Ransomware-Angriffe mit Google Cloud abwehren

Ransomware ist Code, der von einem Dritten zum Infiltrieren Ihrer Systeme zum Hacken, Verschlüsseln und Stehlen von Daten erstellt wurde. Damit Sie Ransomware-Angriffe abschwächen können, bietet IhnenGoogle Cloud die Möglichkeit, Angriffe zu identifizieren und zu erkennen, auf sie zu reagieren, sich vor ihnen zu schützen und sich von ihnen zu erholen. Mit diesen Einstellungen können Sie Folgendes tun:

  • Das Risiko bewerten
  • Ihr Unternehmen vor Bedrohungen schützen
  • Kontinuierliche Vorgänge verwalten
  • Schnelle Reaktion und Wiederherstellung ermöglichen

Dieses Dokument richtet sich an Sicherheitsarchitekten und Administratoren. Es wird die Abfolge von Ransomware-Angriffen beschrieben und wie Google Cloud Ihre Organisation dabei unterstützen kann, die Auswirkungen von Ransomware-Angriffen zu minimieren.

Ransomware-Angriffssequenz

Ransomware-Angriffe können als Massenkampagnen beginnen, die nach potenziellen Sicherheitslücken suchen, oder als gezielte Kampagnen. Eine gezielte Kampagne beginnt mit der Identifizierung und dem Ausspähen. Dabei ermittelt ein Angreifer, welche Organisationen anfällig sind und welcher Angriffsvektor verwendet werden soll.

Es gibt viele Ransomware-Angriffsvektoren. Die häufigsten Vektoren sind Phishing-E-Mails mit bösartigen URLs oder das Ausnutzen einer offengelegten Softwareschwachstelle. Diese Softwaresicherheitslücke kann in der Software, die Ihr Unternehmen verwendet, oder in Ihrer Softwarelieferkette vorhanden sein. Ransomware-Angreifer haben es auf Organisationen, ihre Lieferkette und ihre Kunden abgesehen.

Wenn der erste Angriff erfolgreich ist, installiert die Ransomware sich selbst und kontaktiert den Befehls- und Steuerungsserver, um die Verschlüsselungsschlüssel abzurufen. Wenn sich Ransomware im Netzwerk ausbreitet, kann sie Ressourcen infizieren, Daten mit den abgerufenen Schlüsseln verschlüsseln und Daten exfiltrieren. Die Angreifer fordern von der Organisation ein Lösegeld, in der Regel in Kryptowährung, damit sie den Entschlüsselungsschlüssel erhalten.

Das folgende Diagramm fasst die typische Ransomware-Angriffssequenz zusammen, von der Identifizierung und Aufklärung bis hin zur Daten-Exfiltration und Lösegeldforderung.

Die Ransomware-Angriffssequenz

Ransomware ist oft schwer zu erkennen. Daher ist es wichtig, dass Sie Präventions-, Überwachungs- und Erkennungsfunktionen einrichten und dass Ihre Organisation bereit ist, schnell zu reagieren, wenn ein Angriff erkannt wird.

Sicherheits- und Ausfallsicherheitskontrollen in Google Cloud

Google Cloud umfasst integrierte Sicherheits- und Ausfallsicherheitskontrollen, die Kunden vor Ransomware-Angriffen schützen. Diese Funktionen umfassen Folgendes:

  • Globale Infrastruktur, die im gesamten Lebenszyklus der Informationsverarbeitung auf Sicherheit ausgelegt ist
  • Integrierte Detektivfunktionen für Produkte und Dienste von Google Cloud , z. B. Monitoring, Bedrohungserkennung, Schutz vor Datenverlust und Zugriffssteuerung
  • Integrierte präventive Kontrollen wie Assured Workloads
  • Hochverfügbarkeit mit regionalen Clustern und globalen Load Balancern
  • Integrierte Sicherung mit skalierbaren Diensten
  • Automatisierungsfunktionen mit Infrastruktur als Code und Konfigurations-Guardrails

Google Threat Intelligence, VirusTotal und Mandiant Digital Threat Monitoring verfolgen und reagieren auf viele Arten von Malware, einschließlich Ransomware, in der gesamten Google-Infrastruktur und in allen Google-Produkten. Google Threat Intelligence ist ein Team von Bedrohungsforschern, die Bedrohungsinformationen für Google Cloud-Produkte entwickeln. VirusTotal ist eine Malware-Datenbank- und Visualisierungslösung, die Ihnen einen besseren Überblick über die Funktionsweise von Malware in Ihrem Unternehmen bietet. Mandiant Digital Threat Monitoring und andere Mandiant-Dienste bieten Bedrohungsforschung, Beratung und Unterstützung bei der Incident Response.

