Ransomware-Angriffe mit Google Cloud abwehren

Ransomware ist Code, der von einem Dritten zum Infiltrieren Ihrer Systeme zum Hacken, Verschlüsseln und Stehlen von Daten erstellt wurde. Damit Sie Ransomware-Angriffe abschwächen können, Google Cloud bietet Ihnen die Möglichkeit, Angriffe zu identifizieren, zu erkennen, auf sie zu reagieren, sich vor ihnen zu schützen und sie zu überwinden. Mit diesen Funktionen können Sie Folgendes tun:

• Das Risiko bewerten
• Ihr Unternehmen vor Bedrohungen schützen
• Kontinuierliche Vorgänge verwalten
• Schnelle Reaktion und Wiederherstellung ermöglichen

Dieses Dokument richtet sich an Sicherheitsarchitekten und Administratoren. Es beschreibt die Ransomware-Angriffssequenz und wie Google Cloud Ihr Unternehmen dabei unterstützen kann, die Auswirkungen von Ransomware-Angriffen zu minimieren.

Ransomware-Angriffssequenz

Ransomware-Angriffe können als Massenkampagnen beginnen, die nach potenziellen Sicherheitslücken suchen, oder als gezielte Kampagnen. Eine gezielte Kampagne beginnt mit Identifizierung und Ausspähung, wobei ein Angreifer feststellt, welche Organisationen anfällig sind und welcher Angriffsvektor verwendet werden soll.

Es gibt viele Ransomware-Angriffsvektoren. Bei den häufigsten handelt es sich um Phishing-E-Mails mit schädlichen URLs und um die Ausnutzung von Softwaresicherheitslücken. Diese Softwaresicherheitslücke kann sich in der Software befinden, die Ihre Organisation verwendet, oder in der Softwarelieferkette. Ransomware-Angreifer zielen auf Organisationen, ihre Lieferkette und ihre Kunden ab.

Wenn der erste Angriff erfolgreich ist, installiert die Ransomware sich selbst und kontaktiert den Befehls- und Steuerungsserver, um die Verschlüsselungsschlüssel abzurufen. Wenn sich Ransomware über das Netzwerk verteilt, kann sie Ressourcen infizieren, Daten mit den abgerufenen Schlüsseln verschlüsseln und Daten exfiltrieren. Für den Entschlüsselungsschlüssel fordern die Angreifer ein Lösegeld (normalerweise in Kryptowährung) von der Organisation.

Das folgende Diagramm fasst die typische Ransomware-Angriffssequenz zusammen, von der Identifizierung und Ausspähung bis zur Datenexfiltration und Lösegeldforderung.

Ransomware ist oft schwer zu erkennen. Daher ist es von zentraler Bedeutung, dass Sie Funktionen zur Prävention, Überwachung und Erkennung einrichten und Ihre Organisation bereit ist, schnell zu reagieren, wenn jemand einen Angriff erkennt.

Sicherheits- und Ausfallsicherheitsfunktionen in Google Cloud

Google Cloud umfasst integrierte Sicherheits- und Ausfallsicherheitsfunktionen, um Kunden vor Ransomware-Angriffen zu schützen. Diese Funktionen umfassen Folgendes:

• Globale Infrastruktur, deren gesamter Informationsverarbeitungszyklus geschützt ist
• Integrierte Erkennungsfunktionen für Google Cloud Produkte und Dienste wie Monitoring, Bedrohungserkennung, Schutz vor Datenverlust und Zugriffs steuerung
• Integrierte präventive Funktionen wie Assured Workloads
• Hochverfügbarkeit mit regionalen Clustern und globalen Load-Balancern
• Integrierte Sicherung mit skalierbaren Diensten
• Automatisierungsfunktionen mit Infrastruktur als Code und Konfigurationsvorkehrungen

Google Threat Intelligence, VirusTotal und Mandiant Digital Threat Monitoring verfolgen viele Arten von Malware, einschließlich Ransomware, in der Infrastruktur und den Produkten von Google, und reagieren darauf. Google Threat Intelligence ist ein Team von Bedrohungsforschern, die Bedrohungsinformationen für Google Cloud Produkte entwickeln. VirusTotal ist eine Malware-Datenbank- und Visualisierungslösung, die Ihnen einen besseren Überblick über die Funktionsweise von Malware in Ihrem Unternehmen bietet. Mandiant Digital Threat Monitoring und andere Mandiant-Dienste bieten Bedrohungsforschung, Beratung und Unterstützung bei der Incident Response.

