Ransomware La mejor estrategia para detectarlo en Servidores · Ransomware cifra archivos en carpetas compartidas aun cuando el servidor no esté infectado File Server - Windows or

RansomwareLamejorestrategiaparadetectarlo

enServidores

DanielaFda.ArroyoBarocio

Copyright 2016 Trend Micro Inc.

Copyright2016TrendMicroInc.2

Ransomware on server

LasmúlDplescapasdelRansomware

URL

Compromised website

Download ransomware

Exploit kit

Ransomware executable

Attachment

Document

JavaScript

Ransomware on endpoint

ExposureLayer Infec4onLayer

Execution: encrypt files and ransom

Execution: encrypt shared files & folders and ransom

Lateral Movement


Server Security

Email Security Endpoint Security

LasmúlDplescapasdelRansomware

Document

JavaScript

Ransomware executable

URL

Download ransomware

Attachment

Web Security

Network Security

Endpoint Security

Exploit kit

Compromised website

Ransomware on endpoint

Execution: encrypt files and ransom

Ransomware on server

Lateral Movement Execution:

encrypt shared files & folders and ransom


Usuarios

Obje4vosdelRansomware

LosequiposdelosusuariossonelpuntodeaccesomáscomúnLaspáginaswebqueexplotanvulnerabilidadesyloscorreosdephishingdirigidosonlosvectoresdeataquepreferidos


Usuarios


RedCorpora4va

Tambienusadocomoposiblepuntodeentradau4lizandocarpetascompar4dasElRansomwaresereplicaaotrosusuariosyalosservidoresu4lizandolared


Usuarios


RedCorpora4va

Servidores

Másdestruc4vosymásrentablesLamayoríadelransomwareparaservidoresexplotavulnerabilidadesconocidasU4lizanmovimientolateralparallegaralosservidores


Ransomwareeneldatacentermoderno

•  UnenfoquemulDcapaquehagamássenDdoparadisminuirelriesgoentodalaempresa

•  Lamayoríadelosataquessonalosusuarios,peropuedenpropagarseatodoslosserversmedianterecursoscomparDdos

•  Algunosataquesrecientes(Ej.SAMSAM)seaprovechandesistemasvulnerablesonoparchados,obligandoalasempresasapagarunrescatepararecuperarsuoperación


https://krebsonsecurity.com/2016/09/ransomware-getting-more-targeted-expensive/ https://www.fbi.gov/news/stories/incidents-of-ransomware-on-the-rise


¿QuéDpodearchivosbuscancifrarlosatacantes?


Vectoresdeinfección


ProtecciónparaservidoresanteransomwareTrendMicroprovee:•  AnD-malwareywebreputaDon•  BlindajedeVulnerabilidades(intrusionprevenDon)•  Detección y prevención de movimientos laterales paradetenerlapropagaciónmediantelaprevencióndeintrusos

•  EspecíficamenteparaRansomware:–  Detección y alertas ante comunicación de Comando y control

(C&C)–  Defensa en file serversWindows & Linux ante infecciones de

ransomwarequeprovengandeusuariosyquerealicencambiossospechososenarchivoscomparDdos

•  Monitoreo y alertamiento ante cambios y accesos noautorizadosalosservidores


AnD-malwareyreputaciónweb

•  PrevieneelaccesoaURLsmaliciosas,inclusoconransomware

•  ProtecciónanDmalwareenDemporealensistemasWindows&Linux,basadoenunainteligenciaglobaldeamenazas


RansomwaretambiénseveenLinux


BlindajedeVulnerabilidades

•  Detecciónyprevencióndeataquesmediantevulnerabilidadesdesofwareyaplicaciones(Ej.ElrecienteataqueavulnerabilidadenservidoresJBOSS)

•  EscaneoAutomá4co,recomendacionesydesplieguedereglasespecificasparacadaSistemaOperaDvoyaplicación

•  ‘ParcheoVirtual’devulnerabilidadeshastaquepuedaaplicarelparchedelfabricante,siesqueésteexisteomigrarsuSistemaOperaDvo


