Czy oprogramowanie wymuszające okup może zainfekować magazyn-chmura?
Użytkownicy i organizacje często błędnie uważają, że magazyn-chmura jest niezwykle niezawodny i nie może paść ofiarą oprogramowania wymuszającego okup. W rzeczywistości magazyn-chmura jest niezawodny dzięki nadmiarowości dysków, połączeń sieciowych oraz mechanizmom replikacji wdrażanym przez dostawców usług w chmurze w ich centrach danych. Nie oznacza to jednak, że dane w chmurze są całkowicie bezpieczne i nie mogą ulec uszkodzeniu przez oprogramowanie wymuszające okup. W tym wpisie na blogu wyjaśniamy, w jaki sposób oprogramowanie wymuszające okup może zaatakować dane w chmurze oraz jak zapobiegać utracie danych w takiej sytuacji.
Zmieniający się krajobraz bezpieczeństwa w chmurze w obliczu oprogramowania wymuszającego okup
Oprogramowanie wymuszające okup niestety wciąż ewoluuje, stając się coraz bardziej wyrafinowane i niebezpieczne. Cyberataki również stały się powszechniejsze. W związku z tym środki bezpieczeństwa w chmurze muszą ewoluować, aby nadążyć za tym zagrożeniem. Dostawcy rozwiązań z zakresu cyberbezpieczeństwa i tworzenia kopii zapasowych opracowują rozwiązania, które pomagają użytkownikom i organizacjom chronić ich dane.
Jednym z najniebezpieczniejszych trendów ostatnich lat jest oprogramowanie wymuszające okup (RaaS). Doświadczeni cyberprzestępcy sprzedają gotowe zestawy oprogramowania wymuszającego okup mniej doświadczonym atakującym, zwiększając w ten sposób liczbę ataków oprogramowania wymuszającego okup. Odmiany oprogramowania wymuszającego okup wykorzystywane w tego typu atakach mogą również uzyskać dostęp do lokalnych sieci organizacji i rozprzestrzeniać się w środowiskach chmurowych.
Ransomware w chmurze to kolejny nowy rodzaj oprogramowania wymuszającego okup, zaprojektowany w celu uzyskania dostępu do danych w chmurze. Może ono kraść dane i wysyłać je do atakujących, a także je szyfrować. Ten rodzaj oprogramowania wymuszającego okup może wykorzystywać luki w zabezpieczeniach środowisk chmurowych.
Jak oprogramowanie wymuszające okup atakuje magazyn-chmura
Oprogramowanie wymuszające okup może atakować magazyn-chmura na wiele sposobów, w tym poprzez wykorzystywanie luk w oprogramowaniu i oszukiwanie użytkowników. Dostawcy usług w chmurze, tacy jak Microsoft, Amazon i Google, zawsze wdrażają silne środki bezpieczeństwa, ale atakujący mogą wykorzystywać luki w zabezpieczeniach po stronie użytkownika, czyli wewnątrz lokalnej infrastruktury organizacji.
- Synchronizacja plików . Magazyn-chmura zazwyczaj pozwala użytkownikom na synchronizację plików na dysku lokalnym oprócz przechowywania w chmurze (na przykład Microsoft OneDrive, Google Drive itp.). Jeśli komputer użytkownika zostanie zainfekowany oprogramowaniem wymuszającym okup, oprogramowanie to szyfruje pliki na dysku lokalnym, a następnie uszkodzone pliki są synchronizowane z magazynem-chmura. W rezultacie pliki w chmurze publicznej również ulegają uszkodzeniu.
- Narażone dane uwierzytelniające użytkownika . Atakujący wykorzystują ataki phishingowe i metodą brute-force, aby przejąć dane uwierzytelniające użytkownika i uzyskać dostęp do plików na komputerze użytkownika oraz innych komputerach w sieci. Po zainstalowaniu oprogramowania wymuszającego okup pliki są szyfrowane, a w rezultacie uszkodzone. Dzięki tej metodzie atakujący mogą uzyskać dostęp do konta w chmurze i usunąć lub uszkodzić dane.
