Il ransomware è un codice creato da una terza parte per infiltrarsi nei tuoi sistemi e dirottare, criptare o rubare i dati. Per aiutarti a mitigare gli attacchi ransomware, Google Cloud ti fornisce controlli per identificare, proteggere, rilevare, rispondere e ripristinare gli attacchi. Questi controlli ti aiutano a:
- Valutare il rischio.
- Proteggere la tua attività dalle minacce.
- Mantenere la continuità delle operazioni.
- Consentire una risposta e un ripristino rapidi.
Questo documento è rivolto ad architetti e amministratori della sicurezza. Descrive la sequenza di attacchi ransomware e in che modo Google Cloud può aiutare la tua organizzazione a mitigare gli effetti degli attacchi ransomware.
Sequenza di attacchi ransomware
Gli attacchi ransomware possono iniziare come campagne di massa alla ricerca di potenziali vulnerabilità o come campagne mirate. Una campagna mirata inizia con l'identificazione e la ricognizione, in cui un attaccante determina quali organizzazioni sono vulnerabili e quale vettore d'attacco utilizzare.
Esistono molti vettori di attacco ransomware. I vettori più comuni sono le email di phishing con URL dannosi o lo sfruttamento di una vulnerabilità del software esposta. Questa vulnerabilità del software può essere presente nel software utilizzato dalla tua organizzazione o in una vulnerabilità esistente nella catena di fornitura del software. Gli utenti che lanciano attacchi ransomware prendono di mira le organizzazioni, la loro catena di fornitura e i loro clienti.
Quando l'attacco iniziale ha esito positivo, il ransomware si installa e contatta il server di comando e controllo per recuperare le chiavi di crittografia. Man mano che il ransomware si diffonde nella rete, può infettare le risorse, criptare i dati utilizzando le chiavi recuperate ed esfiltrare i dati. Gli utenti malintenzionati chiedono un riscatto, in genere in criptovaluta, all'organizzazione in modo che possano ottenere la chiave di decriptazione.
Il seguente diagramma riassume la sequenza tipica di attacchi ransomware, dall'identificazione e la ricognizione all'esfiltrazione di dati e alla richiesta di riscatto.
Il ransomware è spesso difficile da rilevare. È quindi fondamentale che tu implementi funzionalità di prevenzione, monitoraggio e rilevamento e che la tua organizzazione sia pronta a rispondere rapidamente quando qualcuno scopre un attacco.
Controlli di sicurezza e resilienza in Google Cloud
Google Cloud include controlli di sicurezza e resilienza integrati per proteggere i clienti dagli attacchi ransomware. Questi controlli includono:
- Infrastruttura globale progettata con la sicurezza durante tutto il ciclo di vita di trattamento delle informazioni
- Funzionalità di rilevamento integrate per Google Cloud prodotti e servizi, come monitoraggio, rilevamento delle minacce, prevenzione della perdita di dati e controlli di accesso
- Controlli preventivi integrati, come Assured Workloads
- Alta affidabilità con cluster regionali e bilanciatori del carico globali
- Backup integrato, con servizi scalabili
- Funzionalità di Automation che utilizzano Infrastructure as Code e guardrail di configurazione
Google Threat Intelligence, VirusTotal e Mandiant Digital Threat Monitoring monitorano e rispondono a molti tipi di malware, incluso il ransomware, nell'infrastruttura e nei prodotti Google. Google Threat Intelligence è un team di ricercatori di minacce che sviluppano informazioni sulle minacce per Google Cloud i prodotti. VirusTotal è un database di malware e una soluzione di visualizzazione che ti consente di comprendere meglio il funzionamento del malware all'interno della tua azienda. Mandiant Digital Threat Monitoring e altri servizi Mandiant forniscono supporto per la ricerca sulle minacce, la consulenza e la risposta agli incidenti.
Per ulteriori informazioni sui controlli di sicurezza integrati, consulta la panoramica sulla sicurezza di Google e la panoramica sulla progettazione della sicurezza dell'infrastruttura Google.
Controlli di sicurezza e resilienza in Google Workspace, nel browser Chrome e nei Chromebook
Oltre ai controlli all'interno di Google Cloud, altri prodotti Google come Google Workspace, il browser Google Chrome e i Chromebook includono controlli di sicurezza che possono aiutare a proteggere la tua organizzazione dagli attacchi ransomware. Ad esempio, i prodotti Google forniscono controlli di sicurezza che consentono ai dipendenti da remoto di accedere alle risorse da qualsiasi luogo, in base alla loro identità e al contesto (ad esempio località o indirizzo IP).
