Ochrona przed oprogramowaniem wymuszającym okup i odzyskiwanie danych w Office 365: kompleksowy przegląd
W dzisiejszych czasach oprogramowanie wymuszające okup jest uważane za jedno z największych zagrożeń dla współczesnych przedsiębiorstw, ponieważ może ono dotknąć wszelkiego rodzaju dane, w tym pliki i dokumenty z pakietu Microsoft 365. W rzeczywistości w 2020 roku na całym świecie odnotowano ponad 304 miliony ataków przypadków, z czego średnia kwota okupu wynosi 812 360 dolarów. Metody ataku z roku na rok stają się coraz bardziej wyrafinowane.
Zgodnie z modelem wspólnej odpowiedzialności firma Microsoft udostępnia użytkownikom różne narzędzia ochrony przed oprogramowaniem wymuszającym okup w usłudze Office 365. Jednak organizacje korzystające z usługi Office 365 są odpowiedzialne za skonfigurowanie tych narzędzi w celu zabezpieczenia swoich danych przed zagrożeniami, a także za stosowanie narzędzi innych firm w celu zapewnienia możliwości ich odzyskania.
W tym poście szczegółowo opisano wbudowane funkcje ochrony przed oprogramowaniem wymuszającym okup i odzyskiwania danych firmy Microsoft, które pozwalają zabezpieczyć środowisko i przywrócić dane po ataku ransomware.
Wbudowane opcje ochrony przed oprogramowaniem wymuszającym okup w usłudze Office 365
Subskrypcje Microsoftu obejmują szereg wbudowanych funkcji, które pozwalają chronić środowisko dzierżawczego użytkownika i ograniczyć ryzyko w razie incydentu bezpieczeństwa. Korzystając z narzędzi dostępnych na stronie Ochrona Exchange Online (EOP) oraz w programie Microsoft Defender, można wykrywać, monitorować i powstrzymywać ataki, zanim przenikną one do sieci i rozprzestrzenią się w niej.
Należy pamiętać, że funkcje ochrony przed oprogramowaniem wymuszającym okup firmy Microsoft mają ograniczenia i nie zapewniają całkowitej odporności na infekcje, zwłaszcza w przypadku złośliwego oprogramowania zainicjowanego przez użytkownika.
Microsoft 365 Defender
Większość potrzebnych narzędzi bezpieczeństwa ikradzież tożsamościmożna znaleźć w Microsoft 365 Defender i Microsoft Defender dla Office 365, ponieważ łączą one liczne funkcje monitorowania i ochrony. Dodatkowo można użyć Microsoft Defender for Identity i Microsoft Defender for Endpoint, aby znaleźć zainfekowane urządzenia, które mogą być źródłem naruszenia.
Najważniejsze funkcje ochrony przed oprogramowaniem wymuszającym okup w usłudze Office 365 zawarte w usłudze Microsoft Defender wymieniono poniżej.
- Badanie zagrożeń i reagowanie na nie
Jest to zestaw funkcji, które pomagają administratorom skanować środowisko i gromadzić dane dotyczące potencjalnych zagrożeń. Proces badania zagrożeń i reagowania na nie gromadzi informacje przy użyciu narzędzi do śledzenia zagrożeń z różnych źródeł, takich jak zainfekowane komputery, poprzednie incydenty, aktywność użytkowników i inne. Następnie wdrażane są niezbędne działania reagujące, aby wyeliminować zagrożenia w usługach OneDrive dla Firm, SharePoint Online, Exchange Online i Microsoft Teams.
- Ochrona przed phishingiem
Schematy socjotechniczne, takie jak ataki phishingowe, są Najczęstsze sposoby ataków oprogramowania wymuszającego okup. Program Microsoft Defender dla Office 365 wykorzystuje zaawansowane algorytmy i zestaw funkcji do automatycznego wykrywania ataków phishingowych i ochrony danych Office 365.
Analiza fałszywych adresów : Te informacje pozwalają wykrywać i automatycznie blokować fałszywych nadawców w wiadomościach z domen wewnętrznych lub zewnętrznych. Można również ręcznie zezwolić lub zablokować zidentyfikowanych nadawców na liście zezwoleń/blokad dzierżawcy.
