Cibersegurança: viagem no tempo salva sua empresa de ataques ransomwares

Não precisa ser um entusiasta dos anos 1980 para conhecer as aventuras em “De Volta para o Futuro” com Marty McFly, Doc Brown e o poderoso DeLorean. O curioso é que a fantasia dessa história que até hoje cativa gerações se torna real quando o assunto é proteção dos dados.

Para entender melhor essa analogia, vamos compreender primeiro as fases de um ataque de ransomware, para chegarmos ao ponto de como uma viagem tecnológica no tempo pode salvar os negócios de uma empresa – e de forma descomplicada.

Início do ciberataque

No caso de um ataque de ransomware, o tempo de permanência resume o período que envolve reconhecimento e estudo do alvo para realizar a invasão. É fundamental que as empresas conheçam essa etapa para que sejam capazes de se recuperar de incidentes desse tipo.

O tempo de permanência é executado desde o momento que o agente malicioso viola o firewall pela primeira vez, e se estende até quando o invasor se revela e exige o resgate.

O padrão do ciberataque

A primeira fase da invasão é a campanha via e-mails de phishing ou cavando outras vulnerabilidades. Quaisquer que sejam os meios, nessa fase a premissa consiste em encontrar uma vítima e estabelecer meios de entrada. O objetivo final é a intrusão. Para os criminosos, isso é o que desbloqueia o resto do processo e é quando se inicia o tempo de permanência.

Uma vez dentro do firewall, os invasores de ransomware coletam credenciais para obter um acesso mais profundo e começam a se mover lateralmente pelos sistemas da vítima, geralmente usando ferramentas que dependem de protocolos legítimos, como área de trabalho remota (RDP), para atuar à distância e estabelecer funcionalidades de comando e controle.

Nesse estágio do ciberataque, os criminosos identificam dados confidenciais e começam a implementar cargas úteis de software para iniciar a fase de execução, na qual ocorrem a criptografia e a exfiltração de dados.

Viagem no tempo: snapshots ou backups?

É praticamente impossível manter os cibercriminosos do lado de fora dos sistemas da empresa. Dessa forma, a ferramenta mais poderosa para resistir a um ataque de ransomware é a restauração — uma viagem no tempo para antes da fase de início do tempo de permanência. Isso requer snapshots, backups e a capacidade de recuperação de forma rápida.

Os snapshots fornecem um registro do estado do sistema e dos dados obtidos em intervalos frequentes durante o expediente. Eles são projetados para serem obtidos com impacto mínimo nos sistemas de produção, e geralmente são armazenados no storage primário ou próximo dele. Isso significa que os dados também podem ser rapidamente restaurados dessa forma. Além disso, uma empresa pode manter snapshots que datam de um mês ou dois.

Os backups geralmente são mantidos por períodos muito mais longos e as cópias são realizadas com uma frequência menor. Eles quase sempre são transferidos para storage secundário e podem ser mais demorados para recuperar.

Se as circunstâncias permitirem — e os efeitos do tempo de permanência também — os snapshots se tornam a maneira mais eficaz para uma empresa superar um ataque de ransomware, justamente porque podem os dados podem ser retomados com muito mais agilidade, desde que eles não tenham sido sabotados pelos criminosos.

Não deixe ninguém alterar o seu passado

Por padrão, os snapshots são implementados somente para leitura, por isso, são sempre imutáveis em um sentido. Os cibercriminosos sabem disso e tentam excluí-los ou movê-los. Por isso, as empresas precisam implementar snapshots que não podem ser excluídos e que também não possam ser impedidos de se movimentar para o local de recuperação, por exemplo.

Os snapshots com autenticação multifatorial baseada em PIN por vários membros de uma equipe de TI, combinados com políticas de retenção e definição de destinos, são importantes cartas na manga que podem salvar os negócios.

Esse é o método principal de restauração se o tempo de permanência do ransomware for relativamente curto; contudo, pode não ser o caso. É possível que os criminosos passem vários meses bisbilhotando dentro do firewall, instalando malware e corrompendo arquivos. Se for esse o caso, é mais provável que o restabelecimento seja necessário a partir de backups.

Seja qual for a necessidade de restauração – snapshots ou backups – um requisito crucial é recuperar os dados rapidamente para que a produção possa ser retomada. O segredo está no armazenamento utilizado para reter as cópias de proteção de dados – e ele precisa oferecer um desempenho ultrarrápido de retomada dos dados.

Para a segurança da informação, escolha o seu DeLorean

É preciso buscar um storage de estado sólido (SSD) que seja capaz de lidar com dados não estruturados, como arquivos e objetos. Ou seja, não é qualquer unidade de estado sólido.

As gerações mais recentes de flash NAND impulsionaram o surgimento de arrays de armazenamento que trazem capacidade e velocidade de acesso extremamente altas, com alta capacidade e a um custo por terabyte próximo ao dos HDDs de disco giratório.

O alto desempenho da taxa de transferência também é imprescindível. A média de 270 TB por hora de taxa de transferência é suficiente e ideal para colocar a maioria das empresas de volta à ativa com muita velocidade.

De fato, para salvar uma empresa que foi vítima de um ataque de ransomware é preciso manter, em síntese, as melhores ferramentas, infraestrutura e retroceder o relógio para o momento certo de recuperar os dados. Nesse sentido, precisamos continuar evoluindo para proteger essas informações valiosas e garantir às empresas um futuro sustentável em cibersegurança.

Gostou do artigo do Paulo de Godoy? Saiba mais cibersegurança corporativa assinando nossas newletters e escutando nossos podcasts em sua plataforma de streaming favorita.