- Wykorzystanie interfejsów API chmury . Interfejsy programowania aplikacji (API) są udostępniane przez dostawców usług w chmurze w celu zapewnienia większej wygody oraz możliwości tworzenia aplikacji innych firm współpracujących z usługami chmury. Interfejsy API umożliwiają aplikacjom automatyzację zadań podczas pracy z usługami chmury. Atakujący mogą wykorzystywać luki w zabezpieczeniach interfejsów API lub skradzione klucze API, aby uzyskać dostęp do magazynu-chmura. Po uzyskaniu dostępu mogą oni wdrażać oprogramowanie wymuszające okup w celu uszkodzenia lub usunięcia plików. W ten sposób luki w zabezpieczeniach API mogą umożliwić oprogramowaniu wymuszającemu okup ominięcie standardowych zabezpieczeń, zapewniając atakującym bezpośredni dostęp do danych przechowywanych w magazynie-chmura.
- Foldery współdzielone i narzędzia do współpracy . Foldery współdzielone są wykorzystywane głównie do współpracy wewnątrz organizacji. Jeśli jedno urządzenie lub konto zostanie przejęte, oprogramowanie wymuszające okup może zostać umieszczone w folderach współdzielonych. Ponieważ inni użytkownicy mogą uzyskać dostęp do tych plików, oprogramowanie wymuszające okup może szybko rozprzestrzeniać się w całej organizacji. Narzędzia do współpracy w chmurze, takie jak Microsoft Teams lub Google Workspace, mogą przyspieszyć rozprzestrzenianie się oprogramowania wymuszającego okup, jeśli zainfekowane zostaną pliki współdzielone.
- Słabe mechanizmy kontroli dostępu . Bez solidnej polityki bezpieczeństwa atakujący mogą wykorzystać nieprawidłowo skonfigurowane uprawnienia. Jeśli użytkownicy mają niepotrzebne uprawnienia do zapisu lub dostęp administracyjny do magazynu w chmurze, oprogramowanie ransomware może uzyskać ten dostęp w celu szyfrowania i zniszczenia plików.
Ochrona magazynu w chmurze przed oprogramowaniem wymuszającym okup
Ochrona magazynu w chmurze przed oprogramowaniem wymuszającym okup wymaga połączenia różnych podejść, w tym środków zapobiegawczych, kontroli dostępu i strategii odzyskiwania danych. Mimo że dostawcy usług w chmurze zapewniają wysoki poziom bezpieczeństwa, odpowiadają oni jedynie za podstawową infrastrukturę chmury. Organizacje korzystające z tych zasobów do przechowywania swoich danych są odpowiedzialne za ochronę danych i związane z tym środki mające na celu uniknięcie utraty danych po swojej stronie. Nazywa się to modelem wspólnej odpowiedzialności, który jest częścią umowy licencyjnej użytkownika końcowego większości dostawców usług w chmurze.
Poniżej przedstawiono główne środki ochrony przed oprogramowaniem wymuszającym okup dostępne dla organizacji:
- Włącz przechowywanie wersji plików w chmurze . Przechowywanie wersji plików pozwala przywrócić poprzednie, niezainfekowane wersje plików, jeśli najnowsze wersje plików zostały zaszyfrowane lub uszkodzone przez oprogramowanie wymuszające okup. Można skonfigurować tę funkcję tak, aby zachowywała wiele wersji każdego pliku w magazynie w chmurze. Główni dostawcy usług w chmurze, tacy jak Microsoft OneDrive i Google Drive, oferują przechowywanie wersji plików.
- Włącz szyfrowanie danych . Silne szyfrowanie uniemożliwia atakującym łatwy dostęp do poufnych plików lub manipulowanie nimi, jeśli uzyskają dostęp do magazynu w chmurze. W miarę możliwości włącz szyfrowanie podczas przesyłania i przechowywania danych, aby zapewnić wysoki poziom bezpieczeństwa. Dostęp do zaszyfrowanych danych mają wyłącznie uprawnieni użytkownicy posiadający klucz lub hasło. Zazwyczaj dostępne są opcje korzystania z wbudowanego szyfrowania usługi lub zastosowania szyfrowania po stronie klienta. Należy pamiętać, że oprogramowanie wymuszające okup może zaszyfrować już zaszyfrowane pliki, ale atakujący nie są w stanie odczytać plików zaszyfrowanych przez użytkownika bez klucza.
