Setor financeiro na mira do ransomware

Ivan Soares

Muito a imprensa noticiou sobre ransomware ao longo de 2016. Sabe-se, no entanto, que a ameaça é bem mais antiga e como podia-se prever, aumentou significativamente desde seu surgimento. Nenhuma empresa ou segmento está imune a ela, que promete ser uma dor de cabeça por muito tempo, mas para o setor financeiro o prejuízo pode ser ainda mais doloroso.

No final de 2015 instituições financeiras americanas, como FFIEC e FSSCC, emitiram alertas sobre extorsão cibernética e malware destrutivo. Além disso, há dois anos uma corretora também nos Estados Unidos foi vítima do CryptoWall. Embora, na época, tais incidentes não ganhassem notoriedade, esse ransomware foi uma das três principais ameaças para instituições financeiras nos dois últimos anos, conforme aponta uma pesquisa da Palo Alto Networks.

Este malware é mais difícil de ser detectado e prevenido que outros tipos, uma vez que os atacantes mudam rapidamente o endereço de distribuição (normalmente em poucas horas), enganando as defesas da rede. Até é possível rastrear uma máquina infectada quando, em algum lugar na rede, ela criptografa o conteúdo de um drive compartilhado por um departamento inteiro. Mas aí já é tarde, os conteúdos já foram criptografados e mesmo os melhores processos de remediação não são suficientes para salvá-los.

Por isso é tão importante estar preparado. Para incidentes pontuais, o procedimento deve considerar:

1) Isolamento da máquina infectada

2) Restauração, a partir do backup, dos arquivos corrompidos (criptografados) no drive de compartilhamento pelo departamento

Por isso, é fundamental a realização de backups regulares de desktops e notebooks, drives compartilhados e quaisquer outros sistemas de armazenamento. Além disso, a integridade do sistema de backup precisa ser verificada para garantir que não ocorram surpresas quando restaurações forem necessárias. Aliás, essa já deve ser uma prática recorrente dos planos de continuidade de negócio, mas vale a pena ressaltar que ​​backups são essenciais em todas as ações de remediação de ransomware.

Como se prevenir para não ser vítima

Não existe uma solução mágica para impedir o ransomware – trata-se de reduzir o risco da forma mais efetiva possível, prevenindo e detectando a ameaça. Dessa forma, recomenda-se a adoção de boas práticas e de uma segurança em camadas.

Pessoas e processos

· Treinamentos - atualizar o programa de conscientização da empresa para orientar os colaboradores sobre a ameaça, o que deve ser observado e para quem relatar qualquer suspeita. Quanto mais direto for o treinamento, melhor será o retorno.

. Teste a prática - vale fazer testes para checar a efetividade do treinamento. Exercícios ajudam a manter os colaboradores atentos aos e-mails de phishing e navegação na internet.

. Backups - algumas organizações não percebem que seus backups foram comprometidos ou configurados incorretamente até que seja necessário utilizá-los. Recomenda-se a execução diária do procedimento e uma periodicidade maior para sistemas críticos. Além disso, as funções de administrador de backup devem ser atribuídas de forma adequada e restrita, usadas com moderação e regularmente auditadas. Por fim, teste seus backups frequentemente para validar se eles podem ser restaurados.

. Atualização de patches em dia - lembre-se que muitos exploits podem danificar suas redes porque eles foram desenvolvidos para esse fim. Por isso, reduza o tempo de aplicação de patches no seu ambiente (software, programas e aplicações).

. Softwares e serviços desnecessários - desativar completamente, se for possível.

. Privilégios dos usuários – aplicar o princípio do menor privilégio para os usuários com permissões em discos compartilhados na rede da organização, a fim de minimizar os impactos de um incidente. Como este processo pode demandar um grande esforço, sugere-se começar nas unidades de rede usadas ​​por departamentos críticos.

Tecnologia

. Reforce o controle de acesso em seu data center - dado que este é um ambiente controlado, você pode ser mais restritivo, especialmente durante o ciclo de vida do ataque.

. Digitalize e bloqueie arquivos suspeitos, como executáveis ​​em todos os e-mails recebidos ou sessões de navegação na Internet.

. Evite a entrada de malwares por meio de sistemas de prevenção de intrusão (IPS e firewall) para ameaças conhecidas e análise de sandbox para ameaças de dia zero. Assim você pode parar ameaças desconhecidas (URLs e executáveis) antes de chegar ao ponto final. Sandboxing é a melhor maneira de detectar novas variantes de ransomware.

. Bloqueie o tráfego de saída para URLs ou sites maliciosos, pois este tipo de acesso normalmente faz parte do ciclo de ataque de ransomware. Vale também alertar os usuários com uma página de "continuar" a fim de barrar acessos e downloads automatizados.

. Contenha quaisquer ameaças através da segmentação da rede interna para limitar o movimento lateral.

. Reforce o conceito de proteção em camadas, estabelecendo controles de segurança em:

o Perímetros de rede
o Servidores Web
o Servidores de Banco de Dados
o Gateway de Email e Web
o Endpoints
o Dispositivos de conectividade
o Dispositivos móveis

Autoanálise

Verifique se as tecnologias atualmente implantadas na sua rede estão sendo utilizadas corretamente. Além disso, inteligência sobre ameaças e gerenciamento proativo também são fundamentais para extrair todos os benefícios do investimento em tais produtos. Encare a ameaça do ransomware como uma oportunidade para rever suas práticas de segurança, independentemente das normas que utiliza. 

Ivan Soares é consultor de Segurança da Informação sênior da Arcon 

Você já conhece a Sala de Imprensa da Arcon?

A Arcon disponibiliza especialmente para você, jornalista, um espaço com conteúdos sobre segurança voltados para os profissionais da área de Tecnologia da Informação e CIOs. Nosso objetivo é auxiliá-lo na produção de suas matérias que abordam este tema. 

Assim, neste canal você pode aproveitar um material já disponível, solicitar uma fonte ou até mesmo conteúdo para uma matéria exclusiva. Prezamos pela agilidade neste processo, pois reconhecemos a sua necessidade e rotina.

Além dos jornalistas especializados, nossa intenção é contribuir com todos que buscam ampliar seus conhecimentos sobre esse universo.

Aproveite e sinta-se à vontade para enviar sugestões e solicitações.

www.arcon.com.br/sala-de-imprensa

Sobre a Arcon
Atuando no mercado nacional desde 1995, a Arcon é especializada em cibersegurança com foco em serviços gerenciados de segurança (MSS – Managed Security Services). Com um completo portfólio e sólidas parcerias com os principais fabricantes do mundo, a empresa monitora e gerencia ambientes, mitiga os riscos e previne incidentes em empresas de grande porte. A partir de seus SOCs, a Arcon processa mais de dois bilhões de eventos por dia, protege mais de 600.000 ativos e possui inteligência de segurança única na América Latina.

É a única empresa de serviços gerenciados de segurança no ranking Exame PME 2015 das empresas que mais crescem no Brasil. Nos últimos anos, firmou-se como líder no mercado brasileiro de MSS, tendo conquistado, o primeiro lugar em MSS no ranking Anuário Outsourcing por quatro anos consecutivos.

Em 2016 passou a integrar o grupo NEC, um dos maiores provedores globais de soluções integradas de TI e Comunicação.