Come descritto nella sezione Sequenza di attacchi ransomware, l'email è un vettore chiave per molti attacchi ransomware. Può essere sfruttata per il phishing delle credenziali per l'accesso fraudolento alla rete e per distribuire direttamente i file binari ransomware. La protezione avanzata contro phishing e malware in Gmail fornisce controlli per mettere in quarantena le email, difende dai tipi di allegati pericolosi e aiuta a proteggere gli utenti dalle email di spoofing in entrata. Sandbox per la sicurezza è progettata per rilevare la presenza di malware precedentemente sconosciuto negli allegati.
Il browser Chrome include Google Navigazione sicura, progettata per fornire avvisi agli utenti quando tentano di accedere a un sito infetto o dannoso. Le sandbox e l'isolamento dei siti aiutano a proteggere dalla diffusione di codice dannoso all'interno di processi diversi nella stessa scheda. La protezione delle password è progettata per fornire avvisi quando una password aziendale viene utilizzata su un account personale e verifica se una delle password salvate dell'utente è stata compromessa in una violazione online. In questo scenario, il browser chiede all'utente di modificare la password.
Le seguenti funzionalità di Chromebook aiutano a proteggere dagli attacchi di phishing e ransomware:
- Sistema operativo di sola lettura (Chrome OS): questo sistema è progettato per aggiornarsi costantemente e in modo invisibile. ChromeOS aiuta a proteggere dalle vulnerabilità più recenti e include controlli che contribuiscono a garantire che le applicazioni e le estensioni non possano modificarlo.
- Sandbox: ogni applicazione viene eseguita in un ambiente isolato, quindi un'applicazione dannosa non può infettare facilmente altre applicazioni.
- Avvio verificato: durante l'avvio di Chromebook, il sistema è progettato per verificare che non sia stato modificato.
- Navigazione sicura: Chrome scarica periodicamente l'elenco più recente di siti non sicuri di Navigazione sicura. È progettato per controllare gli URL di ogni sito visitato da un utente e ogni file scaricato da un utente rispetto a questo elenco.
- Chip di sicurezza di Google: questi chip aiutano a proteggere il sistema operativo da manomissioni dannose.
Per ridurre la superficie di attacco della tua organizzazione, prendi in considerazione i Chromebook per gli utenti che lavorano principalmente in un browser.
Best practice per la mitigazione degli attacchi ransomware su Google Cloud
Per proteggere le risorse e i dati aziendali dagli attacchi ransomware, devi implementare controlli multilivello negli ambienti on-premise e cloud.
Le sezioni seguenti descrivono le best practice per aiutare la tua organizzazione a identificare, prevenire, rilevare e rispondere agli attacchi ransomware su Google Cloud.
Identificare i rischi e gli asset
Tieni presente le seguenti best practice per identificare i rischi e gli asset in Google Cloud
- Mantieni un inventario delle tue risorse in Google Cloud.
- Utilizza i log di audit.
- Utilizza le simulazioni del percorso di attacco in Security Command Center Premium per valutare il tuo profilo di rischio attuale.
- Valuta le opzioni di assicurazione informatica disponibili tramite il Programma di protezione dai rischi.
- Abilita Sensitive Data Protection per l'ispezione dei dati.
Controllare l'accesso alle risorse e ai dati
Tieni presente le seguenti best practice per limitare l'accesso a Google Cloud risorse e dati:
Analizza e perfeziona regolarmente le autorizzazioni di Identity and Access Management (IAM).
Attiva l'autenticazione a più fattori per tutti gli utenti di Account Google e Cloud Identity users.
Attiva la verifica in due passaggi per gli account super amministratore.
Per ulteriori best practice sulla protezione dei service account, consulta Best practice per l'utilizzo dei service account.
Proteggere i dati critici
Tieni presente le seguenti best practice per proteggere i dati sensibili:
Configura la ridondanza (N+2) nell'opzione di spazio di archiviazione sul cloud che utilizzi per archiviare i dati. Se utilizzi Cloud Storage, tieni presente quanto segue:
Proteggere la rete e l'infrastruttura
Tieni presente le seguenti best practice per proteggere la rete e l'infrastruttura:
- Utilizza Infrastructure as Code per le baseline sicure.
- Abilita i Controlli di servizio VPC.
- Proteggi le connessioni ibride utilizzando Cloud VPN o Cloud Interconnect.
- Utilizza Cloud Load Balancing con le regole firewall.
