מערך הסייבר הלאומי: יש גל תקיפות כופרה במשק
מאת: מערכת Telecom News, 5.11.20, 13:15

המערך פרסם 33 המלצות לארגונים ועסקים למניעת תקיפת כופרה.       
 
לאחרונה התרבו הפניות למערך הסייבר הלאומי של ארגונים שחוו תקיפות כופרה. לפיכך, המערך ריכז להלן מידע על דרכים למניעת תקיפת כופרה.

הדרכים העיקריות לביצוע מתקפת כופרה הן:

1) דוא"ל דיוג לגורמים שונים בארגון.

2) תקיפת ממשקים חשופים לרשת האינטרנט, בפרט ממשקי גישה מרחוק כדוגמת RDP או ציוד VPN ארגוני, וכן שרתי Web.

3) ניצול ארגוני שרשרת אספקה, באמצעות התפשטות מארגון, שכבר הותקף, לארגונים נוספים הנגישים מרשתותיו.

המלצות לארגונים ועסקים:

1) מומלץ להתקין בהקדם האפשרי עדכוני אבטחה, שמפרסמים יצרני מערכות ההפעלה והיישומים השונים הפועלים במערכותיכם. התקנת העדכונים, מפחיתה את אפשרויות התקיפה של נוזקות הכופרה Surface of Attack ומקטינה את היכולת שלהן להצליח בשלב ההדבקה הראשוני. בפרט מומלץ להקפיד על עדכוני אבטחה עיתיים למערכות המשמשות לגישה מרחוק לארגון או חשופות ישירות לרשת האינטרנט שרתי Web,OWA  וכד'.

2) מומלץ לקבוע מדיניות ארגונית לגבי פרק הזמן הנדרש לבחינת והטמעת עדכוני אבטחה, בהתאם לחומרת הפגיעות.

3) מומלץ לוודא עדכניות מתמדת של מערכות אבטחה הפועלות באמצעות חתימות, ובפרט מערכות AV ו-IPS.

4) מומלץ לבחון ולהתקין בהקדם האפשרי את עדכון התוכנה לפגיעותZeroLogon , שפורסם ע"י מיקרוסופט באוגוסט. ללא התקנת עדכון זה השגת אחיזה ראשונית ברשת הארגון עלולה לאפשר לתוקף השגת גישה להרשאות Admin Domain. הרשאות אלו מקלות מאד על תוקפים להדביק בכופרה את שאר מערכות הארגון.

5) מומלץ להסיר תוכנות שאינן בשימוש. זאת, כדי למנוע שימוש בחולשות בתוכנות אלו לצורך תקיפה.

6) מומלץ לבחון שימוש בתוכנות מתקדמות מסוג  EDR- Endpoint Detection and Response בעמדות קצה ושרתים.

7) מומלץ לבחון האפשרות להגדיר ניטור מרכזי של אירועים בעמדות העבודה ובשרתים, ובפרט לנטר רצף של אירועים העלולים להצביע על אירוע כופרה, כגון מחיקת קבצים מרובה ומהירה, מחיקת Shadow Volumes וכד'.

8) מומלץ לבחון האפשרות להשתמש בשירות מוניטין RBL - Real time Blackhole List  למניעת תעבורה לכתובות החשודות כזדוניות.

9) מומלץ לגבות באופן קבוע את קבצי המידע, רצוי ביותר משיטה אחת כונן חיצוני, התקן נייד, גיבוי לענן, גיבוי רשתי וכד'.

10) מומלץ לוודא, שחלק מקבצי הגיבוי נשמרים באופן שאינו מקוון Offline. כך, שאינם נגישים לכופרות.

11) בפרט מומלץ לוודא, ששרתי ה-Domain Controller הארגוניים מגובים, מאחר שהצפנה של שרתים אלה תהווה פגיעה אנושה ביכולת להפעיל מערכות ארגוניות.

12) מומלץ לבחון שימוש בשרת או שירות לסינון דוא"ל Mail Relay הן לתעבורה נכנסת והן לתעבורה יוצאת.

13) מומלץ להגביל את סוגי הצרופות, שניתן לשלוח אל משתמשי הארגון, למינימום הנדרש לפעילות העסקית התקינה של הארגוןWhitelist . ניתן לבחון שימוש בעמדות הלבנה המנטרלות קוד עוין אם קיים בקבצים, או בודקות באמצעות מספר שיטות הימצאות קוד מסוג זה. אם נעשה שימוש בעמדות אלו, יש לוודא, שכל קובץ, שמוכנס לרשת הארגון, ללא תלות באופן הכניסה דוא"ל, הורדה מהרשת, החסן נייד, CD/DVD וכד', עובר דרכן טרם הגעתו לרשת הפנימית.

14) מומלץ להפעיל שיקול דעת לפני פתיחה של צרופה או הפעלת קישור בהודעות דוא"ל, וכן במסרים ברשתות חברתיות, אתרים מקצועיים וכד'. במקרה של הודעה ממקור בלתי צפוי, או אף הודעה בלתי צפויה ממקור מוכר, ראוי לא לפתוח את הקישור/ צרופה, ולוודא מול הגורם השולח, בערוץ תקשורת שונה, האם אכן שלח את ההודעה.

