如何在勒索軟件談判中獲得最好的結(jié)果

責(zé)任編輯:cres

作者:Mirko Zorz

2023-08-14 14:22:00

來源:企業(yè)網(wǎng)D1Net

原創(chuàng)

本文介紹了勒索軟件談判的復(fù)雜性,以及企業(yè)可以采取哪些措施來保護(hù)自己免受網(wǎng)絡(luò)威脅。

雖然支付贖金通常被視為最終措施,但在數(shù)據(jù)隱私管理平臺(tái)BigID的調(diào)查中90%的受訪者表示,如果這意味著他們可以恢復(fù)數(shù)據(jù)和業(yè)務(wù)流程,或者更快地恢復(fù),他們的公司會(huì)考慮支付贖金。
 
在接受行業(yè)媒體的采訪中,網(wǎng)絡(luò)安全服務(wù)商Sygnia公司英國和北歐地區(qū)的Azeem Aleem博士揭示了勒索軟件談判的復(fù)雜性,并強(qiáng)調(diào)了企業(yè)可以采取哪些措施來保護(hù)自己免受網(wǎng)絡(luò)威脅。
 
典型的勒索軟件談判過程是什么樣的?專業(yè)人士可以采用什么談判策略來降低勒索贖金?
 
Aleem:如果企業(yè)遭到勒索軟件攻擊,威脅行為者可以利用它作為進(jìn)行勒索的機(jī)會(huì),承諾以交錯(cuò)的方式發(fā)布數(shù)據(jù),以確保他們從勒索軟件攻擊中獲得最大收益。其結(jié)果是,企業(yè)可能會(huì)與威脅行為者陷入無休止的贖金循環(huán)。這就是人們被要求調(diào)查和防范重大勒索軟件、企業(yè)間諜活動(dòng)、金融盜竊甚至民族國家攻擊的原因。
 
人們總是在網(wǎng)絡(luò)安全預(yù)防方面犯錯(cuò)誤,他們需要跟上威脅行為者的發(fā)展步伐,這意味著投資并尋求第三方安全專家的幫助,他們可以從頭開始審查企業(yè)的安全堆棧,發(fā)現(xiàn)企業(yè)可能沒有注意到的細(xì)節(jié)。應(yīng)對(duì)網(wǎng)絡(luò)犯罪需要多種技能,包括預(yù)測和適應(yīng)性思維,以及真正看到網(wǎng)絡(luò)威脅的全面或微觀視角。
 
在與威脅行為者接觸之前,企業(yè)需要為勒索談判獲得正確的技能。例如可以從精英軍事技術(shù)部門和網(wǎng)絡(luò)行業(yè)中挑選精英人才,例如軍事情報(bào)部門前官員、犯罪心理學(xué)家、勒索軟件黑客談判代表等等。這是一支非常獨(dú)特的團(tuán)隊(duì),他們?cè)诩夹g(shù)優(yōu)勢、數(shù)字作戰(zhàn)、數(shù)據(jù)分析和商業(yè)方面擁有訓(xùn)練有素的技能,為企業(yè)提供軍事級(jí)別的安全。
 
企業(yè)要意識(shí)到會(huì)有更多的損失——需要愿意談判,這意味著“玩游戲”以獲得最好的結(jié)果。成功進(jìn)行談判意味著在保護(hù)被盜數(shù)據(jù)的同時(shí)支付很少費(fèi)用或不支付任何費(fèi)用。網(wǎng)絡(luò)威脅談判專家可以找到漏洞的來源,并使用策略來延遲交付贖金,同時(shí)為企業(yè)的調(diào)查團(tuán)隊(duì)提取關(guān)鍵信息,以映射到威脅行為者的特定行為。例如,企業(yè)的談判者可能會(huì)假設(shè)一個(gè)特定的角色來建立同理心和信任,創(chuàng)造一種友誼感,這有助于打開溝通渠道,達(dá)成更好的交易。
 
通過查找漏洞來源來避免雙重勒索和三重勒索。談判團(tuán)隊(duì)將努力揭示勒索軟件攻擊者的動(dòng)機(jī),調(diào)查來源,遏制威脅,最大限度地減少泄露暴露時(shí)間(BET),然后幫助補(bǔ)救和恢復(fù),以此作為打破威脅循環(huán)的一種方式。談判者將協(xié)助找到能夠幫助技術(shù)團(tuán)隊(duì)揭示未知狀況的“黑天鵝”。
 
通過了解勒索軟件攻擊者使用的工具、策略和過程(TTP),可以確定勒索軟件攻擊的復(fù)雜程度。有時(shí)勒索軟件攻擊者的攻擊方式或者工具并不復(fù)雜,但他們可能發(fā)現(xiàn)了一個(gè)未知的漏洞,可以繼續(xù)濫用。
 
使用勒索軟件談判服務(wù)而不是在企業(yè)內(nèi)部處理談判有什么好處?
 
