i dipendenti a identificare email, link, allegati e richieste sospette prima che diventino incidenti di sicurezza.
6. Monitorare attività sospette
Prima viene rilevata un’attività sospetta, prima può essere contenuta. Monitoraggio continuo, rilevamento sugli endpoint, threat hunting e analisi comportamentale possono aiutare a identificare attività correlate al ransomware prima che inizi la cifratura su larga scala.
Le appliance Ootbi di Object First includono una funzionalità Honeypot integrata che aiuta a rilevare potenziali minacce più precocemente nel ciclo di vita dell’attacco. Posizionando file esca progettati per attirare attività ransomware, l’honeypot può identificare tentativi di cifratura non autorizzati e generare avvisi prima che gli attaccanti abbiano l’opportunità di impattare i dati di backup in produzione. Capacità di early warning come queste possono aiutare i team di sicurezza a indagare più rapidamente comportamenti sospetti e ad agire prima che un incidente degeneri.
7. Segmentare sistemi e dati critici
La segmentazione di rete limita quanto lontano può spostarsi un attaccante dopo aver ottenuto accesso. Separare applicazioni critiche, infrastruttura di backup e dati sensibili può aiutare a contenere le minacce e ridurre l’impatto di una compromissione riuscita.
8. Testare il ripristino prima che serva
Una strategia di backup è efficace solo se il ripristino funziona quando conta di più. Test di ripristino regolari verificano l’integrità dei backup, validano gli obiettivi di ripristino e danno ai team la certezza di poter ripristinare rapidamente dati puliti dopo un incidente. Eseguire simulazioni tabletop per assicurarsi che i team possano lavorare insieme sotto la pressione di un attacco.
9. Creare e mantenere un Piano di Disaster Recovery (DRP)
A differenza delle esercitazioni tabletop, che validano il processo decisionale e i processi di risposta tramite scenari simulati, un DRP si concentra sui dettagli operativi del ripristino: cosa deve essere ripristinato, in quale ordine, da chi e utilizzando quali risorse. Un DRP ben mantenuto aiuta a trasformare il ripristino da un’improvvisazione stressante a un processo ripetibile.
Un piano Disaster Recovery (DRP) fornisce una roadmap chiara per ripristinare sistemi e dati critici dopo un’interruzione. Dovrebbe definire priorità di ripristino, obiettivi di ripristino, ruoli, flussi di comunicazione e procedure di ripristino passo-passo, così che i team possano eseguire in modo efficace quando si verifica un incidente.
10. Proteggere i dati di backup con l’Immutabilità Assoluta
I criminali informatici prendono sempre più di mira i repository di backup perché i dati di ripristino sono ciò su cui le organizzazioni fanno esclusivamente affidamento per ripristinare le operazioni dopo un attacco. Gli attaccanti tentano regolarmente di cifrare, eliminare o altrimenti compromettere i dati di backup per aumentare l’impatto di un incidente.
L’Immutabilità Assoluta di Object First aiuta a garantire che i dati di backup restino sicuri per tutta la durata del periodo di conservazione. Con i dati di backup protetti da modifiche o cancellazioni, le organizzazioni possono mantenere una fonte di ripristino affidabile quando conta di più.
Quando si valuta l’infrastruttura di backup, concentrarsi sull’integrità e sull’affidabilità dei dati di ripristino. Il ripristino dipende dall’avere copie di backup che rimangano integre, disponibili e pronte da ripristinare, indipendentemente dalle azioni intraprese dagli attaccanti altrove nell’ambiente. L’Immutabilità Assoluta offre la certezza che i dati di backup protetti saranno disponibili quando inizia il ripristino.