Fem velprøvde tiltak for å beskytte virksomheten mot løsepengevirus

Løsepengevirus er ikke et plutselig skrekkøyeblikk. Det bygger seg sakte opp.

I mange tilfeller begynner det dager, eller til og med uker, før krypteringen, med noe hverdagslig, som en pålogging som aldri skulle ha lyktes.

Derfor handler en effektiv forsvarsplan mot løsepengevirus om mer enn å ta i bruk antiskadevare. Det handler om å hindre at uautorisert tilgang får fotfeste.

Her er en tilnærming i fem trinn som dere kan innføre i hele virksomhetsmiljøet uten å gjøre sikkerhet til en daglig hinderløype.

Hvorfor løsepengevirus er vanskeligere å stoppe når angrepet først er i gang

Løsepengevirus er sjelden én enkelt hendelse. Det er vanligvis en rekkefølge av steg: første tilgang, rettighetseskalering, lateral bevegelse, tilgang til data, ofte datatyveri og til slutt kryptering når angriperen kan påføre størst mulig skade.

Derfor blir det gjerne rotete å stole på forsvar som først slår inn sent i angrepet.

Når en angriper har gyldig tilgang og utvidede rettigheter, kan vedkommende bevege seg raskere enn de fleste team klarer å undersøke. Microsoft sier: «I de fleste tilfeller bryter ikke angripere seg lenger inn – de logger seg inn.»

Når krypteringen starter, er handlingsrommet begrenset. De generelle rådene fra politi og cybersikkerhetsmyndigheter er klare: Ikke betal løsepengene. Det er ingen garanti for at dere får tilbake dataene, og betaling kan oppmuntre til flere angrep.

Det finnes ingen mirakelkur for å forhindre et løsepengevirusangrep. En forsvarsplan mot løsepengevirus er mest effektiv når den avbryter angrepet før krypteringen i det hele tatt starter. Derfor må gjenopprettingen planlegges på forhånd, ikke improviseres midt i en hendelse.

Målet er ikke å «stoppe alle trusler for alltid». Målet er å bryte kjeden tidlig og begrense hvor langt en angriper kan komme. Og hvis det verste skjer, vil dere at gjenopprettingen skal være forutsigbar.

Forsvarsplanen mot løsepengevirus i fem trinn

Denne forsvarsplanen mot løsepengevirus er utformet for å bryte angrepskjeden tidlig, begrense skaden hvis angriperen får tilgang, og sikre pålitelig gjenoppretting. Hvert trinn er praktisk, enkelt å innføre og kan gjentas i miljøer hos små bedrifter.

Trinn 1: Phishing-resistente pålogginger

De fleste hendelser med løsepengevirus starter fortsatt med stjålne påloggingsopplysninger. Den raskeste gevinsten er å gjøre «pålogging» vanskeligere å forfalske og vanskeligere å gjenbruke når opplysningene er kompromittert.

Hva dette betyr: «Phishing-resistente» pålogginger er autentiseringsmetoder som ikke enkelt kan kompromitteres av falske påloggingssider eller oppfangede engangskoder. Det er forskjellen på «MFA er aktivert» og «MFA fungerer fortsatt når noen blir spesifikt målrettet».

Gjør dette først:

• Håndhev sterk MFA på alle kontoer, med prioritet på administratorkontoer og fjerntilgang
• Fjern eldre autentiseringsmetoder som svekker sikkerhetsnivået
• Innfør regler for betinget tilgang, for eksempel ekstra verifisering ved pålogginger med høy risiko, nye enheter eller uvanlige steder

Trinn 2: Minste rettighet + atskillelse

Hva dette betyr: «Minste rettighet» betyr at hver konto bare får den tilgangen den trenger for å gjøre jobben sin, og ikke noe mer.

«Atskillelse» betyr å holde administrative rettigheter adskilt fra vanlig brukeraktivitet, slik at én kompromittert pålogging ikke gir kontroll over hele virksomheten.

NIST anbefaler å verifisere at «hver konto bare har nødvendig tilgang i tråd med prinsippet om minste rettighet».

Praktiske tiltak:

• Hold administratorkontoer adskilt fra vanlige brukerkontoer
• Fjern delte pålogginger og begrens brede «alle har tilgang»-grupper
• Begrens administrasjonsverktøy til kun de personene og enhetene som faktisk trenger dem

Trinn 3: Tett kjente hull

Hva dette betyr: «Kjente hull» er sårbarheter angripere allerede vet hvordan de skal utnytte, typisk fordi systemer ikke er oppdatert, er eksponert mot internett eller kjører utdatert programvare. Dette trinnet handler om å fjerne lettvinte seire for angripere før de rekker å utnytte dem.

Gjør det målbart:

• Sett tydelige retningslinjer for oppdateringer: kritiske sårbarheter håndteres umiddelbart, høyrisikoproblemer deretter, og alle andre etter en fastsatt plan
• Prioriter systemer som er eksponert mot internett, og infrastruktur for fjerntilgang
• Dekk også tredjepartsapplikasjoner, ikke bare operativsystemet

Trinn 4: Tidlig oppdagelse

Hva dette betyr: Tidlig oppdagelse betyr å identifisere varseltegn på løsepengevirus før krypteringen sprer seg i miljøet.

Tenk varsler om uvanlig atferd som muliggjør rask inndemming – ikke en servicedesk-sak om at filer plutselig ikke lar seg åpne.

Et solid grunnnivå omfatter:

• Overvåking av endepunkter som raskt kan flagge mistenkelig atferd
• Regler for hva som eskaleres umiddelbart, og hva som vurderes

Trinn 5: Sikker og testet sikkerhetskopiering

Hva dette betyr: «Sikre, testede sikkerhetskopier» er sikkerhetskopier som angripere ikke enkelt kan få tilgang til eller kryptere, og som dere har bekreftet at dere kan gjenopprette når det virkelig gjelder.

Både NISTs veiledning om løsepengevirus og britiske NCSC understreker at sikkerhetskopier må være beskyttet og kunne gjenopprettes. NIST peker spesifikt på behovet for å «sikre og isolere sikkerhetskopier».

Hold sikkerhetskopiene oppdatert slik at dere kan gjenopprette «uten å måtte betale løsepenger», og kontroller at dere vet hvordan dere gjenoppretter filene.

Gjør sikkerhetskopieringen reell:

• Hold minst én sikkerhetskopi isolert fra hovedmiljøet.
• Gjennomfør gjenopprettingsøvelser etter en fast plan
• Definer prioriteringer for gjenoppretting på forhånd: hva som må gjenopprettes først, og i hvilken rekkefølge

Hold dere unna krisemodus

Løsepengevirus lykkes når miljøene er reaktive – når alt føles hastende, uklart og improvisert.

En solid forsvarsplan mot løsepengevirus gjør det motsatte. Den gjør vanlige svakheter om til forutsigbare, håndhevede standarder.

Dere trenger ikke bygge om hele sikkerhetsprogrammet over natten. Start med det svakeste leddet i miljøet, stram det inn og standardiser det.

Når det grunnleggende håndheves konsekvent og testes jevnlig, går løsepengevirus fra å være en krise som havner i overskriftene, til en avgrenset hendelse dere er forberedt på å håndtere.

Hvis dere ønsker hjelp til å vurdere dagens forsvar og bygge en praktisk og repeterbar plan for beskyttelse mot løsepengevirus, kontakt oss i dag for å avtale en konsultasjon. Vi hjelper dere med å identifisere de største eksponeringspunktene og gjøre dem om til kontrollerte, målbare sikringstiltak.

Artikkelen er brukt med tillatelse fra The Technology Press.