THREAT-WATCHΠΡΟΣΤΑΣΙΑ ΑΠΟ RANSOMWARE
Ανίχνευση & Απόκριση σε Ransomware
Ανίχνευση με συσχέτιση AI και απόκριση SOC από ανθρώπους απομονώνει παραβιασμένα συστήματα και εξουδετερώνει ransomware μέσα σε λεπτά, σε κάθε περιβάλλον που διαχειριζόμαστε.
Τι λαμβάνετε
Το ransomware δεν περιμένει ticket helpdesk, οπότε ούτε εμείς περιμένουμε. Η ανίχνευση είναι συνεχής, η συσχέτιση αυτοματοποιημένη, και ο περιορισμός εκτελείται από το SOC μας τη στιγμή που επιβεβαιώνεται συμπεριφορά κρυπτογράφησης.
Ανίχνευση συμπεριφοράς
Συμπεριφορά κρυπτογράφησης και πλευρικής κίνησης σημαίνεται μέσω συσχέτισης, όχι μόνο με αντιστοίχιση υπογραφών, εντοπίζοντας παραλλαγές που δεν έχουν ξαναδεί.
Περιορισμός σε λεπτά
Μόλις επιβεβαιωθεί, το SOC μας απομονώνει άμεσα το παραβιασμένο σύστημα, διακόπτοντας την εξάπλωση ενώ συνεχίζεται η διερεύνηση.
Συντονισμός backup και ανάκτησης
Συντονιζόμαστε με τη διαδικασία backup και ανάκτησής σας ώστε η αποκατάσταση να ξεκινά μόλις το περιβάλλον είναι ασφαλές.
Ενίσχυση μετά το περιστατικό
Μετά τον περιορισμό, εντοπίζουμε πώς εισήλθε το ransomware και κλείνουμε αυτό το κενό, όχι μόνο καθαρίζουμε την άμεση ζημιά.
Πώς σταματά το ransomware
Η κρυπτογράφηση είναι το τελευταίο στάδιο μιας επίθεσης ransomware, όχι το πρώτο. Η ανίχνευση και η απόκριση είναι σχεδιασμένες ώστε να πιάνουν τα στάδια που προηγούνται.
Λιγότεροι δρόμοι εισόδου
Η προστασία τερματικών και οι συστάσεις θωράκισης κλείνουν συνηθισμένα σημεία εισόδου. Από το Silver και πάνω, η ασφάλεια email και η εκπαίδευση phishing αντιμετωπίζουν το πιο συνηθισμένο σημείο εκκίνησης: έναν χρήστη που ανοίγει το λάθος μήνυμα.
Ανίχνευση των πρώτων σταδίων
Οι επιτιθέμενοι συνήθως κλέβουν διαπιστευτήρια, μετακινούνται μεταξύ συστημάτων, απενεργοποιούν εργαλεία ασφαλείας και διαγράφουν τα shadow copies πριν κρυπτογραφήσουν. Αυτές οι συμπεριφορές ανιχνεύονται και συσχετίζονται, ώστε ο συναγερμός να χτυπά κατά την προετοιμασία, όχι μετά.
Περιορισμός σε λεπτά
Μόλις επιβεβαιωθεί η δραστηριότητα, το SOC απομονώνει τους επηρεασμένους υπολογιστές, απενεργοποιεί τους παραβιασμένους λογαριασμούς και αποκλείει τις κακόβουλες συνδέσεις εντός της συμφωνημένης εξουσιοδότησης απόκρισης. Μέσος χρόνος ανίχνευσης και απόκρισης: 7 λεπτά σε cloud, 16 σε on-prem (δημοσιευμένος μέσος όρος της πλατφόρμας, όχι συμβατικό SLA).
Έλεγχος αντιγράφων και αποκατάσταση
Ελέγχουμε νωρίς την ακεραιότητα των αντιγράφων ασφαλείας, γιατί οι επιτιθέμενοι στοχεύουν πρώτα αυτά, και συντονίζουμε την επαναφορά από καθαρά αντίγραφα μόλις το περιβάλλον είναι ασφαλές.
