Recovery cibernética e Recovery de desastres – São a mesma coisa? 

Como você está protegendo seus dados contra um ataque de ransomware ou um desastre natural? Qual é o seu plano de Recovery? Seu plano de Recovery de desastres é o mesmo que seu plano de Recovery cibernético? As medidas que você toma para proteger seus dados podem ser as mesmas, mas seus esforços de Recovery podem variar. Ambos os tipos de desastres podem ser devastadores para sua empresa, mas o que é fundamental é a Recovery. O custo médio do tempo de inatividade para grandes empresas é superior a US$ 11.600 por minuto,^¹ e 40% a 60% das pequenas empresas não reabrem após a perda de dados^.² Portanto, a maneira como você encara a Recovery é importante. 

• O que é um ataque cibernético/desastre natural/Recovery de desastres/Recovery cibernética? 
• Quais são as diferenças entre Recovery cibernética e Recovery de desastres? 
• O que é um Plano de Resposta a Incidentes 
• Quais são os tipos de ataques cibernéticos? 
• Como o ransomware se espalha 
• Como a Commvault combate o ransomware 
• Medidas de segurança contra ransomware

O que é um ataque cibernético? 

A Gartner define um ataque de ransomware como “extorsão cibernética que ocorre quando um software malicioso se infiltra em sistemas de computador e criptografa dados, mantendo-os como reféns até que a vítima pague um resgate”.^³ Um ataque cibernético é muito diferente de um desastre natural. Nesse caso, seus dados são invadidos intencionalmente. Criminosos obtiveram acesso de forma proativa e instalaram malware em seu ambiente, bloqueando seus sistemas, sequestrando dados críticos e exigindo resgate. Estima-se que um ataque de ransomware ocorra a cada 11 segundos.⁴ 

O que é um desastre natural? 

Quando ocorre um desastre, como uma enchente, um terremoto, um incêndio ou uma tempestade, seus ambientes de dados são desativados inadvertidamente ou até mesmo destruídos. Nesse caso, seus dados não são invadidos intencionalmente. Em 2021, ocorreram 401 desastres naturais em todo o mundo.^⁵   

O que é recuperação de desastres? 

Recovery of disasters is the ability to restore access and functionality for critical data systems and IT infrastructure as quickly as possible after a natural disaster occurs. It depends on data replication from an external location or a cloud environment, where the data is stored in backup and is not affected by the natural disaster. Em uma situação de Recovery de desastres, o objetivo é restaurar as operações comerciais de forma eficiente, com tempo de inatividade mínimo e sem perda de dados, uma vez que a Readiness dos dados para uso comercial é considerada pré-qualificada para a recuperação. Em uma situação de Recovery de desastres, seus esforços se concentram na eficiência da restauração das operações. 

O que é a recuperação cibernética? 

Recovery cibernética tem como objetivo proporcionar a capacidade de restabelecer o acesso e a funcionalidade de sistemas de dados críticos e da infraestrutura de TI o mais rápido possível após a ocorrência de um ataque cibernético, como um ransomware. Em uma situação de Recovery cibernética, seus objetivos são fazer com que sua empresa volte a operar a partir de uma cópia de dados isolada e imutável, o que garante a integridade dos dados. Soluções de proteção de dados com a implementação de uma arquitetura de confiança zero garantem uma abordagem de defesa em camadas, mesmo para o seu ambiente de backup. No entanto, “ver para crer”, e é aqui que é importante garantir que você esteja validando frequentemente a Readiness dos dados para os negócios como parte dos exercícios simulados de Recovery cibernética. Isso pode ser alcançado por meio da validação dos dados por aplicativos, utilizando scripts personalizados em um ambiente sandbox isolado da rede. Ao fazer isso, você pode evitar qualquer possível reinfecção do ambiente e, assim, conter o “raio de impacto” após um ataque. 

Quais são as diferenças entre a Recovery cibernética e a Recovery de desastres? 

A recuperação cibernética e a recuperação de desastres são diferentes. Na recuperação de desastres, o foco está no Tempo Médio de Recuperação (MTTR) das operações e no bom funcionamento dos negócios. No melhor cenário de recuperação de desastres, os dados não são comprometidos. Já na recuperação cibernética, o que está em jogo é a sobrevivência da sua empresa, com foco em dados, aplicativos, infraestrutura e muito mais. 

