Abwehr von Conti-Ransomware: Warum CISA dringend Mikrosegmentierung empfiehlt

Im Jahr 2021 veröffentlichten die Cybersecurity and Infrastructure Security Agency (CISA) und das Federal Bureau of Investigation (FBI) eine gemeinsame Cybersicherheitsempfehlung rund um die anhaltende Welle von Conti-Ransomware-Angriffen – eine Ransomware-as-a-Service (RaaS)-Modellvariante, von der bekannt ist, dass sie seit ihrer Einführung im Jahr 2020 hinter mehr als 400 Angriffen auf US-amerikanische und internationale Organisationen steckt.

Conti ist nur das jüngste in der anhaltenden Geißel der Ransomware. Während wir uns dem einjährigen Jahrestag der SolarWinds-Sicherheitsverletzung nähern, entwickeln sich Ransomware-Angriffe weiter und sind in Hülle und Fülle vorhanden – in einem eindeutigen Ausmaß.

Mehr denn je ist es heute unerlässlich, dass Unternehmen die erforderlichen Schritte unternehmen, um ihre Cyber-Resilienz zu stärken – nicht nur, um ihr eigenes Unternehmen, sondern auch ihre Kunden und Lieferketten vor der Welle der anhaltenden Ransomware-Angriffe zu schützen und zu verteidigen.

Was ist Conti Ransomware?

In der gemeinsamen Empfehlung von CISA und FBI heißt es: "Bei typischen Conti-Ransomware-Angriffen stehlen böswillige Cyber-Akteure Dateien, verschlüsseln Server und Workstations und verlangen eine Lösegeldzahlung."

In der Empfehlung wurde auch darauf hingewiesen, dass die Conti-Entwickler den Bereitstellern der Ransomware oft einen Lohn und nicht einen Prozentsatz des Erlöses aus einem erfolgreichen Angriff zahlen. Diese Enthüllung macht das Modell selbst noch alarmierender, da die Deployer unabhängig davon bezahlt werden, wie "erfolgreich" ein bestimmter Angriff ist.

Anfang dieses Monats berichtete SiliconANGLE, dass Conti "mit einer Reihe von Angriffen in Verbindung gebracht wurde, darunter einer auf das irische Gesundheitswesen im Mai... Zu den früheren Opfern von Conti gehören der Industriecomputerhersteller Advantech im November, der VOIP-Hardware- und Softwarehersteller Sangoma Technologies im Dezember und Krankenhäuser in Florida und Texas im Februar."

SiliconANGLE wies auch darauf hin, dass Conti im Mai Gegenstand einer FBI-Warnung war, in der es hieß, dass die Bande und ihre Partner Gesundheitsdienstleister ins Visier nahmen – ein wichtiger Sektor, insbesondere angesichts der anhaltenden Covid-19-Pandemie.

Absicherung gegen Conti

Um Systeme gegen Conti-Ransomware zu schützen, empfehlen CISA und das FBI die folgenden Vorsichtsmaßnahmen – Zero Trust und Segmentierungsprinzipien sind die wichtigsten davon:

• Verwenden Sie die Multi-Faktor-Authentifizierung , um aus der Ferne auf Netzwerke von externen Quellen zuzugreifen.
• Implementieren Sie die Netzwerksegmentierung und filtern Sie den Datenverkehr. Implementieren und gewährleisten Sie eine robuste Netzwerksegmentierung zwischen Netzwerken und Funktionen, um die Ausbreitung der Ransomware zu reduzieren. Filtern Sie den Netzwerkverkehr, um ein- und ausgehende Kommunikation mit bekannten bösartigen IP-Adressen zu verhindern. Aktivieren Sie starke Spam-Filter, um zu verhindern, dass Phishing-E-Mails Endbenutzer erreichen.
  