Weitere Informationen zu integrierten Sicherheitsfunktionen finden Sie in der Google-Sicherheits übersicht und in der Übersicht über das Sicherheitsdesign der Infrastruktur von Google.

Sicherheits- und Ausfallsicherheitsfunktionen in Google Workspace, Chrome und Chromebooks

Zusätzlich zu den Funktionen in Google Cloudbieten andere Google-Produkte wie Google Workspace, Google Chrome und Chromebooks Sicherheitsfunktionen , mit denen Sie Ihre Organisation besser vor Ransomware-Angriffen schützen können. Google-Produkte bieten beispielsweise Sicherheitsfunktionen, mit denen Remote-Mitarbeiter je nach Identität und Kontext (z. B. Standort oder IP-Adresse) von überall auf Ressourcen zugreifen können.

Wie im Abschnitt Ransomware-Angriffssequenz beschrieben, sind E-Mails ein bedeutender Vektor für viele Ransomware-Angriffe. Sie können dazu genutzt werden, Anmeldedaten für betrügerischen Netzwerkzugriff per Phishing zu stehlen und direkt Ransomware-Binärdateien zu verteilen. Erweiterter Phishing- und Malware- Schutz in Gmail bietet Funktionen für die Quarantäne von E-Mails, schützt vor gefährlichen Anhangs typen und schützt Nutzer vor eingehenden Spoofing-E-Mails. Security Sandbox ist dafür ausgelegt, das Vorhandensein zuvor unbekannter Malware in Anhängen zu erkennen.

Der Chrome-Browser umfasst Google Safe Browsing, das Nutzer vor dem Zugriff auf eine infizierte oder schädliche Website warnt. Sandboxes und die Website Isolierung schützen vor der Weitergabe von schädlichem Code in verschiedenen Prozessen auf dem selben Tab. Der Passwortschutz bietet Benachrichtigungen, wenn ein Unternehmenspasswort für ein persönliches Konto verwendet wird, und prüft, ob eines der gespeicherten Passwörter des Nutzers bei einem Online-Sicherheitsvorfall gestohlen wurde. In diesem Szenario fordert der Browser den Nutzer auf, sein Passwort zu ändern.

Die folgenden Chromebook Features schützen vor Phishing- und Ransomware-Angriffen:

• Schreibgeschütztes Betriebssystem (Chrome OS): Dieses System wird ständig und unbemerkt aktualisiert. Chrome OS schützt vor den neuesten Sicherheitslücken und bietet Funktionen, damit Anwendungen und Erweiterungen es nicht ändern können.
• Sandboxing:Jede Anwendung wird in einer isolierten Umgebung ausgeführt, sodass eine schädliche Anwendung andere Anwendungen nicht einfach infizieren kann.
• Verifizierter Bootmodus:Während des Bootens des Chromebooks wird überprüft, ob das System geändert wurde.
• Safe Browsing: Chrome lädt regelmäßig die neueste Safe Browsing Liste unsicherer Websites herunter. Es wurde dafür entwickelt, die URLs jeder Website, die ein Nutzer aufruft, und jede Datei, die ein Nutzer herunterlädt, anhand dieser Liste zu prüfen.
• Google-Sicherheitschips:Diese Chips schützen das Betriebssystem vor böswilligen Manipulationen.

Zur Reduzierung der Angriffsfläche Ihrer Organisation sollten Sie Chromebooks für Nutzer verwenden, die hauptsächlich in einem Browser arbeiten.

Best Practices zur Abschwächung von Ransomware-Angriffen auf Google Cloud

Zum Schutz Ihrer Unternehmensressourcen und Daten vor Ransomware-Angriffen müssen Sie mehrstufige Funktionen in Ihren lokalen und Cloud-Umgebungen einrichten.

In den folgenden Abschnitten werden Best Practices beschrieben, mit denen Sie Ihre Organisation bei der Identifikation, Verhinderung und Erkennung von Ransomware-Angriffen auf sowie bei der Reaktion darauf unterstützen können identifizieren, verhindern, erkennen und darauf reagieren Google Cloud.