Características da Recovery de desastres versus a Recovery cibernética 

O que é um plano de resposta a incidentes? 

Vocês têm um plano de resposta a incidentes? Sua organização e seus funcionários estão preparados para um ataque de ransomware ou um desastre natural?    

Todas as equipes envolvidas devem ser capazes de desempenhar seu papel no processo de Recovery cibernética de maneira eficaz 

Elas devem ser capazes de colocar os planos em prática e ter permissão para executá-los caso algo aconteça. Durante um ataque real, não se quer que as equipes fiquem se culpando mutuamente sobre quem é responsável por quê. Isso costuma ser chamado de “Colisão de TI”, o que pode afetar significativamente a capacidade de uma organização de responder a uma crise cibernética com eficiência. Garantir que todas as principais partes interessadas e equipes tenham as permissões corretas assegura que possam tomar decisões rápidas com autoridade — e isso pode ser alcançado quando as equipes recebem, normalmente, pré-autorização para realizar as ações prescritas. A latência causada por processos durante o exercício de Recovery pode ser eliminada sem a necessidade de acordar as pessoas de madrugada e colocá-las em uma chamada no Zoom para receber autorização. 

Quanto aos executivos de nível C, os líderes da sua empresa estão em sintonia? Quantas unidades de negócios e parceiros diferentes precisam estar envolvidos em um plano de resposta a incidentes? Você está preocupado com as consequências para os acionistas no caso de um ataque de ransomware?  

1. É importante que os executivos realizem uma análise de impacto nos negócios de todo o ambiente, incluindo PPT (Pessoas, Processos e Tecnologia), para avaliar o impacto geral do tempo de inatividade após um incidente cibernético. 
2. Identifique o que deve fazer parte do plano de recuperação cibernética. 
3. Identifique as equipes com as quais é necessário entrar em contato, como equipes de segurança, equipes de resposta a incidentes (IRT) e parceiros de seguro cibernético, bem como equipes de proteção de dados, pois todas precisam trabalhar em estreita coordenação para que o exercício de Recovery cibernético seja eficaz.  
4. É preciso definir processos detalhados que devem ser seguidos durante um ataque de ransomware. 
5. Por fim, pratique, pratique, pratique até que se torne uma memória muscular coletiva, para que seja possível agir com o mínimo de atritos durante uma resposta real a uma crise.  

Quais são os tipos de ataques cibernéticos? 

É fácil supor que todos os ransomwares sejam semelhantes, e não é incomum pensar que exista uma solução única para todos em termos de prevenção e preparação. No entanto, como cada tipo de ransomware geralmente é desenvolvido para atacar redes específicas e diferentes, eles podem apresentar formas de operação muito distintas. É essencial compreender os diferentes tipos atualmente em uso (lembrando que os invasores são capazes de combinar vários tipos de ransomware).   

A eficácia da proteção contra qualquer ataque de ransomware está na sua estratégia de defesa, especialmente diante do aumento dos vetores de ataque “zero-day”, para os quais não há táticas, técnicas ou procedimentos (TTP) conhecidos. 

Seis tipos de ransomware:  

CryptoWall – é responsável por uma alta porcentagem dos ataques de ransomware. Normalmente, o CryptoWall é usado para atacar alvos por meio de e-mails de phishing. O vírus de ransomware WannaCry é um derivado da família Crypto e esteve no centro dos maiores ataques cibernéticos já perpetrados. Infelizmente, os criadores do CryptoWall continuam lançando novas versões projetadas para contornar as proteções de segurança. 

Locky – como o próprio nome indica, o Locky faz exatamente o que seu nome sugere (bloqueia o acesso aos arquivos e os substitui por arquivos com a extensão .lockey). No entanto, seu nome não reflete o aspecto mais prejudicial desse tipo de ransomware: sua velocidade. O Locky se destaca por se espalhar para outros arquivos pela rede mais rapidamente do que outras variantes de ransomware. 

