¿Qué se necesita para recuperar un rescate?

Hoy es domingo y ha habido otro ataque de ransomware. El ransomware es un asunto diario y su impacto es cada vez más dañino con cada ataque. A pesar de esto, la industria de la ciberseguridad continúa con su movimiento favorito: comprar más (¿y mejor?) Tecnología de detección con la esperanza de que reduzca las brechas, pero todavía no podemos detener los ataques. Seguimos viendo las infracciones más catastróficas de la historia de forma regular, a pesar de que se espera que el gasto en seguridad alcance los 150.000 millones de dólares este año.

La realidad es las violaciones ocurren – y continuarán ocurriendo. La ciberresiliencia es el nuevo negro. Es importante comprender cómo puede hacer que su organización sea resistente a la infiltración y, en el desafortunado caso de que lo ataquen, es útil saber cuáles son sus opciones.

Ha sido violado; ¿ahora que?

Imagínese esto: los atacantes de ransomware han entrado y violado sus defensas de seguridad. Ya sea una vulnerabilidad de la cadena de suministro, la penetración de las defensas perimetrales, un infiltrado malintencionado o una nueva amenaza que no concebimos, ya están en sus sistemas y ahora tienen acceso a su organización y a los datos más críticos de sus clientes. Además, no se irán sin luchar y exigirán millones de dólares para recuperar sus activos.

Entonces, ¿Qué haces? Después de un ataque, tiene dos opciones para recuperar sus activos.

Opción 1: tener una copia de seguridad.

Esta opción requiere que una organización tenga una copia de seguridad completa de todas las bases de datos, esencialmente hasta el momento del ataque de ransomware. (Pero, ¿en qué medida se produjo la infiltración?) Esta copia de seguridad se puede restaurar y otros sistemas, como servidores de aplicaciones, servidores web, controladores de dominio, etc., se pueden restaurar desde allí. Se necesita una enorme cantidad de estructura para que funcione. Si una organización tiene una diligencia operativa excepcional, esta será una tarea difícil, pero no imposible.

Opción 2: pagar el rescate.

Hay un adagio en la política federal: “No negocies con terroristas”. El mismo principio se aplica a los atacantes de ransomware. Soy una fuente poco confiable con la que hacer un trato. Sin embargo, a veces esta es la única opción para una organización. Sabemos que el 80% de las organizaciones que han pagado demandas de rescate han confirmado que han estado expuestas a un segundo ataque. Además, incluso si paga el rescate, la recuperación total de sus activos no está garantizada y la capacidad de ver el pago del rescate nuevamente es prácticamente nula.

Colonial Pipeline fue uno de los raros casos en los que el FBI pudo recuperar parte del pago del rescate. En ese caso, ya habían seguido a DarkSide (el grupo de hackers detrás del ataque) antes del incidente cibernético. Finalmente, Colonial Pipeline tuvo suerte; recuperó parte del dinero que pagó porque “afortunadamente” el FBI ya se había infiltrado en la billetera Bitcoin del hacker (planteando la pregunta: ¿la suerte es una estrategia? Mi dinero no lo es).

Dicho esto, Colonial Pipeline ha tomado decisiones inteligentes en medio de una crisis. Al cerrar la tubería antes de que el ransomware llegara a la línea principal, pudieron ganar tiempo adicional para decidir si pagar o recuperar los activos robados. También se comunicaron rápidamente con el FBI y, en última instancia, estas decisiones les permitieron recuperar con éxito parte del rescate.

No todas las violaciones tienen que ser una catástrofe

Colonial Pipeline Recovering Part of the Ransom fue una rara historia de éxito cibernético (si se puede llamar así), basada en la suerte. Y en este mundo donde las redes y los recursos están cada vez más interconectados y los malos actores se vuelven cada día más sofisticados y despiadados, no hay lugar para la suerte en su estrategia de ciberseguridad. La esperanza y la suerte no son estrategias, pero la confianza cero sí lo es.

La confianza cero nunca ha sido un marco de ciberseguridad más importante y necesario que ahora. La confianza cero es una estrategia en la que asume que ya ha sido violado (porque si aún no lo ha hecho, pronto lo será). En lugar de confiar en la naturaleza igualitaria de las redes IP, donde cualquiera puede conectarse teóricamente a cualquier cosa, las estrategias de confianza cero verifican a las personas y solo permiten conexiones que Ellos deberían ser permitido. Este enfoque convierte las probabilidades de resiliencia a su favor.

Con activos de miles de millones de dólares en juego en todas las industrias, las organizaciones necesitan un marco de ciberseguridad que tenga en cuenta las brechas en las defensas perimetrales y las brechas en la cadena de suministro. Las organizaciones deben comenzar a invertir en herramientas que cuenta de infracciones de incumplimientoen lugar de solo aquellos que los previenen. No hacerlo pone en riesgo a nuestras organizaciones, comunidades y personas.

Si está buscando una forma de recuperar un rescate, la solución es simple: protéjase de tener que pagar el rescate en primer lugar. Invierta ahora en fortalecer su posición en ciberseguridad y amplificar sus defensas de confianza cero. Solo entonces podrá resistir económicamente la avalancha de ciberataques que impregnan el ciberespacio.

¿Cómo empiezas? El primer paso es darse cuenta de que no existe un único proveedor que resuelva todas sus necesidades de confianza cero. Además, si solo está pensando en los usuarios, no está pensando lo suficientemente amplio: considere los ataques a la cadena de suministro. Una buena forma de implementar la estrategia es simplemente crear una arquitectura de Confianza Cero para sus usuarios, centros de datos y entornos de nube, luego seleccionar soluciones que satisfagan sus necesidades particulares.

Entrarán los malos actores; las matemáticas están a su favor. Nuestras tecnologías perimetrales y de detección deben mantenerse alejadas 100% de ataques; los atacantes solo tienen que abrirse paso una vez. Al invertir ahora en una estrategia de Confianza Cero, usted y su organización podrán determinar el impacto de tales ataques. No todas las infracciones deben costarle a su organización $ 5 millones, pero debe invertir en arquitecturas de confianza cero para asegurarse de que no todas las infracciones se conviertan en un desastre cibernético de un millón de dólares.