Zasady antyphishingowe : Skonfiguruj różne ustawienia, takie jak ochrona przed podszywaniem się, inteligencja skrzynki pocztowej i zaawansowane progi phishingowe. Dodatkowo można określić działanie dla zablokowanych fałszywych nadawców.
Ukryte uwierzytelnianie poczty e-mail : Wykrywaj fałszywych nadawców, sprawdzając przychodzące wiadomości e-mail za pomocą zaawansowanych technik, takich jak ocena reputacji nadawcy, historia nadawcy, analiza behawioralna i inne.
Przegląd kampanii : Wykrywaj i analizuj wiadomości wykorzystywane w skoordynowanych kampaniach phishingowych.
Szkolenia z symulacją ataków : Administratorzy mogą tworzyć fałszywe wiadomości phishingowe i udostępniać je użytkownikom w swojej sieci, aby sprawdzić ich gotowość oraz przeprowadzić szkolenia uświadamiające na temat oprogramowania wymuszającego okup.
- Ochrona przed złośliwym oprogramowaniem
Wielowarstwowa ochrona przed złośliwym oprogramowaniem w EOP automatycznie wykrywa różne rodzaje przychodzącego i wychodzącego złośliwego oprogramowania, w tym wirusy, oprogramowanie szpiegujące i oprogramowanie wymuszające okup. Odbywa się to za pomocą następujących funkcji:
Wielowarstwowa ochrona przed złośliwym oprogramowaniem : Kilka silników skanujących chroni organizację przed znanymi i nieznanymi zagrożeniami. Silniki te zapewniają ochronę przed oprogramowaniem wymuszającym okup w Office 365 nawet we wczesnych fazach ataku.
Reagowanie na zagrożenia w czasie rzeczywistym : Twój zespół ds. bezpieczeństwa może zebrać wystarczającą ilość informacji o wirusie lub złośliwym oprogramowaniu, aby stworzyć konkretne reguły zasad i natychmiast opublikować je w całej sieci.
Szybkie wdrażanie definicji złośliwego oprogramowania : Silniki antywirusowe są stale aktualizowane o nowe poprawki i definicje złośliwego oprogramowania.
- Kontrolowany dostęp do folderów
Włączając ochronę w czasie rzeczywistym w programie Microsoft Defender Antivirus, możesz zarządzać ustawieniami kontrolowanego dostępu do folderów, aby chronić pliki i dane Office 365 przed złośliwymi aplikacjami i oprogramowaniem wymuszającym okup. Ta funkcja sprawdza aplikacje względem listy znanych aplikacji i zezwala na dostęp do chronionych folderów wyłącznie zaufanym aplikacjom. W przypadku złośliwych działań otrzymujesz powiadomienie wskazujące, która aplikacja próbowała wprowadzić niepożądane zmiany w chronionym dokumencie.
- Microsoft Defender dla aplikacji w chmurze
Przejście do chmury wiąże się z nowymi zagrożeniami bezpieczeństwa, które mogą narazić dane na niebezpieczeństwo podczas przechowywania lub przesyłania. Microsoft Defender for Cloud Apps zapewnia Plany Microsoft Enterprise zaawansowaną kontrolę, doskonałą widoczność i solidne wykrywanie cyberzagrożeń w usługach chmurowych firmy Microsoft i innych dostawców usług w chmurze.
Główne funkcje zapewniające ochronę przed oprogramowaniem wymuszającym okup w Office 365 to:
Wykrywanie i kontrola wykorzystania Shadow IT : Identyfikacja aplikacji i usług chmurowych używanych przez organizację, badanie wzorców użytkowania oraz ocena gotowości biznesowej w obliczu wielu zagrożeń.
Ochrona poufnych informacji w chmurze : Wdrażaj zasady i zautomatyzowane procesy w celu kontrolowania i zabezpieczania wrażliwych danych w czasie rzeczywistym we wszystkich aplikacjach w chmurze.
Zapobieganie cyberzagrożeniom i wykrywanie anomalii : Wykrywanie nietypowych zachowań, oprogramowania wymuszającego okup, zainfekowanych komputerów i złośliwych aplikacji. Analiza wzorców użytkowania wysokiego ryzyka i automatyczne usuwanie zagrożeń.
