Kesiapan Ransomware untuk Rantai Pasok: Pencegahan, Kontensi & Pemulihan

Ransomware telah menjadi prioritas utama bagi banyak di kami di industri keamanan siber seiring kami melihat sejumlah serangan yang meningkat yang mempengaruhi jaringan rumah sakit, pemerintah lokal dan rantai pasok yang lebih luas. Serangan ransomware pada perusahaan biasanya mengakibatkan hilangnya akses ke data dan sistem untuk beberapa waktu dan datang dengan dampak finansial melalui pendapatan hilang dan uang yang dibelanjakan untuk upaya pemulihan. Ketika serangan ransomware ditargetkan pada perusahaan yang merupakan bagian dari rantai pasok, dampaknya bisa jauh lebih luas karena satu penyedia layanan saja dapat memiliki efek langsung pada ratusan atau ribuan perusahaan.

Memahami kesiapan organisasi Anda terhadap ancaman ransomware sangat penting, dan mengetahui bagaimana vendor di rantai pasok Anda terlibat dalam kesiapan kesiapan Anda adalah bagian kritis dari strategi keseluruhan Anda.

Mencoba memastikan semua pertahanan Anda tercover dan bahwa Anda telah melakukan semua yang dapat Anda lakukan untuk mencegah atau mengurangi dampak serangan ransomware bisa memberatkan. Strategi yang kuat adalah luas dan berlapis-lapis — mencakup arsitektur, endpoint, pengguna dan banyak lagi.

Jadi di mana Anda harus memulai? Pendekatan yang terstruktur dan logis dapat membantu membawa beberapa urutan dalam memahami kesiapan ransomware organisasi Anda. Untuk membantu melakukan ini, mari kita lihat tiga kategori utama: pencegahan, kontensi dan pemulihan.

Pencegahan

Tujuan utama kami adalah menjaga ransomware keluar dari lingkungan kami, mencegahnya untuk masuk dari awal. Dari posisi pertahanan ini, kita perlu melihat infrastruktur Anda dari kontrol perimeter hingga ke pengguna akhir. Sementara kita bisa membahas topik ini panjang lebar, kita akan fokus perhatian kita pada celah tempat ransomware paling sering diperkenalkan.

• Remote desktop protocol (RDP). Meskipun bukan teknologi baru atau vektor serangan baru, RDP telah menjadi target reguler karena kerentanan, konfigurasi salah atau kemampuan terhadap serangan brute force. Dengan kenaikan terbaru dalam tenaga kerja jarak jauh dan kenaikan penggunaan RDP yang seiring, peretas sedang bersenang-senang dengan target baru. Aktivitas pencegahan di sini termasuk membatasi jumlah port terbuka, kontrol autentikasi yang kuat (termasuk multi factor authentication) dan program manajemen kerentanan yang solid.
• Phishing. Email phishing dapat berbahaya terutama karena mereka dapat melewati banyak kontrol keamanan Anda yang memungkinkan konten berbahaya dikirim secara langsung ke apa yang paling sering menjadi titik lemah keamanan Anda — pengguna akhir. Email phishing biasanya mencoba mendapatkan kredensial pengguna atau berisi lampiran atau tautan berbahaya, pada akhirnya memberikan peretas jalur langsung ke lingkungan Anda. Aktivitas pencegahan di sini termasuk penggunaan solusi keamanan email, pelatihan keamanan dan kesadaran untuk pengguna akhir, dan solusi deteksi dan respons endpoint.

Pada akhirnya, teknik pencegahan yang disarankan bukan hal baru. Mereka adalah prinsip-prinsip kunci yang sama yang komunitas keamanan informasi telah bahas untuk beberapa waktu — membatasi apa yang dapat diakses dari internet, pemindaian kerentanan, patching dan kontrol autentikasi yang kuat.

