Ransomware 101: Mitigare il rischio della realtà odierna del ransomware
Il ransomware è una realtà spiacevole per le moderne aziende digitali, ma esistono strumenti, tecnologie e best practice che aiutano le organizzazioni di sicurezza a evitare di cadere vittime di malintenzionati.
Definizione
Che cos’è il ransomware?
Il ransomware è emerso alla fine degli anni ’80 e da allora è diventato una delle maggiori minacce per le aziende di tutto il mondo.
Il ransomware si è evoluto dai floppy disk infetti fino a comprendere numerose varianti, ma in generale si tratta di un tipo di malware progettato per impedire l’accesso a dati o sistemi fino al ricevimento di un pagamento – o riscatto. Questa tecnica di estorsione digitale spesso danneggia i file e causa la fuga di dati, ma in alcuni casi si limita a bloccare l’accesso fino al pagamento del riscatto. Il ransomware spesso crittografa i file sull’endpoint, minacciando di cancellarli: secondo un rapportoaffermando che fino al 43% dei dati è irrecuperabilea seguito di un attacco ransomware. In alcuni casi, gli autori del ransomware minacciano di divulgare dati riservati relativi all’azienda, ai clienti, ai dipendenti o ai partner, che sono stati estratti e raccolti a seguito dell’attacco.
Basti pensare ad alcune di queste statistiche: il ransomware ha costretto alcuniil 25% delle aziende a chiudere i battenti, costa circa 11.600 dollari per ogni minuto di inattività e induce il 70% dei clienti a dichiarare che non intratterrà più rapporti commerciali con un determinato marchio. In tutti i casi, le aziende vogliono evitare a tutti i costi di cadere vittime del ransomware – ma ciò è improbabile, dato che la sua diffusione continua a crescere. L’approccio migliore è quindi un piano di Recovery completo in caso di attacco da ransomware, per riportare le aziende online e garantire la sicurezza dei dati.
Come ridurre il rischio
Ransomware 101: Mitigare il rischio della realtà odierna del ransomware
Il ransomware è una realtà spiacevole per le aziende digitali moderne, ma esistono strumenti, tecnologie e best practice che aiutano i responsabili della sicurezza a evitare di cadere vittime di malintenzionati e a ridurre al minimo i danni nel caso in cui subiscano un attacco.
Cosa tiene svegli la notte i responsabili della sicurezza? L’elenco potrebbe essere infinito, ma nel 2024 il ransomware sarà probabilmente in cima alla lista degli attacchi più temuti dalle aziende.
Il ransomware non solo limita l’accesso ai sistemi essenziali, ma richiede anche il pagamento di un riscatto e provoca la fuga di dati. I responsabili della sicurezza devono proteggere i propri ambienti da questi attacchi dannosi e, cosa ancora più importante, elaborare una strategia di Recovery che riporti l’azienda a uno stato sicuro e verificato.
Il ransomware sta causando gravi danni ai sistemi informatici da circa 35 anni e il software dannoso creato dai malintenzionati che sferrano attacchi contro aziende, organizzazioni e privati non mostra alcun segno di rallentamento, dato che gli ambienti diventano sempre più sofisticati e il mondo è più connesso che mai.
Secondo unSANS Instituterapporto basato sui dati provenienti daeCrime.ch, gli attacchi ransomware sono aumentati di quasi il 73% dal 2022 al 2023, con un totale di 4.611 casi segnalati nel 2023. Gli osservatori del settore stimano che i costi dei danni causati dal ransomware a livello mondiale raggiungeranno265 miliardi di dollari entro il 2031, e mentreL’80% delle organizzazionisono stati colpiti da un ransomware nel 2021,Il 60% dei responsabili delle decisioni in materia di sicurezzaha affermato che il ransomware è grave quanto il terrorismo. La gravità degli attacchi può paralizzare o distruggere un’azienda, sia dal punto di vista finanziario che attraverso il danno d’immagine – e può persino avereconseguenze potenzialmente letaliquando gli operatori sanitari sono presi di mira.
