Reduzir ataques de ransomware usando o Google Cloud

O ransomware é um código criado por terceiros para se infiltrar nos seus sistemas e invadir, criptografar ou roubar dados. Para ajudar a reduzir ataques de ransomware, Google Cloud oferece controles para identificar, proteger, detectar, responder e se recuperar de ataques. Esses controles ajudam a fazer o seguinte:

• avaliar seu risco;
• proteger seu negócio contra ameaças;
• manter operações contínuas;
• ativar resposta e recuperação rápidas.

Este documento é destinado a arquitetos e administradores de segurança. Nele, descrevemos a sequência de ataques de ransomware e como Google Cloud pode ajudar sua organização a reduzir os efeitos desses ataques.

Sequência de ataques de ransomware

Os ataques de ransomware podem começar como campanhas direcionadas ou como campanhas em massa que buscam vulnerabilidades. Uma campanha direcionada começa com identificação e reconhecimento, quando um invasor determina as organizações que são vulneráveis e qual vetor de ataque será usado.

Há muitos vetores de ataque de ransomware. Os mais comuns são e-mails de phishing com URLs maliciosos ou exploração de vulnerabilidades de software expostas. Essa vulnerabilidade de software pode estar no software usado pela organização ou na cadeia de suprimentos de software. Os invasores que usam ransomware têm como alvo as organizações, a cadeia de suprimentos e os clientes delas.

Quando o ataque inicial é bem-sucedido, o ransomware é instalado automaticamente e entra em contato com o comando e o servidor de controle para recuperar as chaves de criptografia. À medida que o ransomware se espalha por toda a rede, ele pode infectar recursos, criptografar dados usando as chaves recuperadas e exfiltrar dados. Os invasores exigem um resgate da organização, normalmente em criptomoeda, para enviar a chave de descriptografia.

O diagrama a seguir resume a sequência típica de ataques de ransomware, desde a identificação e o reconhecimento até a exfiltração de dados e o pedido de resgate.

O ransomware costuma ser difícil de detectar. Portanto, é fundamental que você implemente recursos de prevenção, monitoramento e detecção e que sua organização esteja pronta para responder rapidamente quando alguém descobrir um ataque.

Controles de segurança e resiliência em Google Cloud

Google Cloud inclui controles integrados de segurança e resiliência para proteger os clientes contra ataques de ransomware. Esses controles incluem o seguinte:

• Infraestrutura global projetada com segurança durante todo o ciclo de vida do processamento de informações
• Recursos de detecção integrados para Google Cloud produtos e serviços, como monitoramento, detecção de ameaças, prevenção contra perda de dados e controles de acesso
• Controles preventivos integrados, como o Assured Workloads
• Alta disponibilidade com clusters regionais e balanceadores de carga globais
• Backup integrado, com serviços escalonáveis
• Recursos de Automation usando Infraestrutura como código e proteções de configuração

O Google Threat Intelligence, VirusTotal e o Mandiant Digital Threat Monitoring monitoram e respondem a muitos tipos de malware, incluindo ransomware, na infraestrutura e nos produtos do Google. O Google Threat Intelligence é uma equipe de pesquisadores de ameaças que desenvolve inteligência contra ameaças para Google Cloud produtos. O VirusTotal é um banco de dados de malware e uma solução de visualização que oferece uma melhor compreensão de como o malware opera dentro da sua empresa. O Mandiant Digital Threat Monitoring e outros serviços da Mandiant oferecem pesquisa de ameaças, consultoria e suporte de resposta a incidentes.

Para mais informações sobre os controles de segurança integrados, consulte a Visão geral da segurança do Google e a Visão geral do design de segurança da infraestrutura do Google.

Controles de segurança e resiliência no Google Workspace, no navegador Chrome e nos Chromebooks

Além dos controles do Google Cloud Google Cloud, outros produtos do Google como o Google Workspace, o navegador Google Chrome e os Chromebooks incluem controles de segurança que podem ajudar a proteger sua organização contra ataques de ransomware. Por exemplo, os produtos do Google oferecem controles de segurança que permitem que trabalhadores remotos acessem recursos de qualquer lugar, com base na identidade e no contexto (como localização ou endereço IP).

