Ransomware-gereedheid voor toeleveringsketens: preventie, inperking & herstel

Ransomware is top of mind voor velen in de cybersecurity-industrie aangezien we een toenemend aantal aanvallen zien die ziekenhuisnetwerken, lokale overheden en de bredere toeleveringsketen treffen. Een ransomware-aanval op een bedrijf resulteert typischerwijs in verlies van toegang tot data en systemen voor een bepaalde periode en heeft een financiële impact door verloren omzet en geld besteed aan herstelinspanningen. Wanneer een ransomware-aanval gericht is op een bedrijf dat deel uitmaakt van de toeleveringsketen, kan het een veel bredere impact hebben aangezien slechts één dienstverlener een direct effect kan hebben op honderden of duizenden bedrijven.

Het begrijpen van uw organisatie gereedheid voor de dreiging van ransomware is imperatief, en weten hoe de leveranciers in uw toeleveringsketen uw gereedheid beïnvloeden is een kritisch onderdeel van uw algehele strategie.

Het kan overweldigend zijn om te proberen te verzekeren dat al uw verdedigingen gedekt zijn en dat u alles heeft gedaan wat u kunt om een ransomware-aanval te voorkomen of de impact te verminderen. Een sterke strategie is verstrekkend en gelaagd – omvattend architectuur, endpoints, gebruikers en nog veel meer.

Waar moet u beginnen? Een gestructureerde, logische aanpak kan helpen om wat orde te scheppen in het begrip van uw organisatie ransomware-gereedheid. Om dit te helpen doen, laten we kijken naar drie primaire categorieën: preventie, inperking en herstel.

Preventie

Ons primaire doel is ransomware buiten onze omgeving te houden, het te voorkomen ooit binnen te komen vanaf het begin. Vanuit deze verdedigingshouding moeten we kijken naar uw infrastructuur van de perimetervalidatie tot aan de eindgebruikers. Hoewel we dit onderwerp uitvoerig kunnen behandelen, zullen we ons richten op de gaten waar ransomware het meest algemeen wordt geïntroduceerd.

• Remote Desktop Protocol (RDP). Hoewel niet een nieuwe technologie of een nieuw aanvalsvector, is RDP een regelmatig doelwit geweest vanwege kwetsbaarheden, misconfiguratie of vatbaarheid voor brute force aanvallen. Met de recente toename in remote werk en de bijbehorende toename in RDP-gebruik, hebben aanvallers een feestdag met de nieuwe doelen. Preventieactiviteiten hier omvatten het beperken van het aantal open poorten, sterke authenticatiecontroles (inclusief multi-factor authenticatie) en een solid vulnerability management programma.
• Phishing. Phishing-e-mails kunnen bijzonder gevaarlijk zijn aangezien ze veel van uw beveiligingscontroles kunnen omzeilen, waardoor schadelijke content direct wordt afgeleverd aan wat meestal uw zwakste beveiligingslink is – de eindgebruiker. Phishing-e-mails proberen typisch gebruikersreferenties te verkrijgen of bevatten schadelijke bijlagen of links, wat aanvallers uiteindelijk een direct pad in uw omgeving biedt. Preventieactiviteiten hier omvatten het gebruik van een e-mail beveiligingsoplossing, beveiligings- en bewustzijnstraining voor eindgebruikers, en endpoint detection and response oplossingen.

Uiteindelijk zijn de aanbevolen preventietechnieken niet nieuw. Ze zijn dezelfde kernprincipes die de informatiebeveiligingsgemeenschap al enige tijd bespreekt – het beperken van wat toegankelijk is vanaf het internet, vulnerability scanning, patchen en sterke authenticatiecontroles.