Prevenzione
Come prevenire un attacco
Stare al passo con le minacce informatiche in aumento e in continua evoluzione è più di un lavoro a tempo pieno; è un compito che spetta a tutti all’interno dell’organizzazione. Man mano che gli autori degli attacchi e le vulnerabilità diventano più sofisticati, lo stesso devono fare i responsabili della sicurezza, le organizzazioni IT, i dipendenti e gli utenti finali.
La prevenzione degli attacchi ransomwareinizia con l’informazione e la formazione. Esistono diverse best practice che dovrebbero essere diffuse all’interno delle organizzazioni per contribuire a ridurre il rischio di consentire involontariamente l’esecuzione del ransomware in un ambiente. È opportuno creare team interfunzionali all’interno dell’organizzazione per comunicare le best practice e istruire i partecipanti su cosa non fare.
Non cliccare mai su link sconosciuti o non sicuri: cliccando sui link presenti nelle e-mail o sui siti web si potrebbe innescare il download automatico di un ransomware che infetterà il computer e la rete a cui è collegato.
Non divulgare informazioni personali: condividere informazioni personali con terzi non affidabili tramite telefono, e-mail o SMS potrebbe fornire a malintenzionati informazioni sufficienti per mettere a punto un attacco di phishing che includa un ransomware.
Non aprire mai allegati sospetti contenuti nelle e-mail: l’apertura di un allegato proveniente da una fonte non attendibile o sconosciuta potrebbe attivare un ransomware. Non aprire allegati che richiedono l’esecuzione di macro, poiché spesso si tratta di un malintenzionato che cerca di ottenere l’accesso al sistema.
Evitare l’uso di chiavette USB di provenienza sconosciuta: il collegamento al computer di supporti di memorizzazione provenienti da fonti sconosciute potrebbe causare l’infezione del computer e dell’ambiente circostante.
Controlla i file scaricati dai siti web: scaricare file da siti non sicuri può causare un’infezione da ransomware. I siti web con https anziché http indicano che sono sicuri, e anche la presenza di un simbolo a forma di scudo o di lucchetto nella barra degli indirizzi è indice di sicurezza.
Utilizzare servizi VPN sulle reti pubbliche: l’utilizzo di reti Wi-Fi pubbliche può rendere un sistema vulnerabile. Assicurarsi di utilizzare servizi VPN sicuri quando si accede a reti Wi-Fi pubbliche.
Mantenete aggiornati i sistemi operativi: trascurare l’aggiornamento dei programmi comporta vulnerabilità del sistema. Assicuratevi di applicare tutti gli aggiornamenti necessari del sistema operativo e le patch di sicurezza per evitare di esporre i sistemi ad attacchi.
Rafforzare gli endpoint: configurare i sistemi tenendo conto degli aspetti di sicurezza consentirà di ridurre la superficie di attacco di un’organizzazione e di colmare le lacune di sicurezza derivanti dalle configurazioni predefinite.
Verificare le impostazioni delle porte: valutare se un’organizzazione debba lasciare aperte alcune porte può consentire di limitare le connessioni esclusivamente a host noti e affidabili. Verificare le impostazioni sia per gli ambienti on-premise che per quelli cloud e disabilitare le porte RDP (Remote Desktop Protocol) non utilizzate.
Implementazione di un sistema di rilevamento delle intrusioni (IDS): l’implementazione di un sistema di rilevamento delle intrusioni finalizzato all’individuazione di attività dannose consentirà all’organizzazione di essere avvisata di potenziali attacchi nel momento in cui tali attività vengono rilevate.
I responsabili della sicurezza e le organizzazioni IT dovrebbero comunicare agli utenti finali e alle parti interessate aziendali l’importanza di applicare queste best practice in un ambiente interconnesso per evitare gli attacchi. Tuttavia, i criminali informatici continueranno a insistere e a tendere trappole che rendono il ransomware, nel mondo digitale moderno, una realtà ineludibile del mondo degli affari. Il miglior approccio alternativo alla prevenzione èun ripristino rapido.
riportandoli
Come riprendersi rapidamente con danni minimi
Un attacco ransomware ha lo scopo di causare danni a un’organizzazione e di procurare un guadagno economico all’autore dell’attacco. Perriprendersi più rapidamente da un attacco, le vittime di attacchi ransomware dovrebbero disporre di un piano di risposta agli incidenti.
