Memitigasi serangan ransomware menggunakan Google Cloud

Ransomware adalah kode yang dibuat oleh pihak ketiga untuk menyusup ke sistem Anda dan membajak, mengenkripsi, atau mencuri data. Untuk membantu Anda memitigasi serangan ransomware, Google Cloud menyediakan kontrol untuk mengidentifikasi, melindungi, mendeteksi, merespons, dan memulihkan dari serangan. Kontrol ini membantu Anda melakukan hal berikut:

• Menilai risiko Anda.
• Melindungi bisnis Anda dari ancaman.
• Mempertahankan operasi yang berkelanjutan.
• Memungkinkan respons dan pemulihan yang cepat.

Dokumen ini ditujukan untuk arsitek keamanan dan administrator. Dokumen ini menjelaskan urutan serangan ransomware dan cara Google Cloud dapat membantu organisasi Anda memitigasi efek serangan ransomware.

Urutan serangan ransomware

Serangan ransomware dapat dimulai sebagai kampanye massal untuk mencari potensi kerentanan atau sebagai kampanye yang diarahkan. Kampanye terarah dimulai dengan identifikasi dan pengintaian, yakni saat penyerang menentukan organisasi mana yang rentan dan vektor serangan apa yang akan digunakan.

Ada banyak vektor serangan ransomware. Vektor yang paling umum adalah email phishing dengan URL berbahaya atau mengeksploitasi kerentanan software yang terekspos. Kerentanan software ini dapat terjadi pada software yang digunakan organisasi Anda, atau kerentanan yang ada dalam supply chain software Anda. Penyerang ransomware menarget organisasi, supply chain mereka, dan pelanggan mereka.

Jika serangan awal berhasil, ransomware akan menginstal dengan sendirinya dan menghubungi server command and control untuk mengambil kunci enkripsi. Saat ransomware menyebar di seluruh jaringan, ransomware dapat menginfeksi resource, mengenkripsi data menggunakan kunci yang diambil, dan memindahkan data secara tidak sah. Penyerang meminta tebusan, biasanya dalam mata uang kripto, dari organisasi agar mereka dapat mendapatkan kunci dekripsi.

Diagram berikut merangkum urutan serangan ransomware yang umum, mulai dari identifikasi dan pengintaian hingga pemindahan data yang tidak sah dan permintaan tebusan.

Ransomware sering kali sulit dideteksi. Oleh karena itu, sangat penting untuk Anda menerapkan kemampuan pencegahan, pemantauan, dan deteksi, dengan itu organisasi Anda siap untuk merespons dengan cepat saat seseorang menemukan serangan.

Kontrol keamanan dan ketahanan di Google Cloud

Google Cloud menyertakan kontrol keamanan dan ketahanan bawaan untuk membantu melindungi pelanggan dari serangan ransomware. Kontrol ini mencakup hal berikut:

• Infrastruktur global yang didesain dengan keamanan di sepanjang siklus proses pemrosesan informasi
• Fitur detektif bawaan untuk Google Cloud produk dan layanan, seperti pemantauan, deteksi ancaman, pencegahan kebocoran data, dan kontrol akses
• Kontrol pencegahan bawaan, seperti Assured Workloads
• Ketersediaan tinggi dengan cluster regional dan load balancer global
• Pencadangan bawaan dengan layanan yang skalabel
• Kemampuan otomatisasi menggunakan Infrastruktur sebagai Kode dan pengaman konfigurasi

Google Threat Intelligence, VirusTotal, dan Mandiant Digital Threat Monitoring melacak serta merespons berbagai jenis malware, termasuk ransomware, di seluruh infrastruktur dan produk Google. Google Threat Intelligence adalah tim peneliti ancaman yang mengembangkan threat intelligence untuk Google Cloud produk. VirusTotal adalah solusi database dan visualisasi malware yang menyediakan Anda pemahaman yang lebih baik tentang cara malware beroperasi di dalam perusahaan Anda. Mandiant Digital Threat Monitoring dan layanan Mandiant lainnya menyediakan dukungan riset ancaman, konsultasi, dan respons insiden.

Untuk informasi kontrol keamanan bawaan selengkapnya, lihat Ringkasan keamanan Google dan Ringkasan desain keamanan infrastruktur Google.