15) במקרים בהם מופיעה התרעה ממקור כלשהו)מערכת ההפעלה, יישום, אנטי-וירוס וכד', לגבי חשד לשימוש לא ראוי בצרופות, מומלץ לא לאשר את פתיחת הקובץ ויש לדווח לגורמי אבטחת המידע הארגוניים.

16) מומלץ לפתוח מסמכי Office מרשת האינטרנט רק כאשר הפעלת Macros מנוטרלת, ותחת Protected View. יש לחשוד בכל מסמך או הודעה המנסים לשכנע את המשתמש להסיר אמצעי הגנה אלה.

17) אם הדבר אפשרי מבחינה עסקית, מומלץ לנטרל הפעלת קוד JavaScript בקורא קבצי PDF.  

18) אם אינכם עושים שימוש בסקריפטים שונים מבוססי VBS אוJavaScript  , מומלץ לשקול לנטרל את רכיב ה-Windows Scripting Host. יש לבחון הגדרות אלו בסביבת ניסוי טרם הטמעה בסביבת ייצור.

19) מומלץ לשקול להתקין כלים העושים שימוש בשיטות הונאה Deception, שעלולים להסיט את פעולת הכופרה למטרה, שהוכנה לשם כך מראש, ובכך לזהותה.

20) מומלץ להימנע מלתת למשתמשים הרשאות מנהלן מקומיLocal  Administrator

21) מומלץ לבחון דרכים ושיטות להקטנת הרשאות הגישה של משתמשים למינימום ההכרחי  Least Privilege.

22) מומלץ לעשות שימוש במערכות כגון LAPS, שמנהלות את חשבונות המנהלן המקומי בעמדות בצורה מרוכזת, מגדירות סיסמה שונה לכל אחת מהעמדות, ומחליפות את הסיסמה באופן אוטומטי מעת לעת. פרטים נוספים - כאן.

23) מומלץ לבחון ולהטמיע שיטות הזדהות חזקהMulti Factor Authentication  בכל המערכות הארגוניות התומכות בכך.

24) מומלץ לבחון האפשרות להגביל הגישה של חשבונות משתמש בעלי הרשאות גבוהות לעמדות ייעודיות לניהול, המופרדות רשתית משאר הרשת הארגונית ומנועות בגישה לרשת האינטרנט או לשירותי דוא"ל. יש לבחון שינוי זה בסביבת ניסוי טרם הטמעה בסביבת ייצור.

25) מומלץ להגדיר את ארכיטקטורת הרשת כך, שעמדות קצה תוכלנה לתקשר אך ורק עם שרתים ושירותי רשת מרכזיים, ולא ישירות עם עמדות קצה אחרות ברשת. יש לבחון ארכיטקטורה זו בסביבת ניסוי טרם הטמעה בסביבת ייצור.

26) מומלץ לבחון האם ניתן לנטרל שימוש בפרוטוקול SMBv1 ברשת הארגונית. יש לבחון שינוי זה בסביבת ניסוי טרם הטמעה בסביבת ייצור.

27) מומלץ לבחון את הצורך העסקי בגישה מרחוק למערכות ארגוניות ולאפשר זאת רק עבור עמדות או משתמשים הזקוקים לכך.
 מומלץ לא לחשוף עמדות נגישות מרחוק פרוטוקול RDP ותוכנות דומות ישירות לרשת האינטרנט, אלא לאפשר גישה אליהן באמצעות תשתית VPN ארגונית הכוללת הצפנה מתאימה והזדהות חזקה.

28) עבור שימוש בפרוטוקול RDP פנים-ארגוני, מומלץ להגדיר שימוש בהזדהות חזקה, וכן שימוש ב-Network Level Authentication.

29) מומלץ לעשות שימוש במנגנונים שונים של מערכת ההפעלה, כגון ,Exploit Guard ,(ASR) Attack Surface Reduction ,Application Whitelisting Virtualizationbased Security ,Controlled Folder Access ,Windows Sandbox  וכו'. יש לבחון הגדרות אלו בסביבת ניסוי טרם הטמעה בסביבת ייצור.

30) מומלץ להעביר הכשרות מתאימות למשתמשים מהי כופרה ומהם הסימנים המעידים על הימצאותה.

31) בנוסף, מומלץ לבחון שימוש בתוכנה או שירות המדמים התקפת כופרה, כדי לתרגל את המשתמשים בפועל.

32) מומלץ לבחון ולעדכן את מסמכי הארגון בנושא המשכיות עסקית והתאוששות מאסון, וכן לתרגל תרחישים בנושא זה באופן עיתי.

33) מומלץ לוודא מול ארגונים, שמהווים שרשרת אספקה לארגונכם, מודעות והיערכות לתקיפות סייבר שונות, ומילוי שאלון לארגוני שרשרת אספקה שהוצא על ידי מערך הסייבר הלאומי - כאן.

במקרה שמתקפת הכופרה הצליחה למרות אמצעי ההגנה, שנקט בהם הארגון/העסק, ראו פרטים - כאן.