Risiken und Assets identifizieren

Beachten Sie die folgenden Best Practices, um Ihre Risiken und Assets in Google Cloudzu identifizieren:

• Führen Sie ein Inventar Ihrer Ressourcen in Google Cloud.
• Verwenden Sie Audit Logs.
• Verwenden Sie Angriffspfad simulationen in Security Command Center Premium, um Ihr aktuelles Risikoprofil zu bewerten.
• Erwägen Sie Cyberversicherungsoptionen, die über das Risk Protection Program verfügbar sind.
• Aktivieren Sie Sensitive Data Protection für die Datenprüfung.

Zugriff auf Ressourcen und Daten steuern

Beachten Sie die folgenden Best Practices, um den Zugriff auf Google Cloud Ressourcen und Daten zu beschränken:

• Analysieren und optimieren Sie regelmäßig die Berechtigungen zur Identitäts- und Zugriffsverwaltung (Identity and Access Management, IAM).

• Verwenden Sie die Identitätsföderation von Arbeitslasten.

• Aktivieren Sie die Multi‑Faktor-Authentifizierung für alle Google-Konten und Cloud Identity Nutzer.

• Aktivieren Sie die Bestätigung in zwei Schritten für Super Admin Konten.

Weitere Best Practices zum Schutz von Dienstkonten finden Sie unter Best Practices für die Verwendung von Dienstkonten.

Kritische Daten schützen

Beachten Sie die folgenden Best Practices, um Ihre sensiblen Daten zu schützen:

• Konfigurieren Sie Redundanz (N+2) für die Cloud-Speicheroption, mit der Sie Ihre Daten speichern. Wenn Sie Cloud Storage verwenden, beachten Sie Folgendes:

  • Achten Sie darauf, dass die Aufbewahrungsrichtlinie für Cloud Storage-Bucket die Bucket Sperre verwendet.
  • Erzwingen Sie die Versionsverwaltung für Cloud Storage Buckets.

• Implementieren und testen Sie Datenbank sicherungen.

• Implementieren Sie eine Strategie für Sicherung und Notfallwiederherstellung.

• Rotieren Sie Dienstkontoschlüssel.

• Behalten Sie Aktivitäten im Zusammenhang mit Schlüsseln im Blick.

Netzwerk und Infrastruktur schützen

Beachten Sie die folgenden Best Practices, um Ihr Netzwerk und Ihre Infrastruktur zu schützen:

• Verwenden Sie Infrastruktur als Code für sichere Baselines.
• Aktivieren Sie VPC Service Controls.
• Sichern Sie Hybridverbindungen mit Cloud VPN oder Cloud Interconnect.
• Verwenden Sie Cloud Load Balancing mit Firewallregeln.

• Implementieren Sie restriktive Organisations richtlinien wie die folgenden:

  • Deaktivieren Sie den Root-Zugriff auf von Nutzern verwalteten Agent Platform Workbench-Notebooks und Instanzen.
  • Beschränken Sie öffentliche IP-Adressen von Cloud SQL.
  • Deaktivieren Sie den Zugriff auf serielle Ports der VM.
  • Aktivieren Sie die Funktionen von Shielded VMs.

Arbeitslasten schützen

Beachten Sie die folgenden Best Practices, um Ihre Arbeitslasten zu schützen:

• Integrieren Sie Sicherheit in jede Phase des Softwareentwicklungszyklus. Implementieren Sie für Google Kubernetes Engine-Arbeitslasten (GKE) die Sicherheit der Softwarelieferkette, einschließlich vertrauenswürdiger Builds und Anwendungsisolierung.
• Beschränken Sie den Traffic zwischen Pods.
• Verwenden Sie Cloud Build mit On-Demand Scanning, um vor dem Commit von Code einen Scan auf Sicherheitslücken durchzuführen.
• Konfigurieren Sie das Scannen auf Sicherheitslücken für Artefakte.
• Erzwingen Sie die Binärautorisierung.
• Verwenden Sie Google Cloud Armor Richtlinien.
• Halten Sie GKE-Cluster auf dem neuesten Stand.

