Aprendizados com o MOVEit: como as organizações podem criar resiliência

Na semana passada, as notícias foram dominadas por detalhes do Violação de dados do MOVEit. O ataque em massa viu os cibercriminosos explorarem uma vulnerabilidade no Aplicativo de transferência de arquivos MOVEit — uma ferramenta usada por milhares de organizações em todo o mundo para compartilhar arquivos com segurança com colegas ou partes externas. Ou foi o que eles pensaram... então, o que deu errado?

O que sabemos?

O ataque surgiu porque agentes mal-intencionados conseguiram explorar uma vulnerabilidade nova e até então desconhecida na ferramenta de transferência de arquivos MOVEit — conhecida como ataque de dia zero. Isso fez com que um exemplo do MOVEit usado pela Zellis, fornecedora de serviços de TI para departamentos de folha de pagamento e recursos humanos, fosse comprometido, junto com dados de seus clientes, incluindo BBC, Boots, Aer Lingus e Ofcom. E o ataque não se limita apenas ao Reino Unido — confirma-se que organizações no Canadá e nos EUA também foram afetadas.

O Gangue de ransomware Clop assumiu a responsabilidade pelo ataque e está ameaçando publicar todos os dados roubados das organizações afetadas até 14 de junho, a menos que as empresas paguem um resgate. Mas, além de ser desencorajado pelas agências policiais em todo o mundo, pagar resgates só gera mais ataques. Então, o que as organizações podem — e devem — fazer para se proteger de ataques semelhantes no futuro?

O que podemos aprender?

O ataque é um bom lembrete dos riscos representados por ambos cadeia de suprimentos e cadeia de suprimentos de software. As organizações geralmente depositam muita confiança implícita em seus fornecedores para proteger e armazenar dados confidenciais ao terceirizar sistemas ou funções como folha de pagamento. Mas se o fornecedor for atacado, as organizações podem rapidamente se ver indiretamente comprometidas.

Nesse caso, Zellis claramente desenvolveu uma dependência do software MOVEit — um software com alto risco de exposição devido à sua conexão com a Internet. No entanto, ataques de dia zero podem ser introduzidos a qualquer momento por meio de uma atualização de software e geralmente são aceitos às cegas ou automaticamente.

5 etapas para criar resiliência contra ataques como o MOVEit

Testes rigorosos em todas as atualizações nunca serão viáveis, portanto, as empresas devem criar resiliência e proteção contra falhas para garantir que quaisquer vulnerabilidades não causem danos significativos.

Abaixo estão as principais etapas que as organizações devem adotar para aumentar a resiliência:

1. Sempre presuma uma violação

A primeira coisa a aprender com o ataque MOVEit é que nenhuma organização está imune aos ataques cibernéticos. O ransomware agora é o tipo de ataque mais comum, então você deve adotar um”presumir violação” mentalidade em que o foco está na contenção de violações e não na prevenção para garantir que o ransomware seja isolado no ponto de entrada.

2. Obtenha o básico da maneira certa

Em segundo lugar, não negligencie o básico. A maior parte da exposição ao risco vem de má higiene, mau processo e erro humano. Lembre-se de que os defensores precisam estar certos 100 por cento das vezes, mas o atacante só precisa acertar 1 por cento das vezes para ter sucesso, então não há espaço para erros.

Os ataques de dia zero sempre aconteceram — e sempre acontecerão —, mas muitas empresas ainda não estão entendendo o básico corretamente. A melhor maneira de reduzir o risco é por meio da prática de uma boa higiene de segurança e de uma abordagem de defesa profunda, o que, no mínimo, significa aplicar patches regularmente, limitar o acesso a sistemas e serviços com vulnerabilidades conhecidas e impor uma estratégia de menor privilégio.

3. Visibilidade é fundamental

Uma etapa crítica para criar resiliência é ganhar visibilidade. A visibilidade permite que você entenda qual é a aparência normal para que, quando uma conexão inesperada acontece ou você percebe um alto volume inesperado de dados sendo transferido, você possa detectar usando as tecnologias SIEM (Gerenciamento de Eventos e Informações de Segurança) existentes e agir.

A visibilidade também permite que você entenda as dependências associadas a esse sistema e crie uma imagem do “bem conhecido”. Qualquer organização afetada pela violação do MOVEit precisa ter visibilidade de todas as conexões de entrada e saída nas quais o MOVEit está instalado.

4. Implemente uma estratégia de acesso com menos privilégios

Para as áreas em que você tem menos controle, como sua cadeia de suprimentos de software, garanta uma boa segmentação do resto do seu ambiente. Implemente muito políticas restritivas de lista de permissões que garantem que a carga de trabalho tenha muito pouco acesso ao resto da sua rede e restringem o quanto os invasores podem descobrir sobre a rede e se mover lateralmente.

No caso específico do MOVEit, aplique a lista de permissões na frente da carga de trabalho do iMOVEit para restringir o acesso na camada de aplicativos e atividades.

5. Aplicações de alto valor da Ringfence

Tome medidas para proteger aplicativos de alto valor que lidam com qualquer propriedade intelectual, dados financeiros não públicos, documentos legais ou informações confidenciais e pessoais. O Ringfencing reduz o perímetro de segurança de uma sub-rede ou VLAN para um único aplicativo. Ele fornece o maior impacto com o mínimo de trabalho, exigindo apenas uma linha de política de segurança por aplicativo para fechar 90% da superfície de ataque potencial para o movimento do tráfego leste-oeste.

Como a Illumio Zero Trust Segmentation (ZTS) pode ajudar?

Illumio ZTS torna rápido e fácil ver suas vulnerabilidades e tomar medidas simples para proteger sua organização. Embora o Illumio ZTS não possa impedir um ataque à cadeia de suprimentos de software, ele pode ajudá-lo a ganhar visibilidade da superfície de ataque, determinar comportamentos suspeitos e conter a propagação de violações.

Com o Illumio ZTS, você pode:

• Estabeleça qual é o comportamento “normal” ou “esperado” de e para qualquer carga de trabalho.
• Identifique qualquer desvio das normas aceitáveis (por exemplo, uma mudança no volume de conexões ou dados transferidos, ou IPs ou domínios novos e incomuns acessados).
• Isole rapidamente as cargas de trabalho até ter confiança no status delas durante um ataque ativo.
• Restrinja proativamente o acesso de e para cargas de trabalho para garantir que o acesso fora do que foi autorizado pela política não seja possível.

Construindo resiliência contra ataques de software e cadeia de suprimentos

A hiperconectividade gerou interdependências tão ricas, densas e críticas que os invasores sabem que podem aumentar a eficiência e a lucratividade ao comprometer a cadeia de suprimentos de software. Como resultado, as empresas precisam controlar rapidamente sua cadeia de suprimentos de software ou correr o risco de violações semelhantes.

Ainda hoje, 99% do esforço e do orçamento em segurança cibernética são gastos para impedir que coisas ruins aconteçam (detecção e remediação). No entanto, as empresas podem triplicar seu orçamento de segurança cibernética e ainda ter violações.

As organizações devem se fortalecer proativamente resiliência sempre assumindo uma violação e incorporando recursos de contenção para limitar a propagação de um ataque. Isso significa adotar uma abordagem baseada em riscos, focada em entender o fluxo de dados em toda a superfície de ataque de ativos estendida e separar as principais funções da rede para evitar que as violações se espalhem e atinjam ativos críticos.

Quer saber mais? Entre em contato conosco hoje para uma demonstração e consulta gratuitas.