حمله باج افزار: چگونه سازمان ها را نابود می کند و چگونه از آنها محافظت کنیم؟

باج افزار دیگر یک تهدید دور از ذهن نیست. در ایران هم مثل خیلی جاهای دنیا این حملات سازمان ها را زمین گیر می کنند. سیستمها قفل می شوند، کار می خوابد، مشتری ها عصبانی می شوند و حتی اگر باج بدهید معلوم نیست داده ها کامل برگردند یا اطلاعات حساس جای دیگری منتشر نشود. خیلی از مدیران بعد از حادثه تازه می فهمند چقدر آسیب پذیر بوده اند.

آمار جهانی روشن است. گزارشهای متعدد نشان میدهد حملات باج افزار در سالهای اخیر رشد تندی داشته. در سال های اخیر درصد قابل توجهی از سازمان های بررسی شده حداقل یک بار با این تهدید روبرو شده اند و میانگین خسارت یک حمله موفق به چند میلیون دلار رسیده که شامل downtime، بازیابی و گاهی باج می شود. زمان متوسط اختلال کسب و کار اغلب بیش از سه هفته گزارش شده.

در ایران آمار رسمی دقیقی منتشر نمی شود چون خیلی از قربانیان ترجیح میدهند موضوع را علنی نکنند تا اعتبارشان ضربه نخورد. با این حال از صحبت با مسئولان IT و اخبار پراکنده مشخص است که بخش تولید، بهداشت و درمان، شرکتهای خدماتی و حتی برخی نهادها هدف قرار گرفته اند. مهاجمان معمولا گروه های بین المللی هستند که دنبال پول سریع میگردند و از روشهای تکراری اما موثر استفاده میکنند.

سازمانهایی که می خواهند جدی با موضوع برخورد کنند می توانند با گروه آتنا نماینده رسمی کسپرسکی تماس بگیرند.

حمله باج افزار معمولا مرحله به مرحله پیش میرود. اول دسترسی اولیه. هنوز هم ایمیل فیشینگ موثرترین راه است. کارمند روی لینک کلیک میکند یا فایل ضمیمه را باز میکند و بدافزار وارد میشود. راههای دیگر شامل آسیب پذیری های وصل نشده در VPN یا سرور وب، پورتهای RDP باز و brute force است. بعد از ورود، مهاجم سعی میکند پنهان بماند. از ابزارهای قانونی مثل PowerShell استفاده میکند، ردپا را پاک میکند و در شبکه حرکت جانبی انجام میدهد. امتیازات را بالا میبرد تا به حسابهای ادمین یا دامین کنترلر برسد. در حملات جدیدتر اغلب داده های ارزشمند را هم کپی میکنند (باجگیری دوگانه) و بعد رمزنگاری شروع می شود. الگوریتم ها قوی هستند و بدون کلید practically غیرقابل شکستن. پیام باج روی صفحه ها ظاهر می شود با مهلت و تهدید انتشار اطلاعات.

نقاط ضعفی که بارها سوءاستفاده میشوند آشنا هستند: سیستم ها و نرم افزارهای قدیمی بدون بروزرسانی، پسوردهای ضعیف یا تکراری، نبود MFA روی دسترسی ریموت، پشتیبانهایی که روی همان شبکه هستند و خودشان هم رمز می شوند، نبود تقسیم بندی شبکه و کمبود آگاهی کارکنان. خیلی ها هنوز به آنتی ویروس سنتی تکیه می کنند که در برابر رفتارهای جدید کافی نیست.

روش های امنیت سایبری برای کسب و کارهای متوسط با منابع محدود باید روی لایه های پایه اما موثر تمرکز کنند و برای محافظت سایبری در سازمان های بزرگ با شبکه پیچیده تر نیاز به دید جامع تری هست.

پنج استراتژی که اگر درست پیاده شوند شانس مهاجم را خیلی کم میکنند از این قرار است:

• اول معماری اعتماد صفر. هیچ کاربر یا دستگاهی را پیشفرض قابل اعتماد ندانید. دسترسیها را محدود و micro-segmentation اجرا کنید.
• دوم استفاده از ابزارهای تشخیص و پاسخ نقطه پایانی پیشرفته. تحلیل و پیشگیری از باج افزار با Kaspersky EDR رفتارهای مشکوک مثل اسکن شبکه یا تلاش برای غیرفعال کردن امنیت را قبل از شروع رمزنگاری شناسایی میکند. این ابزارها فراتر از امضا عمل میکنند.
• سوم پلن پشتیبانگیری و بازیابی فاجعه محکم. قانون ۳-۲-۱ را رعایت کنید، پشتیبان ها را منظم تست کنید و حداقل یکی را آفلاین یا immutable نگه دارید. بازیابی را تمرین کنید چون در بحران هر ساعت مهم است.
• چهارم مدیریت هویت قوی همراه آموزش مداوم کارکنان. شبیه سازی فیشینگ برگزار کنید.
• پنجم آمادگی واکنش به حادثه. برنامه مکتوب داشته باشید و نقشها مشخص باشد. خدمات واکنش به حوادث آتنا میتواند در لحظه بحران تیم متخصص را وارد کند تا گسترش را متوقف و بازیابی را شروع کند.

چک لیست آمادگی عملی این موارد را پوشش میدهد. دارایی های حیاتی را شناسایی و اولویت بندی کنید. فرآیند وصله گذاری منظم داشته باشید. MFA را روی همه دسترسی های خارجی و حساب های مهم فعال کنید. پشتیبان روزانه بگیرید و ماهانه بازیابی را تست کنید. شبکه را segment کنید. لاگها را جمع آوری و مانیتور کنید. برنامه واکنش به حادثه را بنویسید و حداقل سالی یک بار تمرین کنید. کارکنان را آموزش دهید و سیاست استفاده از ایمیل و USB را سخت بگیرید. ارزیابی ریسک دورهای انجام دهید.

باج افزار کامل قابل جلوگیری نیست اما اثراتش را میتوان خیلی کم کرد. پیشگیری همیشه ارزانتر از درمان بعد از قفل شدن همه چیز است. سرمایه گذاری الان روی لایه های درست، از خسارت های سنگین فردا جلوگیری میکند. سازمانهایی که این موارد را جدی میگیرند معمولا یا اصلا هدف موفق نمی شوند یا خیلی سریعتر به حالت عادی برمی گردند.

کلام آخر

در نهایت باج افزار تهدیدی است که نادیده گرفتنش هزینه بر تمام می شود. سازمان هایی که تصور می کنند برایشان پیش نمی آید اغلب همان هایی هستند که بیشترین آسیب را می بینند. شناخت آمار واقعی، فهمیدن چرخه کامل حمله از ورود اولیه تا رمزنگاری و انتشار داده، بستن نقاط ضعف متداول و اجرای استراتژی های مشخص مثل اعتماد صفر، ابزارهای تشخیص رفتار، پشتیبانگیری تست شده و برنامه واکنش آماده، تفاوت بین یک اختلال کوتاه و یک فاجعه چندماهه را رقم میزند. چک لیست را از روی کاغذ به عمل تبدیل کنید و آن را بخشی از کار روزانه امنیت بدانید. اقدام امروز جلوی خسارت سنگین فردا را میگیرد و علاوه بر حفظ عملیات، اعتماد مشتریان و اعتبار سازمان را هم نگه میدارد. امنیت سایبری کار یکباره نیست و نیاز به بررسی مداوم دارد.