Ransomware is verwoestend, duur en in opkomst. Bescherm uzelf tegen infectie met onze gids, maar houd ook rekening met het ergste. Zorg ervoor dat u schoon en snel kunt herstellen als ransomware toeslaat.
Ransomware in opkomst
Ransomware-aanvallen nemen schrikbarend toe in frequentie. Volgens het halfjaarlijkse rapport van Bitdefender 2020 steeg het aantal wereldwijde ransomwaremeldingen jaar op jaar met 715 procent. Gerangschikt naar het aantal aanslagen komt de Verenigde Staten op de eerste plaats. Het Verenigd Koninkrijk staat op de tweede plaats.
Een ransomware-aanval versleutelt uw bestanden en gegevens zodat u niet als bedrijf kunt opereren. Om uw systemen terug te brengen naar hun normale operationele toestand, moeten uw servers en computer worden gewist en hersteld van back-ups, of het gebruik van de decoderingssleutel om uw bestanden en gegevens te ontgrendelen. Om de decoderingssleutel te krijgen, moet u het losgeld betalen.
Ransomware veroorzaakt een enorme impact die de bedrijfsvoering verstoort en kan leiden tot permanent gegevensverlies. Ransomware veroorzaakt:
- Bedrijfsonderbreking.
- Productiviteitsverlies.
- Inkomstenverlies.
- Reputatieverlies.
- Het verlies, de vernietiging of de openbare vrijgave van bedrijfsgevoelige informatie.
Als je het losgeld beta alt, heb je die extra kosten en heb je waarschijnlijk resterende malware-infecties en verstoringen na de aanval
Je denkt misschien dat het jou niet zal overkomen. Je kunt die overtuiging rationaliseren door tegen jezelf te zeggen dat je te klein bent en dat de dreigingsactoren grotere en betere doelen hebben om te raken. Waarom zouden ze zich bemoeien met een bedrijf als het uwe? Zo werkt het helaas niet.
Iedereen is een doelwit. Veruit boven elke andere leveringsmethode, is e-mail nog steeds het nummer één leveringsmechanisme voor ransomware. De phishing-aanvallen die kwaadaardige e-mails bezorgen, worden verzonden door software die mailinglijsten gebruikt met miljoenen vermeldingen.
Alle e-mailadressen van alle datalekken die de afgelopen tien jaar hebben plaatsgevonden, zijn beschikbaar op het Dark Web. Op de website Have I been Pwned staan er meer dan 10 miljard. Elke dag worden er nieuwe e-mailadressen verzameld en aan deze mailinglijsten toegevoegd. Dit zijn de e-mailadressen die phishing-e-mails ontvangen. Het maakt de dreigingsactoren niet uit tot wie ze behoren, en het maakt ze ook niet uit.
Zeer weinig ransomware-aanvallen zijn selectief gericht. Alle andere aanvallen, 99 procent van hen, stalken hun slachtoffers niet en doen diepgaande verkenningen. De slechteriken zijn geen sluipschutters. Het zijn mitrailleurs die niet eens de moeite nemen om te mikken. Ze spuiten willekeurig e-mails en leun achterover om te zien wie ze hebben weten te raken.
Losgeld of herstel?
De cybercriminelen - de bedreigingsactoren - vragen losgeld om de sleutel te leveren. Het losgeld wordt betaald in een cryptocurrency, meestal in Bitcoin, hoewel andere cryptocurrencies kunnen worden bepaald door de bedreigingsactoren. Op het moment van schrijven zijn er volgens CoinMarketCap meer dan 7.500 actieve cryptocurrencies.
Hoewel het opzetten van de handel in Bitcoin relatief eenvoudig is, kan het nog dagen duren om e-wallets en al het andere op zijn plaats te krijgen. En gedurende die hele periode ben je niet in staat om als bedrijf te opereren, of in ieder geval om effectief te opereren.
En zelfs als u het losgeld beta alt, is er geen garantie dat u uw gegevens terugkrijgt. De decoderingskant van ransomware is vaak slordig geschreven en werkt misschien gewoon niet voor jou. Zelfs als het uw bestanden ontsleutelt, bent u waarschijnlijk nog steeds geïnfecteerd door malware zoals rootkits, trojans voor externe toegang en keyloggers.
Dus, het kan dagen duren om het losgeld te betalen - zelfs nog langer als ze om betaling vragen in een cryptocurrency die alleen kan worden gekocht met een andere cryptocurrency - en je systeem zal niet schoon en betrouwbaar zijn nadat het is gedecodeerd. Het is duidelijk beter om de knoop door te hakken en uw systemen te herstellen vanaf back-ups. Zowel in het Verenigd Koninkrijk als in de Verenigde Staten wordt het ons immers afgeraden het losgeld te betalen.
