- Kritično
Varnostne kopije so na istem strežniku kot podatkiUkrep: kopija na ločeno lokacijo, nespremenljiva hramba
Kako napadalec to izkoristi
Izsiljevalski virus šifrira strežnik skupaj s kopijami na njem, zato obnova iz teh kopij ni mogoča.
- Kritično
Račun storitve s pravicami skrbnika domene in šibkim geslomUkrep: upravljan račun storitve (gMSA) ali dolgo geslo, odvzem skrbniških pravic
Kako napadalec to izkoristi
Vsak uporabnik domene lahko zahteva Kerberos vstopnico za tak račun in poskuša geslo razbiti brez povezave. Šibko geslo lahko napadalcu da skrbniške pravice v domeni.
- Visoko
Enako lokalno skrbniško geslo na vseh računalnikihUkrep: uvedba Windows LAPS
Kako napadalec to izkoristi
Ko napadalec dobi geslo na enem računalniku, z njim dostopa tudi do ostalih.
- Visoko
Strežnik za kopije je v domeni, kopije niso nespremenljiveUkrep: ločen, utrjen repozitorij izven domene
Kako napadalec to izkoristi
Napadalec s skrbniškimi pravicami v domeni lahko dostopa do strežnika za kopije in jih izbriše.
- Visoko
MFA vklopljen pri 11 od 32 uporabnikovUkrep: obvezna MFA za vse, pogojni dostop
Kako napadalec to izkoristi
Geslo, ukradeno s phishingom, zadostuje za prijavo v e-pošto in OneDrive.
- Visoko
Začetni phishing test: 9 od 32 zaposlenih je vneslo gesloUkrep: izobraževanje in ponovni test čez 2 meseca
Kako napadalec to izkoristi
Vsako vpisano geslo je lahko vstop v sistem brez tehničnega vdora.
ILTECH / Varnostna analiza
Varnostna analiza IT okolja
Pregledamo vaše okolje tako, kot bi ga napadalec. Poudarek je na Active Directory in varnostnih kopijah, ker sta pri napadih z izsiljevalskimi virusi najpogostejša odločilna točka.
Šest področij, dve s poudarkom
- Hardening Active DirectoryAD je ključ do celotnega podjetja in prvi cilj napadalca po vdoru. Preverimo nastavitve, ki napadalcu omogočijo prevzem domene, in jih ocenimo z uveljavljenimi orodji za oceno varnosti AD.Skrbniški računi in ločevanje pravicLAPSGesla računov storitev (Kerberoasting)krbtgtNTLM in SMB signingProtected UsersGPONeaktivni računi
- Varnostne kopije, ki preživijo napadIzsiljevalski virus pogosto najprej poišče in uniči kopije. Preverimo, ali bi vaše preživele, in predlagamo nastavitve, pri katerih jih napadalec težje izbriše ali šifrira.Pravilo 3-2-1-1-0Nespremenljive kopijeLočenost od domeneUtrjen repozitorijKopija Microsoft 365Preizkus obnoveČas obnove (RTO)
- Omrežje in požarni zidOdprta vrata, pravila, VPN, segmentacija, različica programske opreme.
- Ranljivosti sistemovPregled strežnikov in računalnikov ter manjkajočih posodobitev.
- Microsoft 365MFA, ocena varnosti (Secure Score), posredovanje pošte, deljenje datotek navzven.
- Pravice dostopa in človeški dejavnikKdo ima dostop do česa, po želji tudi začetni phishing test.
Poročilo, ki ga razume tudi vodstvo
Cena je odvisna od velikosti infrastrukture in jo pripravimo po kratkem pogovoru. Analiza je primerna tudi kot priprava na zahteve NIS2 (ZInfV-1).
Tako izgleda povzetek poročila
Podatki so ponazoritveni. Pri vsaki ugotovitvi lahko odprete razlago, kako bi jo napadalec izkoristil.
Tipična pot napada z izsiljevalskim virusom
Vklopite ukrepe in poglejte, kje bi se v tem primeru pot napadalca prekinila.
- Korak 1
Phishing e-pošta
Zaposleni klikne povezavo in vpiše geslo na lažni strani.
Uspe - Korak 2
Ukradeno geslo
Napadalec se z geslom prijavi v e-pošto ali VPN.
Uspe - Korak 3
Prevzem domene
Iz enega računa poskuša priti do skrbniških pravic v Active Directory.
Uspe - Korak 4
Izbris kopij
Poišče strežnik za kopije in jih poskuša izbrisati.
Uspe - Korak 5
Šifriranje podatkov
Na strežnikih in računalnikih zažene izsiljevalski virus.
Uspe
Podatki so šifrirani, kopij ni. Ostane odkupnina ali ponovna postavitev sistemov.
Primer je poenostavljen. V resničnem napadu posamezen ukrep ne zagotavlja, da se napad ustavi, napadalci pa uporabljajo tudi druge poti. Zaščito gradimo v več plasteh, ker vsaka zmanjša verjetnost in posledice uspešnega napada.