ארגונים חשופים לסיכוני סייבר יותר מתמיד, ומתקפות הכופר הידועות לשמצה פוגעות בארגונים יום-יום; בקרות אירוע, לסדר פעולות ההגנה והיקפן חשיבות מכרעת, ולא רק בתחום הטכני – הנה כמה עקרונות שיאפשרו לכם לצאת בשלום ממתקפת סייבר

העולם השתנה, החיים השתנו, והיום הכל מחובר להכל. המשמעות היא שהכל גם חשוף לסיכוני סייבר. והנה, הנתונים מציירים תמונה ברורה – כמות מתקפות הסייבר הולכת ועולה. אם זה לא מספיק, אז שיטות ההתקפה משתכללות וחלון הזמן של הגנה אפקטיבית מצטמצם.

אחת המתקפות הנפוצות ביותר היא מתקפת כופר. אבל, היי, יש מה לעשות עם זה. אם אתם ארגון בעל בסיסי נתונים ולקוחות (יש ארגון שלא?) – כדאי לכם לקרוא את זה.

ההשפעה הישירה של מתקפות כופר

מתקפת כופר מסוגלת לשתק את מערכות הליבה של הארגון, לפגוע בשירותים ולגרור עלויות רבות עקב שחזור המידע, תשלום קנסות והפגיעה הכספית הכרוכה בירידת אמון מצד לקוחות, משקיעים וכדומה. משכך היא נחשבת לסיכון עסקי מרכזי בעידן הנוכחי.

בשנים האחרונות, כבר אמרנו, נרשם גידול בפעילות של קבוצות כופר ברחבי העולם, והעלויות הממוצעות בשל אירועי כופר עשויות להגיע למיליוני דולרים, כולל אובדן הכנסות ונזק תדמיתי. וחשוב לציין, גם ארגונים קטנים ובינוניים נפגעים באופן נרחב, לא רק תאגידים גדולים ומוכרים.

אם חלילה נפלתם קורבן למתקפת כופר, כדי לצמצם את הנזק ולשמור על המשכיות, חשוב לפעול במהירות לפי העקרונות הכלליים האלה:

• תגובה מבוססת נהלים עם בעלי תפקידים שהוגדרו מבעוד מועד
• קבלת החלטות על בסיס ראיות דיגיטליות ולא על סמך הערכות ותחזיות
• שיקום מדורג של מערכות קריטיות מבסיסי נתונים מגובים ונקיים
• הקפדה על תקשורת עם העובדים, הלקוחות והרשויות

שלב 1: זיהוי מוקדם של האירוע, בדגש על מוקדם

איך אפשר לזהות מתקפת כופר עוד בתחילת דרכה? הנה כמה סימנים אופייניים שצריכים להדליק לכם את הנורה האדומה:

• הודעת כופר או קבצי טקסט שנוספו לתיקיות
• קבצים שאינם נפתחים או שקיבלו סיומות לא מוכרות
• האטה חריגה בשרתים או עומסי CPU/IO לא מוסברים
• התראות חריגות מכלי EDR/SIEM על הצפנות מהירות, יצירת תהליכים חשודים או פריצה להרשאות

אם נדלקה הנורה האדומה, חשוב לפעול בזהירות ובצורה מבוקרת. ברוב המקרים, גופי אכיפה ורשויות סייבר ממליצים שלא לשלם את דמי הכופר, אלא אם מתקבלת החלטה מנומקת יחד עם יועצים משפטיים והגורמים הרגולטוריים כי לא לשנות קבצים ולא לכבות מכונות באופן שרירותי, אלא לבודד תחילה את היקף הפגיעה על ידי איתור נקודת כניסה והצלבת מידע ביומני האירועים. ניטור רציף באמצעות כלי EDR ו-SIEM SOC בשילוב מרכז SOC הפועל 24/7 יכול להגדיל משמעותית את הסיכוי לאתר פעילות חשודה בשלב מוקדם, לזהות תנועת רוחב, להקדים את ההצפנה ולהפחית את היקף הפגיעה.

החלטה על תשלום כופר (אם בכלל) צריכה להיות יחד עם יועץ משפטי, ביטוח סייבר וגורמי אכיפה.