Weitere Informationen zu integrierten Sicherheitskontrollen finden Sie in der Übersicht über die Sicherheit von Google und in der Übersicht über das Sicherheitsdesign der Infrastruktur von Google.

Sicherheits- und Ausfallsicherheitsfunktionen in Google Workspace, Chrome und Chromebooks

Zusätzlich zu den Steuerelementen in Google Cloudbieten andere Google-Produkte wie Google Workspace, der Google Chrome-Browser und Chromebooks Sicherheitseinstellungen, mit denen Sie Ihre Organisation vor Ransomware-Angriffen schützen können. Google-Produkte bieten beispielsweise Sicherheitskontrollen, mit denen Remote-Mitarbeiter von überall aus auf Ressourcen zugreifen können, basierend auf ihrer Identität und dem Kontext (z. B. Standort oder IP-Adresse).

Wie im Abschnitt Ablauf eines Ransomware-Angriffs beschrieben, sind E‑Mails ein wichtiger Vektor für viele Ransomware-Angriffe. Sie kann ausgenutzt werden, um Anmeldedaten für betrügerischen Netzwerkzugriff zu phishen und Ransomware-Binärdateien direkt zu verteilen. Der erweiterte Phishing- und Malwareschutz in Gmail bietet Einstellungen, um E‑Mails unter Quarantäne zu stellen, schützt vor gefährlichen Anhangstypen und hilft, Nutzer vor eingehenden Spoofing-E‑Mails zu schützen. Die Sicherheits-Sandbox wurde entwickelt, um bisher unbekannte Malware in Anhängen zu erkennen.

Der Chrome-Browser enthält Google Safe Browsing, das Nutzer warnt, wenn sie versuchen, auf eine infizierte oder schädliche Website zuzugreifen. Sandboxes und die Website-Isolierung tragen dazu bei, die Verbreitung von schädlichem Code in verschiedenen Prozessen auf demselben Tab zu verhindern. Der Passwortschutz ist so konzipiert, dass Warnungen ausgegeben werden, wenn ein Unternehmenspasswort in einem privaten Konto verwendet wird. Außerdem wird geprüft, ob gespeicherte Passwörter des Nutzers bei einer Online-Datenpanne kompromittiert wurden. In diesem Szenario fordert der Browser den Nutzer auf, sein Passwort zu ändern.

Die folgenden Chromebook-Funktionen schützen vor Phishing- und Ransomware-Angriffen:

  • Betriebssystem mit Lesezugriff (ChromeOS): Dieses System wird ständig und unsichtbar aktualisiert. ChromeOS schützt vor den neuesten Sicherheitslücken und enthält Einstellungen, mit denen verhindert wird, dass Anwendungen und Erweiterungen das Betriebssystem ändern.
  • Sandboxing: Jede Anwendung wird in einer isolierten Umgebung ausgeführt, sodass eine schädliche Anwendung nicht so einfach andere Anwendungen infizieren kann.
  • Bootmodus mit Verifikation: Während des Startvorgangs wird auf dem Chromebook geprüft, ob das System manipuliert wurde.
  • Safe Browsing: Chrome lädt regelmäßig die aktuelle Safe Browsing-Liste mit unsicheren Websites herunter. Dabei werden die URLs jeder Website, die ein Nutzer besucht, und jede Datei, die ein Nutzer herunterlädt, mit dieser Liste abgeglichen.
  • Google-Sicherheitschips: Diese Chips schützen das Betriebssystem vor böswilligen Manipulationen.

Zur Reduzierung der Angriffsfläche Ihrer Organisation sollten Sie Chromebooks für Nutzer verwenden, die hauptsächlich in einem Browser arbeiten.

Best Practices zur Abschwächung von Ransomware-Angriffen auf Google Cloud

Zum Schutz Ihrer Unternehmensressourcen und Daten vor Ransomware-Angriffen müssen Sie mehrstufige Funktionen in Ihren lokalen und Cloud-Umgebungen einrichten.

In den folgenden Abschnitten werden Best Practices beschrieben, mit denen Ihre Organisation Ransomware-Angriffe aufGoogle Cloudidentifizieren, verhindern, erkennen und darauf reagieren kann.