Kontensi

Jadi meski upaya terbaik Anda, ransomware masuk ke lingkungan Anda. Bagaimana Anda dapat menghentikan penyebarannya? Pertimbangkan kebakaran di gedung: strategi kontensi datang sebelum kebakaran nyata melalui penggunaan firewall, bahan tahan api, dll. Ini sama untuk serangan seperti ransomware. Berikut adalah dua strategi kontensi kunci:

• Penggunaan akun khusus. Peretas suka menargetkan akun khusus karena mereka menyediakan tingkat akses yang tinggi ke sistem dan data serta izin yang diperlukan untuk mengeksekusi kode berbahaya. Penggunaan ulang kata sandi, kata sandi akun layanan yang disimpan dalam teks polos, kata sandi yang mudah ditebak, dll. adalah semua masalah umum yang berkontribusi pada kompromi akun.

Pendekatan holistik terhadap manajemen akun khusus adalah kunci di sini. Ini termasuk memahami akun khusus apa yang Anda miliki dan apa yang dapat mereka akses; bagaimana mereka digunakan (mis. admin domain vs. akun layanan); dan bagaimana akun tersebut diakses dan dikelola (mis. penggunaan solusi manajemen akun khusus).

• Segmentasi jaringan. Jaringan datar adalah skenario mimpi bagi peretas. Setelah kredensial diperoleh, mereka dapat bergerak bebas di seluruh jaringan organisasi dan memiliki akses yang tidak terbatas ke sistem dan data. Setidaknya, Anda harus menggunakan segmentasi untuk membatasi gerakan lateral sebanyak mungkin sehingga peretas akan jauh lebih sulit untuk melintasi jaringan Anda dan mendapatkan akses ke sistem dan data tambahan.

Pemulihan

Selain rencana respons insiden, rencana paling kritis untuk membantu upaya pemulihan Anda adalah rencana ketahanan bisnis. Bagaimana bisnis akan terus berfungsi? Rencana ketahanan yang kuat akan membantu memulihkan fungsionalitas sistem bisnis inti Anda.

Vektor serangan umum untuk organisasi termasuk vendor pihak ketiga dalam rantai pasok. Jadi bagaimana kita dapat mengidentifikasi dan mengurangi risiko yang ditimbulkan vendor kami? Pertama, jawab pertanyaan kritis ini:

• Siapa vendor Anda?
• Layanan apa yang diberikan setiap vendor kepada organisasi Anda?

Sejatinya mengidentifikasi siapa vendor Anda bukan tugas yang mudah. Apakah mungkin Anda memiliki vendor yang memiliki akses ke jaringan atau data Anda dan Anda tidak tahu tentang itu? Tentu. Kenyataannya kemampuan ada untuk pergi langsung ke solusi berbasis cloud dan dengan tidak lebih dari kartu kredit dan beberapa klik mouse, Anda sekarang memiliki vendor dengan akses ke data Anda. Jika Anda tidak tahu siapa mereka, mustahil untuk menilai risiko mereka terhadap organisasi Anda. Seperti yang mereka lakukan, vendor di rantai pasok Anda dapat melakukan semua macam layanan. Beberapa secara inheren memberikan risiko yang lebih tinggi kepada perusahaan Anda berdasarkan data atau sistem internal yang mereka akses.

Menjawab pertanyaan ini adalah titik awal yang baik untuk melakukan aktivitas penilaian yang memadai terhadap vendor tersebut. Tujuannya adalah untuk mendapatkan kenyamanan yang cukup bahwa vendor memiliki kontrol yang sesuai untuk melindungi sistem atau data Anda berdasarkan layanan yang mereka berikan bagi Anda. Ada banyak strategi penilaian untuk dimanfaatkan termasuk ulasan sertifikasi seperti SOC atau ISO, kuesioner penilaian seperti SIG, hasil uji penetrasi, dll. Terlepas dari bagaimana Anda mendekatinya, memvalidasi bahwa vendor memiliki kontrol ini dapat mengurangi risiko organisasi Anda terkena dampak dalam hal serangan.

Seiring sistem menjadi lebih terhubung dan kompleks, peretas mungkin masih menemukan beberapa cara melalui pertahanan Anda. Tetapi dengan siap untuk serangan ransomware dapat secara signifikan mengurangi dampak dan padam organisasi Anda. Dengan strategi pertahanan yang menyeluruh, bersama dengan rencana kontensi dan ketahanan yang sesuai, kekuatan siber organisasi Anda hanya dapat meningkat.

