Resumo
Os ataques de ransomware estão em alta e afetaram até 85% das empresas entrevistadas em 2022. Embora algumas empresas escolham pagar o resgate, um número significativo delas não conseguiu recuperar seu dados e várias foram vítimas de um segundo ataque. O ransomware pode paralisar uma empresa, então é essencial que você se prepare, implementando medidas poderosas de cibersegurança, uma estratégia de backup abrangente e um plano robusto de resposta a incidentes. As empresas devem verificar rigorosamente a integridade dos backups e praticar sua resposta a incidentes. Elas precisam saber como se recuperar de um incidente de ransomware da forma mais rápida e eficaz possível.
Saiba mais sobre as melhores práticas de ransomware e como proteger a sua empresa.
O que é recuperação de ataques de ransomware?
Uma das maiores ameaças enfrentadas pelas empresas hoje é o ransomware. De acordo com o relatório sobre Tendências de Proteção de Dados em 2023, o número de empresas atacadas aumentou de 76% em 2021 para 85% em 2022. Assustadoramente, apenas 55% dos dados criptografados foram recuperados. Em média, as empresas afetadas perderam 45% de seus dados.
Existem vários tipos de ransomware. Geralmente, os criminosos virtuais bloqueiam os usuários fora de suas máquinas e criptografam os dados para extorquir quantias substanciais de dinheiro. Scareware e doxware são outros tipos de ransomware que ameaçam vazar informações privadas, a menos que a vítima pague um resgate.
A recuperação de ataque de ransomware é um conjunto de ações deliberadas que as empresas adotam para minimizar o impacto dos ataques de ransomware. Com base na suposição de que os hackers conseguirão criptografar os dados da empresa, as organizações implementam um sistema de backups de dados imutáveis e snapshots de configuração que lhes permitem recriar seus sistemas. Uma recuperação de ataque de ransomware bem-sucedida depende da eficácia dos processos de backup e proteção de dados da empresa, e do que foi afetado durante o ataque de ransomware.
Prepare-se para ataques de ransomware
A preparação contra ransomware faz parte do planejamento de continuidade dos negócios, e o risco de um ataque é alto. Um ataque bem-sucedido pode causar uma perda de dados significativa e a incapacidade da sua empresa continuar, o que é uma preocupação constante.
A preparação para um ataque de ransomware requer um plano de recuperação abrangente. Esse plano precisa ser regularmente revisado e detalhadamente testado. Ele deve incorporar as melhores práticas de prevenção contra ransomware, incluindo medidas poderosas de cibersegurança e uma estratégia de backup abrangente.
Implemente medidas poderosas de cibersegurança
Seu primeiro passo deve ser o fortalecimento da sua rede contra acesso não autorizado e a proteção do seu sistema contra os hackers. As principais etapas incluem:
- Proteção de endpoints. Proteja todos os dispositivos de endpoint como laptops, máquinas virtuais (VMs), servidores, dispositivos embarcados e dispositivos móveis. Implemente a autenticação Multifator (MFA), aplique políticas de senhas fortes e criptografe os seus dados. Instale software de segurança de endpoints e adote princípios de segurança de Zero Trust.
- Segurança da rede. Proteja sua rede contra acesso não autorizado. Use firewalls robustos para se proteger contra os hackers. Use as redes virtuais privadas (VPNs) para segmentar sua rede e minimizar a extensão de uma violação de segurança.
- Segurança de e-mail. Implemente soluções avançadas de proteção contra ameaças para proteger as contas de usuários. Treine os usuários sobre a segurança de e-mail e como reconhecer sinais de ataques de phishing.
- Aplicar patches no software. Instale imediatamente os patches de segurança de software para minimizar o risco de exploração de vulnerabilidades pelos hackers.
Crie uma estratégia de backup abrangente
Os hackers reconhecem a importância dos backups, atacando deliberadamente os arquivos e servidores de backup. Crie uma estratégia de backup segura e abrangente e considere esses pontos ao desenvolver o seu plano de backup.
- Regra 3-2-1-1-0: Essa é uma evolução do plano de backup 3-2-1. Ela requer três backups além dos dados originais. Você deve manter seus backups em pelo menos dois tipos diferentes de mídia, com uma cópia off-site e outra off-line. O zero nessa versão da regra significa que você precisa verificar seus backups para se certificar de que não existem erros.
- Tipo de backup: Sua estratégia de backup pode incluir backups completos, incrementais ou diferenciais. Normalmente, os backups completos são feitos semanalmente e os backups incrementais ou diferenciais são feitos diariamente. Um backup incremental é um backup separado que armazena todas as mudanças desde o último backup completo ou incremental. Um backup diferencial é um pouco diferente, pois grava todas as mudanças desde o último backup completo. Seu tamanho aumenta a cada backup diferencial.
- Backups off-site e baseados na nuvem: Pelo menos um conjunto de backups deve ser off-site, em um servidor remoto seguro ou em uma instalação de nuvem segura, como o storage de objetos na nuvem Amazon S3.