Crysis – leva os ataques a dados a um novo patamar, chegando a sequestrar seus dados e transferi-los para um novo local virtual. A importância desse aspecto do ataque reside no fato de que ele se qualifica como uma violação de dados caso sua empresa trabalhe com dados pessoais; as organizações devem entrar em contato com qualquer pessoa que possa ter informações em sua rede para manter a conformidade com as diretrizes locais, estaduais e federais. 

SamSam – ataca servidores de aplicativos WildFly sem patch na parte da rede exposta à Internet. Uma vez dentro da rede, o ransomware procura outros sistemas para atacar.  

O Cerber – ataca os processos do servidor de banco de dados para obter acesso, em vez de atacar diretamente os arquivos. Seus criadores vendem o software de ransomware a criminosos em troca de uma parte do resgate arrecadado, ou seja, Ransomware como Serviço (RaaS). 

Maze – é uma variante de ransomware que representa a tendência conhecida como “leakware”. Após a criptografia dos dados, os criminosos ameaçam vazar os dados privados resgatados na dark web, a menos que o resgate seja pago. 

A proteção contra ransomware deve estar na vanguarda dos esforços de segurança das organizações.   

Como o ransomware se espalha? 

A engenharia social é uma tática fundamental utilizada por cibercriminosos para induzir usuários desavisados a baixar ou clicar em um link ou site fraudulento. O ransomware costuma ser disseminado por meio de mensagens de phishing por e-mail contendo links maliciosos ou por download automático, o que ocorre quando um usuário acessa, sem intenção, um site contaminado, e o malware é baixado para o computador ou dispositivo móvel do usuário. Uma vez dentro do ambiente de TI, os vetores de ameaça se movem lateralmente pela rede até serem detectados. A dinâmica de um ataque de ransomware geralmente consiste em se mover por meio de dados não estruturados para permanecer indetectável pelo maior tempo possível. Até recentemente, sabia-se que o malware e os vetores de ameaça podiam permanecer latentes em um ambiente por até 300 dias, enquanto criptografavam gradualmente conjuntos de dados e causavam estragos generalizados.  

No entanto, com os ataques mais recentes, observamos que os vetores de ameaça são capazes de invadir os sistemas e causar destruição instantânea e em grande escala por meio de exclusões em massa ou criptografia. A velocidade desses ataques não permite que as equipes respondam com rapidez suficiente. Portanto, é fundamental garantir que o ambiente de proteção de dados esteja protegido desde o primeiro dia contra ataques de qualquer magnitude. Os profissionais de segurança devem contar com cópias de backup “fisicamente isoladas e imutáveis” como sua garantia. 

Como a Commvault combate o ransomware 

A proteção e a Recovery de dados da Commvault podem ser um componente valioso de sua estratégia contra ransomware. A segurança em múltiplas camadas da Commvault é construída com base nos princípios de “zero trust” e na estrutura de segurança cibernética do Instituto Nacional de Padrões e Tecnologia (NIST) para proteger os dados e permitir uma recuperação rápida em caso de um ataque de ransomware. A Commvault ajuda a proteger e isolar seus dados, oferece monitoramento proativo e alertas, além de possibilitar restaurações rápidas. Tecnologias avançadas impulsionadas por inteligência artificial e aprendizado de máquina, incluindo honeypots, permitem detectar e emitir alertas sobre possíveis ataques assim que eles ocorrem, para que você possa responder rapidamente. Ao manter seus backups a salvo e possibilitar sua restauração dentro dos prazos estabelecidos em seus Acordos de Nível de Serviço (SLA), você pode minimizar o impacto de um ataque de ransomware, permitindo que retome suas atividades imediatamente (e evite o pagamento de resgates onerosos). 