Conforme descrito na seção Sequência de ataque de ransomware, o e-mail é um vetor importante para muitos ataques de ransomware. Ele pode ser explorado para phishing de credenciais para acesso fraudulento à rede e distribuição direta de binários de ransomware. A proteção avançada contra phishing e malware proteção no Gmail oferece controles para colocar e-mails em quarentena, proteção contra tipos de anexos perigosos e ajuda a proteger os usuários contra e-mails de spoofing. O sandbox de segurança foi projetado para detectar a presença de malware anteriormente desconhecido nos anexos.

O navegador Chrome inclui Navegação segura do Google, que foi criada para fornecer avisos quando os usuários tentam acessar um site infectado ou malicioso. Os sandboxes e o isolamento de sites ajudam a proteger contra a propagação de código malicioso em diferentes processos na mesma guia. A Proteção por senha foi criada para fornecer alertas quando uma senha corporativa estiver sendo usada em uma conta pessoal e verificar se alguma das senhas salvas do usuário foi comprometida em uma violação on-line. Nesse cenário, o navegador solicita que o usuário altere a senha.

Os seguintes recursos do Chromebook ajudam a proteger contra ataques de phishing e ransomware:

• Sistema operacional com acesso somente leitura (Chrome OS): esse sistema foi projetado para ser atualizado de forma constante e invisível. ChromeOS ajuda a proteger contra as vulnerabilidades mais recentes e inclui controles que garantem que aplicativos e extensões não possam modificá-la.
• Sandbox:cada aplicativo é executado em um ambiente isolado. Portanto, um aplicativo nocivo pode não infectar facilmente outros aplicativos.
• Inicialização verificada:enquanto o Chromebook está sendo inicializado, ele foi projetado para verificar se o sistema não foi modificado.
• **Navegação segura**: o Chrome faz o download periódico da lista de sites não seguros mais recentes. Ela foi projetada para verificar os URLs de cada site que um usuário visita e verifica cada download de arquivo que um usuário faz nessa lista.
• Chips de segurança do Google:esses chips ajudam a proteger o sistema operacional contra adulterações maliciosas.

Para ajudar a reduzir a superfície de ataque da organização, considere os Chromebooks para usuários que trabalham principalmente em um navegador.

Práticas recomendadas para reduzir ataques de ransomware em Google Cloud

Para proteger recursos e dados corporativos contra ataques de ransomware, implemente controles em várias camadas dos seus ambientes locais e na nuvem.

As seções a seguir descrevem práticas recomendadas para ajudar sua organização a identificar, impedir, detectar e responder a ataques de ransomware em Google Cloud.

Identifique riscos e recursos

Considere as seguintes práticas recomendadas para identificar seus riscos e recursos em Google Cloud:

• Mantenha um inventário dos seus recursos em Google Cloud.
• Use registros de auditoria.
• Use simulações de caminho de ataque no Security Command Center Premium para avaliar seu perfil de risco atual.
• Considere as opções de seguro cibernético disponíveis pelo Programa de Proteção Contra Riscos.
• Ative a proteção de dados sensíveis para inspeção de dados.

Controle o acesso a recursos e dados

Considere as seguintes práticas recomendadas para limitar o acesso a Google Cloud recursos e dados:

• Analise e refine as permissões do Identity and Access Management (IAM) regularmente.

• Use a federação de identidade da carga de trabalho .

• Ative a autenticação multifator para todas as Contas do Google e usuários do Cloud Identity.

• Ative a verificação em duas etapas para contas de superadministrador.

Para mais práticas recomendadas sobre como proteger contas de serviço, consulte Práticas recomendadas para usar contas de serviço.

Proteja dados importantes

Considere as seguintes práticas recomendadas para ajudar a proteger seus dados sensíveis:

• Configure redundância (N+2) na opção de armazenamento em nuvem que você usa para armazenar seus dados. Se você usa o Cloud Storage, considere o seguinte:

  • Verifique se a política de retenção do bucket do Cloud Storage usa o bloqueio de bucket.
  • Aplique o controle de versões para buckets do Cloud Storage.

• Implemente e teste backups de banco de dados.

• Implemente uma estratégia de backup e recuperação de desastres.

• Alterne as chaves da conta de serviço.

• Monitore atividades relacionadas a chaves.

Proteja a rede e a infraestrutura

Considere as seguintes práticas recomendadas para ajudar a proteger sua rede e infraestrutura:

• Use a infraestrutura como código para linhas de base seguras.
• Ative o VPC Service Controls.
• Proteja conexões híbridas usando o Cloud VPN ou o Cloud Interconnect.
• Use Cloud Load Balancing com regras de firewall.

