Die "Macht der Zwei" zur Bekämpfung von Ransomware

Wenn es um Ransomware geht, kommt man an den Schlagzeilen kaum vorbei. Täglich wird berichtet, dass Unternehmen gegen Zahlung exorbitanter Summen als Geiseln genommen werden. Laut einem aktuellen Gartner-Bericht „werden bis 2025 mindestens 75 % der IT-Organisationen mit einem oder mehreren Angriffen konfrontiert sein, da unabhängige Forscher einen dramatischen Anstieg der Ransomware-Angriffe im Jahr 2020 dokumentieren und auf Wachstumsraten hinweisen, die das Siebenfache oder mehr betragen.“

Darüber hinaus zeigt der „Verizon 2021 Data Breach Investigations Report“, dass Server das am häufigsten angegriffene System sind. Da auf Servern (oder virtuellen Maschinen unter Windows Server) ein Großteil der geschäftskritischen Anwendungen ausgeführt wird, können Unternehmen durch Ransomware-Angriffe praktisch lahmgelegt werden.

Managed Service Provider (MSP) stehen vor der Herausforderung, einen umfassenden Ansatz zum Schutz ihrer Kunden vor Ransomware-Angriffen zu finden. Von der 24/7-Echtzeitüberwachung bis hin zur Schadensbegrenzung und Wiederherstellung liegt die Last beim MSP.

Datto konzentriert sich ausschließlich darauf, MSPs mit erstklassigen Lösungen zu versorgen. Aus diesem Grund bietet die Kombination aus Datto RMM mit Echtzeit-Ransomware-Erkennung und -Mitigation und Datto BCDR Recovery die "Power of Two" für die Bekämpfung von Ransomware. Diese Kombination umfasst vier Schritte zur erfolgreichen Bekämpfung dieser allgegenwärtigen Cyber-Bedrohung.

1. Alarmierung
2. Isolieren Sie
3. Entschärfen Sie
4. Wiederherstellen

Es gibt zwar keine narrensichere Methode, um einen Ransomware-Angriff zu verhindern, aber Sie können die Auswirkungen verringern und sich schnell erholen. Lassen Sie uns daher die vier Schritte erörtern, mit denen Sie einem Ransomware-Angriff begegnen und sich davon erholen können.

Schritt 1: Alarmierung

Ransomware-Angriffe können unentdeckt bleiben, es sei denn, Sie haben einen Wächter, der rund um die Uhr Wache hält. Wenn ein Endbenutzer etwas Verdächtiges meldet, z. B. dass auf Dateien nicht mehr zugegriffen werden kann oder ein Popup-Fenster mit einer Ransomware-Notiz erscheint, ist es bereits zu spät.

Worauf achten Sie? Im Allgemeinen überwachen Lösungen zur Echtzeit-Erkennung und -Überwachung von Ransomware das Vorhandensein von Krypto-Ransomware mithilfe von Verhaltensanalysen von Dateien und senden anschließend eine Warnmeldung, sobald ein Gerät infiziert ist. Die Dateianalyse umfasst die Überprüfung bekannter Dateiendungen wie .crypt, eine erhöhte Häufigkeit von Dateiumbenennungen und Löschvorgängen, die Messung der Entropie sowie viele andere Änderungsereignisse. Doch damit ist es noch nicht getan – um sicherzustellen, dass ein Server nicht angegriffen und mit Ransomware infiziert wird, sollte der Start neuer Prozesse unter Windows überwacht werden, beispielsweise Ereignisse beim Systemstart.

Darüber hinaus können eine Zunahme des Netzwerkverkehrs oder ungewöhnliche System-zu-System-Verbindungen darauf hinweisen, dass ein Ransomware-Angriff aktiv ist oder kurz bevorsteht. Eine Möglichkeit für Angreifer, Windows-Systeme auszunutzen, ist das Single-Sign-On (SSO). Wenn ein Kennwort in Windows erstellt wird, wird es gehasht und im Security Accounts Manager (SAM), im Active Directory (AD) oder anderswo gespeichert. Wenn sich ein Administrator bei Windows Server anmeldet, werden seine Kennwortdaten zurückgelassen. Angreifer fangen den Kennwort-Hash ab und verwenden ihn, um zu anderen Systemen im Netzwerk durchzudringen. Diese Technik wird als Pass-the-Hash (PtH) bezeichnet.

Datto RMM bietet eine 24/7-Überwachung aller Endpunkte, einschließlich Windows-Servern. Es sucht nach Anomalien und sendet sofort eine Warnung, wenn es mögliche Ransomware-Aktivitäten findet. Da Datto RMM kollektiv alle Computer überwacht, kann es schnell auf Ransomware-Angriffe aufmerksam werden.

Schritt 2: Isolieren

Sobald ein Ransomware-Angriff erkannt wird, ist es unerlässlich, den betroffenen Server zu isolieren, um den Angriff einzudämmen, bevor er sich ausbreitet. PtH-Angriffe breiten sich im Netzwerk schnell von einem Gerät zum nächsten aus und treten häufig außerhalb der üblichen Geschäftszeiten auf – schneller, als Techniker im Bereitschaftsdienst und NOCs reagieren können.

Datto RMM Die Ransomware-Erkennung isoliert mit Ransomware infizierte Geräte und stellt sicher, dass sich die Ransomware nicht auf andere Netzwerkgeräte ausbreiten kann, während der Fernzugriff auf die betroffenen Geräte über die RMM-Konsole weiterhin möglich bleibt. Dieser Schritt ist wichtig für die Unterstützung von DFIR-Maßnahmen (Digital Forensics and Incident Response) und verschafft Technikern und SOC-Teams mehr Zeit, um Beweismaterial zu sammeln und die nächsten Schritte zur Schadensbegrenzung und Wiederherstellung einzuleiten.

Cloud-basierte Schnittstelle für Datto RMM zur Isolierung eines infizierten Geräts