Proteger e isolar suas cópias de backup é fundamental para a integridade e a segurança dos dados. Por isso, a Commvault adotou uma abordagem agnóstica em relação à imutabilidade. Com a Commvault, você não precisa de hardware especial nem de contas de armazenamento em nuvem para proteger os dados de backup contra ameaças de ransomware. Caso você disponha de hardware compatível com WORM (Write-Once, Read Many), bloqueio de objetos ou snapshots (que a Commvault oferece suporte total), ainda poderá utilizar os recursos de bloqueio integrados da Commvault para complementar e reforçar os controles de segurança existentes. A capacidade da Commvault de oferecer defesa em camadas para proteger conjuntos de dados contra ransomware garante que nossos clientes se beneficiem de uma arquitetura robusta e pronta para a Recovery cibernética. Aqui estão alguns elementos a serem incluídos em sua arquitetura de imutabilidade:  

• Bloqueie o acesso para isolar o repositório de cópias contra ransomware 
• Imutabilidade com bloqueios de ciclo de vida para reduzir riscos, em equilíbrio com o impacto no consumo 
• Rede de isolamento por espaço de ar e controles 
• Governança de configuração para proteção contra alterações intencionais ou acidentais 
• Desempenho da Recovery simultânea – reduzir a latência, levando em consideração a velocidade e o impacto nos custos 
• Aplicação automática de patches para manter a infraestrutura atualizada, simplificando o gerenciamento e a manutenção da infraestrutura de proteção de dados 
• Alinhamento com a filosofia de proteção de dados 3-2-1 (3 cópias dos dados, 2 mídias diferentes, 1 cópia armazenada em cofre)  

Saiba mais sobre a arquitetura de infraestrutura imutável da Commvault aqui. 

Proteção de segurança em várias camadas da Commvault 

Como cada ambiente conta com uma combinação de diferentes infraestruturas, proteger os dados de backup contra alterações aleatórias e não autorizadas pode parecer um desafio. Assim como ao proteger sua casa, é preciso identificar os riscos e ativar os recursos de proteção e monitoramento que atendam às suas necessidades. 

Muitos especialistas recomendam adotar uma estratégia em camadas contra malware e ransomware. A Commvault incorporou esses recursos de segurança em nosso software e em nossas políticas de proteção de dados, sem aumentar a carga administrativa. A plataforma de proteção e gerenciamento de dados da Commvault inclui cinco camadas de segurança: 

• Identificar e mitigar riscos aos dados de backup em uma única interface 
• Proteja aplicando controles de segurança baseados nos principais padrões do setor 
• Monitorar ransomware, ameaças internas e outras ameaças 
• Responda e tome medidas em relação às ameaças, além de validar continuamente os dados de backup 
• Recupere dados rapidamente em diversos ambientes locais, na nuvem e híbridos 

A segurança em múltiplas camadas da Commvault consiste em conjuntos de recursos, diretrizes e melhores práticas para gerenciar riscos de segurança cibernética e garantir que os dados estejam prontamente disponíveis. É essencial compreender que esses recursos fazem parte da experiência central da plataforma da Commvault, o Commvault Complete™ Data Protection. Não há licenciamento especial, custos adicionais nem necessidade de hardware ou software específico. A profundidade da segurança em camadas é aprimorada por meio de uma maior integração com o Metallic™ e o Commvault Grid para os clientes que buscam a simplicidade do Backup como Serviço ou de uma Appliance de proteção de dados, respectivamente.    

Medidas de segurança contra ransomware 

Air gap: Tradicionalmente, as redes com air gap não possuem absolutamente nenhuma conectividade com redes públicas. A fita é um meio tradicional para backups com air gap, pois pode ser removida da biblioteca de fitas e armazenada fora do local. Para implementar o air gap em destinos secundários de backup em disco ou na nuvem, é necessário algum nível de acesso, mas a comunicação é interrompida quando não é necessária. Quando não é necessário acessar os dados isolados, a comunicação é interrompida desligando-se as portas de comunicação, desativando-se a comutação de VLAN, ativando-se controles de firewall de última geração ou desligando-se os sistemas.  

Autenticação multifatorial (MFA)^⁶: Trata-se de uma abordagem em camadas para proteger dados e aplicativos, na qual um sistema exige que o usuário apresente duas ou mais credenciais para verificar sua identidade no momento do login. A MFA aumenta a segurança porque, mesmo que uma credencial seja comprometida, usuários não autorizados não conseguirão atender ao segundo requisito de autenticação e, portanto, não poderão acessar o espaço físico, o dispositivo de computação, a rede ou o banco de dados visados. 

