O tempo está passando. No momento em que você percebe que seus sistemas estão sob um ataque de ransomware, cada segundo conta. As primeiras 24 horas são fundamentais para determinar a extensão dos danos, minimizar perdas adicionais e preparar o terreno para a Recovery. Este guia oferece um plano de ação conciso para ajudá-lo a lidar com esse período crucial.
Primeiros passos fundamentais
A primeira hora após um ataque de ransomware é extremamente importante. Suas ações imediatas devem incluir o seguinte:
Resposta imediata (primeiras 2 a 4 horas)
- Contenção: Priorize e desconecte os sistemas infectados da rede para impedir que a infecção se espalhe ainda mais. Isso pode envolver desligar servidores, desativar segmentos de rede e ativar regras de firewall para bloquear o tráfego malicioso.
- Isolar: Isolar física ou virtualmente os sistemas críticos e os repositórios de dados para limitar o impacto do ataque.
- Identificação e triagem: Faça a triagem dos sistemas críticos, identificando-os e priorizando sua restauração em uma rede limpa. Prepare esses sistemas para análise forense e identifique as contas envolvidas na violação.
Resposta rápida de acompanhamento (4 a 6 horas)
- Ativar: Acione seu plano de resposta a incidentes (IRP) e reúna sua equipe principal de resposta (TI, segurança, jurídico e comunicação).
- Avaliar: Identifique o escopo do ataque, incluindo os sistemas afetados, o tipo de ransomware envolvido e quaisquer exigências de resgate.
- Backups seguros: isole e verifique seus backups. Confirme se eles estão offline, inacessíveis aos invasores e prontos para uso na Recovery.
- Comunicar: Estabeleça canais de comunicação internos e externos para manter as partes interessadas informadas.
Ações em andamento (0 a 24 horas ou mais)
- Documentação: documente meticulosamente todas as ações, observações e comunicações. Esse registro será fundamental para as investigações e a Recovery, incluindo a análise forense pós-incidente. Colete minuciosamente todos os rastros digitais e registros disponíveis.
- Investigar: Realize uma investigação minuciosa para determinar a causa raiz do ataque e identificar quaisquer vulnerabilidades que precisem ser corrigidas.
Minimização dos danos e planejamento da sua resposta (6 a 24 horas ou mais)
Depois de dar esses primeiros passos, você pode se concentrar nas ações a seguir.
- Recorra ao seguro cibernético: se você tiver um seguro cibernético, notifique a seguradora imediatamente. Ela poderá oferecer orientações valiosas, recursos e apoio financeiro.
- Denúncia às autoridades policiais: entre em contato com as autoridades policiais competentes, como o FBI ou a unidade local de combate ao crime cibernético, para relatar o incidente.
- Recorra a especialistas em segurança cibernética: caso não haja conhecimento especializado interno, contrate especialistas em segurança cibernética. Eles podem ajudar na análise de malware, em estratégias avançadas de contenção e no planejamento da Recovery.
- Estratégia de comunicação: Estabeleça um plano de comunicação claro. Mantenha os funcionários, clientes e partes interessadas informados por meio de atualizações transparentes e oportunas.
- Recovery Options: avalie as opções de recuperação documentadas em seu plano de recuperação cibernética. Isso pode incluir:
- Restauração a partir de backups (verifique se eles estão acessíveis, sem erros e se foram verificados).
- Consulte um advogado sobre a possibilidade de negociar com os invasores (proceda com extrema cautela).
Recovery e desenvolvimento de resiliência (24 a 48 horas ou mais)
O foco das próximas 24 horas passa a ser a recuperação ativa de seus sistemas e a implementação de medidas para melhorar sua postura de segurança:
- Ative seu plano de recuperação cibernética. Isso pode envolver a restauração a partir de backups e a reconstrução dos sistemas afetados. Considere realizar a restauração em um ambiente de sala limpa para manter os sistemas e dados restaurados livres de quaisquer ameaças persistentes. Priorize os sistemas e dados críticos para minimizar o tempo de inatividade e a interrupção dos negócios.
- Reforce suas medidas de segurança. Tome medidas para ajudar a reduzir ataques futuros, corrigindo vulnerabilidades, atualizando softwares de segurança e implementando a autenticação multifatorial. Revise suas políticas e procedimentos de segurança para identificar quaisquer pontos fracos que possam ter contribuído para o ataque.
- Realize uma análise minuciosa após o incidente. Analise o ataque para entender como ele ocorreu, identifique vulnerabilidades em seus sistemas e aprimore seu plano de resposta a incidentes para eventos futuros. Essa análise deve envolver todas as principais partes interessadas e resultar em mudanças concretas.
- Consulte um advogado. Cumpra as leis pertinentes, como as leis de notificação de violação de dados. Avalie possíveis ações judiciais contra os responsáveis.
- Fique atento. Continue monitorando seus sistemas para detectar quaisquer sinais de reinfecção ou atividades suspeitas. O cenário de ameaças está em constante evolução; portanto, adapte suas medidas de segurança de acordo com isso.
