Ransomware Response Plan: Was Unternehmen nach einem Angriff tun sollten

Ransomware-Angriffe gehören zu den verheerendsten Angriffen und sind leider heutzutage äußerst verbreitet. Allein im zweiten Quartal 2023 ist die Zahl der Ransomware-Angriffe im Vergleich zu den drei Monaten zuvor um über 70% gestiegen. Die Attacken bleiben äußerst lukrativ für Angreifer, wobei die durchschnittliche Ransomware-Zahlung im Jahr 2022 bei 4,7 Millionen US-Dollar lag. Das ist wahrscheinlich auch der Grund dafür, dass die Angriffe weiter zunehmen.

Die Ransomware-Zahlung ist nicht einmal der schlimmste Teil eines Angriffs. Die während eines Ransomware-Angriffs verlorene Zeit, die für die Bewältigung des Problems abgezweigten Ressourcen und der potenzielle, langfristige Schaden für die Reputation eines Unternehmens könnten eine weitaus langanhaltendere Kostenbelastung darstellen als jede Lösegeldzahlung.

Um die Auswirkungen eines Ransomware-Angriffs auszugleichen und zu minimieren, ist eine schnelle und effektive Reaktion im Rahmen einer umfassenden Cybersicherheitsstrategie erforderlich. Es ist notwendig, einen soliden Ransomware-Reaktionsplan zu haben, insbesondere aufgrund der Häufigkeit dieser Angriffe. In diesem Artikel geben wir Ihnen eine schrittweise Anleitung dazu, was Sie tun sollten, wenn Ihre Organisation von einem Ransomware-Angriff betroffen ist.

5 Schritte, die Organisationen nach einem Ransomware-Angriff unternehmen sollten

Schritt 1: Von der Quelle trennen

Wenn Sie feststellen können, welches kompromittierte Gerät oder welcher Server mit Ransomware infiziert ist, trennen Sie es sofort von Ihren anderen Systemen, Geräten und Ihrem Netzwerk. Dies kann verhindern, dass sich die Ransomware auf Ihre anderen Geräte ausbreitet und Ihr gesamtes Netzwerk infiziert.

Durch die Isolierung der infizierten Geräte oder Systeme verhindern Sie, dass der Angriff Ihr Netzwerk vollständig kompromittiert. Sie können sogar verhindern, dass die Malware Ihre wichtigsten und sensibelsten Vermögenswerte erreicht, was eine Geschäftsunterbrechung oder ein Downtime-Szenario verhindert. Dies wird auch alle nächsten Schritte, die Sie unternehmen, viel effektiver machen.

Schritt 2: Die Situation bewerten

Sobald die Ransomware eingedämmt ist, ist es entscheidend, die Ransomware zu identifizieren, die in Ihr Netzwerk eingedrungen ist. Unterschiedliche Arten von Ransomware haben einzigartige Merkmale und können eine einfachere Wiederherstellung bedeuten als andere.

Je nach Art können möglicherweise Decryptor-Tools verfügbar sein, die gesperrte Dateien leicht wiederherstellen können. Wenn kein bekanntes Decryptor-Tool verfügbar ist, ist die Art dennoch wichtig zu wissen, da es zusätzliche Notfallmaßnahmen geben kann, die eine Organisation ergreifen kann, um Schäden zu minimieren

Schritt 3: Kommunikation mit der Führungsebene

Sobald der Angriff in ausreichendem Maße eingedämmt ist, ist es Zeit, als Organisation in Bewegung zu kommen. Sie sollten einen Plan haben, der festlegt, welche Abteilungen, Interessenvertreter und Führungskräfte Teil der Incident-Response-Strategie sind. Falls nicht, ist dies ein guter Ausgangspunkt, um darüber nachzudenken.

Kontaktieren Sie alle betroffenen Abteilungsleiter und arbeiten Sie mit der Rechtsabteilung, der PR-Abteilung und möglicherweise auch der Personalabteilung zusammen, um effektive interne und externe Kommunikations- und Reaktionspläne zu entwickeln. Indem alle bereit sind, in proaktiver Weise zu handeln, wird Ihre Organisation für eine schnelle Reaktion mobilisiert, was letztendlich die Auswirkungen und Kosten des Ransomware-Angriffs verringert.

Schritt 4: Reaktionsstrategie festlegen

Oft ist die erste Entscheidung, die bei einem Ransomware-Angriff getroffen werden muss, ob das Lösegeld gezahlt werden soll oder nicht. Auch wenn die Entscheidung letztendlich bei der Führungsebene liegt und von Faktoren wie der Art der betroffenen Daten, der Branche und dem Ausmaß der Beeinträchtigung Ihrer Organisation abhängt, wird sehr empfohlen, das Lösegeld nicht zu zahlen und andere Wiederherstellungsmöglichkeiten zu finden.

Das Zahlen eines Lösegelds kann den Angreifer ermutigen, weitere Angriffe durchzuführen (möglicherweise erneut gegen Ihre Organisation). Außerdem gibt es leider keine Garantie, dass das Zahlen eines Lösegelds Ihre Daten zurückbringt.

Über diese Entscheidung hinaus sollte Ihr Ransomware-Reaktionsplan alle relevanten Interessengruppen, Abteilungen und möglichen Drittanbieter (wie forensische Ermittler und/oder Incident-Response-Beauftragte) einschließen. Dies wird Ihnen helfen, die Bedrohung vollständig zu beseitigen, herauszufinden, welcher Risikovektor ausgenutzt wurde, Prozesse und/oder Richtlinien zur Entfernung des Risikovektors (sofern möglich) einzuführen und sicherzustellen, dass Ihre Mitarbeiter und eventuell betroffene externe Parteien über das Geschehene informiert sind.

