Readiness al ransomware: 6 passaggi per proteggere la tua organizzazione dal ransomware

La prevenzione e la protezione dal ransomware richiedono un approccio a più livelli che preveda best practice e processi, formi il personale e sfrutti le tecnologie più recenti per proteggere l’organizzazione dagli autori di attacchi. Una strategia di sicurezza a più livelli è fondamentale, così come lo è la Readiness al ripristino.

1. Educate and train employees regularly.
Le aziende possono proteggersi dal ransomware fornendo una formazione regolare ai dipendenti per aiutarli a identificare gli attacchi dannosi. Ad esempio, i tentativi di phishing si basano spesso su tecniche di ingegneria sociale che cercano di indurre gli utenti finali a rivelare informazioni sensibili. Formare dipendenti, partner e clienti sui segnali di tali tentativi di ingegneria sociale per evitare che cadano vittime di un attacco.

Teach employees about safe browsing habits and explain why it is important to not click on suspicious links, reinforcing them with knowledge on how to spot and avoid potential threats. Education will empower employees to act as the first line of defense against ransomware attacks by making smarter decisions online – and avoiding known pitfalls.

2. Enforce an immutable backup strategy.
Backup strategies need to be as sophisticated as the bad actors’ best attempt at ransomware. A widely accepted data protection practice involves maintaining three copies of data, storing it on two different types of media, and keeping one copy safely stored off-site.

Questo approccio 3-2-1 riduce i rischi di perdita di datiin caso di attacchi ransomware, diversificando le posizioni di archiviazione e i tipi di supporto. Creare tre copie dei dati critici, inclusi i dati originali sul sistema primario e due copie di backup. Archiviare le copie di backup su due tipi distinti di supporti di archiviazione, come un disco rigido locale e un archivio cloud, per prevenire un singolo punto di guasto.

Experts recommend that businesses store a copy of their data in a secondary storage such as a hyperscale appliance, tape, or on cloud storage. This type of media can help in storing data in ransomware protection mode, which is not easily accessible to ransomware attacks. Be certain one of the backup copies is stored in a remote location, separate from the primary data center, to proteggersi da disastri naturali locali.

It is also critical to invest in immutable backup. An immutable backup is a file or data copy that cannot be altered or modified in any way, meaning it remains unchanged even by administrators or malicious actors. Immutable backup protects against data deletion and provides that secure backup that can be restored even if the primary system is compromised by ransomware. Once the backup is made immutable, it cannot be deleted, overwritten, or modified in any way – which is valuable for safeguarding ransomware attacks.

3. Utilize isolation, segmentation, and air gap techniques.
Isolation and air gap techniques refer to a strategia di sicurezza in cui i dati di backup vengono archiviati separatamente e fisicamente isolati dalla rete primaria. Ciò crea un divario che impedisce l’accesso non autorizzato alle copie di backup, proteggendole da eventuali attacchi di malware o ransomware che potrebbero infettare il sistema primario. I dati di backup vengono separati in destinazioni di archiviazione isolate utilizzando LAN virtuali (VLAN), firewall o altri metodi di segmentazione della rete per limitare l’accesso. La segmentazione della rete impedirà inoltre i movimenti east-west o laterali da parte degli aggressori qualora questi fossero riusciti a penetrare le difese perimetrali.

Implementare l’archivio di backup isolato in modo che sia fisicamente scollegato dalla rete primaria, impedendo l’accesso diretto ai dati. Replicare i dati in questo ambiente isolato per garantire che le copie di backup vengano trasferite in modo sicuro nell’archivio con air gap. Isolando i dati di backup, le tecniche di air gap riducono significativamente il rischio che il ransomware crittografi le copie di backup, poiché il malware non può raggiungerle sulla rete isolata.

4. Implement access controls, user privileges, and intrusion detection systems (IDS).
To better understand the state of an organization’s entire security posture, it is critical to review access control policies and implementation. Review how end users connect to the network internally and externally, and put safeguards in place from password protections to multi-factor authentication on VPNs or any portals or resources that can be accessed remotely by end users or employees.

Un solido IDS cercherà in modo proattivo attività dannose confrontando i log del traffico di rete con le firme che rilevano attività dannose note. L’IDS avviserà l’organizzazione nel caso in cui rilevi attività dannose. Questo tipo di approccio a più livelli alla sicurezza, che include IDS, VPN, firewall, software antivirus, filtri antispam e prevenzione della perdita di dati nel cloud, renderà più difficile per i potenziali aggressori l’accesso al vostro ambiente e ai dati sensibili.

5. Regularly monitor the environment.  
parte delle organizzazioni monitora già regolarmente i propri ambienti, ma per contrastare il ransomware il monitoraggio è fondamentale per consentire il rilevamento tempestivo di attività sospette che potrebbero essere indicative di un attacco. Il monitoraggio del traffico alla ricerca di attività sospette aiuterà i team di sicurezza a identificare malware o ransomware in anticipo e ad adottare misure proattive per impedire la diffusione del ransomware.

Grazie a sistemi completi di monitoraggio dei dati e del traffico, i team di sicurezza possono inoltre crittografare i dati prima che si verifichino danni significativi. Modelli di accesso ai file insoliti, crittografia rapida dei dati o traffico di rete anomalo possono tutti indicare un tentativo di attacco ransomware e, monitorando costantemente l’attività del sistema, i team di sicurezza possono individuare gli autori degli attacchi e agire rapidamente per contenere la minaccia.

6. Develop an incident response plan. 
All these protections will help prevent and detect malicious activity, but in the event an attack happens, an incident response plan will provide the necessary steps to take after discovering an attack – and reduce the likelihood of future attacks. An incident response plan should detail how to collect data to determine the source, nature, and scope of the ransomware attack. True cyber recovery, which goes beyond incident response, encompasses the ability to quickly restore critical systems and data after an attack.

Le organizzazioni dovrebbero testare regolarmente il proprio piano di risposta agli incidenti, in modo che le persone coinvolte comprendano i propri ruoli e le proprie responsabilità a seguito di un attacco ransomware. Test costanti del piano di risposta agli incidenti ne convalideranno inoltre l’efficacia e identificheranno le aree di miglioramento. È fondamentale investire in una piattaforma che consenta il rapido recupero e ripristino dei dati in caso di attacco informatico, garantendo una risposta tempestiva e riducendo al minimo i tempi di inattività.

Le aziende devono investire in un approccio multilivello alla Readiness contro il ransomware, che sottolinei l’importanza di una solida protezione dei dati per prevenire le minacce, rilevare tempestivamente le attività sospette e garantire un rapido recupero dei dati anche in caso di attacco. Grazie all’utilizzo di backup immutabili e isolati fisicamente (air-gapped), al monitoraggio continuo e al rilevamento avanzato delle anomalie in vari ambienti, le organizzazioni possono dare priorità alle protezioni proattive e alle capacità di Recovery rapido per ridurre al minimo le interruzioni dell’attività aziendale.