Entscheidende Schritte zur Erreichung von Ransomware-Resilienz

Resilienz gegenüber Ransomware erreichen

Ransomware-Angriffesind zur größten Bedrohung für moderne Unternehmen geworden. Laut Cybersecurity Ventures werden die Kosten für weltweite Schäden durch Ransomware voraussichtlich57 Milliarden Dollar im Jahr 2025. Die finanziellen Folgen gehen weit über Lösegeldzahlungen hinaus: Unternehmen sehen sich mittlerweile mitdurchschnittliche Rückforderungskosten in Höhe von 2,73 Millionen Dollar, wobei im Durchschnitt24 Tage Ausfallzeitwas den Betrieb beeinträchtigt und das Vertrauen der Kunden untergräbt.

Um Widerstandsfähigkeit gegenüber Ransomware aufzubauen, bedarf es mehr als nur herkömmlicher Backup-Strategien oder Sicherheitstools. Unternehmen müssen umfassende Abwehrkonzepte einführen, die Präventions-, Erkennungs- und Recovery-Maßnahmen kombinieren, um im Falle eines Angriffs die Geschäftskontinuität aufrechterhalten zu können.

Die Risiken steigen weiter, da die Angreifer ihre Taktiken weiterentwickeln. Da Ransomware eine Rolle bei einer erschreckend hohen Zahl von44 % aller Datenschutzverletzungen, und Angreifer können nunin 86 % der Fälle wurde der Betrieb absichtlich sabotiert, Unternehmen benötigen bewährte Strategien, um kritische Daten zu schützen und den Betrieb auch bei jedem Angriffsszenario aufrechtzuerhalten.

Erläuterungen zur Widerstandsfähigkeit gegenüber Ransomware

Die Widerstandsfähigkeit gegenüber Ransomware bezeichnet die Fähigkeit einer Organisation, kritische Betriebsabläufe aufrechtzuerhalten und wichtige Daten vor, während und nach einem Ransomware-Angriff zu schützen. Es handelt sich um die Fähigkeit, Ransomware-Angriffen standzuhalten, darauf zu reagieren und sich mit minimalen Beeinträchtigungen davon zu erholen.

Diese Funktion geht über eine einfache Datensicherung hinaus; sie umfasst umfassende Strategien, die es Unternehmen ermöglichen, Bedrohungen frühzeitig zu erkennen, Schäden schnell einzudämmen und den Betrieb mit minimalen Unterbrechungen wiederherzustellen.

Angriffe gehen mittlerweile weit über einfache Verschlüsselungsverfahren hinaus: Moderne Ransomware-Gruppen setzenraffinierte ErpressungTaktiken, darunter Datendiebstahl, öffentliche Schikanierung von Kunden und vorsätzliche Sabotage der Infrastruktur, um den Druck auf die Opfer so weit wie möglich zu erhöhen.

VerständnisWiderstandsfähigkeit gegen RansomwareDas bedeutet, anzuerkennen, dass Prävention allein Risiken nicht vollständig beseitigen kann. Unternehmen müssen sich darauf einstellen, dass raffinierte Angreifer ihre Abwehrmaßnahmen überwinden können, weshalb schnelle Erkennungs- und Recovery-Maßnahmen für das Überleben des Unternehmens unerlässlich sind.

Wesentliche Komponenten der Widerstandsfähigkeit gegenüber Ransomware

Eine umfassende Strategie zur Abwehr von Ransomware erfordert fünf miteinander verknüpfte Komponenten, die zusammenwirken, damit Ihr Unternehmen Daten und Betriebsabläufe schützen kann:

