Depois de um ataque: Como evitar que uma situação ruim venha a piorar

Faz sentido que os profissionais de segurança da informação se concentrem primeiro em prevenir uma violação, ou pelo menos reduzir as chances de um acontecer. Mas como os hackers se tornam mais astuto, sofisticado e penetrante, é apenas uma questão de quando um hack vai ocorrer.

Jim Crook, gerente sênior de marketing de produtos da CTERA, uma empresa de armazenamento e proteção de dados em nuvem, aponta para estatísticas do FBI: as vítimas de ransomware perderam US $ 209 milhões no primeiro trimestre de 2016 sozinhas - quase dez vezes as perdas de US $ 24 milhões para 2015. É uma epidemia global que cada organização já enfrentou ou quase certamente enfrentará como o ritmo dos ataques cibernéticos em uma base diária ", disse Crook.

Com isso em mente, os profissionais do governo InfoSec devem considerar cuidadosamente a sua abordagem para o que vem a seguir: o que fazer depois que o hack inevitável é descoberto.

Cynthia James, gerente geral da KGSS, fornecedora exclusiva da inteligência de cyber-ameaças em tempo real da Kaspersky Lab para o governo dos EUA, disse que assim que a violação for detectada, "é importante primeiro resolver o problema, o que significa identificar a fonte do problema. Vazamento de dados e como ele pode ser melhor protegido. As equipes da InfoSec têm que ser capazes de entender o que aconteceu durante uma violação, a fim de evitar que isso aconteça novamente. "

Se a violação foi resultado de resgate, James disse que é importante não pagar aos cibercriminosos o dinheiro do resgate que eles estão exigindo. "Enquanto alguns atores de ameaças tentam convencê-lo de que você pode comprar o seu caminho para sair deste problema - pagando um resgate para voltar seus dados - muitas vezes, os materiais digitais seqüestrados voltar comprometido ou danificado", disse ela. "Às vezes eles não voltam, mesmo quando o resgate é pago".

Para se proteger contra danos causados ​​por tais ataques, "as agências governamentais devem ter um plano forte de resposta a incidentes no pronto quando um hacke ocorrer e implementá-lo assim que a confirmação de uma violação for recebida. Este plano geralmente envolve ações de vários departamentos, incluindo TI, funcionários do governo, jurídico, comunicações e outros departamentos dentro de uma agência governamental ", disse James.

"Infelizmente, a maioria dos grupos nunca está preparada para o primeiro incidente", que pode levar algum tempo para detectar, disse Richard Henderson, estrategista global de segurança da Absolute, uma empresa canadense de segurança de terminais. "Em organizações privadas e públicas, a primeira grande violação pode ter persistido por muito mais tempo do que se pensava", disse ele. Em alguns casos, é um terceiro que pega em sinais de uma violação e notifica os gestores do ambiente de hospedagem. "Isso é embaraçoso em muitos níveis."

Esta questão não é exclusiva de agências governamentais com orçamentos limitados e equipes com pessoal de curta duração, sustenta Henderson. Na verdade, muitas corporações "foram vítimas de violações não detectadas semelhantes. É por isso que é absolutamente essencial estar preparado agora e ter todas as suas peças no lugar antes que o indizível aconteça. "Henderson sugere que o" teaming vermelho "- onde as equipes internas de teste de segurança e vulnerabilidades - pode ser uma ótima maneira de encontrar os buracos E rachaduras na defesa de uma agência que podem não ter sido pego por revisões de segurança padrão.

Prevenido é forearmed

Embora eles sejam vistos como estando em desvantagem em comparação com seus pares do setor privado, os profissionais do governo InfoSec podem realmente ter uma perna acima em lidar com a violação post mortem, de acordo com Joshua Douglas, diretor de estratégia da Raytheon Foreground Security, Serviços e empresa de treinamento que trabalha com os setores público e privado. Agências governamentais e empreiteiros de defesa, muitas vezes realizam análises mais profundas do que as empresas comerciais depois de um hack, disse Douglas. "Eles estão realmente conseguindo uma melhor compreensão do que foi perdido. O espaço do [Departamento de Defesa] está se tornando um influenciador de empresas comerciais. " 

Na verdade, Crook de CTERA aponta para o Departamento de Serviços de Saúde do Estado do Texas como um "exemplo de um hack que ocorreu e foi derrotado com sucesso." Enquanto o Estado DSHS estava usando software firewall state-of-the-art para minimizar a ameaça de malware , Um usuário infelizmente baixou um vírus que era muito novo para ser pego pelo software da empresa de varredura de vírus da empresa, Crook explica, causando dezenas de milhares de arquivos no servidor de um arquivo do hospital para ser criptografado por ransomware. No entanto, o DSHS rapidamente detectou o problema e conseguiu reverter seus arquivos para um estado saudável antes que seus usuários percebessem, disse ele. "Com um pequeno intervalo de proteção de dados, o DSHS felizmente perdeu arquivos zero", disse Crook. "Enquanto backup sempre desempenhar um papel enorme como uma contramedida ransomware, protegendo seu perímetro e melhor educar seus funcionários sobre violações também são passos cruciais para evitar pagar resgate.

Casey Ellis, CEO e fundador da Bugcrowd, uma plataforma de testes crowdsourced para segurança corporativa, concorda. "A resposta de violação deve começar antes que uma violação ocorra ... O pior plano de resposta a incidentes não é um plano de resposta a incidentes, eo primeiro passo de qualquer organização deve ser criar um", disse ele. E muito parecido com o conselho icônico do guia do Hitchhiker para a galáxia, Ellis também adverte os profissionais da agência InfoSec: "Não entre em pânico".

"Avaliar calmamente a situação ajudará a garantir que nada seja perdido durante os próximos passos e evite os erros bobos que podem acontecer sob pressão", disse Ellis. Avaliar o dano em seguida, e depois disso, "reunir eventos, fraquezas e os vários elementos de prova que você coletou e tentar determinar o que aconteceu. Este é um passo necessário para mitigar os danos e remediar contra futuras ameaças ", Ellis aconselha.

Mas tentar controlar o seu problema de pragas sem se livrar das pragas é um plano falho, de acordo com Nir Polak, co-fundador e CEO da empresa de serviços de análise comportamental, Exabeam. "Depois de um hack, o foco deve ser o primeiro sobre a completude da remediação ... em outras palavras, chutando completamente o hacker para fora da rede", disse Polak.