Segurança da Informação

Um playbook (manual) de ransomware é um conjunto de procedimentos que uma organização pode seguir ao responder a uma infecção de ransomware suspeita ou confirmada. É importante notar que a eficácia de um playbook pode variar dependendo das circunstâncias e características específicas do ambiente organizacional. Além disso, um playbook não substitui a consulta com um profissional de segurança cibernética ou terceirização dos serviços de Resposta a Incidente, lembrando que boas práticas podem precisar ser adaptadas para se adequar às políticas e procedimentos específicos da sua organização.

Detecção Inicial - Alerta de sistema de monitoramento ou software antivírus, Relatórios de usuários sobre mensagens suspeitas ou atividades incomuns.

Isolamento e Contenção - Isolar a máquina afetada da rede para evitar a propagação, Desconectar dispositivos de armazenamento externo e mapeamentos de rede, Identificar outros sistemas que possam ter sido afetados.

Confirmação da Infecção - Analisar amostras de ransomware para confirmar a identificação, Verificar logs de sistema e eventos de segurança para evidências adicionais.

Notificação às Autoridades e à Equipe de Resposta a Incidentes - Notificar as autoridades locais de crimes cibernéticos, se necessário, Acionar a equipe de resposta a incidentes de segurança cibernética.

Avaliação de Impacto e Priorização - Avaliar o impacto nos sistemas e dados afetados, Priorizar a recuperação com base na criticidade dos sistemas e dados.

Comunicação Interna e Externa - Notificar a alta administração, equipes relevantes e partes interessadas (ANPD), Preparar mensagens de comunicação para funcionários, clientes e parceiros.

Recuperação de Dados - Restaurar sistemas a partir de backups verificados e não afetados, Verificar a integridade dos dados restaurados.

Investigação Pós-Incidente - Realizar uma análise forense para entender a origem e a extensão do ataque, Identificar as vulnerabilidades que foram exploradas.

Melhorias de Segurança e Prevenção Futura - Implementar patches e atualizações de segurança, Reforçar políticas de segurança e conscientização dos usuários, Avaliar e atualizar regularmente os planos de resposta a incidentes.

Treinamento e Conscientização - Conduzir treinamentos adicionais de conscientização sobre ransomware, Reforçar boas práticas de segurança cibernética com os usuários.

Revisão e Atualização do Playbook - Realizar uma revisão pós-incidente do playbook, Atualizar o playbook com lições aprendidas e insights da resposta ao incidente.

Adequação dos playbook é essencial com base nas características específicas da sua organização e nas ameaças cibernéticas emergentes. Além disso, recomenda-se a colaboração com especialistas em segurança cibernética para garantir respostas eficazes a incidentes de ransomware.

• Ref: Playbook NIST, Risk Management NIST, Ransomware Protection and Response
• Projeto Auxiliar na Decriptografia: No More Ransom

Dando continuidade ao tema que afeta várias organizações com Ransomware, medidas a serem consideradas quando afeta o AD da organização.

O que é o AD (Active Directory)
É um serviço de diretório desenvolvido pela Microsoft, utilizado principalmente em ambientes corporativos que executam o sistema operacional Windows Server. O Active Directory fornece um conjunto de serviços de diretório, autenticação e gerenciamento de política de segurança em um ambiente de rede. 

Algumas das funcionalidades do AD como serviço de diretório hierárquico que armazena informações sobre objetos em uma rede. Esses objetos podem incluir usuários, grupos, computadores, impressoras e outros recursos. Permite uma organização hierárquica que organiza os objetos de rede em uma estrutura hierárquica conhecida como "árvore de domínio". Cada domínio representa uma unidade de administração e segurança, e vários domínios podem ser agrupados em uma "floresta de domínio". Os controladores de domínio são servidores que armazenam uma cópia do banco de dados do Active Directory e autenticam usuários e computadores na rede. Eles replicam informações entre si para garantir redundância e resiliência. Em relação a objetos no Active Directory, um objeto refere-se a uma entidade que pode ser gerenciada, como um usuário, grupo, computador ou impressora. Cada objeto tem atributos que definem suas propriedades. Gestão e criação de políticas de grupo, são usadas para configurar configurações e restrições em computadores e usuários dentro do ambiente AD. Isso permite o gerenciamento centralizado de configurações de segurança, políticas de senha, restrições de acesso e muito mais. O AD fornece serviços de autenticação, permitindo que usuários e computadores acessem recursos na rede com base em suas credenciais. Ele utiliza o protocolo Kerberos para autenticação segura. O sistema utiliza o DNS (Domain Name System) para resolver nomes de domínio em endereços IP. O DNS integrado facilita a localização de recursos na rede. O Active Directory Federation Services (AD FS) permite a autenticação entre organizações diferentes, permitindo o acesso a recursos com base em credenciais de identidade federada. 

O Active Directory desempenha um papel fundamental na administração e segurança de ambientes Windows em redes corporativas. Ele simplifica a administração centralizada, facilita o gerenciamento de identidades e fornece uma base sólida para políticas de segurança em larga escala.

A recuperação de um ambiente Active Directory (AD) após um ataque de ransomware é uma tarefa crítica que envolve várias etapas. 

Isole imediatamente os sistemas afetados da rede para evitar a propagação do ransomware. Desconectar os sistemas da Internet e da rede local. Identificar o ransomware específico que afetou o ambiente. Isso pode ajudar na busca por ferramentas de descriptografia ou orientações específicas para o tipo de ransomware. Avaliar a extensão dos danos causados pelo ransomware. Determinar quais sistemas foram comprometidos e se há backups recentes disponíveis. Caso a organização tenha backups recentes e seguros do ambiente AD, iniciar o processo de restauração. Certificar-se de que os backups não foram comprometidos. Restaure não apenas os dados do AD, mas também outros sistemas e servidores essenciais. Caso o ransomware tenha afetado os controladores de domínio, considerar a sua ré-instalação partir de backups. Certifique-se de seguir procedimentos seguros, como a remoção completa dos controladores de domínio comprometidos antes da reinstalação. Monitorar o tráfego de rede para identificar atividades suspeitas ou tentativas de reinfeção. Implemente medidas de segurança, como firewalls e sistemas de detecção de intrusões, para fortalecer a proteção contra futuros ataques. Deve-se considerar a alteração de todas as credenciais de usuário e senha, especialmente se houver suspeita de comprometimento dessas informações durante o ataque. Certificar que todos os sistemas e software estejam atualizados com as últimas correções de segurança. Isso ajuda a proteger o ambiente contra vulnerabilidades exploradas por ransomware.

Sem sombra de dúvidas o fornecimento de treinamento de conscientização em segurança para os usuários, permite uma redução do risco de futuras infecções por ransomware devido a práticas inadequadas. Conforme legislação Brasileira proteção a dados LGPD, deve informar ANPD o incidente que seria a autoridade competente.

Prevenção é a melhor abordagem. Implementar práticas robustas de segurança, como backups regulares, atualizações de software e conscientização do usuário, é crucial para minimizar o impacto de ataques de ransomware.