• Prävention: Prävention beginnt mit der Einführung robuster Zugriffskontrollen und Authentifizierungsmechanismen wie der Multi-Faktor-Authentifizierung und Zero-Trust-Architekturen. Die regelmäßige Installation von Patches ist nach wie vor von entscheidender Bedeutung, daDie Ausnutzung von Software ohne Sicherheitspatches dient als primärer Einstiegspunktfür Angreifer.
  Die Benutzerschulung befasst sich mit dem menschlichen Faktor, was besonders wichtig ist, da SentinelOne berichtet, dass90 % aller Cybervorfälle sind auf menschliches Versagen zurückzuführenwie zum Beispiel auf Phishing-Angriffe hereinzufallen.
• Erkennung und Eindämmung: Systeme zur Echtzeitüberwachung und Anomalieerkennung warnen frühzeitig vor potenziellen Ransomware-Aktivitäten. Automatisierte Reaktionsmechanismen können infizierte Systeme isolieren, bevor sich die Verschlüsselung im Netzwerk ausbreitet.
  Diese Systeme müssen regelmäßig laufen und Verhaltensmuster sowie Änderungen am Dateisystem analysieren, die auf den Einsatz von Ransomware hindeuten. Frühwarnsysteme sind mittlerweile so ausgereift, dass sie Verhaltensweisen bereits vor der Verschlüsselung erkennen können, darunter Erkundungsaktivitäten und Versuche der lateralen Bewegung.
• Reaktion und Recovery: In Plänen zur Reaktion auf Vorfälle werden klare Rollen und Kommunikationsprotokolle für Ransomware-Vorfälle festgelegt. Diese Pläne müssen neben Maßnahmen zur Aufrechterhaltung des Geschäftsbetriebs auch technische Recovery-Verfahren enthalten.
• Unveränderliche & Air-Gap-Backups: Unveränderliche BackupsErstellen Sie Kopien von Daten, die von Ransomware weder verschlüsselt noch gelöscht werden können. Diese Backups nutzen die WORM-Technologie (Write-Once, Read-Many) oder ähnliche Schutzmechanismen, um die Datenintegrität auch dann zu gewährleisten, wenn Angreifer Administratorrechte erlangen.
  Air-Gap-Speichersorgt für eine physische oder logische Trennung zwischen Produktionssystemen und Backup-Speicherorten. Diese Isolierung verhindert, dass sich Ransomware über Netzwerkverbindungen auf Backup-Daten ausbreitet, sodass auch bei großflächigen Infektionen intakte Recovery-Kopien erhalten bleiben.
• Regelmäßige Tests: Häufige Wiederherstellungsübungen stellen sicher, dass die Backup-Systeme ordnungsgemäß funktionieren und die Teams die Recovery-Verfahren beherrschen. Durch diese Tests werden Lücken in der Dokumentation aufgedeckt, Verbesserungsmöglichkeiten für Prozesse ermittelt und ein „muskuläres Gedächtnis“ für den Ernstfall aufgebaut. Unternehmen sollten vierteljährlich umfassende Cyber-Recovery-Übungen durchführen, bei denen verschiedene Angriffsszenarien simuliert werden, um die Reaktionspläne zu überprüfen.

Angriffsvektoren von Ransomware und Strategien zu deren Abwehr

Das Verständnis dafür, wie Ransomware in Unternehmen eindringt, ermöglicht gezielte Abwehrstrategien. Die häufigsten Angriffsvektoren erfordern spezifische Maßnahmen zur Abwehr:

Primäre Infiltrationsmethoden

• Phishing gehört nach wie vor zu den häufigsten Angriffen, bei denen Zugangsdaten im Mittelpunkt stehen. Angreifer erstellen raffinierte E-Mails, die herkömmliche Filter umgehen, und geben sich dabei oft als vertrauenswürdige Kontakte oder Dienste aus.
• Ein mangelhaftes Patch-Management schafft zusätzliche Schwachstellen, da Angreifer aktiv nach ungepatchten Systemen an den Netzwerkgrenzen suchen.
• Sicherheitslücken in der Lieferkette haben sich als weiterer bedeutender Angriffsvektor herausgestellt, bei dem Angreifer Softwareanbieter oder Dienstleister infiltrieren, um gleichzeitig mehrere Organisationen zu erreichen.
• Trotz weit verbreiteter Sensibilisierung für dieses Problem werden weiterhin Schwachstellen im Remote-Desktop-Protokoll ausgenutzt, wobei insbesondere Organisationen mit unzureichenden Authentifizierungskontrollen ins Visier genommen werden.