Angriffe erkennen

Beachten Sie die folgenden Best Practices, um Angriffe zu erkennen:

• Mit Cloud Logging können Sie die Logs Ihrer Dienste in Google Cloud verwalten und analysieren. Mit Cloud Monitoring können Sie die Leistung Ihres Dienstes und Ihrer Ressourcen messen.
• Aktivieren Sie Security Command Center auf Organisationsebene.
• Verwenden Sie für die Bedrohungserkennung zur Laufzeit von VM- und containerisierten Arbeitslasten Wiz Defend mit Wiz Runtime Sensor, um aktive Bedrohungen zu erkennen und darauf zu reagieren.
• Für eine detaillierte Sicherheitsanalyse und Bedrohungssuche können Sie Google Security Operations einbinden.

Vorfälle planen

• Erstellen Sie Pläne für Geschäftskontinuität und Notfallwiederherstellung.

• Erstellen Sie ein Playbook zur Reaktion auf Ransomware-Vorfälle und führen Sie theoretische Übungen durch. Üben Sie regelmäßig Wiederherstellungsverfahren, um die Bereitschaft zu gewährleisten und Lücken zu identifizieren.

• Informieren Sie sich über Ihre Verpflichtungen zur Meldung von Angriffen an Behörden und fügen Sie Ihrem Playbook die entsprechenden Kontaktdaten hinzu.

Auf Angriffe reagieren und ihre Folgen beseitigen

Wenn Sie einen Ransomware-Angriff erkennen, aktivieren Sie Ihren Reaktionsplan für Vorfälle. Nachdem Sie bestätigt haben, dass der Vorfall kein falsch positives Ergebnis ist und sich auf Ihre Google Cloud Dienste auswirkt, öffnen Sie einen P1-Support Fall. Der Cloud-Kundenservice reagiert wie in den Google Cloud: Richtlinien für technische Supportdienste dokumentiert.

Nachdem Sie Ihren Plan aktiviert haben, erstellen Sie das Team in Ihrer Organisation, das an den Prozessen zur Koordination und Behebung von Vorfällen beteiligt sein muss. Sorgen Sie dafür, dass diese Tools und Prozesse vorhanden sind, um den Vorfall zu untersuchen und zu beheben.

Folgen Sie Ihrem Incident Response Plan, um die Ransomware zu entfernen und Ihre Umgebung in einem fehlerfreien Zustand wiederherzustellen. Je nach dem Schweregrad des Angriffs und den aktivierten Sicherheitsfunktionen kann Ihr Plan Aktivitäten wie die folgenden umfassen:

• Infizierte Systeme in Quarantäne versetzen
• Daten aus fehlerfreien Sicherungen wiederherstellen
• Ihre Infrastruktur mit der CI/CD-Pipeline in einem als funktionierend bekannten Zustand wiederherstellen
• Prüfen, ob die Sicherheitslücke entfernt wurde
• Alle Systeme patchen, die möglicherweise für einen ähnlichen Angriff anfällig sind
• Erforderliche Funktionen implementieren, um einen ähnlichen Angriff zu vermeiden

Überwachen Sie während der Behebung des Vorfalls das Google-Support-Ticket weiter. Der Kundenservice ergreift entsprechende Maßnahmen in Google Cloud , um Ihre Umgebung unter Kontrolle zu bringen und (falls möglich) wiederherzustellen.

Informieren Sie den Kundenservice, wenn Ihr Vorfall gelöst ist und Ihre Umgebung wiederhergestellt wurde. Wenn es geplant ist, nehmen Sie an einer gemeinsamen Analyse mit Ihrem Google-Ansprechpartner teil.

Erfassen Sie alle Erkenntnisse, die aus dem Vorfall gezogen wurden, und implementieren Sie die Funktionen, die Sie benötigen, um einen ähnlichen Angriff zu vermeiden. Je nach Art des Angriffs können Sie folgende Aktionen in Betracht ziehen:

• Schreiben Sie Erkennungsregeln und Benachrichtigungen, die automatisch ausgelöst werden, sollte der Angriff wiederholt werden.
• Aktualisieren Sie Ihr Incident Response Playbook, um alle gewonnenen Erkenntnisse einzubeziehen.
• Verbessern Sie Ihren Sicherheitsstatus anhand der gewonnenen Erkenntnisse.

Nächste Schritte

• Wenden Sie sich an Mandiant-Berater, um eine Bewertung der Cyberabwehr zu erhalten.
• Weitere Best Practices finden Sie im Katalog der Best Practices für die Sicherheit.
• Informationen dazu, wie Google Vorfälle verwaltet, finden Sie unter Incident Response-Prozess.