Ασφάλεια της Microsoft
Κάπου αυτήν τη στιγμή, ένα διοικητικό συμβούλιο ενημερώνεται για το ransomware. Ο CISO αναλύει τι συνέβη, ποιο ήταν το κόστος και ποιες ενέργειες έγιναν ως απόκριση στο περιστατικό. Η ενημέρωση είναι ακριβής. Όμως χάνει την ουσία. Η συζήτηση που έχουν τα περισσότερα διοικητικά συμβούλια για το ransomware ξεκινά από το λάθος σημείο: από το ίδιο το περιστατικό, και όχι από το σύστημα που το επέτρεψε.
Η πιο σημαντική συζήτηση για το ransomware δεν γίνεται στα κέντρα επιχειρήσεων ασφάλειας. Γίνεται στην αίθουσα συνεδριάσεων του διοικητικού συμβουλίου.
Πάρα πολλές ενημερώσεις για το ransomware ξεκινούν από τη στιγμή της κρυπτογράφησης. Μέχρι τότε, η επίθεση βρίσκεται ήδη στα τελικά στάδια. Η αρχική πρόσβαση πιθανότατα είχε αγοραστεί εβδομάδες νωρίτερα. Τα διαπιστευτήρια είχαν υποκλαπεί. Η πλευρική κίνηση πραγματοποιήθηκε αθόρυβα. Ο οργανισμός δεν έγινε ξαφνικά στόχος. Υπάρχει μια βιομηχανοποιημένη εγκληματική αγορά, σχεδιασμένη να εντοπίζει οργανισμούς σαν τον δικό σας και να τους εκμεταλλεύεται.
Αυτή η διάκριση έχει σημασία, γιατί αλλάζει το πού επενδύουν τα διοικητικά συμβούλια.
Όταν τα διοικητικά συμβούλια εστιάζουν μόνο στο τελικό συμβάν, φυσιολογικά δίνουν προτεραιότητα στην ανάκτηση μετά τον αντίκτυπο. Η αποκατάσταση έχει τεράστια σημασία. Όμως η αποκατάσταση από μόνη της δεν αλλάζει τα οικονομικά κίνητρα των εισβολέων. Οι οργανισμοί που προηγούνται του ransomware δεν εστιάζουν μόνο στο πώς θα απορροφήσουν τη διακοπή λειτουργίας. Επενδύουν στη διακοπή της αλυσίδας επίθεσης πριν προκληθεί ζημιά.
Αυτή η αλλαγή είναι πλέον κρίσιμη, επειδή το ransomware έχει εξελιχθεί σε μια ώριμη εγκληματική οικονομία.
Σήμερα, οι εξελιγμένες επιθέσεις δεν απαιτούν πλέον εξελιγμένους εισβολείς. Η αρχική πρόσβαση μπορεί να αγοραστεί τόσο εύκολα όσο το να αγοράσεις μια σοκολάτα από έναν αυτόματο πωλητή. Οι πλατφόρμες "phishing-as-a-service" (ηλεκτρονικό "ψάρεμα" ως υπηρεσία) πωλούνται με συνδρομή, ακριβώς όπως οι υπηρεσίες ροής ή ψυχαγωγίας σας. Οι υπηρεσίες υπογραφής κακόβουλου λογισμικού βοηθούν τον κακόβουλο κώδικα να φαίνεται νόμιμος. Το ΑΙ επιταχύνει την αναγνώριση, την εξατομίκευση και την κοινωνική μηχανική σε κάθε στάδιο του κύκλου ζωής μιας εισβολής.
Οι CISO που έχουν τον μεγαλύτερο αντίκτυπο στα διοικητικά τους συμβούλια δεν παρέχουν πιο λεπτομερείς ενημερώσεις για τις απειλές. Αντίθετα, επαναπροσδιορίζουν το ransomware ως πρόβλημα λειτουργικού και οικονομικού κινδύνου.
Δείτε πώς γίνεται αυτό.
1. Πρόκειται για μια συζήτηση επιχειρηματικού κινδύνου, όχι μόνο κινδύνου ασφαλείας.
Το ransomware είναι λειτουργικός κίνδυνος, οικονομικός κίνδυνος, κίνδυνος φήμης και κίνδυνος επιχειρησιακής συνέχειας, που συμβαίνουν όλα ταυτόχρονα. Τα διοικητικά συμβούλια κατανοούν ήδη τον κίνδυνο στην αλυσίδα εφοδιασμού και την αγορά. Το ransomware δεν αποτελεί εξαίρεση. Μόλις το δουν με αυτόν τον τρόπο, το ερώτημα μετατοπίζεται από το "πώς θα ανακάμψουμε πιο γρήγορα" στο "πώς θα μειώσουμε την έκθεση προτού συμβεί η διακοπή". Και τα δύο έχουν σημασία. Αλλά μόνο το ένα αλλάζει τα οικονομικά δεδομένα της επίθεσης.