Κλείσιμο του σημείου εισόδου
Εντοπίζουμε πώς μπήκε ο επιτιθέμενος και κλείνουμε αυτόν τον δρόμο, και έπειτα προτείνουμε αλλαγές ώστε η ίδια διαδρομή να μη λειτουργήσει ξανά.
Τι καλύπτεται και τι όχι
Καλύπτεται σε κάθε πακέτο
- Ανίχνευση δραστηριότητας ransomware με βάση τη συμπεριφορά σε παρακολουθούμενα τερματικά και servers
- Περιορισμός από το SOC 24/7 εντός της συμφωνημένης εξουσιοδότησης απόκρισης
- Έγκαιρος έλεγχος της ακεραιότητας των αντιγράφων ασφαλείας κατά τη διάρκεια περιστατικού
- Εντοπισμός βασικής αιτίας και συστάσεις θωράκισης
Δεν καλύπτεται ή καλύπτεται αλλού
- Η ίδια η διαχείριση αντιγράφων ασφαλείας, που ανήκει στην υπηρεσία backup και ανάκαμψης από καταστροφές από το Silver και πάνω.
- Διαπραγμάτευση ή πληρωμή λύτρων. Αν η διαπραγμάτευση γίνει σχετική, συντονιζόμαστε με εξειδικευμένους τρίτους.
- Συσκευές και συστήματα που δεν παρακολουθούνται.
- Εγγύηση ότι δεν θα κρυπτογραφηθεί ποτέ τίποτα. Ο στόχος είναι να σταματούν οι επιθέσεις αρκετά νωρίς ώστε η ζημιά να είναι μικρή.
Ransomware και NIS2
Το Άρθρο 21 απαιτεί μέτρα επιχειρησιακής συνέχειας, μαζί με διαχείριση αντιγράφων ασφαλείας και ανάκαμψη από καταστροφές, παράλληλα με τον χειρισμό περιστατικών. Μια επίθεση ransomware που προκαλεί σοβαρή διαταραχή λειτουργίας ή οικονομική ζημία είναι πιθανότατα σημαντικό περιστατικό βάσει του Άρθρου 23, κάτι που ξεκινά το χρονόμετρο αναφοράς: έγκαιρη προειδοποίηση εντός 24 ωρών από την αντίληψη, γνωστοποίηση περιστατικού εντός 72 ωρών και τελική αναφορά εντός ενός μήνα. Πολλές επιθέσεις σήμερα κλέβουν και δεδομένα πριν από την κρυπτογράφηση, οπότε μπορεί να ισχύει και η γνωστοποίηση παραβίασης προσωπικών δεδομένων εντός 72 ωρών του GDPR. Τεκμηριώνουμε το περιστατικό ώστε οι αναφορές να ετοιμάζονται γρήγορα· η υποχρέωση υποβολής τους παραμένει στον οργανισμό σας.
Η προστασία από ransomware σε κάθε πακέτο
Η ανίχνευση και ο περιορισμός του ransomware περιλαμβάνονται σε κάθε πακέτο της THREAT-WATCH. Από το Silver και πάνω, η ασφάλεια email, το backup και η ανάκαμψη από καταστροφές και η εκπαίδευση phishing προσθέτουν τα επίπεδα που αποτρέπουν τις επιθέσεις και επιταχύνουν την αποκατάσταση. Τα Gold και Platinum περιλαμβάνουν 15 ώρες πρακτικής απόκρισης σε περιστατικά τον χρόνο· στα Bronze και Silver η εργασία αυτή χρεώνεται ανά ώρα με τιμή που συμφωνείται εκ των προτέρων.