Herstellen van back-ups is het dan. Maar niet zo snel. Dat kan alleen als je een robuuste back-upprocedure hebt, de procedure is gevolgd en je back-ups zijn getest in dry-runs en gesimuleerde incidenten.
Bovendien hebben de dreigingsactoren achter de meest geavanceerde ransomware manieren om ervoor te zorgen dat uw back-ups ook worden geïnfecteerd. Zodra u uw servers en computers wist en herstelt, bent u al geïnfecteerd.
Toch zijn back-ups nog steeds het antwoord. Maar u moet uw back-ups zo plannen en beveiligen dat ze worden beschermd en hun integriteit wordt gegarandeerd wanneer u ze nodig hebt.
Voorkomen is beter dan genezen
Niemand wil ongelukken op het werk: gewonden, veel papierwerk, mogelijke aansprakelijkheidsclaims. Maar je hebt nog steeds een EHBO-doos op het terrein. Ja, voorkomen is beter dan genezen, maar je moet er toch van uitgaan dat je vroeg of laat die EHBO-doos en getrainde EHBO-ers nodig zult hebben.
Hetzelfde geldt voor cyberbeveiliging. Niemand wil geraakt worden door ransomware en jij doet wat je kunt om het te voorkomen. Maar u moet een incidentresponsplan hebben waar u terecht kunt wanneer malware toeslaat. Je hebt een team nodig van mensen die bekend zijn met het plan, die het plan hebben geoefend en die het plan ook daadwerkelijk gaan uitvoeren.
Het is te gemakkelijk om het plan in het heetst van de strijd terzijde te schuiven. Dat kan niet gebeuren - al uw reacties op het incident moeten methodisch en gecoördineerd zijn. Dat kan alleen worden bereikt door uw incidentresponsplan te volgen.
We hebben allemaal een autoverzekering en we hopen allemaal dat we die niet hoeven te gebruiken. Een incidentresponsplan is zo. Je hebt het nodig, maar je wilt niet in een situatie komen waarin het moet worden ingezet. Door uw voertuig te onderhouden en alleen getrainde chauffeurs achter het stuur te laten, wordt de kans kleiner dat u een ongeluk krijgt.
De volgende punten verminderen het risico dat u uw incidentresponsplan moet implementeren.
Personeelsbewustzijnstraining
De meeste ransomware-infecties zijn te wijten aan iemand die v alt voor een phishing-aanval. Uw medewerkers zijn degenen in de frontlinie van e-mail. Ze zijn elke dag de hele dag bezig met het openen en verwerken van e-mails en bijlagen. Soms honderden e-mails. Er is maar één phishing-e-mail nodig om onopgemerkt binnen te sluipen en u bent geïnfecteerd.
Het is duidelijk dat uw personeel een training op het gebied van cyberbeveiliging nodig heeft, zodat ze phishing-e-mails en andere oplichting en bedreigingen via e-mail kunnen identificeren. En dit moet periodiek worden bijgevuld en versterkt. Ransomware zou in uw risicobeoordelingsregister voor cyberbeveiliging moeten staan, en training voor het bewustzijn van uw personeel zou een van uw beperkende maatregelen moeten zijn.
Een manier om het e-mailvolume te verminderen, is door interne e-mail te verwijderen. Hoe minder interne e-mail er is, hoe gemakkelijker het is om te focussen en aandacht te besteden aan de externe e-mail. Het zijn de externe e-mails die de risico's met zich meebrengen. Zakelijke chat-applicaties zoals Microsoft Teams en Slack zijn hier geweldig in.
Personeelsgevoeligheidstesten
Trainen is geweldig, maar de kers op de taart is testen. Het is gemakkelijk om een beveiligingsbedrijf of online service te vinden die een goedaardige phishing-campagne opzet.
Werknemers die de nep-kwaadaardige e-mail niet herkennen, zijn duidelijke kanshebbers voor een opfrissessie in de training. Naast het meten van de gevoeligheid van uw personeel om voor phishing-e-mails te vallen, is het ook een maatstaf voor de effectiviteit van de bewustwordingstraining van uw personeel.
Principe van het minste privilege
Zorg ervoor dat processen en gebruikers de minimale toegangsrechten krijgen om hun rolgedefinieerde functies uit te voeren. Het principe van de minste bevoegdheden beperkt de schade die malware kan aanrichten als een gebruikersaccount wordt gehackt.
