Ograniczanie zakresu i wpływu ataków wymuszającego okup

Artykuł
03/28/2024

Następnym krokiem zapobiegania atakom wymuszającym okup jest ochrona uprzywilejowanych ról — tego rodzaju zadań, w których ludzie obsługują wiele uprzywilejowanych informacji w organizacji.

Ta faza zapobiegania oprogramowaniem wymuszającym okup ma na celu zapobieganie atakom cyberprzestępców przed uzyskaniem dużej ilości dostępu do systemów.

Im więcej dostępu do cyberprzestępców musi mieć organizacja i urządzenia, tym większe potencjalne szkody w danych i systemach.

Ważne

Przeczytaj serię zapobiegania oprogramowaniem wymuszającym okup i utrudnij swojej organizacji cyberataki.

Tworzenie oprogramowania wymuszającego okup "strategia uprzywilejowanego dostępu"

Należy zastosować dokładną i kompleksową strategię, aby zmniejszyć ryzyko naruszenia uprzywilejowanego dostępu.

Każda inna kontrola zabezpieczeń, którą stosujesz, może być łatwo unieważniona przez osobę atakującą z uprzywilejowanym dostępem w danym środowisku. Osoby atakujące oprogramowania wymuszającego okup używają uprzywilejowanego dostępu jako szybkiej ścieżki do kontrolowania wszystkich krytycznych zasobów w organizacji w celu ataku i późniejszego wymuszenia.

KtoTo jest odpowiedzialny w programie lub projekcie

W tej tabeli opisano strategię uprzywilejowanego dostępu, aby zapobiec wymuszaniu okupu w odniesieniu do hierarchii zarządzania dostępem sponsorowanym/programem/zarządzania projektami w celu uzyskania wyników.

Lead	Implementator	Odpowiedzialności
CISO lub CIO		Sponsorowanie przez kierownictwo
Główny lider programu		Podsyć wyniki i współpracę między zespołami
	Architekci it i zabezpieczeń	Określanie priorytetów składników integruje się z architekturami
	Zarządzanie tożsamościami i kluczami	Implementowanie zmian tożsamości
	Centralna produktywność IT /zespół użytkowników końcowych	Implementowanie zmian na urządzeniach i dzierżawie usługi Office 365
	Zasady zabezpieczeń i standardy	Aktualizowanie standardów i dokumentów zasad
	Zarządzanie zgodnością z zabezpieczeniami	Monitorowanie w celu zapewnienia zgodności
	Zespół ds. edukacji użytkowników	Aktualizowanie wszystkich wskazówek dotyczących haseł

Lista kontrolna oprogramowania wymuszającego okup "strategia uprzywilejowanego dostępu"

Utwórz strategię wieloczęściową, korzystając ze wskazówek zawartych w https://aka.ms/SPA tej liście kontrolnej.

Gotowe	Zadanie	Opis
	Wymuszaj kompleksowe zabezpieczenia sesji.	Jawnie weryfikuje zaufanie użytkowników i urządzeń przed zezwoleniem na dostęp do interfejsów administracyjnych (przy użyciu dostępu warunkowego firmy Microsoft Entra).
	Ochrona i monitorowanie systemów tożsamości.	Zapobiega atakom eskalacji uprawnień, w tym katalogom, zarządzaniem tożsamościami, kontami administratorów i grupami oraz konfiguracją udzielania zgody.
	Eliminowanie przechodzenia bocznego.	Gwarantuje, że naruszenie jednego urządzenia nie powoduje natychmiastowego kontrolowania wielu lub wszystkich innych urządzeń przy użyciu haseł konta lokalnego, haseł konta usługi ani innych wpisów tajnych.
	Zapewnij szybką reakcję na zagrożenia.	Ogranicza dostęp przeciwnika i czas w środowisku. Aby uzyskać więcej informacji, zobacz Wykrywanie i reagowanie .