Gary Brickhouse adalah chief information security officer di GuidePoint Security.

Ransomware telah menjadi prioritas utama bagi banyak di kami di industri keamanan siber seiring kami melihat sejumlah serangan yang meningkat yang mempengaruhi jaringan rumah sakit, pemerintah lokal dan rantai pasok yang lebih luas. Serangan ransomware pada perusahaan biasanya mengakibatkan hilangnya akses ke data dan sistem untuk beberapa waktu dan datang dengan dampak finansial melalui pendapatan hilang dan uang yang dibelanjakan untuk upaya pemulihan. Ketika serangan ransomware ditargetkan pada perusahaan yang merupakan bagian dari rantai pasok, dampaknya bisa jauh lebih luas karena satu penyedia layanan saja dapat memiliki efek langsung pada ratusan atau ribuan perusahaan.

Memahami kesiapan organisasi Anda terhadap ancaman ransomware sangat penting, dan mengetahui bagaimana vendor di rantai pasok Anda terlibat dalam kesiapan kesiapan Anda adalah bagian kritis dari strategi keseluruhan Anda.

Mencoba memastikan semua pertahanan Anda tercover dan bahwa Anda telah melakukan semua yang dapat Anda lakukan untuk mencegah atau mengurangi dampak serangan ransomware bisa memberatkan. Strategi yang kuat adalah luas dan berlapis-lapis — mencakup arsitektur, endpoint, pengguna dan banyak lagi.

Jadi di mana Anda harus memulai? Pendekatan yang terstruktur dan logis dapat membantu membawa beberapa urutan dalam memahami kesiapan ransomware organisasi Anda. Untuk membantu melakukan ini, mari kita lihat tiga kategori utama: pencegahan, kontensi dan pemulihan.

Pencegahan

Tujuan utama kami adalah menjaga ransomware keluar dari lingkungan kami, mencegahnya untuk masuk dari awal. Dari posisi pertahanan ini, kita perlu melihat infrastruktur Anda dari kontrol perimeter hingga ke pengguna akhir. Sementara kita bisa membahas topik ini panjang lebar, kita akan fokus perhatian kita pada celah tempat ransomware paling sering diperkenalkan.

• Remote desktop protocol (RDP). Meskipun bukan teknologi baru atau vektor serangan baru, RDP telah menjadi target reguler karena kerentanan, konfigurasi salah atau kemampuan terhadap serangan brute force. Dengan kenaikan terbaru dalam tenaga kerja jarak jauh dan kenaikan penggunaan RDP yang seiring, peretas sedang bersenang-senang dengan target baru. Aktivitas pencegahan di sini termasuk membatasi jumlah port terbuka, kontrol autentikasi yang kuat (termasuk multi factor authentication) dan program manajemen kerentanan yang solid.
• Phishing. Email phishing dapat berbahaya terutama karena mereka dapat melewati banyak kontrol keamanan Anda yang memungkinkan konten berbahaya dikirim secara langsung ke apa yang paling sering menjadi titik lemah keamanan Anda — pengguna akhir. Email phishing biasanya mencoba mendapatkan kredensial pengguna atau berisi lampiran atau tautan berbahaya, pada akhirnya memberikan peretas jalur langsung ke lingkungan Anda. Aktivitas pencegahan di sini termasuk penggunaan solusi keamanan email, pelatihan keamanan dan kesadaran untuk pengguna akhir, dan solusi deteksi dan respons endpoint.

Pada akhirnya, teknik pencegahan yang disarankan bukan hal baru. Mereka adalah prinsip-prinsip kunci yang sama yang komunitas keamanan informasi telah bahas untuk beberapa waktu — membatasi apa yang dapat diakses dari internet, pemindaian kerentanan, patching dan kontrol autentikasi yang kuat.