- Backups imutáveis: Os backups devem ser imutáveis. Isso significa que são somente leitura e não podem ser modificados ou excluídos, geralmente por um período pré-determinado. Backups imutáveis oferecem mais proteção contra ransomware.
Como detectar incidentes de ransomware
A detecção de uma infecção de ransomware nos estágios iniciais é crucial e pode impedir um ataque de ransomware completo. Um ataque de ransomware tem vários estágios. Isso inclui a entrada ou infecção inicial, o reconhecimento, a preparação e, finalmente, a criptografia de dados. Se você conseguir detectar essa atividade, pode isolar as máquinas afetadas e minimizar o impacto de um ataque. Aqui estão três técnicas para ajudar:
- Identificar os sintomas e indicadores do ransomware. Os sintomas iniciais de um ataque geralmente incluem atividade alta da CPU e grande atividade de leitura e escrita nos discos rígidos.
- Monitorar e analisar anomalias de rede. Os sinais de atividade maliciosa incluem tráfego incomum na rede, picos de tráfego, largura de banda de rede reduzida e solicitações de rede anormais.
- Use soluções de segurança da informação e gerenciamento de eventos (SIEM): Usando técnicas de aprendizado de máquina, o software SIEM analisa os dados de registros de eventos para identificar ameaças e atividades suspeitas em tempo real.
O que fazer ao responder aos ataques de ransomware
Responda de forma imediata e decisiva a um ataque de ransomware. Quanto mais rápida a sua resposta, melhor, especialmente se você puder agir antes que os agentes maliciosos criptografem seus dados. Aqui estão cinco passos que você pode seguir para responder:
- Implemente seu plano de resposta a incidentes: Ative imediatamente seu plano de resposta, isolamento e contenção de ransomware e notifique a gerência sênior e todos os respondentes.
- Isole e contenha os sistemas infectados: Determine quais sistemas estão infectados e isole-os da sua rede interna e da internet. Faça snapshots e imagens de sistema de todos os seus dispositivos infectados.
- Notifique às autoridades relevantes e à justiça: Dependendo da sua jurisdição, você deve denunciar o ataque para as autoridades reguladoras e da lei, como o FBI ou CISA.
- Interaja com suporte externo de especialistas em cibersegurança: Contate empresas especializadas em suporte de TI e cibersegurança como a Veeam para obter suporte de resposta de emergência contra o ransomware.
- Avalie as considerações legais e éticas na sua resposta a incidentes de ransomware: Determine e informe todas as partes afetadas. Estabeleça as consequências legais da proteção de dados, leis de privacidade e as suas responsabilidades éticas.
Estratégias de recuperação de ataque de ransomware
Sua estratégia de recuperação pode ser influenciada por vários fatores, incluindo:
- O tempo que a recuperação levará
- O impacto financeiro para o negócio
- Ameaças de divulgar dados confidenciais a menos que um resgate seja pago
Aqui exploramos várias opções, incluindo o uso de backups, o pagamento do resgate, ferramentas de descriptografia de ransomware e provedores de serviços contra ransomware.
Restaurar dados a partir de backups
- Restauração de dados: Restaurar dados dos backups Veeam é um processo relativamente simples. Você pode escolher entre restaurar para os servidores originais ou para uma VM. Essa segunda opção significa que você pode se recuperar rapidamente de um ataque de ransomware enquanto a sua equipe de TI trabalha para limpar e reinstalar os seus servidores. A Veeam permite que você crie uma réplica do seu backup e configure uma VM que possa ser usada para failover no caso de um ataque de ransomware. Outras opções de recuperação incluem snapshots e repositórios baseados em flash.
- Garantir a integridade e a verificação dos dados: É crucial que você se certifique de que os seus backups não estejam infectados e ainda possam ser usados. Por exemplo, a função de restauração segura da Veeam executa automaticamente uma verificação antivírus das suas imagens de backup antes que a restauração seja concluída.
- Recuperar dados de backups imutáveis: Você não pode alterar os backups imutáveis durante o período de imutabilidade, o que lhe protege contra o ransomware. Backups imutáveis fornecem uma imunidade significativamente maior aos ataques de ransomware.
Avaliar o pagamento do resgate
A decisão de pagar o resgate é sempre difícil, e as empresas afetadas precisam medir os riscos e consequências do pagamento. Embora o FBI não recomende o pagamento do resgate, o relatório sobre Tendências de Ransomware em 2023 da Veeam mostra que 80% das vítimas decidiram pagar. Os motivos para negociar com operadores de ransomware incluem:
- Backups criptografados. Talvez você não tenha acesso a backups limpos. O relatório sugere que os ataques de ransomware afetaram 75% dos repositórios de backup.
- Custo de oportunidade. Você perde dinheiro e credibilidade a cada dia que a sua empresa fica fora de ação. O custo total de restauração pode ser maior do que pagar o resgate.