Beperk wie toegang heeft tot beheerdersaccounts en zorg ervoor dat die accounts nooit voor iets anders dan administratie worden gebruikt. Beheer de toegang tot shares en servers zodat mensen die geen rolspecifieke behoefte hebben om toegang te krijgen tot gevoelige gebieden dit niet kunnen doen.
Spamfilters
Spamfilters vangen niet elke kwaadaardige e-mail op, maar ze vangen er wel een aantal op, wat een groot voordeel is. Ze zullen de meeste reguliere, veilige maar irritante spam detecteren en in quarantaine plaatsen. Dit zal de hoeveelheid e-mail die door uw personeel moet worden afgehandeld verder verminderen. Het verkleinen van de hooiberg maakt het gemakkelijker om de naald te spotten.
Eindpuntbescherming
Natuurlijk moeten antivirus- en antimalwarepakketten, of een gecombineerd eindpuntbeschermingspakket, worden geïmplementeerd, centraal worden beheerd en worden geconfigureerd om de handtekeningen regelmatig bij te werken. Gebruikers mogen de updates niet weigeren of uitstellen.
Patch, Patch, Patch
Besturingssystemen, firmware en applicaties moeten binnen de ondersteuningscyclus van de fabrikant vallen en niet aan het einde van hun levensduur. Ze moeten worden bijgewerkt met patches voor beveiliging en bugfixes. Als er geen patches meer beschikbaar zijn, stop dan met het gebruik ervan.
Netwerkarchitectuur
Voor alles behalve de eenvoudigste netwerkontwerpen, segmenteer uw netwerken om kritieke computers, afdelingen en teams te isoleren. Ze bouwen geen onderzeeërs als lange, open buizen. Ze bevatten schotten met waterdichte schotdeuren, zodat ze secties met een lek kunnen afsluiten.
Gebruik een netwerktopologie met gescheiden regio's om de verspreiding van malware op dezelfde manier te beperken. Een geïnfecteerd segment is een stuk eenvoudiger te beheren dan een heel netwerk.
Back-upstrategieën
Back-ups vormen de kern van een robuust bedrijfscontinuïteitsplan. U moet een back-up van uw gegevens maken met behulp van een schema dat elke voorzienbare crisis aankan, al dan niet cybergebaseerd. De oude back-up mantra was de 3-2-1 regel.
- U zou drie kopieën van uw gegevens moeten hebben: het live-systeem en twee back-ups.
- Uw twee back-ups moeten op verschillende media staan.
- Een van die back-ups moet off-premise worden bewaard.
Voor alle duidelijkheid: het hebben van nog een kopie van uw gegevens is geen back-up. Het is beter dan niets, maar back-ups zijn zo belangrijk dat ze het beste moeten zijn dat u kunt doen, ongeacht uw budget. Een echte back-up wordt gemaakt door back-upsoftware en heeft versiebeheermogelijkheden. Met versiebeheer kunt u een bestand vanaf een bepaald tijdstip herstellen. U kunt dus een bestand herstellen in de staat waarin het zich gisteren om één uur bevond. Of ergens vorige week, of vorige maand. Uw bewaarperiode en de capaciteit van uw back-upopslag bepalen hoe ver terug in de tijd u kunt gaan en met welke granulariteit.
Back-ups moeten worden versleuteld.
Beeldgebaseerde back-ups maken een image van de gehele harde schijf inclusief de bediening. Wijzigingen in het live-systeem kunnen om de paar minuten worden gedruppeld aan het back-upbeeld, zodat de back-up heel dicht bij een re altime momentopname van het live-systeem komt. Alle back-upoplossingen van het hoogste niveau kunnen een back-upimage converteren naar een image van een virtuele machine. Bij een calamiteit kan de virtuele machine op nieuwe hardware worden gedraaid. Hierdoor kunt u nieuwe serverhardware inzetten of elk probleem oplossen dat het live-systeem heeft doen uitvallen, terwijl uw back-up als een stop-gap live-systeem wordt uitgevoerd en uw bedrijf operationeel blijft.
En natuurlijk zijn er off-site back-upoplossingen waarmee u back-ups kunt maken naar een locatie die veilig van uw locatie is verwijderd. Dus de 3-2-1-regel kan worden herschreven met elk gewenst nummer. Zorg voor zoveel kopieën van uw back-ups als nodig is om u op uw gemak te voelen, verspreid over verschillende locaties en opgeslagen op verschillende hardwareapparaten.