שלב 2: בידוד המערכות הפגועות והבטחת שליטה באירוע

לאחר הבנת היקף החדירה, הצעד הקריטי לאחר מכן הוא בידוד מבוקר שמטרתו לקטוע את שרשרת ההדבקה ולשמר ראיות. הנה כמה פעולות בידוד אפשריות:

• ניתוק מארג הרשת: הסרת VLAN, הורדת פורטים, עצירת VPN
• חסימת גישה זמנית לחשבונות ומפתחות שנפרצו
• ניתוק חיבורים חיצוניים ושירותים חשופים לאינטרנט
• הקפאת סנאפשוטים וייצוא לוגים לפני כיבוי מכונות

כאן דווקא, הזריזות חשובה מאוד, אבל הסנכרון חשוב אפילו יותר. פעולה מתואמת תמנע את התפשטות הנזק, תשמור על שליטה ותייצר בסיס מוצק לחקירה שתתבצע עם גמר האירוע.

שלב 3: ניהול המסרים באמצעי התקשורת השונים

ניהול המסר הוא חלק חשוב בתגובה לאירוע כופר. אנו ממליצים להגדיר ערוץ תקשורת פנימי אחד לעדכונים ובו יוסדרו חלוקת התפקידים בין אנשי הנהלה, ה-IT, משפט, יחסי ציבור, משאבי אנוש ועוד. אל תקלו ראש בהיבט התקשורתי של האירוע. סוגיות כמו מי מורשה להתייחס לאירוע, מה מותר לומר ומתי דורשות התייחסות מוקדמת והערכת מצב שוטפת. במקביל, יש לתת את הדעת ולנסח את המסרים לספקים, לקוחות ורשויות. כאן יש חובות רגולטוריות וחשוב לשמור על שקיפות שתשמר את האמון בינכם לבין הלקוחות גם לאחר המתקפה. לניהול לא מוצלח של ההיבטים התקשורתיים יש פוטנציאל נזק עצום, לעתים אף גדול יותר מהנזקים הישירים של המתקפה.

שלב 4: נטרול האיום ושחזור המידע

בשלב הנטרול והשחזור, הארגון עובר הלכה למעשה ממצב של חירום למצב של שיקום. רגע לפני שמתחילה עבודת השחזור, חובה לוודא שכל הפרצות נסגרו ושהתוקפים נוטרלו לחלוטין. במקרים רבים, על אף הרצון לסיים כמה שיותר מהר עם האירוע, סרקו הכל לעומק ורק לאחר מכן התחילו בשחזור הנתונים, על בסיס מקורות גיבוי נקיים כמובן.

לאורך תהליך השיקום חשוב לעבוד בשלבים: מעלים קודם מערכות קריטיות, מאמתים את שלמות הנתונים ומבצעים בדיקות עומס. וכבר אמרנו, לא להפסיק לעקוב אחר אינדיקטורים להישנות של מתקפות. כמו כן, נדרש לחדד כללי EDR/SIEM ולתקן קונפיגורציות שתרמו לפרצת האבטחה.

שלב 5: דיווח ותיעוד האירוע

נטרלתם, ניקיתם, שחזרתם. אפשר לנשום לרווחה. אז זהו שעוד לא. על מנת לסיים עם האירוע, בישראל חלים כללי דיווח לרשויות. כללים אלה משתנים על פי חומרת האירוע והרגולציה החלה על הארגון, החל בחובת דיווח על אירוע אבטחה חמור לרשות להגנת הפרטיות וכלה בפנייה ל-CERT הלאומי בעת הצורך. במגזרים מפוקחים עשויות לחול חובות נוספות, וארגונים שפועלים באירופה חייבים לעמוד גם בנורמות או דירקטיביות כמו NIS2. במגזרים מפוקחים ובארגונים המסווגים כישויות חיוניות או חשובות באיחוד האירופי, חלות גם חובות דיווח במסגרת דירקטיבות כמו NIS2.