Σύγκριση πακέτων →Συχνές Ερωτήσεις
Μπορεί αυτό να σταματήσει το ransomware πριν κρυπτογραφήσει οτιδήποτε;
Ο στόχος είναι η ανίχνευση και ο περιορισμός στα πρώτα στάδια της επίθεσης, πριν από εκτεταμένη κρυπτογράφηση. Η ταχύτητα ανίχνευσης καθορίζει πόσο θα κρυπτογραφηθεί, αν κρυπτογραφηθεί κάτι.
Διαχειρίζεστε διαπραγμάτευση λύτρων;
Εστιάζουμε σε περιορισμό, εξάλειψη και ανάκτηση. Αν η διαπραγμάτευση γίνει σχετική, μπορούμε να συντονιστούμε με εξειδικευμένους τρίτους ως μέρος της απόκρισης σε περιστατικό.
Τι γίνεται αν επηρεαστούν και τα backups;
Μέρος της διαδικασίας περιορισμού μας είναι η έγκαιρη επαλήθευση ακεραιότητας των backup, ειδικά επειδή το ransomware συχνά στοχεύει πρώτα τα backups.
Πρέπει να πληρώσουμε τα λύτρα;
Είναι δική σας απόφαση, μαζί με τη διοίκηση, τον νομικό σύμβουλο και τον ασφαλιστή σας. Η πληρωμή δεν εγγυάται αποκρυπτογράφηση που λειτουργεί ούτε ότι τα κλεμμένα δεδομένα θα διαγραφούν, και μπορεί να δημιουργήσει δικά της νομικά ζητήματα. Η δουλειά μας είναι να μη χρειαστεί ποτέ να πάρετε αυτή την απόφαση, με έγκαιρο περιορισμό και επαναφορά από καθαρά αντίγραφα.
Το ransomware αφορά πλέον μόνο την κρυπτογράφηση;
Όχι. Πολλές ομάδες κλέβουν πρώτα δεδομένα και απειλούν να τα δημοσιεύσουν, ακόμη κι αν κάνετε επαναφορά από αντίγραφα. Γι’ αυτό η ανίχνευση εστιάζει στην κλοπή διαπιστευτηρίων, στην πλευρική κίνηση και σε ασυνήθιστες μεταφορές δεδομένων, όχι μόνο στην κρυπτογράφηση.
Πώς ξέρουμε ότι τα αντίγραφα ασφαλείας μας θα αντέξουν μια επίθεση;
Κρατήστε τουλάχιστον ένα αντίγραφο εκτός σύνδεσης ή αμετάβλητο, διαχωρίστε τα διαπιστευτήρια του backup από τους κανονικούς λογαριασμούς διαχειριστή και δοκιμάζετε τακτικά την επαναφορά. Η υπηρεσία backup και ανάκαμψης από καταστροφές, που περιλαμβάνεται από το Silver και πάνω, καλύπτει αυτά τα θέματα.
Σημαίνει ο αριθμός των 7 λεπτών ότι το ransomware σταματά σε 7 λεπτά;
Είναι ο δημοσιευμένος μέσος όρος της πλατφόρμας για ανίχνευση και απόκριση σε περιβάλλοντα cloud (16 λεπτά σε on-prem), μετρημένος σε όλα τα περιβάλλοντα. Δεν είναι συμβατικό SLA ούτε δέσμευση για κάθε μεμονωμένο περιστατικό.
Πρέπει να αναφέρουμε μια επίθεση ransomware βάσει του NIS2;
Αν είστε οντότητα εντός πεδίου και η επίθεση είναι σημαντική, δηλαδή προκαλεί ή μπορεί να προκαλέσει σοβαρή διαταραχή λειτουργίας ή οικονομική ζημία, ή σημαντική ζημία σε άλλους, τότε ναι, βάσει του Άρθρου 23. Βοηθάμε στην προετοιμασία των αναφορών· η υποβολή είναι δική σας.
Ενεργή επίθεση ransomware;
Αναφέρετέ το τώρα. Κάθε λεπτό μετράει κατά τη διάρκεια ενεργής κρυπτογράφησης.