Schritt 5: Daten wiederherstellen und Schwachstellen beheben

Nachdem Sie die Bedrohung aus Ihrem Netzwerk entfernt haben, können Sie daran arbeiten, alle betroffenen Daten wiederherzustellen, Sicherungskopien zu verwenden und die Analyse nach dem Vorfall durchzuführen.

Dies umfasst die genaue Untersuchung, wie die Ransomware in Ihre Organisation gelangt ist, die Identifizierung der Sicherheitslücken, die zu der Kompromittierung geführt haben könnten, die Bewertung, wie die Schwachstelle gepatcht oder behoben werden kann, und eine Überprüfung mithilfe von Penetration Tests, ob die Behebung tatsächlich ausreichend ist.

Es gibt verschiedene Möglichkeiten, wie Ransomware in Ihr System gelangen kann. Es kann über Drittanbieter erfolgen, durch einen Mitarbeiter, der auf eine Phishing-E-Mail klickt oder durch Ausnutzen einer Geräte- oder Software-Schwachstelle. Die genaue Kenntnis darüber, wie Ihr Netzwerk kompromittiert wurde, hilft, zukünftige Angriffe zu verhindern. 67% der Organisationen, die von einem Data Breach betroffen waren, werden innerhalb von 12 Monaten Oper eines weiteren. Der Grund dafür ist hauptsächlich, weil die gleiche Schwachstelle, die zu dem Angriff geführt hat, nicht behoben wurde. Eine geeignete Reaktionsstrategie kann dazu beitragen, eine Wiederholung zu verhindern.

Warum Defense in Depth in Betracht ziehen?

Für die richtige Cybersicherheitsstrategie ist eine einzelne Verteidigungslinie nicht ausreichend. Eine mehrschichtige, umfassende Cybersicherheitsstrategie, die den Ansatz „Defense in Depth“ verfolgt, ist weitaus effektiver.

„Defense in Depth“ (DiD) umfasst präventive, schützende und proaktive Erkennungs- und Reaktionsmaßnahmen. Dadurch lässt wird nicht nur das Risiko eines Sicherheitsvorfalls oder einer Kompromittierung reduziert, sondern auch die Tools, Prozesse und Strategien bereitstellt, um sich im Falle eines erfolgreichen Angriffs schnell wieder zu erholen. Dieser mehrstufige Ansatz stellt sicher, dass, wenn eine Ebene kompromittiert oder durchbrochen wird, die Organisation immer noch Ressourcen zur Bewältigung des Angriffs bereit hat. Das schafft Redundanz und verbessert die allgemeine Sicherheitslage einer Organisation.

Die Ebenen einer DiD-Strategie umfassen:

• Physische Kontrollen: Dies kann die Überprüfung mit Keycards oder Sicherheitskameras umfassen, die auf jede physische Eindringung in ein Büro oder einen physischen Serverlagerort achten.
• Technische Kontrollen: Dies sind am besten als Sicherheitstools und -lösungen bekannt, wie Antivirensoftware, fortschrittliche Endpoint Detection und Reaktionswerkzeuge sowie komplexere Systeme und Plattformen wie SIEMs, Identitäts- und Zugangsverwaltungsplattformen und Cloud-Anwendungssicherheitsplattformen.
• Administrative Kontrollen: Dies betrifft die menschlichen Elemente und bezieht sich auf Richtlinien, Prozesse und Verfahren wie Risikobewertung, Penetrationstests und Schulungen zur Sensibilisierung für Cybersicherheit, die darauf abzielen, die Ausnutzung von Mitarbeitern zu begrenzen.

Data Breaches und Sicherheitsvorfälle, insbesondere Ransomware-Angriffe, sind unausweichlich, und Organisationen, die sich nur auf die Prävention konzentrieren, werden wahrscheinlich am meisten leiden, wenn ein Angriff stattfindet. Durch die Annahme dieses „Defense in Depth“-Ansatzes adressieren Sie mehrere mögliche Angriffspunkte, die zu einer Ransomware-Attacke führen könnten, und haben die Ressourcen und Richtlinien zur schnellen Bewältigung des Angriffs bereit, falls er doch stattfindet.

CryptoSpike zur Rettung!

Wenn Organisationen ihren „Defense in Depth“-Ansatz aufbauen, ist die Auswahl der richtigen Tools wichtig, um sicherzustellen, dass sie über die Fähigkeiten verfügen, eine Ransomware-Bedrohung ordnungsgemäß abzuwehren, zu erkennen und zu beseitigen.

ProLions CryptoSpike ist darauf ausgelegt, das letzte Mittel zu sein, um Organisationen bei einem Ransomware-Angriff auf ihre Dateisysteme bei der Wiederherstellung ihrer Dateien und Daten zu unterstützen. Das Tool erkennt ungewöhnliche Aktivitäten in Ihrem Dateisystem in Echtzeit und blockiert Ransomware-Angriffe, während es Möglichkeiten zur Wiederherstellung einzelner Dateien bietet. Diese sind zuverlässiger als herkömmliche Backups und helfen dabei, genau festzustellen, welche Daten wiederhergestellt werden müssen. Das ermöglicht eine schnelle und zügige Wiederherstellung.

Um mehr darüber zu erfahren, wie Sie Ihre Organisation angesichts eines Ransomware-Angriffs schützen können, können Sie unser Whitepaper hier herunterladen.

Über ProLion

ProLion bietet leistungsstarke Schutzlösungen für kritische Storage- und Backupdaten, on-premise oder in der Cloud. Vom Ransomware-Schutz, der Bedrohungen in Echtzeit erkennt, bis hin zur Datenzugriffstransparenz. Unsere branchenführenden Technologien sorgen dafür, dass Ihre Storage Systeme sicher, compliant, verwaltbar und rund um die Uhr zugänglich bleibt.