Serangan ransomware selalunya tidak bermula dengan sistem yang kelihatan mencurigakan. Ia boleh bermula dengan satu e-mel invois palsu, kata laluan yang bocor atau komputer pekerja yang belum dikemas kini. Sebab itu, cara melindungi data syarikat daripada ransomware bukan sekadar membeli perisian keselamatan. Ia memerlukan gabungan teknologi, proses kerja yang jelas dan manusia yang tahu tindakan yang perlu diambil.

Bagi organisasi yang bergantung pada rekod pelanggan, fail kewangan, sistem operasi, data makmal atau dokumen projek, kesan serangan boleh melangkaui kehilangan fail. Operasi mungkin terhenti, pelanggan hilang keyakinan dan pasukan terpaksa menghabiskan masa berhari-hari memulihkan sistem. Pelan perlindungan yang baik mengurangkan peluang serangan berjaya dan memastikan perniagaan boleh pulih dengan lebih terkawal jika insiden berlaku.

Fahami apa yang ransomware sasarkan

Ransomware ialah perisian berniat jahat yang menyulitkan fail atau mengunci sistem supaya ia tidak boleh digunakan. Penyerang kemudian meminta bayaran, biasanya dalam mata wang kripto, sebagai pertukaran untuk kunci penyahsulitan. Namun, bayaran tidak menjamin data akan dipulihkan atau salinan data tidak akan dibocorkan.

Sasaran penyerang bukan hanya fail pada komputer pengguna. Mereka mencari akses ke storan rangkaian, pelayan fail, sistem sandaran, aplikasi perniagaan dan akaun pentadbir. Dalam sesetengah kes, penyerang berada dalam rangkaian selama beberapa hari atau minggu untuk mengenal pasti data paling bernilai sebelum melancarkan penyulitan secara besar-besaran.

Ini menjadikan perlindungan antivirus semata-mata tidak mencukupi. Syarikat perlu menganggap setiap peranti, akaun dan sambungan sebagai sebahagian daripada permukaan serangan yang perlu diuruskan.

Cara melindungi data syarikat daripada ransomware secara berlapis

Pendekatan paling berkesan ialah pertahanan berlapis. Jika satu kawalan gagal, kawalan lain masih boleh mengehadkan kerosakan. Keutamaan sebenar bergantung pada saiz organisasi, jenis data dan cara kakitangan bekerja, tetapi asas berikut patut diberi perhatian oleh setiap perniagaan.

Jadikan sandaran sebagai pelan pemulihan, bukan sekadar salinan fail

Sandaran yang tidak boleh dipulihkan ketika diperlukan bukan sandaran yang boleh diharap. Gunakan prinsip 3-2-1: simpan sekurang-kurangnya tiga salinan data, pada dua jenis media berbeza, dengan satu salinan disimpan di lokasi berasingan atau di luar talian.

Sandaran awan boleh menjadi pilihan praktikal, tetapi ia perlu dilindungi dengan kawalan akses dan rekod versi fail. Jika sandaran sentiasa bersambung ke rangkaian yang sama tanpa perlindungan, ransomware mungkin turut menyulitkannya. Bagi data kritikal, pertimbangkan sandaran tidak boleh diubah atau immutable backup yang menghalang penghapusan dan pengubahsuaian untuk tempoh tertentu.

Lebih penting, uji proses pemulihan secara berkala. Pilih beberapa fail, aplikasi atau pelayan penting dan sahkan sama ada ia boleh dipulihkan dalam tempoh yang diterima oleh operasi. Ujian ini sering mendedahkan masalah seperti sandaran tidak lengkap, akses pemulihan yang tidak jelas atau kapasiti storan yang tidak mencukupi.

Kemas kini sistem sebelum ia menjadi pintu masuk

Sistem pengendalian, pelayan, aplikasi, peranti rangkaian dan perisian keselamatan perlu menerima kemas kini keselamatan mengikut jadual. Banyak serangan mengeksploitasi kelemahan yang sebenarnya telah mempunyai tampalan, tetapi organisasi menangguhkan pemasangan kerana bimbang gangguan operasi.

Kebimbangan itu munasabah, khususnya bagi sistem makmal, peralatan kejuruteraan atau aplikasi lama yang memerlukan pengesahan keserasian. Penyelesaiannya bukan mengabaikan tampalan. Wujudkan proses berperingkat: uji kemas kini pada persekitaran kecil, jadualkan penyelenggaraan dan dokumentasikan sistem yang belum boleh dikemas kini bersama kawalan tambahan seperti pengasingan rangkaian.

Hadkan akses mengikut tugas sebenar

Setiap pengguna tidak memerlukan akses kepada semua folder, sistem atau data syarikat. Gunakan prinsip akses minimum, iaitu pekerja hanya menerima kebenaran yang diperlukan untuk menjalankan tugas mereka. Jika satu akaun terjejas, penyerang juga akan mempunyai ruang pergerakan yang lebih terhad.

Akaun pentadbir perlu diasingkan daripada akaun harian. Pentadbir tidak sepatutnya menggunakan akaun berkuasa tinggi untuk membaca e-mel, melayari laman web atau membuka lampiran biasa. Semak juga akaun bekas pekerja, pembekal dan pengguna sementara supaya akses yang tidak lagi diperlukan ditutup segera.