Inperking

Ondanks uw beste inspanningen, komt ransomware in uw omgeving. Hoe kunt u de verspreiding stoppen? Overweeg een brand in een gebouw: De inperkingsstrategie komt voor de daadwerkelijke brand door het gebruik van brandwerende muren, vlamvertragend materiaal, etc. Hetzelfde geldt voor aanvallen zoals ransomware. Hier zijn twee sleutel inperkingsstrategieën:

• Geprivilegieerde account gebruik. Aanvallers richten zich graag op geprivilegieerde accounts omdat ze hoge toegangsniveaus bieden tot systemen en data alsook de benodigde permissies om schadelijke code uit te voeren. Wachtwoordhergebruik, service account wachtwoorden opgeslagen in plain text, gemakkelijk te raden wachtwoorden, etc. zijn allemaal veelvoorkomende problemen die bijdragen aan account compromise.

Een holistische benadering van geprivilegieerd account management is de sleutel hier. Dit omvat het begrijpen welke geprivilegieerde accounts u heeft en wat ze toegang hebben tot; hoe ze gebruikt worden (bijv. domeinadmin vs. service account); en hoe die accounts worden benaderd en beheerd (bijv. het gebruik van een privileged account management oplossing).

• Netwerksegmentatie. Platte netwerken zijn een droomscenario voor een aanvaller. Eenmaal referenties verkregen, kunnen ze vrij over het hele netwerk van een organisatie bewegen en hebben onbeperkte toegang tot systemen en data. Op een minimum moet u segmentatie gebruiken om laterale beweging zoveel mogelijk te beperken, zodat een aanvaller een veel moeilijkere tijd heeft uw netwerk te doorlopen en toegang te krijgen tot additionele systemen en data.

Herstel

Naast een incident response plan, is het meest kritische plan om uw herstelinspanningen te helpen een business resiliency plan. Hoe zal het bedrijf functioneren blijven? Een sterke veerkrachtplan zal helpen de functionaliteit van uw kernzakelijke systemen te herstellen.

Veelvoorkomende aanvalsvectoren voor organisaties omvatten derde-partij leveranciers in de toeleveringsketen. Hoe kunnen we de risico's die onze leveranciers aanbieden identificeren en verminderen? Beantwoord eerst deze kritische vragen:

• Wie zijn uw leveranciers?
• Welke dienst levert elke leverancier aan uw organisatie?

Daadwerkelijk identificeren wie uw leveranciers zijn is geen eenvoudige taak. Is het mogelijk dat u leveranciers heeft die toegang hebben tot uw netwerk of data en u weet er niets van? Absoluut. De realiteit is dat de mogelijkheid bestaat om direct naar een cloud-gebaseerde oplossing te gaan en met niets meer dan een creditcard en een paar muisklikken, heeft u nu een leverancier met toegang tot uw data. Als u niet weet wie ze zijn, is het onmogelijk om hun risico voor uw organisatie te beoordelen. Wat betreft wat ze doen, de leveranciers in uw toeleveringsketen kunnen allerlei diensten verrichten. Sommige bieden inherent een hoger risico voor uw bedrijf op basis van de data of interne systemen waar ze toegang toe hebben.

Het beantwoorden van deze vragen is een geweldig startpunt om adequate beoordelingsactiviteiten uit te voeren tegen die leveranciers. Het doel is om voldoende comfort te krijgen dat de leveranciers de passende controles hebben om uw systemen of data te beschermen op basis van de diensten die ze voor u verrichten. Er zijn veel beoordelingsstrategieën om te benutten, inclusief de review van certificeringen zoals SOC of ISO, beoordelingsvragenlijsten zoals de SIG, penetratietestresultaten, etc. Ongeacht hoe u het benadert, het valideren dat uw leveranciers deze controles hebben kan het risico verminderen dat uw organisatie beïnvloed wordt in het geval van een aanval.

Naarmate systemen meer verbonden en complex worden, kunnen aanvallers nog steeds een manier door uw verdedigingen vinden. Maar gereed zijn voor een ransomware-aanval kan de impact en downtime voor uw organisatie significant verminderen. Met een in-diepte verdedigingsstrategie, samen met passende inperkings- en veerkrachtplannen, kan de cyberkracht van uw organisatie alleen stijgen.

Gary Brickhouse is chief information security officer van GuidePoint Security.