Aleem:第三方高技能的事件響應(yīng)團(tuán)隊(duì)可以通過與企業(yè)合作為其提供大量專業(yè)知識(shí),這可能是傳統(tǒng)內(nèi)部安全團(tuán)隊(duì)所缺少的知識(shí)和技能。例如我們從精英軍事技術(shù)部門和網(wǎng)絡(luò)行業(yè)中挑選精英人才,例如前軍事情報(bào)官員、犯罪心理學(xué)家、勒索軟件黑客談判代表等。這是一支獨(dú)特的團(tuán)隊(duì),他們?cè)诩夹g(shù)優(yōu)勢、數(shù)字作戰(zhàn)、數(shù)據(jù)分析和商業(yè)方面擁有訓(xùn)練有素的技能,可以為企業(yè)提供軍事級(jí)別的安全保障。事實(shí)上,一些國家悄悄地向他們尋求幫助。
 
談判人員可以推遲企業(yè)對(duì)贖金要求的回應(yīng)。這種延遲提供了什么好處,它如何影響勒索軟件攻擊的結(jié)果?
 
Aleem:網(wǎng)絡(luò)威脅行為者現(xiàn)在可能是擁有人力資源、薪資和銷售團(tuán)隊(duì)的大企業(yè)。他們需要像企業(yè)保護(hù)贖金一樣保護(hù)自己的行業(yè)聲譽(yù)。不幸的是,在某些情況下,由于攻擊本身的性質(zhì),支付贖金是不可避免的。例如,對(duì)工業(yè)基礎(chǔ)設(shè)施的攻擊,不僅會(huì)對(duì)網(wǎng)絡(luò)安全造成影響,還會(huì)對(duì)工作和生活造成物理影響。
 
研究機(jī)構(gòu)最近發(fā)布的一份研究報(bào)告表明,在今年上半年,全球企業(yè)支付了4.491億美元的贖金。勒索談判將有助于發(fā)現(xiàn)勒索軟件攻擊者的未知之處,找到安撫他們的方法,并減少贖金——在某些情況下,可能會(huì)阻止未來的攻擊。我們實(shí)際上是在爭取時(shí)間來控制威脅、恢復(fù)數(shù)據(jù)和彌補(bǔ)安全漏洞。
 
在遭受勒索軟件攻擊之后,企業(yè)應(yīng)該立即采取什么措施,以使自己處于成功談判的最佳位置?
 
Aleem:•建立安全的離線渠道。這本質(zhì)上是一個(gè)作戰(zhàn)室,以簡化戰(zhàn)略團(tuán)隊(duì)溝通。網(wǎng)絡(luò)攻擊不再是一個(gè)IT問題,必須提交給企業(yè)董事會(huì),特別是如果監(jiān)管措施被忽視,首席執(zhí)行官可能會(huì)發(fā)現(xiàn)自己被解雇。
 
•保持冷靜,避免下意識(shí)的反應(yīng)??謶謺?huì)讓人驚慌失措,影響判斷??梢試L試回應(yīng)威脅行為者,提示他們成功的“標(biāo)記”。
 
•招募外部的突發(fā)事件應(yīng)對(duì)專家來調(diào)查、評(píng)估和繪制危機(jī)地圖。不要單獨(dú)與威脅行為者接觸。
 
•應(yīng)用網(wǎng)絡(luò)分段,并將備份環(huán)境與網(wǎng)絡(luò)分離。
 
•斷開員工與電子郵件和服務(wù)器的連接,以避免傳播攻擊。許多供應(yīng)鏈攻擊可以通過這種方式擴(kuò)大攻擊規(guī)模。
 
•評(píng)估運(yùn)營環(huán)境,了解攻勒索軟件擊的來源。
 
•謹(jǐn)慎對(duì)待補(bǔ)救和消除后門。這樣的緩解活動(dòng)可能會(huì)讓威脅行為者意識(shí)到有人盯上了他們。確保企業(yè)正在進(jìn)行的流程是全面的,并使用定制的監(jiān)視工作來支持補(bǔ)救,以防止進(jìn)一步的風(fēng)險(xiǎn),并檢測可能遺漏的任何后門。
 
能否舉例說明企業(yè)如何成功使用勒索軟件協(xié)商服務(wù)來減輕勒索軟件攻擊的影響?
 