  Unternehmen sollten auch die Implementierung eines Benutzerschulungsprogramms in Betracht ziehen, um Benutzer davon abzuhalten, bösartige Websites zu besuchen oder bösartige Anhänge zu öffnen. IT-Teams sollten eine URL-Sperrliste und/oder eine Zulassungsliste implementieren, um zu verhindern, dass Benutzer auf bösartige Websites zugreifen. Mit fortschrittlicheren Technologie-Toolkits kann dies automatisiert werden.
• Scannen Sie nach Schwachstellen und halten Sie die Software auf dem neuesten Stand. Richten Sie Antiviren- und Antimalware-Programme so ein, dass sie regelmäßige Scans von Netzwerkressourcen mit aktuellen Signaturen durchführen. Unternehmen sollten auch sicherstellen, dass sie Software und Betriebssysteme, Anwendungen und Firmware auf Netzwerkressourcen rechtzeitig aktualisieren.
• Entfernen Sie nicht benötigte Anwendungen und wenden Sie Steuerelemente an. Entfernen Sie alle Anwendungen, die für den täglichen Betrieb nicht als notwendig erachtet werden. Untersuchen Sie nicht autorisierte Software.
• Implementieren Sie Endpunkt- und Detection-Response-Tools. Es ist bekannt, dass Endpoint- und Detection-Response-Tools die Transparenz von SecOps-Teams in einer bestimmten Cybersicherheitsumgebung verbessern – was bedeutet, dass böswillige Cyberakteure und potenzielle Bedrohungen frühzeitig identifiziert und besser eingedämmt werden können.
• Sichere Benutzerkonten. Überprüfen Sie regelmäßig administrative Benutzerkonten und konfigurieren Sie Zugriffskontrollen nach den Prinzipien der geringsten Rechte (Zero Trust) und der Aufgabentrennung. Unternehmen sollten die Protokolle auch regelmäßig überwachen, um sicherzustellen, dass es sich bei neuen Konten um legitime Benutzer handelt.

Da immer mehr RaaS-Modelle und Ransomware-Stämme ans Licht kommen, ist es wichtig, dass Unternehmen potenzielle Bedrohungsvektoren oder Schwachstellen frühzeitig erkennen und minimieren. Unter den oben skizzierten Empfehlungen ist die Segmentierung eine der wichtigsten Best Practices, nach denen Unternehmen heute handeln sollten.

Wie Illumio Zero Trust Segmentation helfen kann

Illumio stoppt Ransomware und entwickelt sich im Gegensatz zur herkömmlichen Netzwerksegmentierung mit Ihrem Unternehmen weiter, indem es Folgendes bietet:

• Einfache und schnelle Segmentierung. Mit Illumio können Sie Anwendungen, Benutzer und bestimmte Assets in wenigen Minuten segmentieren, indem Sie automatisch Richtlinien erstellen.
  
  Im Fall von Conti nutzte die Ransomware den Server Message Block (SMB) und das Remote Desktop Protocol (RDP) aus, um sich lateral zu bewegen. Mit Illumio Core können Sie eine einfache Richtlinie schreiben, die diese beiden Protokolle in Ihrem gesamten Unternehmen blockiert, es sei denn, sie sind absolut notwendig – schnell und effektiv zur Reduzierung des Risikos.
• Richtlinie, die mit Ihren dynamischen Umgebungen skaliert werden kann. Da Illumio Ihre bestehende Infrastruktur zur Durchsetzung von Richtlinien nutzt, wird es mit Ihrem Netzwerk skalieren, wenn es sich weiterentwickelt.
• Segmentierung auf Host-Ebene. Durch die Verwendung vorhandener hostbasierter Firewalls können Sie alle Ihre Segmentierungsrichtlinien von einer einzigen Cloud-Instanz aus verwalten, ohne die Infrastruktur berühren oder Kabel verlegen zu müssen. 

Erfahren Sie mehr darüber, wie Illumio Ihr Risiko drastisch reduzieren kann, indem es die Reichweite einer erfolgreichen Sicherheitsverletzung begrenzt: Lesen Sie das Whitepaper How to Prevent Ransomware From Becoming a Cyber Disaster und lesen Sie den Blogbeitrag 9 Gründe, Illumio zur Bekämpfung von Ransomware zu verwenden. 

Weitere Informationen zur Conti-Ransomware-Bande finden Sie auf der offiziellen Beratungsseite.