Infrastruktura firmy VIS, s.r.o.:

• 30 uživatelů koncových zařízení Windows 10 – PC (jsou uvnitř perimetru)
• 20 uživatelů koncových zařízení Windows 10 – Notebooky (pohybují se mimo firmu)
• Celkový počet IP zařízení: 75 (servery, tiskárny, aktivní prvky sítě atd.)

Firma používá dosud následující ochranu:

• Firewall Sonicwall
• Spamový filtr
• Antivirus Esset
• Další síťová infrastruktura (…) a správa Microsoft
• MS Exchange server, Active Directory…

*zde nejsou důležité detaily

Nově postavená ochrana:
Firma se rozhodla přidat další vrstvy ochrany proti pokročilým hrozbám.

• Ochranu komunikace všech zařízení v perimetru produktem FORSETI (pro licencování bude podstatný počet IP zařízení v síti) – bez ohledu na operační systém, na kterém běží (včetně IOT zařízení).
• Ochranu komunikace a management zranitelností pro notebooky, které se používají i mimo perimetr sítě produktem Thor Foresight.
• Ochranu komunikace a management zranitelností pro servery.
• Nástroj pro správu privilegovaných účtů.
  • Ochrana DNS všech zařízení v perimetru FORSETI (75)
  • Thor Foresight u 20 notebooků
  • Thor Foresight 5 Windows serverů
  • Thor Admin Privilege (správa privilegovaných účtů)

Shrnutí vrstev a mechanismů ochrany proti (nejen) tomuto typu malwaru:

• Filtrace DNS provozu (Foresti, Thor Foresight / Darklayer Guard), která blokuje komunikaci malwaru s Command & Control centrem útočníka, čímž mu prakticky znemožní činnost.
• Hosted IDS / IPS (Foresti, Thor Foresight, prvek VectorN Detection).
• TTPC - Threat To Process Corelation (Thor Foresight), která označí příslušný proces hrozby.
• Vulnerability management (správa zranitelností) pro koncová zařízení i servery se systémem Windows (Thor Foresight, prvek X-ploit Resilience).
• Řízení privilegovaných účtů (Thor Admin Privilege) proti zneužití administrátorských přístupových práv malwarem.

Podle odborníků je průměrná doba latentního provozu ransomwaru cca 4 měsíce, kdy se snaží:

• šířit po síti, zametat stopy
• získat vyšší přístupová práva
• popřípadě odesílat data.

Za tu dobu by měly komponenty Heimdalu z mnoha míst hlásit napadení více způsoby, což by správce viděl v ovládacím dashboardu i v alertech v e-mailu.

Kombinace vrstev:

• Tato kombinace vrstev zvýší ochranu proti malwaru (nejen) tohoto typu ransomware významným způsobem. Než by mohlo dojít k šifrování, měl by správce o jeho aktivitě spoustu známek. Díky blokaci provozu na úrovni DNS by šifrování pravděpodobně vůbec nezačalo.

Úspěšnost záchytu ransomwaru:
Záchyt ransomwaru je při použití vhodné kombinace produktů Heimdal až 95%. Úspěšnost dnešního antiviru nové generace je v tomto případě v jednotkách procent.  Hackeři kompilují nové verze třeba každé dvě hodiny, často na míru oběti, takže pravděpodobnost, že by antivirus znal ransomware, se kterým se setkáme, je proto tak nízká. Bez ohledu na tato čísla je však nutné současné prvky ochrany stále používat. S klasickými viry a malwary se budeme setkávat i nadále.

Závěr:
Za cenu cca 69.764,- Kč na rok můžeme čelit následkům útoku, který nás může stát snadno přes 2.000.000,- Kč. A takový útok může přijít opakovaně a s většími následky! Už jen ochrana perimetru Forseti značně zvýší bezpečnost. Notebook, který uživatel používá mimo perimetr, však může být zasažen útokem a nákaza po návratu do firmy nebo po připojení z home office ohrožuje ostatní zařízení uvnitř podnikové sítě. Máme-li takové prostředky ve výbavě, správce a osoba odpovědná za bezpečnost pak vidí v ovládací konzoli, co se v perimetru děje, a může podnikat další opatření.