Systematische Reduzierung der Strahlenbelastung

Unternehmen können verschiedene strukturierte Ansätze umsetzen, um ihreAngriffsfläche. Diese Methoden zielen darauf ab, mögliche Eintrittsstellen einzuschränken und das Schadenspotenzial zu minimieren:

1. Implementieren Zero-Trust Richtlinien: Überprüfen Sie jeden Verbindungsversuch unabhängig von der Quelle, um implizite Vertrauensannahmen auszuschließen.
2. Das Bewusstsein der Nutzer stärken: Führen Sie monatliche Phishing-Simulationen und Sicherheitsschulungen durch, die auf aktuelle Bedrohungsstrategien zugeschnitten sind.
3. Externe Exposition minimieren: Überprüfen Sie alle Dienste mit Internetanbindung und entfernen Sie unnötige Zugriffspunkte.
4. Netzwerksegmentierung: Isolieren Sie kritische Systeme, um eine laterale Ausbreitung im Falle von Sicherheitsverletzungen zu verhindern.
5. Zugriff durch Dritte überwachen: Überprüfen Sie regelmäßig die Berechtigungen von Anbietern und richten Sie zeitlich begrenzte Zugriffskontrollen ein.

Regelmäßige Sicherheitsaudits decken Schwachstellen auf, bevor Angreifer diese ausnutzen können. Bei diesen Überprüfungen sollten technische Kontrollmaßnahmen, die Einhaltung von Prozessen und menschliche Faktoren untersucht werden. Penetrationstests simulieren reale Angriffe, um die Wirksamkeit der Abwehrmaßnahmen zu überprüfen.

Bewertung der Widerstandsfähigkeit gegenüber Ransomware

Organisationen sollten formelle Resilienzbewertungen nach einem dreistufigen Ansatz durchführen:

• Bewertungsphase: Bewertung der aktuellen Sicherheitsmaßnahmen, Backup-Systeme und Recovery-Verfahren anhand von Branchenstandards. Dokumentation der Lücken zwischen dem aktuellen Stand und den angestrebten Resilienzniveaus.
• Identifizierungsphase: Priorisieren Sie Schwachstellen anhand ihrer Eintrittswahrscheinlichkeit und potenziellen Auswirkungen. Erfassen Sie kritische Datenflüsse und Abhängigkeiten, um die Anforderungen an die Recovery zu ermitteln.
• Priorisierungsphase: Erstellen Sie Maßnahmenpläne, bei denen Bereiche mit hohem Risiko zuerst angegangen werden. Weisen Sie Ressourcen auf der Grundlage einer Analyse der geschäftlichen Auswirkungen und der gesetzlichen Anforderungen zu.

Eine kontinuierliche Verbesserung erfordert vierteljährliche Neubewertungen, da sich die Bedrohungslage weiterentwickelt und sich die Infrastruktur des Unternehmens verändert.

Proaktive Maßnahmen zum Schutz vor Ransomware für Unternehmen

UnternehmenRansomwareZum Schutz sind mehrschichtige Abwehrmaßnahmen erforderlich, die verschiedene Angriffsphasen abdecken. Die folgenden Vorgehensweisen bilden die Grundlage für eine wirksame Widerstandsfähigkeit gegen Ransomware:

• Endpoint Detection and Response (EDR): Setzen Sie einen fortschrittlichen Endpoint-Schutz ein, der Verhaltensmuster überwacht, anstatt sich ausschließlich auf die signaturbasierte Erkennung zu verlassen. Moderne EDR-Plattformen erkennen ransomware-spezifische Aktivitäten wie Versuche, Dateien massenhaft zu verschlüsseln, oder das Löschen von Schattenkopien.
• Netzwerksegmentierung: Isolieren Sie kritische Systeme und Datenspeicher mithilfe von VLANs, Firewalls und Zugriffskontrolllisten. Eine ordnungsgemäße Segmentierung begrenzt die Ausbreitung von Ransomware, selbst wenn die ersten Abwehrmaßnahmen versagen.
• Verwaltung privilegierter Zugriffsrechte: Implementieren Sie Just-in-Time-Zugriffskontrollen und überwachen Sie die Nutzung von Administratorkonten. Da Ransomware häufig erweiterte Berechtigungen ausnutzt, lässt sich die Wirksamkeit von Angriffen durch die Einschränkung und Überwachung dieser Konten verringern.
• Automatisierte Überprüfung der Sicherungen: Planen Sie regelmäßige Integritätsprüfungen der Sicherungen und Testwiederherstellungen ein. Durch die Automatisierung lassen sich beschädigte oder unvollständige Sicherungen erkennen, bevor sie für Recovery benötigt werden.
• Integration von Bedrohungsinformationen: Abonnieren Sie branchenspezifische Bedrohungs-Feeds und integrieren Sie die Informationen in Ihre Sicherheitstools. Frühwarnungen vor neuen Ransomware-Varianten ermöglichen proaktive Aktualisierungen der Abwehrmaßnahmen.

Managed Services für Resilience

Unternehmen, denen es an spezialisiertem Sicherheits-Know-how mangelt, können auf Managed-Services zur Ransomware-Resilienz zurückgreifen. Diese Angebote umfassen eine kontinuierliche Überwachung, die Suche nach Bedrohungen sowie Maßnahmen zur Reaktion auf Vorfälle durch erfahrene Security Operations Center. „Resilience-as-a-Service“-Modelle bieten umfassenden Schutz, ohne dass umfangreiche interne Ressourcen erforderlich sind.

Recovery nach einem Ransomware-Angriff in der Praxis: Fallstudie zu Bilthoven Biologicals

Die Erfahrung vonBilthoven Biologicals(BBio), ein führender niederländischer Impfstoffhersteller, zeigt, wie geeignete Lösungen für Backup and Recovery die Auswirkungen von Ransomware-Angriffen auf kritische Abläufe im Gesundheitswesen abmildern können. Als Hersteller hochwertiger Polio-Impfstoffe für Organisationen wie die Weltgesundheitsorganisation und UNICEF müssen die Produktionsabläufe bei BBio trotz Cyberbedrohungen aufrechterhalten bleiben.

Am 21. September 2022 wurde BBio Opfer eines schweren Ransomware-Angriffs, bei dem die Nutzer zunächst keinen Zugriff mehr auf ihre Dateien hatten. Das IT-Team entdeckte eine Lösegeldforderung, aus der hervorging, dass die Dateien verschlüsselt worden waren, und in der die Angreifer eine Zahlung für die Entschlüsselung verlangten. Der Angriff breitete sich rasch über die Domäne und das Werk aus und beeinträchtigte alle mit dem Active Directory verbundenen Systeme.

„Die Ransomware verbreitete sich über die Domäne und das Werk. Im Grunde genommen war alles, was mit dem Active Directory verbunden war, kompromittiert“, sagte Paul Vries, IT-Berater bei BBio. „Wir mussten schnell handeln, um die Ausbreitung zu stoppen, da wir uns über das genaue Ausmaß der Auswirkungen nicht im Klaren waren.“

Schnelle Reaktion und Recovery

Das Einsatzteam von BBio trennte das Netzwerk umgehend vom Netz und fuhr die infizierten Server herunter, während die nicht betroffenen Rechner weiter in Betrieb blieben, um die Beeinträchtigung der Impfstoffproduktion so gering wie möglich zu halten. Bereits am zweiten Tag gelang es dem Team, die Active Directory-Umgebung und die Backup-Umgebung wiederherzustellen, sodass mit der systematischen Recovery-Prozedur kritischer Dienste begonnen werden konnte.