- Dados confidenciais. A ameaça de divulgação de dados confidenciais é real, e você pode achar que é mais seguro pagar o resgate e recuperar esses dados.
Porém, existem muitas evidências que sugerem que o pagamento do resgate não é o fim da história. Entre as empresas que pagaram o resgate, descobrimos que 25% não recuperaram seus dados. Além disso, 80% das empresas que pagaram o resgate foram vítimas de um segundo ataque de ransomware mais tarde.
As empresas devem investigar opções que eliminem qualquer possível necessidade de pagar o resgate.
Usar ferramentas e técnicas de descriptografia
Às vezes é possível descriptografar arquivos de ransomware, e o sucesso depende principalmente do tipo de ransomware e da disponibilidade de ferramentas adequadas. Kaspersky, Avast e Bitdefender têm ferramentas de descriptografia que podem ajudar com alguns tipos de ransomware. Porém, os criminosos virtuais mais bem-sucedidos usam métodos fortes de criptografia, com ferramentas de 128 e 256 bits. É quase impossível quebrar esse nível de criptografia. Porém, especialistas descobriram falhas em certas formas de ransomware que permitem que os usuários descriptografem seus arquivos.
Trabalhar com serviços de recuperação de ataques de ransomware
Se você quer descriptografar seus arquivos, pode ser melhor trabalhar com um provedor de serviços profissionais de recuperação de ataque de ransomware. Algumas empresas desenvolveram uma reputação invejável na área, enquanto outras, não. Portanto, antes de contratar esses serviços, avalie a experiência deles. É melhor lidar com profissionais de boa reputação, que vão avaliar a sua situação e dar uma resposta honesta sobre a possibilidade de recuperação dos seus dados. Os melhores provedores de serviços têm operações globais, com múltiplos laboratórios de pesquisa. Dito isso, esses serviços são caros, e ainda não há garantia de que você vai conseguir recuperar seus dados.
Melhores práticas de recuperação de ataque de ransomware
Apesar de todas as dificuldades, você ainda pode se recuperar de um ataque de ransomware. Aqui estão quatro melhores práticas de recuperação de ataque de ransomware que podem fazer a diferença entre o sucesso e o fracasso.
- Testar e validar os backups: Os backups não servem para nada se não funcionarem. Faça testes de validação regulares para verificar se há corrupção, vírus ou malware. Monte os backups em uma VM e certifique-se de que eles funcionam.
- Preparar um plano de resposta a incidentes de ransomware: Tenha um plano de resposta a incidentesdetalhado, que defina responsabilidades específicas. Liste os passos que a sua equipe precisa seguir antes que um evento ocorra.
- Simular e praticar a recuperação de ataque de ransomware: Verifique seu plano simulando um incidente de ransomware. Impeça a interrupção de serviços usando uma VM off-line. Pratique seu processo de recuperação até que todos saibam o que fazer.
- Treinar a equipe sobre táticas de prevenção contra ransomware: Treine sua equipe para reconhecer ataques de phishing e outras táticas usadas pelos criminosos virtuais.
O que fazer após um ataque de ransomware
Após um ataque e uma vez que você tiver se recuperado, realize um exame post-mortem detalhado para analisar o que aconteceu.
- Avaliar o impacto e a extensão do ataque de ransomware: Faça uma avaliação após a recuperação. Descubra a extensão total do ataque e avalie seu impacto em termos de tempo de inatividade e perdas financeiras. Identifique como os hackers ganharam acesso e se conseguiram comprometer os seus backups.
- Tratar as vulnerabilidades: Identifique e corrija todas as vulnerabilidades de hardware e software. Então, treine seus funcionários novamente.
- Reforçar a segurança: Fortaleça seus sistemas e analise as permissões. Configure mais VPNs para isolar melhor os sistemas. Implemente práticas de MFA.
- Implementar estratégias de longo prazo para a redução de riscos: Contate organizações de cibersegurança como NIST e CISA. Aprenda a reduzir seu risco, melhorar a segurança e proteger os seus sistemas.
Conclusão
A recuperação de ataque de ransomware é viável. O pagamento do resgate não é recomendado, pois a maioria das empresas que pagam o resgate não conseguem recuperar todos os dados. O fator importante por trás de uma recuperação bem-sucedida é a preparação adequada para os ataques de ransomware. Isso inclui implementar medidas poderosas de segurança e criar uma estratégia de backup apropriada. Você precisa ter uma estratégia coerente de resposta ao ransomware e uma equipe muito bem treinada. A detecção do ransomware no início é essencial. Outro fator é ter uma estratégia forte de backup, com múltiplas cópias imutáveis. Também é importante reconhecer a necessidade de melhoria contínua, para que você possa se adaptar a ameaças em evolução.
Saiba mais sobre a recuperação de ataque de ransomware com esta série de vídeos rápidos sobre as tendências de Ransomware em 2023. Esses vídeos mostram, em termos práticos, como se preparar e recuperar de um ataque de ransomware.