Acesso com o mínimo de privilégios: essa prática padrão de segurança concede aos usuários e/ou contas apenas os recursos estritamente necessários para o desempenho de suas funções, e nada além disso. Você decide quem tem acesso a quê. Isso minimiza a exposição caso a conta seja comprometida e limita vazamentos de acesso aos dados.   

Faça backups regulares com imutabilidade: considere aumentar a frequência dos backups e ampliar sua proteção de dados para uma estratégia de backup 3-2-1; 3 cópias dos seus dados, em 2 tipos diferentes de mídia, com uma cópia fora do local e, de preferência, isolada fisicamente. Outras ferramentas essenciais de proteção de dados incluem criptografia, gravação única e leitura múltipla (WORM) e controles rigorosos de acesso. 

Imutabilidade dos dados: dados que não podem ser alterados. Para oferecer melhor proteção contra ransomware, certifique-se de que as cópias de backup sejam imutáveis, utilizando controles de segurança em camadas, recursos do tipo “grave uma vez, leia várias vezes” (WORM) e armazenamento imutável, bem como proteção integrada contra ransomware para os dados de backup.  

Criptografia de dados e gerenciamento de chaves: uma tecnologia na qual os dados são convertidos em um formato ou código ilegível, e somente usuários com acesso a uma chave secreta ou senha podem lê-los. A criptografia em repouso e em trânsito garante que os dados de backup, mesmo que sejam extraídos, se tornem inúteis para agentes mal-intencionados que não possuam as chaves de descriptografia ou a senha. 

Alertas de anomalia: indicam um desvio em relação ao padrão esperado de dados ou eventos. A detecção de anomalias ajuda a fornecer insights sobre comportamentos, permitindo que sua organização aprenda a identificar padrões para compreender seu ambiente e reconhecer comportamentos incomuns antes que uma ameaça afete seu ambiente e seus negócios. 

Honeypots⁷: Um sistema conectado à rede configurado como isca para atrair ciberataques e detectar, desviar e estudar tentativas de invasão com o objetivo de obter acesso não autorizado a sistemas de informação. A função de um honeypot é apresentar-se na internet como um alvo em potencial para os invasores — geralmente, um servidor ou outro ativo de alto valor — e coletar informações, além de notificar os defensores sobre quaisquer tentativas de acesso ao honeypot por usuários não autorizados. 

Fortificação de aplicativos⁸: Um termo abrangente para designar a proteção de um aplicativo contra invasões, por meio da eliminação de vulnerabilidades e do aumento das camadas de segurança. A segurança de dados envolve múltiplas camadas de defesa que não se limitam ao próprio aplicativo: o nível do host, o nível do sistema operacional, o nível do usuário, o nível do administrador e até mesmo o nível físico do dispositivo apresentam vulnerabilidades que um bom sistema de segurança deve abordar. Por esse motivo, a fortificação de aplicativos também pode ser chamada de fortificação do sistema ou fortificação do sistema operacional. 

Seja ao sofrer um ataque cibernético ou ao enfrentar um desastre natural — a realidade é que sua organização precisa estar preparada e tomar medidas para proteger seus dados, além de contar com um provedor que ofereça soluções rápidas de Recovery cibernética e de desastres. Então, qual é o seu nível de preparação? Leia nosso e-book sobre “Compreendendo as funções e responsabilidades da equipe no combate ao ransomware”. 

Referências 

1.,2. Branko K: Web tribunal: Mais de 15 estatísticas assustadoras sobre perda de dados para se ter em mente em 2022, março de 2022. – 3. Gartner, 6 maneiras de se defender contra um ataque de ransomware, por Manasi Sakpal, novembro de 2020 – 4. Safe at Last, 22 estatísticas sobre ransomware para ajudar a fortalecer seus modelos de segurança cibernética: janeiro de 2022 – 5. Statistica, Madhumitha Jaganmohan, Número global de eventos de desastres naturais de 2007 a 2021, fevereiro de 2022 – 6. CISA – 7. TechTarget, Ben Lutkevich, Casey Clark, Michael Cobb, honeypot (informática) – 8. Thales, Fortalecimento de aplicativos