• Implemente políticas restritivas da organização como as seguintes:

  • Desative o acesso raiz nas instâncias e notebooks do Workbench da Agent Platform gerenciados pelo usuário.
  • Restrinja os endereços IP públicos do Cloud SQL.
  • Desative o acesso à porta serial da VM.
  • Ative os recursos de VM protegida.

Proteja suas cargas de trabalho

Considere as seguintes práticas recomendadas para ajudar a proteger suas cargas de trabalho:

• Integre a segurança em todas as fases do ciclo de vida do desenvolvimento de software. Para cargas de trabalho do Google Kubernetes Engine (GKE), implemente a segurança da cadeia de suprimentos de software, incluindo builds confiáveis e isolamento de aplicativos.
• Restrinja o tráfego entre pods.
• Use Cloud Build com a verificação sob demandapara realizar a verificação de vulnerabilidades antes dos commits de código.
• Configure a verificação de vulnerabilidades para artefatos.
• Aplique a autorização binária.
• Use as políticas do Google Cloud Armor.
• Mantenha os clusters do GKE atualizados.

Detecte ataques

Considere as seguintes práticas recomendadas para ajudar a detectar ataques:

• Use Cloud Logging para gerenciar e analisar os registros dos serviços em Google Cloud e Cloud Monitoring para medir o desempenho do serviço e dos recursos.
• Ative o Security Command Center no nível da organização.
• Para a detecção de ameaças de tempo de execução de cargas de trabalho de VM e em contêineres, use o Wiz Defend com o sensor de tempo de execução do Wiz para detectar e responder a ameaças ativas.
• Para análise de segurança detalhada e caça a ameaças, faça a integração com o Google Security Operations.

Planeje incidentes

• Conclua os planos de continuidade de negócios e recuperação de desastres.

• Crie um manual de resposta a incidentes de ransomware e realize exercícios de simulação. Pratique os procedimentos de recuperação regularmente para garantir a preparação e identificar lacunas.

• Entenda suas obrigações de relatar ataques às autoridades e inclua dados de contato relevantes no manual.

Responda a ataques e recupere-se deles

Quando detectar um ataque de ransomware, ative seu plano de resposta a incidentes. Depois de confirmar que o incidente não é um falso positivo e que afeta seus Google Cloud serviços, abra um caso de suporte P1. O Cloud Customer Care responde conforme documentado nas Google Cloud: Diretrizes dos Serviços de Suporte Técnico do Google Cloud.

Depois de ativar o plano, reúna a equipe da organização que precisa participar dos processos de coordenação e resolução de incidentes. Verifique se essas ferramentas e processos estão implementados para investigar e resolver o incidente.

Siga o plano de resposta a incidentes para remover o ransomware e restaurar o ambiente a um estado íntegro. Dependendo da gravidade do ataque e dos controles de segurança ativados, seu plano pode incluir atividades como as seguintes:

• colocar sistemas infectados em quarentena;
• restaurar a partir de backups íntegros;
• restaurar a infraestrutura para um estado válido conhecido usando o pipeline de CI/CD;
• verificar se a vulnerabilidade foi removida;
• corrigir todos os sistemas que podem estar vulneráveis a ataques semelhantes;
• implementar os controles necessários para evitar um ataque semelhante.

À medida que você avança no processo de resposta, continue monitorando seu tíquete de suporte do Google. O Customer Care toma as medidas apropriadas no Google Cloud Google Cloud para conter, erradicar e, se possível, recuperar seu ambiente.

Informe o Customer Care quando o incidente for resolvido e o ambiente for restaurado. Se houver um agendado, participe de uma retrospectiva conjunta com seu representante do Google.

Veja se aprendeu todas as lições com o incidente e implante os controles necessários para evitar um ataque semelhante. Dependendo da natureza do ataque, considere as seguintes ações:

• escreva regras de detecção e alertas que vão ser acionados automaticamente se o ataque ocorrer novamente;
• atualize o manual de resposta a incidentes para incluir essas lições;
• melhore a postura de segurança com base nas descobertas retrospectivas.

A seguir

• Entre em contato com os consultores da Mandiant para uma avaliação de defesa cibernética.
• Consulte o catálogo de práticas recomendadas de segurança para mais práticas recomendadas.
• Saiba mais sobre como o Google gerencia incidentes em Processo de resposta a incidentes de dados.