Kontensi

Jadi meski upaya terbaik Anda, ransomware masuk ke lingkungan Anda. Bagaimana Anda dapat menghentikan penyebarannya? Pertimbangkan kebakaran di gedung: strategi kontensi datang sebelum kebakaran nyata melalui penggunaan firewall, bahan tahan api, dll. Ini sama untuk serangan seperti ransomware. Berikut adalah dua strategi kontensi kunci:

• Penggunaan akun khusus. Peretas suka menargetkan akun khusus karena mereka menyediakan tingkat akses yang tinggi ke sistem dan data serta izin yang diperlukan untuk mengeksekusi kode berbahaya. Penggunaan ulang kata sandi, kata sandi akun layanan yang disimpan dalam teks polos, kata sandi yang mudah ditebak, dll. adalah semua masalah umum yang berkontribusi pada kompromi akun.

Pendekatan holistik terhadap manajemen akun khusus adalah kunci di sini. Ini termasuk memahami akun khusus apa yang Anda miliki dan apa yang dapat mereka akses; bagaimana mereka digunakan (mis. admin domain vs. akun layanan); dan bagaimana akun tersebut diakses dan dikelola (mis. penggunaan solusi manajemen akun khusus).

• Segmentasi jaringan. Jaringan datar adalah skenario mimpi bagi peretas. Setelah kredensial diperoleh, mereka dapat bergerak bebas di seluruh jaringan organisasi dan memiliki akses yang tidak terbatas ke sistem dan data. Setidaknya, Anda harus menggunakan segmentasi untuk membatasi gerakan lateral sebanyak mungkin sehingga peretas akan jauh lebih sulit untuk melintasi jaringan Anda dan mendapatkan akses ke sistem dan data tambahan.

Pemulihan

Selain rencana respons insiden, rencana paling kritis untuk membantu upaya pemulihan Anda adalah rencana ketahanan bisnis. Bagaimana bisnis akan terus berfungsi? Rencana ketahanan yang kuat akan membantu memulihkan fungsionalitas sistem bisnis inti Anda.

Vektor serangan umum untuk organisasi termasuk vendor pihak ketiga dalam rantai pasok. Jadi bagaimana kita dapat mengidentifikasi dan mengurangi risiko yang ditimbulkan vendor kami? Pertama, jawab pertanyaan kritis ini:

• Siapa vendor Anda?
• Layanan apa yang diberikan setiap vendor kepada organisasi Anda?

Sejatinya mengidentifikasi siapa vendor Anda bukan tugas yang mudah. Apakah mungkin Anda memiliki vendor yang memiliki akses ke jaringan atau data Anda dan Anda tidak tahu tentang itu? Tentu. Kenyataannya kemampuan ada untuk pergi langsung ke solusi berbasis cloud dan dengan tidak lebih dari kartu kredit dan beberapa klik mouse, Anda sekarang memiliki vendor dengan akses ke data Anda. Jika Anda tidak tahu siapa mereka, mustahil untuk menilai risiko mereka terhadap organisasi Anda. Seperti yang mereka lakukan, vendor di rantai pasok Anda dapat melakukan semua macam layanan. Beberapa secara inheren memberikan risiko yang lebih tinggi kepada perusahaan Anda berdasarkan data atau sistem internal yang mereka akses.

Menjawab pertanyaan ini adalah titik awal yang baik untuk melakukan aktivitas penilaian yang memadai terhadap vendor tersebut. Tujuannya adalah untuk mendapatkan kenyamanan yang cukup bahwa vendor memiliki kontrol yang sesuai untuk melindungi sistem atau data Anda berdasarkan layanan yang mereka berikan bagi Anda. Ada banyak strategi penilaian untuk dimanfaatkan termasuk ulasan sertifikasi seperti SOC atau ISO, kuesioner penilaian seperti SIG, hasil uji penetrasi, dll. Terlepas dari bagaimana Anda mendekatinya, memvalidasi bahwa vendor memiliki kontrol ini dapat mengurangi risiko organisasi Anda terkena dampak dalam hal serangan.

Seiring sistem menjadi lebih terhubung dan kompleks, peretas mungkin masih menemukan beberapa cara melalui pertahanan Anda. Tetapi dengan siap untuk serangan ransomware dapat secara signifikan mengurangi dampak dan padam organisasi Anda. Dengan strategi pertahanan yang menyeluruh, bersama dengan rencana kontensi dan ketahanan yang sesuai, kekuatan siber organisasi Anda hanya dapat meningkat.

Gary Brickhouse adalah chief information security officer di GuidePoint Security.