Dat zal je echter niet redden als de bedreigingsactoren erin slagen je back-ups te infecteren. Laten we zeggen dat de ransomware 28 dagen wacht voordat deze wordt geactiveerd. Je hebt er vaak een back-up van gemaakt, naar al je back-ups.
Om dit tegen te gaan, kunnen onveranderlijke back-ups worden gebruikt. Dit zijn back-ups waarnaar niet kan worden geschreven als ze eenmaal zijn gemaakt. Dit betekent dat ze niet kunnen worden geïnfecteerd door ransomware of andere malware. Een robuuste back-upoplossing maakt gebruik van een gelaagde en gevarieerde aanpak.
- U kunt back-ups met versiebeheer implementeren op lokale NAS-apparaten (Network-Attached Storage) voor het snel herstellen van per ongeluk verwijderde bestanden.
- Je tweede laag kan bestaan uit op afbeeldingen gebaseerde back-ups naar lokale en externe opslag. U kunt een defecte server snel herstellen in het geval van een totale servercrash of hardwarestoring.
- Als je je back-upregime afrondt met onveranderlijke back-ups die nooit door malware kunnen worden aangetast, heb je een solide en uitgebreid back-upsysteem.
Afhankelijk van de grootte en complexiteit van uw netwerk kan dat snel duur worden. Maar vergeleken met de prijs van falen, is het goedkoop. Zie het niet als betalen voor back-ups. Zie het als investeren in bedrijfscontinuïteit.
Reactieplan voor incidenten
Een incidentresponsplan is niet alleen een essentieel hulpmiddel bij het waarborgen van gecoördineerde en effectieve reacties op cyberincidenten, afhankelijk van uw bedrijfsactiviteiten kunnen ze verplicht zijn. Als u creditcardbetalingen accepteert, moet u waarschijnlijk voldoen aan de Payment Card Industry Data Security Standard (PCI DSS). De PCI DSS-standaard heeft verschillende vereisten met betrekking tot plannen voor reactie op incidenten.
Een typisch incidentresponsplan bevat deze secties, die elk gedetailleerd en nauwkeurig moeten zijn.
- Voorbereiding Alle hierboven genoemde punten, samen met eventuele andere verdedigingen die uw omstandigheden verdienen. Door het plan te oefenen met droge incidenten, raakt uw responsteam vertrouwd met het plan en worden tekortkomingen of problemen geïdentificeerd, zodat het plan kan worden verfijnd. Hoe beter uw responsteam is voorbereid, hoe beter ze zullen presteren wanneer dat nodig is.
- Identificatie. Het proces van het herkennen dat een incident gaande is en het identificeren van wat voor soort incident het is. Wat gebeurt er, wie en wat wordt getroffen, wat is de omvang van het probleem, zijn er gegevens gelekt?
- Insluiting. Houd de infectie in en voorkom dat deze zich verspreidt. Geïnfecteerde systemen in quarantaine plaatsen.
- Uitroeiing. Wis de geïnfecteerde systemen. Zorg ervoor dat de malware is verwijderd van alle gecompromitteerde machines. Pas eventuele patches of beveiligingsverhardende stappen toe die uw organisatie heeft aangenomen.
- Herstel Welke systemen hebben prioriteit en moeten eerst weer in gebruik worden genomen? Herstel deze vanaf back-ups en wijzig de authenticatiegegevens voor alle accounts. Herstel vanaf onveranderlijke back-ups als je ze hebt. Zo niet, controleer dan of de back-ups vrij zijn van malware voordat u ze terugzet.
- Lessen geleerd. Hoe is de infectie ontstaan en wat zou het hebben gestopt? Was het een misbruikte kwetsbaarheid of een menselijke fout? Welke stappen zullen het gat in uw beveiliging opvullen?
Meld het
Vergeet niet om ransomware als misdaad te melden. Mogelijk moet u het incident ook melden bij uw regionale of nationale gegevensbeschermingsautoriteit. In Europa - omdat u de controle over de gegevens bent kwijtgeraakt terwijl deze waren versleuteld - wordt een ransomware-aanval beschouwd als een gegevenslek onder de Algemene Verordening Gegevensbescherming, zelfs als er geen gegevens zijn gestolen of verloren zijn gegaan. Mogelijk hebt u wetgeving die op u van toepassing is en die dit concept handhaaft, zoals de He alth Insurance Portability and Accountability Act van 1996 (HIPAA) van de Verenigde Staten.