Wyniki i osie czasu implementacji

Spróbuj osiągnąć te wyniki w ciągu 30–90 dni:

Do korzystania z bezpiecznych stacji roboczych wymagane jest 100% administratorów
Losowe hasła 100% lokalnej stacji roboczej/serwera
Wdrażane są środki zaradcze eskalacji uprawnień w 100%

Wykrywanie i reagowanie na oprogramowanie wymuszającego okup

Twoja organizacja potrzebuje dynamicznego wykrywania i korygowania typowych ataków na punkty końcowe, pocztę e-mail i tożsamości. Minuty mają znaczenie.

Należy szybko skorygować typowe punkty wejścia do ataku, aby ograniczyć czas osoby atakującej do późniejszego przechodzenia przez organizację.

KtoTo jest odpowiedzialny w programie lub projekcie

W tej tabeli opisano poprawę możliwości wykrywania i reagowania na oprogramowanie wymuszającego okup w zakresie sponsorowania/zarządzania programem/hierarchii zarządzania projektami w celu określenia i uzyskania wyników.

Lead	Implementator	Odpowiedzialności
CISO lub CIO		Sponsorowanie przez kierownictwo
Potencjalnego klienta programu z operacji zabezpieczeń		Podsyć wyniki i współpracę między zespołami
	Centralny zespół ds. infrastruktury IT	Implementowanie agentów klienta i serwera/funkcji
	Security Operations	Integrowanie nowych narzędzi z procesami operacji zabezpieczeń
	Centralna produktywność IT /zespół użytkowników końcowych	Włączanie funkcji usługi Defender dla punktu końcowego, Ochrona usługi Office 365 w usłudze Defender, usługi Defender for Identity i aplikacji Defender dla Chmury
	Centralny zespół ds. tożsamości IT	Implementowanie zabezpieczeń usługi Microsoft Entra i usługi Defender for Identity
	Architekci zabezpieczeń	Porady dotyczące konfiguracji, standardów i narzędzi
	Zasady zabezpieczeń i standardy	Aktualizowanie standardów i dokumentów zasad
	Zarządzanie zgodnością z zabezpieczeniami	Monitorowanie w celu zapewnienia zgodności

Lista kontrolna wykrywania i reagowania na oprogramowanie wymuszającego okup

Zastosuj te najlepsze rozwiązania dotyczące ulepszania wykrywania i reagowania.

Gotowe	Zadanie	Opis
	Określanie priorytetów typowych punktów wejścia: — Użyj zintegrowanych narzędzi wykrywania rozszerzonego i reagowania (XDR), takich jak Usługa Microsoft Defender XDR , aby zapewnić alerty wysokiej jakości i zminimalizować problemy i ręczne kroki podczas reagowania. - Monitoruj próby siłowe, takie jak spray haseł.	Operatory wymuszające okup (i inne) preferują punkt końcowy, pocztę e-mail, tożsamość i protokół RDP jako punkty wejścia.
	Monitorowanie pod kątem wyłączania zabezpieczeń przez przeciwnika (często jest to część łańcucha ataków), takich jak: — Czyszczenie dziennika zdarzeń, zwłaszcza dziennik zdarzeń zabezpieczeń i dzienniki operacyjne programu PowerShell. — Wyłączanie narzędzi i mechanizmów kontroli zabezpieczeń.	Osoby atakujące atakują urządzenia do wykrywania zabezpieczeń, aby kontynuować atak bezpieczniej.
	Nie ignoruj złośliwego oprogramowania.	Osoby atakujące oprogramowania wymuszającego okup regularnie kupują dostęp do organizacji docelowych z ciemnych rynków.
	Integruj ekspertów zewnętrznych z procesami, aby uzupełnić wiedzę, taką jak zespół ds. wykrywania i reagowania firmy Microsoft (DART).	Liczba środowisk na potrzeby wykrywania i odzyskiwania.
	Szybkie izolowanie komputerów z naruszonym zabezpieczeniami przy użyciu usługi Defender dla punktu końcowego.	Integracja z systemami Windows 11 i 10 sprawia, że jest to łatwe.