- Dokładnie skonfiguruj uprawnienia użytkowników . Podczas konfigurowania uprawnień dostępu stosuj zasadę minimalnych uprawnień. Atakującym zawsze łatwiej jest rozpocząć atak oprogramowania wymuszającego okup poprzez zainfekowanie zwykłego użytkownika, a nie administratora systemu. Gdy użytkownicy mają tylko niezbędne uprawnienia do administracji i do zapisu, oprogramowanie wymuszające okup trudniej jest rozprzestrzeniać się w sieci i infekować inne zasoby.
- Wprowadź zaawansowane wykrywanie zagrożeń . Zainstaluj oprogramowanie antywirusowe na komputerach użytkowników końcowych, aby wykrywać i usuwać oprogramowanie wymuszające okup, jeśli spróbuje je zainfekować. Jeśli komputer nie jest zainfekowany oprogramowaniem wymuszającym okup, nie będzie w stanie zaszyfrować plików zsynchronizowanych z magazynem-chmura.
- Monitorowanie . Należy korzystać z systemów monitorowania z automatycznymi alertami i powiadomieniami, aby szybko wykrywać podejrzane zachowania, które mogą być oznaką działania oprogramowania wymuszającego okup. Masowe modyfikacje plików, masowe udostępnianie oraz próby logowania z nieznanych lokalizacji należy traktować jako podejrzane działania. Wczesne wykrycie oprogramowania wymuszającego okup ułatwia powstrzymanie ataku i uniknięcie destrukcyjnych skutków.
- Izoluj magazyn-chmura . Unikaj konfigurowania synchronizacji plików z dysków lokalnych z magazynem-chmura. Może to zmniejszyć ryzyko uszkodzenia plików przechowywanych w chmurze, jeśli komputer lokalnego użytkownika zostanie zainfekowany oprogramowaniem wymuszającym okup.
- Wyłącz udział plików dla niezaufanych źródeł . Ogranicz udział plików użytkownikom zewnętrznym, aby zminimalizować ryzyko infekcji oprogramowaniem wymuszającym okup poprzez udostępnione dokumenty. Makra w dokumentach Microsoft Office są częstym sposobem infekowania komputerów użytkowników. Ustal ścisłe zasady dotyczące tego, kto może udostępniać pliki i komu, oraz regularnie kontroluj foldery współdzielone, aby upewnić się, że nieuprawnieni użytkownicy nie mają do nich dostępu.
- Edukuj użytkowników . Nieustannie edukuj użytkowników i przeprowadzaj szkolenia z zakresu świadomości bezpieczeństwa. Gdy użytkownicy zrozumieją przynajmniej główne zasady ataków oprogramowania wymuszającego okup i będą wiedzieć, co zrobić, jeśli wykryją podejrzane oznaki, ryzyko infekcji oprogramowania wymuszającego okup zostanie zmniejszone. Ataki phishingowe, które infekują komputery użytkowników, są powszechnym sposobem rozprzestrzeniania oprogramowania wymuszającego okup w infrastrukturze organizacji. Użytkownicy powinni umieć rozpoznawać e-maile phishingowe i podejrzane linki oraz zgłaszać administratorom systemu wszelkie oznaki potencjalnego cyberataku.
- Regularnie wykonywaj kopie zapasowe danych . Posiadanie kopii zapasowej pozwala przywrócić dane w przypadku ich utraty w wyniku ataku oprogramowania wymuszającego okup. Skonfiguruj automatyczne, regularne wykonywanie kopii zapasowych oraz ustaw odpowiednie harmonogramy i zasady przechowywania, aby zapewnić możliwość odzyskania danych z różnych okresów. Wykonywaj kopie zapasowe danych lokalnych i danych przechowywanych w chmurze.