Pengesahan berbilang faktor atau MFA patut diwajibkan bagi e-mel, akses jauh, aplikasi awan dan akaun pentadbir. Kata laluan yang dicuri masih boleh digunakan oleh penyerang jika MFA tidak diaktifkan. Untuk akaun penting, gunakan kaedah pengesahan yang tahan terhadap pancingan data apabila sesuai dengan persekitaran organisasi.

Lindungi e-mel dan latih pekerja mengenal pasti ancaman

E-mel pancingan data kekal sebagai salah satu laluan paling biasa. Mesej mungkin menyamar sebagai pembekal, pihak kewangan, syarikat kurier atau pengurusan dalaman. Tanda amaran termasuk alamat pengirim yang hampir serupa, arahan tergesa-gesa, lampiran yang tidak dijangka dan pautan yang meminta log masuk semula.

Latihan tidak sepatutnya berbentuk ceramah sekali setahun. Berikan contoh yang berkait dengan aliran kerja pekerja, seperti permintaan menukar akaun bank pembekal atau invois projek. Wujudkan saluran mudah untuk melaporkan e-mel mencurigakan tanpa menyalahkan pekerja yang bertanya.

Penapisan e-mel, perlindungan lampiran dan pengesanan pautan berniat jahat membantu mengurangkan risiko, tetapi pekerja masih merupakan lapisan pertahanan penting. Organisasi yang membina budaya semakan biasanya dapat menghentikan serangan sebelum fail dibuka.

Asingkan rangkaian dan pantau aktiviti luar biasa

Jika semua komputer, pelayan, mesin operasi dan storan berada pada rangkaian yang sama, ransomware boleh bergerak dengan cepat. Pengasingan rangkaian memecahkan persekitaran kepada zon yang dikawal. Contohnya, rangkaian tetamu, peranti pengguna, pelayan kewangan, sistem operasi dan peralatan khusus boleh diasingkan berdasarkan tahap risiko dan keperluan akses.

Pendekatan ini memerlukan perancangan kerana pengasingan yang terlalu ketat boleh melambatkan kerja harian. Namun, reka bentuk yang baik membenarkan sistem yang perlu berkomunikasi sambil menghalang sambungan tidak perlu. Firewall, kawalan akses rangkaian dan pemantauan log membantu mengenal pasti aktiviti seperti percubaan log masuk berulang, pemindahan data besar atau penyulitan fail secara luar biasa.

Bagi organisasi tanpa pasukan keselamatan dalaman yang besar, pemantauan terurus boleh memberikan liputan yang lebih konsisten. Nilainya bukan hanya pada amaran, tetapi pada keupayaan menilai amaran dengan cepat dan menentukan tindakan yang sesuai.

Sediakan pelan tindak balas sebelum insiden berlaku

Apabila fail mula disulitkan, masa menjadi faktor utama. Pasukan yang belum mempunyai pelan biasanya membuat keputusan secara tergesa-gesa, termasuk mematikan sistem penting tanpa mengetahui kesan operasinya. Pelan tindak balas insiden perlu ringkas, boleh diakses dan diuji oleh individu yang bertanggungjawab.

Dokumenkan siapa yang boleh mengasingkan peranti, siapa yang menghubungi penyedia teknologi, bagaimana bukti dikekalkan dan siapa yang berkomunikasi dengan pihak pengurusan, pelanggan atau pihak berkuasa jika perlu. Simpan salinan pelan di luar rangkaian utama kerana dokumen dalam pelayan yang terjejas mungkin tidak boleh dibuka.

Semasa disyaki berlaku serangan, tindakan awal lazimnya ialah mengasingkan peranti atau bahagian rangkaian yang terjejas, bukan terus memadam semuanya. Pasukan teknikal perlu mengenal pasti skop serangan, mengamankan akaun berisiko dan melindungi sandaran sebelum memulakan pemulihan. Setiap keadaan berbeza, jadi pelan perlu memberi panduan tanpa menghalang penilaian teknikal.

Ukur perlindungan melalui ujian, bukan andaian

Keselamatan siber berubah apabila pekerja baharu menyertai organisasi, sistem baharu dilaksanakan atau pembekal diberi akses. Oleh itu, semakan tahunan sahaja mungkin tidak mencukupi untuk persekitaran yang aktif. Nilai semula akses pengguna, status tampalan, kejayaan sandaran dan perubahan rangkaian secara berkala.

Latihan simulasi juga membantu. Jalankan senario mudah: apakah yang berlaku jika akaun kewangan menerima e-mel palsu, jika pelayan fail tidak boleh diakses atau jika sandaran perlu dipulihkan? Ujian tidak bertujuan mencari kesalahan individu. Ia bertujuan mengenal pasti jurang sebelum penyerang menemukannya.

TT Synergy Resources membantu organisasi membina perlindungan yang disesuaikan dengan keperluan operasi, daripada penilaian keselamatan dan reka bentuk infrastruktur hingga pelaksanaan, latihan pengguna dan sokongan berterusan. Ini penting apabila perniagaan mempunyai gabungan sistem pejabat, aplikasi tersuai, peralatan teknikal dan data sensitif yang tidak sesuai dilindungi melalui pendekatan seragam.

Langkah terbaik untuk minggu ini ialah memilih satu sistem paling kritikal, mengesahkan sama ada sandarannya benar-benar boleh dipulihkan dan menentukan siapa yang akan bertindak jika sistem itu dikunci. Tindakan kecil yang diuji dengan betul boleh menjadi perbezaan antara gangguan singkat dan krisis operasi yang berpanjangan.