Verwendung vonCommvault Cloud Backup and Recovery, konnte das Team virtuelle Maschinen und Sicherungsdaten mit minimalem Aufwand wiederherstellen. „Wir schätzen die Einfachheit des Commvault-Dashboards sehr. Mit nur wenigen Klicks können wir nach einem Angriff eine virtuelle Maschine oder Sicherungen wiederherstellen – das ist in unserer Branche als Pharmaunternehmen mit sehr sensiblen Daten von entscheidender Bedeutung“, erklärte Vries.

Das IT-Team arbeitete die ganze Nacht über in Schichten und stellte die Dienste in mehreren Niederlassungen sowie im Werk innerhalb von nur neun Tagen erfolgreich wieder her. Diese schnelle Recovery-Phase sicherte BBio die Möglichkeit, seine geschäftskritische Impfstoffproduktion fortzusetzen, und unterstrich damit den Wert umfassender Backup-Lösungen für die Aufrechterhaltung des Geschäftsbetriebs bei Ransomware-Vorfällen.

Gewonnene Erkenntnisse und verbesserter Schutz

Der Ransomware-Vorfall machte deutlich, wie wichtig die Planung der Recovery-Prozesse für BBio ist. „Vor dem Angriff hatten wir noch keinen Recovery-Plan“, sagte Vries. „Wir arbeiten nun gemeinsam mit Commvault an der Erstellung eines Recovery-Plans, damit wir besser wissen, was zuerst wieder in Betrieb genommen werden muss und in welcher Reihenfolge.“

BBio stellte fest, dass einige Dateien der Verschlüsselung entgangen waren, da das Unternehmen Medienagenten außerhalb der Domäne verlagert hatte, was wertvolle Erkenntnisse für die künftige Schutzstrategie lieferte. Nach dem Angriff führte das Unternehmen zusätzliche Sicherheitsmaßnahmen ein, darunterCommvault Air Gapum die Widerstandsfähigkeit seiner Hybridumgebung gegenüber Ransomware zu stärken.

Dieser Fall liefert Organisationen einige wichtige Erkenntnisse:

1. Der Nutzen von Schnellreaktionsprotokollen zur Eindämmung der Ausbreitung von Ransomware.
2. Die Bedeutung intuitiver, zuverlässiger Lösungen für Backup and Recovery.
3. Die Notwendigkeit einer umfassenden Planung der Disaster Recovery, bevor Angriffe stattfinden.
4. Die Wirksamkeit von „Air-Gapped“-Backup-Lösungen beim Schutz kritischer Daten.

Die Erfahrungen von BBio zeigen, dass Ransomware-Angriffe zwar eine erhebliche Bedrohung darstellen, Unternehmen mit geeigneten Backup and Recovery-Systemen jedoch Ausfallzeiten minimieren und kritische Betriebsabläufe auch nach einem erfolgreichen Angriff aufrechterhalten können.

Wie Commvault die Widerstandsfähigkeit gegen Ransomware verbessert

Die umfassende Datensicherheitsplattform von Commvault sorgt durch integrierte Features, die speziell für moderne Hybridumgebungen entwickelt wurden, für Widerstandsfähigkeit gegen Ransomware. Die Plattform kombiniert mehrere Verteidigungsebenen mit automatisierten Recovery-Features, die Unternehmen dabei helfen, Ausfallzeiten und Datenverluste zu minimieren.