Το οικοσύστημα του ransomware λειτουργεί πλέον με την αποτελεσματικότητα μιας ώριμης αγοράς, με κοινή υποδομή, εξειδικευμένους παρόχους υπηρεσιών και τεχνικές ενισχυμένες από ΑΙ, συμπιέζοντας το κόστος των εισβολέων σε κάθε στάδιο. Η διακοπή του Fox Tempest από τη Microsoft το αποδεικνύει ξεκάθαρα. Δεν επρόκειτο για φορέα ransomware. Ήταν κοινή υποδομή, από την οποία εξαρτώνταν εκατοντάδες εγκληματικές επιχειρήσεις για να κάνουν τα κακόβουλα ωφέλιμα φορτία να φαίνονται νόμιμα. Η διακοπή της υποβάθμισε τη δυνατότητα σε ολόκληρο το οικοσύστημα ταυτόχρονα. Οι αμυνόμενοι πρέπει να λειτουργούν με τον ίδιο τρόπο, στοχεύοντας την κοινόχρηστη υποδομή των επιτιθέμενων σε ανώτερο επίπεδο και όχι απλώς αντιδρώντας στο σημείο όπου εκδηλώνεται η επίθεση.
Οι οργανισμοί που προπορεύονται σε αυτό δίνουν προτεραιότητα στην προστασία ταυτότητας, στον εντοπισμό μεσολαβητών πρόσβασης, στην ορατότητα των διαδρομών επίθεσης και στη συνεχή πληροφοριακή ανάλυση η οποία επιτρέπει την αποτροπή πριν από την ανάπτυξη ransomware, μαζί με τις επενδύσεις στην ανθεκτικότητα που διασφαλίζουν την αποκατάσταση όταν αυτό τελικά συμβεί.
Κάθε οργανισμός θα βρεθεί στο στόχαστρο. Ο διαφοροποιητικός παράγοντας δεν είναι αν θα συμβεί μια εισβολή, αλλά αν ο οργανισμός μπορεί να περιορίσει τη διακοπή, να διατηρήσει τη λειτουργία του και να ανακάμψει χωρίς καταστροφικό επιχειρηματικό αντίκτυπο. Αυτό απαιτεί επενδύσεις στην επιχειρηματική συνέχιση και αποκατάσταση καταστροφής (BCDR), σε αμετάβλητα και τμηματοποιημένα αντίγραφα ασφαλείας, σε στρατηγικές περιορισμού ταυτότητας και σε δοκιμές επιχειρησιακής αποκατάστασης. Και απαιτεί να μετράτε το σωστό μέγεθος: όχι μόνο τον χρόνο αποκατάστασης, αλλά και το διάστημα ανάμεσα στην αρχική παραβίαση και τον περιορισμό. Αυτό το χρονικό παράθυρο καθορίζει αν μια παραβίαση θα εξελιχθεί σε επιχειρηματική κρίση.
Τα διοικητικά συμβούλια κατανοούν ήδη τον κίνδυνο στην αλυσίδα εφοδιασμού και την αγορά. Το ransomware δεν αποτελεί εξαίρεση. Μόλις το δουν με αυτόν τον τρόπο, το ερώτημα μετατοπίζεται από το "πώς θα ανακάμψουμε πιο γρήγορα" στο "πώς θα μειώσουμε την έκθεση προτού συμβεί η διακοπή".
Η Microsoft παρακολουθεί και δημοσιεύει στοιχεία για το οικοσύστημα ransomware ως υπηρεσία από το 2020.
Η στρατηγική απόκρισης που είχε νόημα το 2020 δεν επαρκεί πλέον. Και μια συζήτηση σε επίπεδο διοικητικού συμβουλίου που παραμένει εγκλωβισμένη στο τοπίο απειλών του 2020 δεν είναι επίσης επαρκής.
Κάθε εβδομάδα έως τον Σεπτέμβριο, η Microsoft χαρτογραφεί το τοπίο του κυβερνοεγκλήματος σε πραγματικό χρόνο, δημοσιεύοντας τις πληροφορίες που παρατηρούν οι αναλυτές απειλών μας για περισσότερους από 65 οικονομικά υποκινούμενους παράγοντες απειλής, οι οποίοι δραστηριοποιούνται σε ένα συντονισμένο εγκληματικό οικοσύστημα. Το Hot Cybercrime Summer έχει σχεδιαστεί για να αναδεικνύει ακριβώς αυτού του είδους τις πληροφορίες: μεταφρασμένες στη γλώσσα που χρειάζονται οι ηγέτες ασφάλειας για να δράσουν και να τις παρουσιάσουν στους ανθρώπους που χρηματοδοτούν την απόκριση.
Ακολουθήστε τη σειρά. Και φέρτε αυτές τις πληροφορίες στην επόμενη συζήτησή σας στο διοικητικό συμβούλιο. Ο χάρτης υπάρχει. Το ερώτημα είναι αν ο οργανισμός σας τον χρησιμοποιεί. Ιστολόγιο ασφάλειας της Microsoft | Πληροφορίες σχετικά με απειλές για το ransomware
Οι CISO λογοδοτούν προσωπικά για κινδύνους τους οποίους τα διοικητικά τους συμβούλια δεν διαθέτουν ακόμη τα δεδομένα για να αξιολογήσουν. Η κάλυψη αυτού του κενού είναι ένα από τα σημαντικότερα πράγματα που μπορεί να κάνει ένας ηγέτης στον τομέα της ασφάλειας".
Ακολουθήστε την Ασφάλεια της Microsoft