Risiken und Assets identifizieren

Beachten Sie die folgenden Best Practices, um Ihre Risiken und Assets inGoogle Cloudzu identifizieren:

Zugriff auf Ressourcen und Daten steuern

Beachten Sie die folgenden Best Practices, um den Zugriff auf Ressourcen und Daten von Google Cloudzu beschränken:

Weitere Best Practices zum Schutz von Dienstkonten finden Sie unter Best Practices für die Verwendung von Dienstkonten.

Kritische Daten schützen

Beachten Sie die folgenden Best Practices zum Schutz Ihrer sensiblen Daten:

Sicheres Netzwerk und sichere Infrastruktur

Beachten Sie die folgenden Best Practices, um Ihr Netzwerk und Ihre Infrastruktur zu schützen:

Arbeitslasten schützen

Beachten Sie die folgenden Best Practices, um Ihre Arbeitslasten zu schützen:

Angriffe erkennen

Die folgenden Best Practices können Ihnen helfen, Angriffe zu erkennen:

Vorfälle planen

  • Vollständige Pläne zur Aufrechterhaltung des Geschäftsbetriebs und Notfallwiederherstellungspläne.

  • Erstellen Sie ein Playbook zur Reaktion auf Ransomware-Vorfälle und führen Sie theoretische Übungen durch. Üben Sie regelmäßig Wiederherstellungsverfahren, um die Bereitschaft sicherzustellen und Lücken zu identifizieren.

  • Informieren Sie sich über Ihre Verpflichtungen zur Meldung von Angriffen an Behörden und nehmen Sie relevante Kontaktdaten in Ihr Playbook auf.

Auf Angriffe reagieren und ihre Folgen beseitigen

Wenn Sie einen Ransomware-Angriff erkennen, aktivieren Sie Ihren Reaktionsplan für Vorfälle. Nachdem Sie bestätigt haben, dass der Vorfall kein falsch positives Ergebnis ist und sich auf IhreGoogle Cloud -Dienste auswirkt, öffnen Sie einen P1-Supportfall. Cloud Customer Care reagiert wie in den Richtlinien für technische Supportdienste fürGoogle Cloud dokumentiert.

Nachdem Sie Ihren Plan aktiviert haben, erstellen Sie das Team in Ihrer Organisation, das an den Prozessen zur Koordination und Behebung von Vorfällen beteiligt sein muss. Sorgen Sie dafür, dass diese Tools und Prozesse vorhanden sind, um den Vorfall zu untersuchen und zu beheben.

Folgen Sie Ihrem Incident-Response-Plan, um die Ransomware zu entfernen und Ihre Umgebung wieder in einen fehlerfreien Zustand zu versetzen. Je nach Schweregrad des Angriffs und den von Ihnen aktivierten Sicherheitskontrollen kann Ihr Plan unter anderem folgende Aktivitäten umfassen:

  • Infizierte Systeme in Quarantäne versetzen
  • Daten aus fehlerfreien Sicherungen wiederherstellen
  • Wiederherstellung Ihrer Infrastruktur in einen zuvor als funktionierend bekannten Zustand mithilfe Ihrer CI/CD-Pipeline.
  • Prüfen, ob die Sicherheitslücke entfernt wurde
  • Alle Systeme patchen, die möglicherweise für einen ähnlichen Angriff anfällig sind
  • Erforderliche Funktionen implementieren, um einen ähnlichen Angriff zu vermeiden

Behalten Sie während des gesamten Reaktionsprozesses Ihr Google-Support-Ticket im Blick. Der Kundenservice ergreift innerhalb vonGoogle Cloud die entsprechenden Maßnahmen, um Ihre Umgebung einzudämmen, zu bereinigen und (wenn möglich) wiederherzustellen.

Informieren Sie Customer Care, wenn der Vorfall behoben und Ihre Umgebung wiederhergestellt ist. Wenn eine gemeinsame Retrospektive mit Ihrem Google-Ansprechpartner geplant ist, nehmen Sie daran teil.

Achten Sie darauf, dass Sie alle aus dem Vorfall gewonnenen Erkenntnisse festhalten und die erforderlichen Kontrollen einrichten, um einen ähnlichen Angriff zu vermeiden. Je nach Art des Angriffs können Sie die folgenden Maßnahmen ergreifen:

  • Erkennungsregeln und Benachrichtigungen erstellen, die automatisch ausgelöst werden, wenn der Angriff noch einmal auftritt.
  • Aktualisieren Sie Ihr Incident-Response-Playbook mit den gewonnenen Erkenntnissen.
  • Verbessern Sie Ihren Sicherheitsstatus basierend auf den Ergebnissen der Retrospektive.

Nächste Schritte