מה נדרש לתעד באופן שיטתי כדי להשלים בהצלחה את שלב הדיווח? טוב ששאלתם, הנה:

• ציר זמנים מלא: זיהוי, בידוד, נטרול, שחזור.
• החלטות מפתח, בעלי תפקידים ונימוקים להחלטות.
• לוגים, ממצאי פורנזיקה, אינדיקטורים לתקיפה.
• תקשורת מול גורמי פנים וחוץ.

ועוד דבר. תיעוד מסודר עשוי לסייע בהקשרים משפטיים וביטוחיים.

שלב 6: הפקת לקחים וחיזוק ההגנות

זהו. אפשר לומר שאתם אחרי. עכשיו הגיעה שעת הפקת הלקחים. במהלך התחקיר שלאחר האירוע, חשוב לתת דגש לאירועים כמו וקטור החדירה, מסלול התוקף, כשלים בתצורה ובבקרה, פערי מודעות ותהליכים אנושיים, איכות הגיבויים והיכולת לשחזר בזמן יעד ועוד.

דגש מיוחד ניתן לחיזוק המצב הקיים, ובעיקר של:

• גיבויים מבודדים ואימות שחזור תקופתי
• עדכוני תוכנה, הקשחת קונפיגורציות והסרת חשבונות לא נחוצים
• אימות רב שלבי, הקטנת הרשאות ויישום העקרון של מינימום גישה
• שיפור ניטור 24/7 עם כללי זיהוי לכופרות ותנועת רוחב
• הדרכות פישינג ומודעות

בנוסף, שילוב בדיקות חדירות מתוכננות שמדמות תוקף אמיתי ומוודאות שהחיזוקים אכן אפקטיביים, עשוי להקטין מתקפות דומות או חוזרות בעתיד הקרוב.

שלב 7: מוכנות מתמדת ביום שאחרי

השלב האחרון, הוא שלב מתמשך. אפשר לומר שחוסן של ארגון נבנה עם הזמן, כאשר מתרגלים ולומדים ממקרי עבר. מישהו כבר אמר את זה פעם. מה עושים? כותבים, מעדכנים ומתרגלים תוכנית תגובה, כולל תרחישי כופר, דלף מידע והשבתה ממושכת. מכניסים ללוח השנה תרגולי Incident Response בסבבים חוצי ארגון, ובודקים את שרשראות ההסלמה, אנשי הקשר וספקי החירום.

נסיים עם כמה המלצות ליישום שוטף:

• תרגילי טייבלטופ ולייב, פעם או פעמיים בשנה
• בדיקות תקופתיות של גיבויים, זמני RTO/RPO ונוהלי DR
• בדיקות יעילות של ניטור, התראות וערוצי תקשורת חירום
• עדכון רציף של התוכנית לפי שינויים טכנולוגיים וארגוניים

Experis Cyber – יוצרים סדר בכאוס

ב-Experis Cyber אנחנו מלווים ארגונים מקצה לקצה, מרגע הזיהוי ועד חזרה מלאה לשגרה. מרכז ה-SOC שלנו פועל 24/7, נשען על בינה מלאכותית וכלי ניטור מתקדמים יחד עם ניסיון רב של מומחים בתחום, והוא מספק תגובה מהירה ואפקטיבית באירועי סייבר. צוות המומחים שלנו צבר ניסיון בזיהוי, בידוד, שחזור ותחקור מתקפות כופר במגזר הציבורי והפרטי, תוך התאמת הפעולות לדרישות רגולטוריות ספציפיות.

אנו נלווה אתכם מעבר להיבטים הטכניים, ונייעץ בתחום המשפטי והתקשורתי, נבנה תוכנית שיקום והגנה רב שכבתית, נהלי תגובה והדרכות לעובדים. באירועי כופר ואירועי סייבר בכלל, אנו נייצר סדר בתוך הכאוס, מה שיאפשר התמודדות ארגונית מוצלחת שתקטין את הפגיעה העסקית. אם אתם רוצים חברת סייבר שמגיעה מוכנה לכל אירוע, עם מתודולוגיה וכלי שטח, אנחנו כאן כדי להוביל אתכם בבטחה לאורך כל הדרך.

ואל תלחצו על הקישור הזה 🙂  פשוט דברו איתנו.