Elfabricanteyanodasoporte…

http://www.trendmicro.es/media/wp/protecting-eos-systems-wp-en.pdf

“TrendMicrosecomprometeasoportarlaproteccióndeWindowsServer2003hastael2020yasípermi4runamigraciónfluida”


Haycasosqueliteralmentesondevidaomuerte

https://www.hackread.com/ransomware-attack-on-nhs-system/


DetecciónyPrevencióndemovimientoslateralesLasreglasdePrevencióndeIntrusospermiteprevenirymonitorear:• Movimientoslateralesdelosatacantesparaevitarquelleguenamásservidores

•  Herramientasdelatacante:especialmentetráficoenlareddeherramientasdeadministraciónremota(RATs)

•  TípicamenteuDlizadasporlosatacantespara“regresar”ytomarelcontroldelosservidores


DetecciónyPrevenciónCommand&Controlanteransomware

Command and Control server

OtrosServers File Servers

EstasreglasenDeepSecurityDetectanyBloqueaneltraficoC&C


RansomwareenfileserversDetecciónyPrevencióntemprana

Ransomware Infecta al

usuario final

EndPoints tienen montadas unidades hacia recursos compartidos

Ransomware c i f ra archivos en carpetas c o m p a r t i d a s a u n cuando el servidor no esté infectado

File Server - Windows or Linux

(Samba)

Detección: Rule 1007596 – Identifica actividad sospechosa que renombre las extensiones de archivos en carpetas compartidas -  Detecta el renombre de hasta 50

extensiones relacionadas con ransomware.

-  Provee detección temprana

Detección y Protección: Rule 1007598 – Identifica actividad sospechosa que este renombrando archivos Actividades en recursos compartidos: -  La regla previene el renombrado después de N

renombres en T1 segundos, detiene por T2 segundos

-  Ej. Si Deep Security detecta 10 archivos renombrados en 60 seconds, se detiene cualquier actividad de renombre por Ej.24 hrs


Monitoreoyalertamiento

Los atacantes suelen ocultar su acDvidadmodificando la configuración de lasherramientasdedetección.Un sistema de monitoreo de integridadpodránoDficarloscambiostanprontocomoseproduzcan.

Accesosnoautorizadosaservidores

Cambiosnoautorizados

LogInspecDonpermiteidenDficareventosseseguridadimportantesennuestroservidores


https://www.hackread.com/locky-ransomware-infecting-healthcare-industry/ https://www.helpnetsecurity.com/2016/09/22/ransomware-rising/

IndustriasafectadasporRansomware


Noestádemásrecordar:

EducaciónyConcien4zaciónMejoresPrác4cas,Simulación,Entrenamientos

EstrategiatecnológicarobustacontraelRansomwareImplementarmejoresprác4casparalatecnologíatradicionalycomplementarcontecnologíaespecializada

NoPagarelRescatePagaralientaalosatacantesynogaran4zaladevolucióndelosdatos

MantenerlosparchesaldíaMinimizarlaposibilidaddeexploitdevulnerabilidades

ClasificaciónyControldelaInformaciónLimitarelaccesoalainformacióncrí4ca

RespaldosyRestauraciónAutomá4co:3copias,2formatos,1ubicacióndiferente


ConDnuidaddelNegocio…LomásimportanteeslaconDnuidaddelnegocio

•  ¿Somoscapacesdesostenerlaoperacióndelnegociosinopodemosaccederaciertossistemas?¿PorcuántoDempo?

•  ¿Algunavezlohemosprobado?•  ¿Conocemoslasuperficiedeataquedenuestrosservidores?•  ¿Puedoconocerencualquiermomentolasvulnerabilidadesde

misservidores?NOSEAOTRAVICTIMA


¡Gracias!

Documents

Ransomware La mejor estrategia para detectarlo en Servidores · Ransomware cifra archivos en carpetas compartidas aun cuando el servidor no esté infectado File Server - Windows or