Implementa policy dell'organizzazione restrittive come le seguenti:
Proteggere i carichi di lavoro
Tieni presente le seguenti best practice per proteggere i carichi di lavoro:
- Integra la sicurezza in ogni fase del ciclo di vita dello sviluppo del software. Per i carichi di lavoro di Google Kubernetes Engine (GKE), implementa la sicurezza della catena di fornitura del software, inclusi build attendibili e isolamento delle applicazioni.
- Limita il traffico tra i pod.
- Utilizza Cloud Build con la scansione on demand per eseguire la scansione delle vulnerabilità prima dei commit del codice.
- Configura analisi delle vulnerabilità per gli artefatti.
- Applica l'autorizzazione binaria.
- Utilizza le policy di Google Cloud Armor.
- Mantieni aggiornati i cluster GKE.
Rilevare gli attacchi
Tieni presente le seguenti best practice per rilevare gli attacchi:
- Utilizza Cloud Logging per gestire e analizzare i log dei tuoi servizi in Google Cloud e Cloud Monitoring per misurare il rendimento del tuo servizio e delle tue risorse.
- Abilita Security Command Center a livello di organizzazione.
- Per il rilevamento delle minacce in fase di runtime dei carichi di lavoro VM e containerizzati, utilizza Wiz Defend con Wiz Runtime Sensor per rilevare e rispondere alle minacce attive.
- Per un'analisi approfondita della sicurezza e la ricerca delle minacce, esegui l'integrazione con Google Security Operations.
Pianificare gli incidenti
Completa i piani di continuità aziendale e ripristino di emergenza.
Crea un playbook di risposta agli incidenti ransomware ed esegui esercizi di simulazione. Esegui regolarmente le procedure di ripristino per garantire la preparazione e identificare le lacune.
Comprendi i tuoi obblighi di segnalazione degli attacchi alle autorità e includi le informazioni di contatto pertinenti nel playbook.
Rispondere agli attacchi e ripristinare
Quando rilevi un attacco ransomware, attiva il piano di risposta agli incidenti. Dopo aver confermato che l'incidente non è un falso positivo e che influisce sui tuoi Google Cloud servizi, apri una richiesta di assistenza P1. assistenza clienti Google Cloud risponde come documentato nelle Google Cloud: Linee guida per i servizi di assistenza tecnica .
Dopo aver attivato il piano, riunisci il team della tua organizzazione che deve essere coinvolto nelle procedure di coordinamento e risoluzione degli incidenti. Assicurati che questi strumenti e procedure siano in vigore per esaminare e risolvere l'incidente.
Segui il piano di risposta agli incidenti per rimuovere il ransomware e ripristinare l'ambiente in uno stato integro. A seconda della gravità dell'attacco e dei controlli di sicurezza che hai abilitato, il piano può includere attività come le seguenti:
- Mettere in quarantena i sistemi infetti.
- Ripristinare da backup integri.
- Ripristinare l'infrastruttura a uno stato integro precedentemente noto utilizzando la pipeline CI/CD.
- Verificare che la vulnerabilità sia stata rimossa.
- Applicare patch a tutti i sistemi che potrebbero essere vulnerabili a un attacco simile.
- Implementare i controlli necessari per evitare un attacco simile.
Man mano che procedi con la procedura di risposta, continua a monitorare il ticket di assistenza Google. L'assistenza clienti intraprende le azioni appropriate all'interno di Google Cloud per contenere, eliminare e (se possibile) ripristinare il tuo ambiente.
Informa l'assistenza clienti quando l'incidente è stato risolto e l'ambiente è stato ripristinato. Se è pianificata, partecipa a una retrospettiva congiunta con il tuo rappresentante di Google.
Assicurati di acquisire tutte le lezioni apprese dall'incidente e di implementare i controlli necessari per evitare un attacco simile. A seconda della natura dell'attacco, potresti prendere in considerazione le seguenti azioni:
- Scrivi regole di rilevamento e avvisi che si attiverebbero automaticamente in caso di un nuovo attacco.
- Aggiorna il playbook di risposta agli incidenti per includere le lezioni apprese.
- Migliora la tua security posture in base ai risultati retrospettivi.
Passaggi successivi
- Contatta i consulenti Mandiant per una valutazione della difesa informatica.
- Consulta il catalogo delle best practice per la sicurezza per ulteriori best practice.
- Per informazioni su come Google gestisce gli incidenti, consulta la procedura di risposta agli incidenti relativi ai dati processo.