Ocena zgodności aplikacji w chmurze : Upewnij się, że Twoje aplikacje spełniają wymagane normy zgodności z przepisami i standardy branżowe.
- Microsoft Defender SmartScreen
Microsoft Defender SmartScreen zapewnia ochronę przed złośliwym oprogramowaniem oraz aplikacjami i stronami internetowymi służącymi do phishingu. Pliki potencjalnie złośliwe są automatycznie blokowane, a użytkownik otrzymuje powiadomienie. Odwiedzane strony internetowe są analizowane i sprawdzane pod kątem listy zgłoszonych witryn phishingowych i złośliwych. Natomiast pobrane aplikacje lub instalatory aplikacji są sprawdzane pod kątem listy zgłoszonych programów złośliwych, o których wiadomo, że są niebezpieczne.
Microsoft Purview Information Protection
Ochrona przed oprogramowaniem wymuszającym okup w usłudze Office 365 to nie tylko zapobieganie atakom. Optymalne procesy zarządzania danymi mogą również zmniejszyć ryzyko utraty danych spowodowanej oprogramowaniem wymuszającym okup. Korzystając z różnych funkcji w Microsoft Purview Information Protection, można identyfikować, klasyfikować i chronić wrażliwe dane, zarówno podczas przesyłania, jak i w stanie spoczynku.
- Zapobieganie utracie danych (DLP)
Zdefiniowanie i stosowanie zasad DLP zapobiega nieodpowiedniemu udostępnianiu wrażliwych danych przez użytkowników nieuprawnionym osobom oraz ogranicza ryzyko utraty danych. Co ważniejsze, DLP pozwala monitorować działania użytkowników dotyczące wrażliwych elementów. Elementy te można również przenieść i zablokować w bezpiecznej lokalizacji kwarantanny, aby zapobiec dotarciu do nich infekcji oprogramowania wymuszającego okup.
- Etykiety wrażliwości
Skonfiguruj i zastosuj etykiety wrażliwości do danych, które uznasz za potencjalnie narażone na atak oprogramowania wymuszającego okup, takich jak wrażliwe wiadomości e-mail lub dokumenty. Chroń pliki Office 365, oznaczając zawartość lub stosując szyfrowanie danych, aby zapewnić, że dostęp do nich mają tylko uprawnieni użytkownicy.
Dodatkowe narzędzia ochrony przed oprogramowaniem wymuszającym okup w usłudze Office 365
Firma Microsoft udostępnia więcej funkcji, które ograniczają ryzyko związane z oprogramowaniem wymuszającym okup i utratą danych:
- Ustawienia poczty e-mail w usłudze Exchange : Wiadomości phishingowe to główna metoda wykorzystywana w atakach ransomware. Skonfigurowanie ustawień poczty e-mail w usłudze Exchange zmniejsza podatność organizacji na ataki oparte na wiadomościach e-mail poprzez zablokowanie początkowego dostępu do dzierżawcy.
- Uwierzytelnianie wieloskładnikowe : Włączanie nowoczesnego uwierzytelniania w usłudze Office 365 zapewnia dodatkową warstwę zabezpieczeń podczas logowania i znacznie zmniejsza ryzyko naruszenia danych uwierzytelniających.
- Wskaźnik bezpieczeństwa Microsoft : To narzędzie na bieżąco ocenia stan bezpieczeństwa Twojej organizacji i sugeruje ulepszenia, które pomogą chronić dane w usłudze Office 365.
- Reguły ograniczania powierzchni ataku : Zmniejsz podatność na cyberataki, konfigurując odpowiednie ustawienia. Blokuj podejrzane działania, zanim zainfekują całą sieć.
Metody odzyskiwania danych po ataku oprogramowania wymuszającego okup firmy Microsoft
Czasami wszystkie opcje ochrony zawodzą i dochodzi do ataku oprogramowania wymuszającego okup. W takim przypadku należy natychmiast zatrzymać synchronizację OneDrive na wszystkich podłączonych urządzeniach i odłączyć zainfekowane urządzenia od sieci. Jeśli zostanie to zrobione na czas, istnieje duża szansa, że zainfekowane pliki nadal mają niezaszyfrowane kopie przechowywane na innych dyskach.