Ações pós-Recovery (em andamento)
Recovery após um ataque de ransomware é uma tarefa significativa, mas o trabalho não termina assim que seus sistemas e dados forem restaurados. O pós-Recovery é um processo contínuo que começa nas primeiras 24 horas e se estende por toda a jornada de recuperação. Veja o que isso envolve:
- Análise imediata após o incidente (em até 24 horas): Inicie imediatamente a análise preliminar para obter informações iniciais sobre a origem do ataque, os métodos utilizados e as vulnerabilidades imediatas. Essa análise inicial serve de base para melhorias urgentes na segurança.
- Aprimoramento contínuo da segurança (ao longo da Recovery): Fortaleça continuamente sua postura de segurança com base nas descobertas que forem surgindo ao longo da investigação em andamento. Isso pode incluir:
- Fortalecimento dos controles de acesso e das medidas de autenticação.
- Corrigir vulnerabilidades e atualizar softwares.
- Reforço da segurança da rede por meio de firewalls, sistemas de detecção de invasões e ferramentas avançadas de proteção contra ameaças.
- Implementação de soluções de segurança de e-mail para filtrar anexos e links maliciosos.
- Melhorar a segurança dos terminais com soluções antivírus, antimalware e de detecção e resposta em terminais (EDR).
- Treinamento de Funcionários (Contínuo): Reforçar a conscientização sobre segurança cibernética entre os funcionários por meio de treinamento e educação contínuos. Concentrar-se em temas como golpes de phishing, engenharia social, segurança de senhas e hábitos seguros de navegação.
- Atualizações de políticas e protocolos (em andamento): Revise e atualize regularmente as políticas e os protocolos de segurança com base em novas informações e nas melhores práticas do setor. Verifique se estão em conformidade com os requisitos regulatórios.
- Backup and Recovery (em andamento): Avalie e aprimore continuamente sua estratégia de backup and Recovery. Verifique se você possui backups frequentes e confiáveis, armazenados com segurança e testados regularmente. Considere a adoção de backups imutáveis, que não possam ser alterados ou excluídos por invasores.
- Aperfeiçoamento do plano de recuperação cibernética (em andamento): Aperfeiçoe regularmente seu plano de recuperação cibernética com base em sua experiência e na evolução das ameaças. Identifique áreas que precisam de melhorias e confirme se seu plano está atualizado e é abrangente.
- Monitoramento contínuo: Mantenha-se vigilante e monitore continuamente seus sistemas e redes em busca de atividades suspeitas. Utilize ferramentas de gerenciamento de informações e eventos de segurança (SIEM) e inteligência contra ameaças para identificar e responder de forma proativa a possíveis ameaças.
Ao adotar essa abordagem contínua para a fase pós-Recovery, você pode melhorar continuamente a postura de segurança e a resiliência da sua organização contra ataques futuros.
Pontos principais
Plano de Recuperação Cibernética: Um plano de recuperação cibernética bem definido minimiza o tempo de inatividade, contribui para a continuidade dos negócios e reduz o risco de reinfecção. Ele cria uma estrutura para aumentar a resiliência cibernética da sua organização, ou seja, a capacidade de restaurar o acesso às funcionalidades dos sistemas de TI e aos dados críticos em caso de um ataque cibernético.
- Plano de Resposta a Incidentes: Descreve as medidas a serem tomadas durante um ataque, incluindo protocolos de comunicação, procedimentos de escalonamento e funções e responsabilidades.
- Plano de Recuperação Cibernética: Tem como foco a restauração de sistemas e dados críticos após um ataque.
- Plano de Continuidade de Negócios: Um plano mais abrangente que aborda como manter as operações essenciais da empresa durante qualquer interrupção, incluindo ataques de ransomware.
Aja com determinação: as primeiras horas são cruciais. Uma resposta rápida e medidas de contenção podem limitar significativamente os danos e aumentar suas chances de uma Recovery bem-sucedida.
Aprenda e melhore: Cada ataque é uma oportunidade de aprendizado. Realize uma análise minuciosa pós-incidente para entender o que aconteceu, por que aconteceu e como evitar que isso se repita. Fortaleça continuamente sua postura de segurança e sua resiliência cibernética.
Uma palavra final
Lidar com um ataque de ransomware exige ação decisiva e um compromisso com a resiliência cibernética. Isso começa com o desenvolvimento, já hoje, de planos abrangentes de resposta a incidentes, Recovery cibernética e continuidade dos negócios. Lembre-se de que a resiliência cibernética é uma jornada contínua. Revise e aprimore regularmente seus planos, fortaleça sua postura de segurança e capacite sua equipe. Ao adotar uma abordagem proativa, você pode aumentar suas chances de resistir às ameaças cibernéticas e se recuperar delas. Não espere que um ataque aconteça. Dê o primeiro passo rumo a um futuro mais seguro.
Quer estar ainda mais preparado?
Ataques de ransomware podem ser devastadores, mas, com o planejamento e a preparação adequados, é possível reduzir significativamente o impacto. Para saber mais sobre como elaborar um plano robusto de resiliência cibernética, considere participar do nosso Workshop de Planejamento de Resiliência Cibernética. Este workshop interativo, oferecido em cidades de todo o mundo, orienta os participantes no processo de criação de um plano abrangente de recuperação cibernética. Utilizando cenários reais, o workshop ajuda as organizações a desenvolver estratégias para resistir e se recuperar de ataques cibernéticos.
Inscreva-se hoje mesmo em um workshop e dê um passo proativo para proteger sua organização.