Aleem:我們的勒索軟件談判服務(wù)限制了對(duì)企業(yè)的損害,能夠快速發(fā)現(xiàn)威脅并最終以更快的速度減少贖金。我們的調(diào)查提供了可以阻止威脅行為者的杠桿,最大限度地減少贖金或根本不支付任何費(fèi)用的最佳結(jié)果。
 
我們將看到越來越多的運(yùn)營技術(shù)(OT)攻擊,在某些情況下,虛擬世界和物理世界都可能受到影響,因此需要支付贖金。例如,Sygnia公司與一家知名的全球制造公司開展合作,該公司是一個(gè)制造商集團(tuán)的子公司,并且擁有多個(gè)OT生產(chǎn)環(huán)境。該公司遭受了來自PYSA或Mespinoza Ransomware勒索組織的攻擊,網(wǎng)絡(luò)攻擊者對(duì)生產(chǎn)車間的服務(wù)程序進(jìn)行了加密,導(dǎo)致工廠運(yùn)營和客戶交付暫停。對(duì)于這種規(guī)模的企業(yè)來說,任何日常運(yùn)營的中斷都可能造成150萬至200萬美元的損失。
 
該公司無法繼續(xù)承受這樣的損失,因此在現(xiàn)有工作流程的同時(shí),Sygnia公司幫助調(diào)查和控制威脅,同時(shí)恢復(fù)并與威脅行為者進(jìn)行談判。我們的談判專家團(tuán)隊(duì)找到了與威脅行為者建立信任和同理心的方法——更深入地了解勒索軟件攻擊的起源,以幫助我們的遏制團(tuán)隊(duì)確保他們針對(duì)的是正確的領(lǐng)域。
 
一旦我們發(fā)現(xiàn)了勒索軟件攻擊的入口點(diǎn)并發(fā)現(xiàn)了橫向移動(dòng)向量,我們就能夠追蹤到攻擊的起源,并將其追蹤到制造商集團(tuán)內(nèi)的另一家子公司。我們?cè)诠?yīng)鏈攻擊中多次看到這種情況,企業(yè)內(nèi)部團(tuán)隊(duì)為了提高效率而彼此共享系統(tǒng),但他們卻不知道,這也為威脅行為者提供了利用和傳播攻擊的途徑。
 
Sygnia公司展示了我們的調(diào)查結(jié)果,并與兩個(gè)法律團(tuán)隊(duì)分享了過濾之后的數(shù)據(jù)進(jìn)行分析。在這種情況下,我們能夠從我們的“安全島”恢復(fù)環(huán)境,因此不必支付贖金。我們還修復(fù)了漏洞,以防止再次發(fā)生勒索軟件攻擊,并幫助制造商在最初的妥協(xié)之后兩周內(nèi)恢復(fù)這家工廠的全面運(yùn)營。
 
可以解釋一下勒索軟件談判服務(wù)如何與執(zhí)法機(jī)構(gòu)合作,以及這種合作如何使受害企業(yè)受益嗎?
 
Aleem:在多個(gè)案例中,Sygnia公司的談判小組與執(zhí)法機(jī)構(gòu)進(jìn)行了廣泛的合作。這主要是為了了解勒索軟件攻擊的范圍,改進(jìn)安全團(tuán)隊(duì)的工具、策略和過程(TTP),并爭取關(guān)鍵時(shí)間以加快遏制過程。
 
關(guān)于企業(yè)網(wǎng)D1net(r5u5c.cn):
 
國內(nèi)主流的to B IT門戶,同時(shí)在運(yùn)營國內(nèi)最大的甲方CIO專家?guī)旌椭橇敵黾吧缃黄脚_(tái)-信眾智(www.cioall.com)。同時(shí)運(yùn)營19個(gè)IT行業(yè)公眾號(hào)(微信搜索D1net即可關(guān)注)
 
版權(quán)聲明:本文為企業(yè)網(wǎng)D1Net編譯,轉(zhuǎn)載需在文章開頭注明出處為:企業(yè)網(wǎng)D1Net,如果不注明出處,企業(yè)網(wǎng)D1Net將保留追究其法律責(zé)任的權(quán)利。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)