- Włącz niezmienne kopie zapasowe . Jeśli oprogramowanie wymuszające okup uzyska dostęp do magazynu kopii zapasowych, kopie zapasowe ulegną uszkodzeniu i staną się bezużyteczne. Niezmienne kopie zapasowe działają na zasadzie WORM (write-once-read-many). Po zapisaniu niezmiennej kopii zapasowej nie można jej modyfikować do momentu wygaśnięcia okresu niezmienności. Oprócz niezmiennych kopii zapasowych można korzystać z pamięci masowej typu fizycznie odłączonej, takiej jak taśmy lub dyski twarde, które są odłączane po zapisaniu danych kopii zapasowej. Kopie zapasowe typu fizycznie odłączonego są również odporne na oprogramowanie wymuszające okup, ponieważ nie ma ono do nich fizycznego dostępu.
- Przeprowadź szkolenie z zakresu odzyskiwania awaryjnego . Ważne jest, aby być przygotowanym na ataki oprogramowania wymuszającego okup i testować swoje kopie zapasowe. Każdy pracownik powinien wiedzieć, co zrobić w przypadku wykrycia ataku oprogramowania wymuszającego okup – jak powstrzymać infekcję i szyfrowanie plików. Po powstrzymaniu i usunięciu ataku oprogramowania wymuszającego okup ważne jest, aby zlikwidować luki wykorzystane przez oprogramowanie wymuszające okup i odzyskać dane. Gdy scenariusze odzyskiwania danych są dobrze przetestowane, można łatwo i szybko przywrócić dane.
Zapewnienie zgodności z przepisami i bezpieczeństwa dzięki NAKIVO
NAKIVO Backup & Replication to rozwiązanie do ochrony danych, które umożliwia wykonanie kopii zapasowej i odzyskiwanie danych w przypadku ataku oprogramowania wymuszającego okup. Rozwiązanie NAKIVO posiada szeroki zestaw funkcji, w tym funkcje szczególnie pomocne w ochronie danych i kopii zapasowych przed oprogramowaniem wymuszającym okup.
- Tworzenie kopii zapasowych danych w chmurze . Rozwiązanie NAKIVO obsługuje tworzenie kopii zapasowych VMware vSphere, Proxmox VE, Hyper-V, Nutanix AHV, stacji roboczych/serwerów Windows i Linux, Amazon EC2 oraz Microsoft 365, w tym Exchange Online, OneDrive dla Firm, SharePoint Online i Microsoft Teams.
- Przechowywanie kopii zapasowej na różnych typach pamięci masowej . Kopie zapasowe można przechowywać w chmurze oraz na lokalnej pamięci masowej. Obsługiwane są platformy Amazon EC2, Amazon S3, pamięć masowa zgodna z usługą S3, Magazyn Azure Blob Storage, Backblaze B2 oraz inne platformy pamięci masowej w chmurze. Jeśli chodzi o pamięć lokalną, kopie zapasowe można przechowywać w lokalnych repozytoriach kopii zapasowych na komputerach z systemem Linux i Windows, urządzeniach NAS oraz nośnikach taśmowych. Odłączenie nośników kopii zapasowych i stosowanie kopii zapasowych fizycznie odłączonych zapewnia ochronę przed oprogramowaniem wymuszającym okup.
- Kopie zapasowe niezmienne . Repozytoria kopii zapasowych podłączone do systemu Linux Transporter oferują wsparcie dla niezmienności kopii zapasowych. Niezmienne kopie zapasowe mogą być wykonane tylko raz i nie można ich modyfikować w określonym czasie. Repozytoria kopii zapasowych w Amazon S3 również obsługują niezmienne kopie zapasowe i zapewniają ochronę przed oprogramowaniem wymuszającym okup w chmurze.
