Membatasi cakupan dan dampak serangan ransomware

Artikel
03/25/2024

Langkah selanjutnya untuk mencegah serangan ransomware adalah melindungi peran istimewa -- jenis pekerjaan di mana orang menangani banyak informasi istimewa dalam organisasi.

Fase pencegahan ransomware ini bertujuan untuk mencegah penyerang penjahat cyber mendapatkan banyak akses ke sistem Anda.

Semakin banyak akses yang dimiliki penjahat cyber ke organisasi dan perangkat Anda, semakin tinggi potensi kerusakan pada data dan sistem Anda.

Penting

Baca seri pencegahan ransomware, dan buat organisasi Anda sulit diserang cyber.

Membuat ransomware 'strategi akses istimewa'

Anda harus menerapkan strategi menyeluruh dan komprehensif untuk mengurangi risiko kompromi akses istimewa.

Kontrol keamanan lain yang Anda terapkan dapat dengan mudah dibatalkan oleh penyerang dengan akses istimewa di lingkungan Anda. Penyerang ransomware menggunakan akses istimewa sebagai jalur cepat untuk mengontrol semua aset penting dalam organisasi untuk serangan dan pemerasan berikutnya.

Siapa dapat dipertanggungjawabkan dalam program atau proyek

Tabel ini menjelaskan strategi akses istimewa untuk mencegah ransomware dalam hal hierarki manajemen sponsor/manajemen program/manajemen proyek untuk mendorong hasil.

Lead	Implementor	Akuntabilitas
CISO atau CIO		Sponsor eksekutif
Prospek program		Mendorong hasil dan kolaborasi lintas tim
	Arsitek IT dan Keamanan	Memprioritaskan komponen yang diintegrasikan ke dalam arsitektur
	Manajemen Identitas dan Kunci	Menerapkan perubahan identitas
	Produktivitas IT Pusat / Tim Pengguna Akhir	Menerapkan perubahan pada perangkat dan penyewa Office 365
	Kebijakan dan Standar Keamanan	Memperbarui standar dan dokumen kebijakan
	Manajemen Kepatuhan terhadap Keamanan	Memantau untuk memastikan kepatuhan
	Tim Pendidikan Pengguna	Memperbarui panduan kata sandi apa pun

Daftar periksa 'strategi akses istimewa' Ransomware

Bangun strategi multi-bagian menggunakan panduan di https://aka.ms/SPA yang mencakup daftar periksa ini.

Selesai	Tugas	Deskripsi
	Menerapkan keamanan sesi end-to-end.	Secara eksplisit memvalidasi kepercayaan pengguna dan perangkat sebelum mengizinkan akses ke antarmuka administratif (menggunakan Microsoft Entra Conditional Access).
	Lindungi dan pantau sistem identitas.	Mencegah serangan eskalasi hak istimewa termasuk direktori, manajemen identitas, akun dan grup administrator, dan konfigurasi pemberian persetujuan.
	Mitigasi traversal lateral.	Memastikan bahwa mengorbankan satu perangkat tidak segera menyebabkan kontrol terhadap banyak atau semua perangkat lain menggunakan kata sandi akun lokal, kata sandi akun layanan, atau rahasia lainnya.
	Pastikan respons ancaman yang cepat.	Membatasi akses dan waktu adversary di lingkungan. Lihat Deteksi dan Respons untuk informasi selengkapnya.

Hasil implementasi dan garis waktu

Cobalah untuk mencapai hasil ini dalam 30-90 hari:

100 % admin diperlukan untuk menggunakan stasiun kerja yang aman
100 % kata sandi stasiun kerja/server lokal diacak
100 % mitigasi eskalasi hak istimewa disebarkan

Deteksi dan respons ransomware

Organisasi Anda memerlukan deteksi responsif dan remediasi serangan umum pada titik akhir, email, dan identitas. Menit penting.

Anda harus dengan cepat memulihkan titik masuk serangan umum untuk membatasi waktu penyerang untuk melintasi organisasi Anda secara lateral.

Siapa dapat dipertanggungjawabkan dalam program atau proyek

Tabel ini menjelaskan peningkatan kemampuan deteksi dan respons Anda terhadap ransomware dalam hal hierarki manajemen sponsor/manajemen program/manajemen proyek untuk menentukan dan mendorong hasil.

Lead	Implementor	Akuntabilitas
CISO atau CIO		Sponsor eksekutif
Prospek program dari Operasi Keamanan		Mendorong hasil dan kolaborasi lintas tim
	Tim Infrastruktur IT Pusat	Menerapkan agen/fitur klien dan server
	Operasi Keamanan	Mengintegrasikan alat baru apa pun ke dalam proses operasi keamanan
	Produktivitas IT Pusat / Tim Pengguna Akhir	Mengaktifkan fitur untuk Defender for Endpoint, Defender untuk Office 365, Defender for Identity, dan aplikasi Defender untuk Cloud
	Tim Identitas IT Pusat	Menerapkan keamanan Microsoft Entra dan Pertahanan untuk Identitas
	Arsitek Keamanan	Saran tentang konfigurasi, standar, dan peralatan
	Kebijakan dan Standar Keamanan	Memperbarui standar dan dokumen kebijakan
	Manajemen Kepatuhan terhadap Keamanan	Memantau untuk memastikan kepatuhan

Daftar periksa deteksi dan respons ransomware

Terapkan praktik terbaik ini untuk meningkatkan deteksi dan respons Anda.

Selesai	Tugas	Deskripsi
	Prioritaskan titik masuk umum: - Gunakan alat Extended Detection and Response (XDR) terintegrasi seperti Microsoft Defender XDR untuk memberikan pemberitahuan berkualitas tinggi dan meminimalkan gesekan dan langkah manual selama respons. - Pantau upaya brute-force seperti semprotan kata sandi.	Operator Ransomware (dan lainnya) mendukung titik akhir, email, identitas, dan RDP sebagai titik masuk.
	Pantau musuh yang menonaktifkan keamanan (ini sering menjadi bagian dari rantai serangan), seperti: - Penghapusan log peristiwa, terutama log Peristiwa Keamanan dan log Operasional PowerShell. - Menonaktifkan alat dan kontrol keamanan.	Penyerang menargetkan fasilitas deteksi keamanan untuk melanjutkan serangan mereka dengan lebih aman.
	Jangan abaikan malware komoditas.	Penyerang Ransomware secara teratur membeli akses ke organisasi target dari pasar gelap.
	Integrasikan pakar luar ke dalam proses untuk melengkapi keahlian, seperti Microsoft Detection and Response Team (DART).	Jumlah pengalaman untuk deteksi dan pemulihan.
	Mengisolasi komputer yang disusupi dengan cepat menggunakan Defender for Endpoint.	Integrasi Windows 11 dan 10 memudahkan ini.