• Unveränderliche Datensicherung: Commvault setzt umUnveränderlichkeit durch einen hardwareunabhängigen Ansatz, wodurch Unternehmen Backup-Daten sperren können, ohne dass dafür spezielle Speichersysteme erforderlich sind. Diese Flexibilität ermöglicht die mehrschichtige Implementierung von Sicherheitskontrollen über verschiedene Infrastrukturtypen hinweg, sei es durch den Einsatz von WORM-Speicher, Objektsperrfunktionen oder die in Commvault integrierten Sperrmechanismen.
• Luftdurchlässiger Schutz:Commvault AirGapErstellt isolierte Recovery-Umgebungen, die so konzipiert sind, dass sie für Ransomware unzugänglich bleiben. Diese „Air-Gapped“-Kopien bieten sichere Wiederherstellungspunkte, selbst wenn Primär- und Sekundärsysteme kompromittiert werden. Die Lösung automatisiert die Erstellung und Verwaltung von „Air-Gapped“-Kopien und gewährleistet dabei strenge Zugriffskontrollen.
• Automatisierte Erkennung von Bedrohungen: Die automatisierte Funktion der PlattformErkennung von BedrohungenDie Funktionen überwachen geschützte Umgebungen kontinuierlich auf Anzeichen von Ransomware. Algorithmen des maschinellen Lernens analysieren Backup-Muster, Dateiänderungen und Systemverhalten, um potenzielle Angriffe frühzeitig zu erkennen. Werden Bedrohungen erkannt, können automatisierte Workflows betroffene Systeme isolieren und Recovery-Maßnahmen einleiten.
• Commvault-Reinraum: Commvault-ReinraumDiese isolierten Umgebungen bieten zuverlässige Möglichkeiten zur Datenvalidierung und Systemwiederherstellung. Sie ermöglichen es Unternehmen, wiederhergestellte Daten vor der Rückführung der Systeme in den Produktivbetrieb auf Malware zu überprüfen und so Wiederinfektionszyklen zu verhindern, unter denen viele Opfer von Ransomware leiden.
• Unterstützung von Multi-Cloud-Umgebungen: Unternehmen, die auf mehreren Cloud-Plattformen tätig sind, profitieren von Commvaults einheitlichem Ansatz zur Datensicherung. Die Plattform bietet einheitlichen Schutz vor Ransomware, unabhängig davon, ob sich die Daten in AWS, Azure, Google Cloud oder in einer lokalen Infrastruktur befinden.
  Dadurch werden Sicherheitslücken beseitigt, die häufig an den Grenzen zwischen den Clouds entstehen. Dank cloudübergreifender Recovery-Funktionen können Unternehmen ihre Workloads an alternative Standorte verlagern, falls die primären Standorte kompromittiert werden sollten. Diese Flexibilität unterstützt Strategien zur Geschäftskontinuität, die die Cloud-Infrastruktur zur Gewährleistung der Ausfallsicherheit nutzen.

Durch die Kombination dieser Funktionen ermöglicht Commvault Unternehmen den Aufbau einer umfassenden Widerstandsfähigkeit gegen Ransomware, die dazu beiträgt, kritische Daten zu schützen, den Geschäftsbetrieb aufrechtzuerhalten und die Recovery im Falle eines Angriffs zu beschleunigen. Der integrierte Ansatz der Plattform deckt eine Vielzahl von Ransomware-Bedrohungen ab und passt sich gleichzeitig den sich weiterentwickelnden Angriffstechniken und geschäftlichen Anforderungen an.

Um sich gegen Ransomware zu wappnen, ist ein mehrschichtiger Ansatz erforderlich, der Prävention, Erkennung und schnelle Recovery-Funktionen miteinander verbindet. Unternehmen müssen ihre Daten durch unveränderliche Backups, Air-Gapped-Speicher und umfassende Überwachungssysteme schützen. Es steht zu viel auf dem Spiel, um noch länger zu zögern: Da Ransomware-Angriffe immer häufiger und raffinierter werden, benötigen Unternehmen bewährte Lösungen, um den Geschäftsbetrieb aufrechtzuerhalten und kritische Daten zu schützen.

Demo anfordernum zu erfahren, wie wir Ihnen dabei helfen können, Ihre Strategie zur Stärkung der Widerstandsfähigkeit gegen Ransomware zu optimieren.