- Ustawienia harmonogramu i przechowywania . NAKIVO Backup & Replication zapewnia zaawansowane planowanie i przechowywanie ustawienia. Można zaplanować zadania tworzenia kopii zapasowych tak, aby były wykonywane automatycznie w dowolnym momencie, okresowo lub po zakończeniu innego zadania. Elastyczne ustawienia przechowywania pozwalają wdrożyć złożone zasady przechowywania w celu odzyskania danych z ostatnich lub starszych punktów odzyskiwania. Można skorzystać ze schematu dziadek-ojciec-syn (GFS) lub innych, bardziej złożonych zasad przechowywania, które również pomagają spełnić wymagania dotyczące zgodności.
- Funkcja odzyskiwania awaryjnego . Można użyć funkcji Odzyskiwanie lokacji do tworzenia procesów odzyskiwania awaryjnego i przeprowadzania testów odzyskiwania. Takie podejście przygotowuje użytkownika na ewentualne awarie, umożliwiając płynne i szybkie odzyskiwanie danych w chmurze i lokalnie.
- Odzyskiwanie szczegółowe . Jeśli oprogramowanie wymuszające okup zainfekowało dane i konieczne jest odzyskanie tylko określonych plików i obiektów, można to szybko zrobić za pomocą funkcji odzyskiwania szczegółowego. Możesz odzyskać konkretne pliki i foldery z maszyn wirtualnych VMware vSphere, Microsoft Hyper-V, fizycznych maszyn z systemem Linux/Windows oraz kopii zapasowych Amazon EC2, a także odzyskać konkretne pliki z Microsoft OneDrive, wiadomości e-mail z Exchange, witryny SharePoint, obiekty Microsoft Teams itp.
- Kontrola dostępu na podstawie ról . W NAKIVO Backup & Replication możesz skonfigurować konta użytkowników, role i uprawnienia do operacji tworzenia kopii zapasowych i odzyskiwania danych. Skonfigurowanie odpowiednich uprawnień przy użyciu wielu poziomów dostępu ogranicza nieautoryzowany dostęp. Tryb wielodostępności jest przydatny dla dużych organizacji i dostawców usług zarządzanych zainteresowanych ochroną przed oprogramowaniem wymuszającym okup w chmurze.
- Szyfrowanie kopii zapasowej . Szyfrowanie danych kopii zapasowej chroni je przed kradzieżą przez cyberprzestępców w przypadku zainfekowania serwerów kopii zapasowych oprogramowaniem wymuszającym okup. Zaleca się korzystanie z kopii zapasowych i przestrzeganie Zasada wykonywania kopii zapasowej 3-2-1 w NAKIVO Backup & Replication, aby uniknąć uszkodzenia kopii zapasowych przez oprogramowanie wymuszające okup. Można włączyć szyfrowanie kopii zapasowej po stronie źródła, szyfrowanie sieciowe oraz szyfrowanie kopii zapasowych w spoczynku (na poziomie repozytorium).
- Skanowanie kopii zapasowej na obecność złośliwego oprogramowania . Ważne jest, aby upewnić się, że dane kopii zapasowej nie zawierają wirusów ani oprogramowania ransomware. W przypadku przywrócenia plików zawierających wirusy lub oprogramowanie ransomware wtórna infekcja może spowodować uszkodzenie danych po odzyskiwaniu. Rozwiązanie NAKIVO obsługuje integrację z różnymi programami antywirusowymi w celu skanować kopie zapasowe i sprawdzenia, czy są one wolne od wirusów.
Wnioski
Ochrona danych w chmurze przed oprogramowaniem wymuszającym okup wymaga zastosowania szeregu środków zapobiegawczych oraz regularnego tworzenia kopii zapasowych danych. Dane przechowywane w publicznej magazynie-chmurze mogą zostać zainfekowane oprogramowaniem ransomware na różne sposoby. Ważne jest, aby chronić kopie zapasowe przechowywane w magazynie-chmurze i lokalnie przed oprogramowaniem ransomware, ponieważ może ono zaatakować pliki kopii zapasowych. NAKIVO Backup & Replication może chronić dane w magazynie-chmurze i lokalnie dzięki zaawansowanym funkcjom tworzenia kopii zapasowych i odzyskiwania danych.
