Wiele firm bazuje na przekonaniu, że jeśli wdrożą rozwiązania zabezpieczające, to cyberprzestępcy zniechęcą się i będą szukali łatwiejszego celu. Takie podejście nie uwzględnia jednak chciwości. Ponieważ oprogramowanie ransomware przynosi niezwykłe dochody, stają się oni jeszcze bardziej przebiegli i poświęcają znacznie więcej energii na przygotowanie rozpoznawczej fazy ataku, między innymi w celu ominięcia mechanizmów ochronnych.
Rozpoznanie to jeden z pierwszych etapów ataku, do których zaliczane są także wybór strategii przez atakujących oraz zaplanowanie całej operacji. Odpowiedni rekonesans umożliwia przestępcom maksymalizację potencjalnych zysków wynikających z uruchomienia złośliwego oprogramowania i kradzieży danych. Sprawdzają oni, czy firmowa sieć jest podatna na ataki, czy możliwe jest uzyskanie nieautoryzowanego dostępu do danych i jak długo można unikać wykrycia.
Oszuści mogą często wykorzystywać te same techniki przeciwko różnym firmom. Poniesione przez nich początkowo inwestycje w postaci czasu i zasobów mogą w dłuższej perspektywie przynieść znaczne korzyści finansowe.
Analiza rozpoznania w celu zwiększenia bezpieczeństwa
Według FortiGuard Labs, w ciągu 12 miesięcy (lipiec 2020-czerwiec 2021) nastąpił prawie 11-krotny wzrost liczby ataków z wykorzystaniem ransomware, przy czym Cisco wskazuje na jeszcze inny trend, który wyprzedził ataki wyłudzające okup – tzw. commodity malware, które jest głównym zagrożeniem w Q2 2022.
Można zatem zakładać, że skutecznych ataków na firmy będzie jeszcze więcej. Aby skutecznie przeciwstawiać się działaniom złodziei danych, konieczna jest zmiana strategii. Większość firm skupia się wyłącznie na ochronie w późniejszych fazach ataku.
Aby możliwa była szybka i skoordynowana reakcja, rozwiązania ochronne powinny być wyposażone w mechanizmy bazujące na maszynowym uczeniu, pozwalające wykrywać wzorce ataków i powstrzymywać zagrożenia w czasie rzeczywistym. Jak podkreślają eksperci Fortinet, działania trzeba podejmować, zanim będzie za późno.
Jakie rozwiązania powinny zostać wdrożone?
- Oprogramowanie antymalware bazujące na maszynowym uczeniu.
- Narzędzia do wykrywania zagrożeń w urządzeniach końcowych i reagowanie na nie (EDR).
- Zaawansowane systemy zapobiegania włamaniom (IPS).
- Rozwiązania typu sandbox wzbogacone o mapowanie MITRE ATT&CK.
- Firewalle nowej generacji (NGFW).
- Usługi ochrony przed zagrożeniami cyfrowymi (DRPS) przeznaczone do przeciwdziałania atakom w fazie rozpoznania.
W idealnej sytuacji narzędzia te powinny być wdrożone w sposób spójny w całej rozproszonej sieci i podłączonych do niej urządzeniach końcowych, w tym w centrum danych, centrali firmy, chmurze i biurach domowych. Świat nie jest idealny, dlatego warto dążyć do jednorodności rozwiązań od jednego producenta. Jeśli nie jest to możliwe warstwy ochrony powinny być uzupełniane o brakujące elementy i przede wszystkim nie dublować się. Jednak wraz kolejnymi systemami bezpieczeństwa zachodzi potrzeba ich obsługi na zaawansowanym poziomie przez przeszkolonych pracowników.