Kontrol keamanan dan ketahanan di Google Workspace, browser Chrome, dan Chromebook

Selain kontrol dalam Google Cloud, produk Google lainnya seperti Google Workspace, browser Google Chrome, dan Chromebook menyertakan kontrol keamanan yang dapat membantu melindungi organisasi Anda dari serangan ransomware. Contohnya, produk Google menyediakan kontrol keamanan yang memungkinkan pekerja jarak jauh mengakses resource dari mana saja, berdasarkan identitas dan konteks mereka (seperti lokasi atau alamat IP).

Seperti yang dijelaskan di bagian Urutan serangan ransomware email adalah vektor utama untuk banyak serangan ransomware. Email ini dapat dieksploitasi untuk melakukan phishing kredensial untuk akses jaringan yang bersifat menipu dan mendistribusikan biner ransomware secara langsung. Perlindungan lanjutan terhadap phishing dan malwaredi Gmail menyediakan kontrol untuk mengarantina email, melindungi dari jenis lampiran berbahaya, dan membantu melindungi pengguna dari email spoofing masuk. Sandbox Keamanan didesain untuk mendeteksi adanya malware yang sebelumnya tidak dikenal dalam lampiran.

Browser Chrome menyertakan Google Safe Browsing, yang didesain untuk menyediakan peringatan kepada pengguna saat mereka mencoba mengakses situs yang terinfeksi atau berbahaya. Sandbox dan isolasi situs membantu melindungi dari penyebaran kode berbahaya dalam berbagai proses pada tab yang sama. Perlindungan sandi didesain untuk menyediakan peringatan saat sandi perusahaan digunakan pada akun pribadi, dan memeriksa apakah ada sandi tersimpan pengguna yang telah disusupi melalui pelanggaran online. Dalam skenario ini, browser akan meminta pengguna untuk mengubah sandi mereka.

Fitur Chromebook berikut membantu melindungi dari serangan phishing dan ransomware:

• Sistem operasi hanya baca (Chrome OS): Sistem ini didesain untuk terus diupdate secara otomatis dan tidak terlihat. ChromeOS membantu memberikan perlindungan dari kerentanan terbaru dan menyertakan kontrol yang membantu memastikan bahwa aplikasi dan ekstensi tidak dapat mengubahnya.
• Sandboxing: Setiap aplikasi berjalan di lingkungan yang terisolasi, sehingga satu aplikasi berbahaya tidak dapat menginfeksi aplikasi lain dengan mudah.
• Booting terverifikasi: Selagi Chromebook melakukan booting, Chromebook didesain untuk memeriksa bahwa sistem belum diubah.
• Safe Browsing: Safe Browsing Chrome secara berkala mendownload daftar Safe Browsing terbaru dari situs yang tidak aman. Fitur ini didesain untuk memeriksa URL setiap situs yang dikunjungi pengguna dan memeriksa setiap file yang didownload pengguna berdasarkan daftar ini.
• Chip keamanan Google: Chip ini membantu melindungi sistem operasi dari sabotase berbahaya.

Untuk membantu mengurangi permukaan serangan organisasi Anda, pertimbangkan Chromebook untuk pengguna yang terutama bekerja menggunakan browser.

Praktik terbaik untuk memitigasi serangan ransomware di Google Cloud

Untuk melindungi resource dan data perusahaan Anda dari serangan ransomware, Anda harus menerapkan keamanan berlapis di seluruh jaringan lokal dan lingkungan cloud Anda.

Bagian berikut menjelaskan praktik terbaik untuk membantu organisasi Anda mengidentifikasi, mencegah, mendeteksi, dan merespons serangan ransomware di Google Cloud.

Mengidentifikasi risiko dan aset Anda

Pertimbangkan praktik terbaik berikut untuk mengidentifikasi risiko dan aset Anda di Google Cloud

• Pertahankan inventaris resource Anda di Google Cloud.
• Gunakan log audit.
• Gunakan simulasi jalur serangan di Security Command Center Premium untuk menilai profil risiko Anda saat ini.
• Pertimbangkan opsi asuransi cyber yang tersedia melalui Program Perlindungan Risiko.
• Aktifkan Sensitive Data Protection untuk pemeriksaan data.

