Microsoft afronta la creciente amenaza del ransomware
- Fecha: 12 October, 2021
Microsoft ha anunciado una nueva solución técnica y una valiosa guía, ambas destinadas a ayudar a las organizaciones a protegerse contra las crecientes amenazas que plantea el ransomware.
A nivel tecnológico, ya existe Fusion para la detección del ransomware, y está disponible públicamente.
Esta nueva función de Azure utiliza el machine learning para detectar posibles ataques, enviando alertas a los equipos de seguridad cuando observe acciones potencialmente asociadas a actividades de ransomware.
Las alertas explicarán lo que ha sucedido junto con los detalles de los dispositivos o hosts en los que se vieron las acciones. Como parte de sus actividades, el sistema Fusion correlaciona los datos de otros servicios de Azure, como Azure Defender, Microsoft Defender for Endpoint, Microsoft Defender for Identity, Microsoft Cloud App Security y las reglas de análisis programadas de Azure Sentinel.
La velocidad es clave para Fusion, ya que cuanto antes se pueda alertar a los equipos de seguridad sobre las amenazas, más rápido se podrán contener y remediar los ataques de ransomware, evitando así que se comprometan más equipos o toda la red.
La necesidad de esa rapidez es cada vez más crítica, ya que Microsoft cita un reciente informe de PurpleSec que revela que el tiempo de inactividad asociado a los ataques de ransomware ha aumentado en más de un 200% desde 2019, siendo el coste 23 veces mayor en el mismo periodo.
A nivel más general, Microsoft también ha publicado una nota de asesoramiento destinada a ayudar a las organizaciones de todos los tamaños a mejorar sus defensas contra el ransomware.
La guía se presenta en forma de un proceso de tres pasos:
- Preparar un plan de recuperación, para no pagar por el rescate: Esto podría implicar la restauración de todos los sistemas a partir de copias de seguridad, por lo que los activos críticos deberían ser objeto de una copia de seguridad automática y estas copias de seguridad deberían estar protegidas para evitar el borrado deliberado y el cifrado. También se recomienda reducir la exposición en las instalaciones trasladando los datos a servicios en la nube con copias de seguridad automáticas y reversión de autoservicio.
- Limitar el alcance de los daños: la intención aquí es asegurarse de tener fuertes controles (prevenir, detectar, responder) en las cuentas privilegiadas, ya que esto frenará o bloqueará a los atacantes de obtener acceso completo para robar y cifrar sus recursos. Esto puede lograrse habilitando una seguridad elevada para dichas cuentas.
- Dificultar la entrada eliminando los riesgos de forma gradual: el objetivo es impedir que un atacante de ransomware entre en el entorno, así como detectar y desalojar rápidamente a los atacantes. Microsoft recomienda seguir los principios esbozados en la estrategia Zero Trust como parte de esta actividad.
La guía concluye subrayando el valor de obtener la aprobación de los altos ejecutivos de su organización y de conseguir que las partes interesadas de IT y de seguridad trabajen juntas para contrarrestar las amenazas que plantea el ransomware.
La importancia de estos dos nuevos anuncios se ve reforzada por esta nota de advertencia de Mark Simos, arquitecto jefe de ciberseguridad en el Grupo de Soluciones de Ciberseguridad de Microsoft: "una idea errónea común sobre los ataques de ransomware es que solo se trata de ransomware - "págame para recuperar tus sistemas y datos"-, pero estos ataques han evolucionado en realidad hacia ataques generales de extorsión. Aunque el rescate sigue siendo el principal ángulo de monetización, los atacantes también roban datos sensibles (suyos y de sus clientes) y amenazan con divulgarlos o venderlos en la deep web o en internet (a menudo mientras los retienen para posteriores intentos de extorsión y futuros ataques)".
Descubre más información sobre nuestros cursos de Microsoft.
