De "kracht van twee" in de strijd tegen Ransomware

Als het om ransomware gaat, kun je de krantenkoppen niet ontlopen. Dagelijks verschijnen er berichten over organisaties die worden gegijzeld in ruil voor exorbitante sommen geld. Volgens een recent rapport van Gartner “zal tegen 2025 ten minste 75% van de IT-organisaties te maken krijgen met één of meer aanvallen, aangezien onafhankelijke onderzoekers een dramatische toename van ransomware-aanvallen in 2020 vaststellen, met groeicijfers die zevenvoudig of nog hoger liggen.”

Bovendien blijkt uit het Verizon Data Breach Investigations Report 2021 dat servers het meest aangevallen bedrijfsmiddel zijn. Aangezien servers (of virtuele machines waarop Windows Server draait) de plek zijn waar het merendeel van de bedrijfskritische applicaties draait, kunnen organisaties door ransomware-aanvallen in feite volledig lamgelegd worden.

Managed service providers (MSP's) staan voor de uitdaging om een allesomvattende aanpak te vinden om hun klanten te beschermen tegen ransomware-aanvallen. Van 24/7 real-time monitoring tot beperking en herstel, de last ligt bij de MSP.

Datto richt zich uitsluitend op het leveren van best-in-class oplossingen aan MSP's. Daarom levert de combinatie van Datto RMM met realtime ransomwaredetectie en -mitigatie en Datto BCDR recovery de "Power of Two" voor het bestrijden van ransomware. Deze combinatie richt zich op vier stappen om deze altijd aanwezige cyberdreiging succesvol te bestrijden.

1. Waarschuwing
2. Isoleren
3. beperken
4. Herstel

Hoewel er geen waterdichte manier is om een ransomware-aanval te voorkomen, kunt u wel de gevolgen beperken en snel herstellen. Laten we daarom de vier stappen bespreken om een ransomware-aanval aan te pakken en ervan te herstellen.

Stap 1: Waarschuwen

Ransomware-aanvallen kunnen onopgemerkt blijven, tenzij u 24/7 een schildwacht op wacht hebt staan. Tegen de tijd dat een eindgebruiker iets verdachts meldt, zoals bestanden die ontoegankelijk zijn of een pop-up met een ransomware-bericht, is het te laat.

Waar let je op? Over het algemeen controleren oplossingen voor realtime monitoring en detectie van ransomware op de aanwezigheid van crypto-ransomware door middel van gedragsanalyse van bestanden, en sturen ze vervolgens een waarschuwing wanneer een apparaat is geïnfecteerd. Bestandsanalyse omvat het controleren op allerlei zaken, van bekende bestandsextensies zoals .crypt, een toename in de frequentie van het hernoemen en verwijderen van bestanden, het meten van entropie, tot vele andere wijzigingsgebeurtenissen. Maar daar blijft het niet bij – om ervoor te zorgen dat een server niet wordt aangevallen en geïnfecteerd met ransomware, moet het starten van nieuwe processen binnen Windows worden gecontroleerd, zoals gebeurtenissen bij het opstarten.

Daarnaast kan een toename in netwerkverkeer of ongebruikelijke systeem-naar-systeem verbindingen erop wijzen dat een ransomware-aanval actief is of op het punt staat te beginnen. Eén manier waarop aanvallers Windows systemen misbruiken is door zich te richten op single-sign-on (SSO). Wanneer een wachtwoord wordt aangemaakt in Windows, wordt het gehasht en opgeslagen in de Security Accounts Manager (SAM), Active Directory (AD) of ergens anders. Wanneer een beheerder zich aanmeldt bij Windows Server, blijven de wachtwoordgegevens achter. Aanvallers vangen de hash van het wachtwoord op en gebruiken het om naar andere systemen op het netwerk te gaan. Deze techniek wordt pass-the-hash (PtH) genoemd.

Datto's RMM biedt 24/7 bewaking van alle endpoints, inclusief Windows Servers. Het zoekt naar afwijkingen en stuurt onmiddellijk een waarschuwing als het mogelijke ransomware-activiteit vindt. Omdat Datto RMM collectief alle computers bewaakt, kan het snel op de hoogte zijn van ransomware-aanvallen.

Stap 2: Isoleren

Zodra een ransomware-aanval wordt gedetecteerd, is het van essentieel belang om de getroffen server te isoleren om de aanval in te dammen voordat deze zich verder verspreidt. PtH-aanvallen verspreiden zich snel van het ene apparaat naar het andere binnen het netwerk en vinden vaak plaats buiten de normale kantooruren, waardoor technici die op afroep beschikbaar zijn en NOC’s niet snel genoeg kunnen reageren.

Datto RMM Ransomware-detectie zorgt ervoor dat apparaten die met ransomware zijn geïnfecteerd, worden geïsoleerd en dat de ransomware zich niet naar andere netwerkapparaten kan verspreiden, terwijl de toegang tot de getroffen apparaten via de RMM-console op afstand behouden blijft. Deze stap is belangrijk ter ondersteuning van DFIR-activiteiten (Digital Forensics and Incident Response), waardoor technici en SOC-teams meer tijd krijgen om bewijsmateriaal te verzamelen en de volgende stappen te nemen in het kader van uw maatregelen voor risicobeperking en herstel.

Cloudgebaseerde interface voor Datto RMM om een geïnfecteerd apparaat te isoleren