Przechowywanie wersji
Po włączeniu przechowywania wersji można automatycznie zapisywać wiele wersji tego samego dokumentu w SharePoint Online, Exchange Online i OneDrive dla Firm. Domyślnie liczba wersji jest ograniczona do 500, ale można ją zwiększyć do 50 000.
Można przywrócić poprzednie wersje utworzone przed atakiem oprogramowania wymuszającego okup i przywrócić je w razie potrzeby. Należy pamiętać, że przechowywanie wersji nie zapewnia pełnej ochrony przed oprogramowaniem wymuszającym okup, ponieważ niektóre infekcje mogą również zaszyfrować wszystkie wersje dokumentu.
Uwaga : Przechowywanie kilku wersji wymaga dodatkowej przestrzeni dyskowej.
Kosz
W niektórych przypadkach ataki oprogramowania wymuszającego okup usuwają oryginalny plik i tworzą nową, zaszyfrowaną wersję, której nie można używać. Kosz może służyć jako narzędzie do odzyskiwania danych po ataku oprogramowania wymuszającego okup firmy Microsoft, ponieważ umożliwia przywrócenie usuniętych plików w ciągu 93 dni.
Nawet po upływie tego okresu i usunięciu elementu z obu etapów kosza masz 14 dni na skontaktowanie się z pomocą techniczną firmy Microsoft w celu zgłoszenia prośby o Odzyskiwanie danych. Po upływie tego terminu dane zostaną trwale usunięte.
Zasady przechowywania zgodności
Utwórz reguły określające, jak długo przechowujesz pliki i dokumenty Office 365. Pozwala to skonfigurować, które dane mogą zostać usunięte i kiedy. Proces ten można zautomatyzować, ustawiając zasady przechowywania dla określonych typów treści.
Uwaga : Zasady przechowywania zgodności są dostępne tylko w planach subskrypcji Microsoft 365 E5, A5 i G5.
Biblioteka zatrzymania danych
Dzięki zastosowaniu ustawień zatrzymania dane zsynchronizowane z OneDrive lub SharePoint mogą być przechowywane przez określony czas w bibliotece zatrzymania danych. Funkcja archiwum miejscowego gwarantuje, że kopia pozostaje niezmieniona i nie jest narażona na skutki infekcji oprogramowaniem wymuszającym okup. Po ataku użytkownik może uzyskać dostęp do biblioteki i wyeksportować potrzebne pliki.
Rozwiązania do tworzenia kopii zapasowych innych producentów
Istnieją różne metody odzyskiwania danych po ataku ransomware w Office 365, które można wykorzystać do przywrócenia zainfekowanych danych. Należy pamiętać, że podobnie jak w przypadku funkcji ochrony przed oprogramowaniem wymuszającym okup firmy Microsoft, narzędzia te mają swoje ograniczenia i mogą nie gwarantować odzyskania danych.
Firma Microsoft nie wykonuje kopii zapasowych danych Office 365, ale oferuje zamiast tego zasady przechowywania danych dla usług Exchange Online, SharePoint Online i OneDrive dla Firm. Z drugiej strony nowoczesne rozwiązania do tworzenia kopii zapasowych dla modelu SaaS zapewniają optymalną ochronę danych i bezpieczeństwo w przypadku cyberataku. Dane mogą być przechowywane w bezpiecznych repozytoriach i szybko odzyskane po ataku.
Podsumowanie
Obecnie ataki oprogramowania wymuszającego okup stanowią największe zagrożenie dla organizacji, ponieważ mogą dotknąć każdy rodzaj danych, w tym dokumenty i pliki Office 365. Na szczęście Microsoft zapewnia wbudowaną ochronę przed oprogramowaniem wymuszającym okup w Office 365 oraz narzędzia do odzyskiwania danych, które nieustannie monitorują i chronią Twoje środowisko.
Jednak te natywne narzędzia mają swoje ograniczenia i konieczne jest rozwiązanie do tworzenia kopii zapasowych innej firmy, aby bezpiecznie odzyskać dane po infekcji. Pobierz bezpłatną edycję NAKIVO Backup for Office 365, aby zapoznać się ze wszystkimi zaawansowanymi narzędziami i funkcjami, które pomogą Ci zapewnić możliwość odzyskania danych.