Un piano di risposta agli incidenti aiuterà un’organizzazione a prepararsi, a reagire e a riprendersi da un incidente causato da un ransomware. I responsabili della sicurezza dovrebbero fornire indicazioni sulle attività e sulle responsabilità chiave per accelerare i tempi complessivi di Recovery e il recupero dei dati. Il tempo necessario per riprendersi da un attacco può variare da pochi giorni a diversi mesi, con una media di circa tre settimane.
Tra le fasi fondamentali di un piano di Recovery in caso di attacco ransomware figurano:
Proteggere il perimetro: al primo segnale di attacco, assicurarsi di bloccare i sistemi. Si stima che la finestra temporale di un attacco ransomware sia di 84 minuti: questo è il tempo che intercorre prima che i dati vengano resi inutilizzabili, sottratti o distrutti. Chiudere tutti i punti di ingresso e di accesso all’azienda, sapendo quali risorse esistono, a cosa danno accesso e come disattivarle tutte.
Valutare i danni: una volta garantita la sicurezza dell’ambiente, valutare i danni causati dall’attacco. Identificare quali dati sono stati esposti o sono trapelati e determinare l’impatto in termini di normative di settore, statali, federali e internazionali. Comprendere gli obblighi di comunicazione e coordinarsi tra i vari team su come soddisfare al meglio tali requisiti.
Individuare la causa: è fondamentale comprendere come o perché l’organizzazione sia stata vittima di un attacco ransomware. Il perimetro era vulnerabile? Erano in atto i controlli adeguati per rilevare rapidamente l’attacco? L’organizzazione ha condotto una formazione sufficiente sulla sicurezza informatica per prevenire i tentativi di phishing? Esiste un piano di protezione dei dati in grado di salvaguardare le informazioni dei clienti? Comprendere come l’attacco ransomware abbia potuto verificarsi all’interno di un’organizzazione contribuirà in modo significativo a prevenire future violazioni.
Recupero dei dati: ripristinare i dati necessari da un backup precedente, risalente a prima dell’infezione da ransomware. È importante individuare un punto di ripristino precedente all’infezione ed effettuare inizialmente il ripristino in un ambiente sandbox, in modo che il ransomware non venga reintrodotto nell’ambiente di produzione.
Comunicare con le parti interessate: siate trasparenti con le parti interessate più rilevanti. L’amministratore delegato e i dirigenti di alto livello devono essere informati il prima possibile e avvisare il consiglio di amministrazione. Ma le persone più importanti sono quelle coinvolte nella violazione, come clienti, partner o dipendenti, che devono essere informate il prima possibile.
Eseguire un’analisi post-attacco: condurre un audit di sicurezza per individuare i punti deboli e riesaminare le politiche, le protezioni degli endpoint, i controlli di sicurezza e le configurazioni. Identificare le vulnerabilità e le aree di miglioramento per aiutare l’organizzazione ad agire in modo più efficace in futuro e rafforzare la sua resilienza contro eventuali attacchi futuri.
Per molte aziende, il ransomware è una minaccia inevitabile. È fondamentale elaborare un piano di risposta agli incidenti per proteggere l’ambiente dagli attacchi, istruire i dipendenti e gli utenti finali su come evitare i fattori scatenanti e reagire rapidamente per prevenire danni e recuperare i dati. Senza un adeguatoransomware readiness, è molto probabile che le aziende cadano vittime di attacchi – subendo perdite di dati, minacce alla sicurezza e costosi tempi di inattività, in un’epoca in cui utenti e aziende richiedono che i propri dati siano accessibili e disponibili 24 ore su 24.
Ransomware: nozioni di base
Demo di recupero da ransomware