Mengontrol akses ke resource dan data Anda

Pertimbangkan praktik terbaik berikut untuk membatasi akses ke Google Cloud resource dan data:

• Analisis dan sesuaikan izin Identity and Access Management (IAM) secara rutin.

• Gunakan Workload Identity Federation.

• Aktifkan autentikasi multi-faktor untuk semua Akun Google dan Cloud Identity pengguna.

• Aktifkan verifikasi dua langkah untuk akun super admin.

Untuk mengetahui praktik terbaik lainnya mengenai cara melindungi akun layanan, lihat Praktik terbaik untuk menggunakan akun layanan.

Melindungi data penting

Pertimbangkan praktik terbaik berikut untuk membantu melindungi data sensitif Anda:

• Konfigurasikan redundansi (N+2) pada opsi penyimpanan cloud yang Anda gunakan untuk menyimpan data. Jika Anda menggunakan Cloud Storage, pertimbangkan hal berikut:

  • Pastikan kebijakan retensi bucket Cloud Storage menggunakan Kunci Bucket.
  • Terapkan pembuatan versi untuk Cloud Storage bucket.

• Terapkan dan uji pencadangan database database.

• Terapkan strategi pencadangan dan pemulihan dari bencana (disaster recovery).

• Rotasi kunci akun layanan.

• Pantau aktivitas terkait kunci.

Mengamankan jaringan dan infrastruktur

Pertimbangkan praktik terbaik berikut untuk membantu mengamankan jaringan dan infrastruktur Anda:

• Gunakan Infrastruktur sebagai Kode untuk baseline yang aman.
• Aktifkan Kontrol Layanan VPC.
• Amankan koneksi hybrid menggunakan Cloud VPN atau Cloud Interconnect.
• Gunakan Cloud Load Balancing dengan aturan firewall.

• Terapkan kebijakan organisasi yang ketat seperti berikut:

  • Nonaktifkan akses root di notebook yang dikelola pengguna Agent Platform Workbench dan instance.
  • Batasi alamat IP publik Cloud SQL addresses.
  • Nonaktifkan akses port serial VM.
  • Aktifkan fitur Shielded VM.

Melindungi workload Anda

Pertimbangkan praktik terbaik berikut untuk membantu melindungi workload Anda:

• Integrasikan keamanan ke dalam setiap fase siklus proses pengembangan software Anda. Untuk workload Google Kubernetes Engine (GKE), terapkan keamanan supply chain software, termasuk build tepercaya dan isolasi aplikasi.
• Batasi traffic antar- pod.
• Gunakan Cloud Build dengan Pemindaian Sesuai Permintaan untuk melakukan pemindaian kerentanan sebelum commit kode.
• Konfigurasikan pemindaian kerentanan untuk artefak.
• Terapkan Otorisasi Biner.
• Gunakan kebijakan Google Cloud Armor.
• Pastikan cluster GKE selalu yang terbaru.

Mendeteksi serangan

Pertimbangkan praktik terbaik berikut untuk membantu Anda mendeteksi serangan:

• Gunakan Cloud Logging untuk mengelola dan menganalisis log dari layanan Anda di Google Cloud dan Cloud Monitoring untuk mengukur performa layanan dan resource Anda.
• Aktifkan Security Command Center di tingkat organisasi level.
• Untuk deteksi ancaman runtime workload VM dan container, gunakan Wiz Defend dengan Wiz Runtime Sensor untuk mendeteksi dan merespons ancaman aktif.
• Untuk analisis keamanan mendalam dan perburuan ancaman, lakukan integrasi dengan Google Security Operations.

Merencanakan insiden

• Selesaikan rencana kelangsungan bisnis dan pemulihan dari bencana (disaster recovery).

• Buat playbook respons insiden ransomware, dan lakukan Diskusi Simulasi Bencana (Tabletop Exercise). Latih prosedur pemulihan secara rutin untuk membantu memastikan kesiapan dan mengidentifikasi celah.

• Pahami kewajiban Anda untuk melaporkan serangan kepada pihak berwenang dan sertakan informasi kontak yang relevan dalam playbook Anda.

Merespons dan memulihkan dari serangan

Ketika Anda mendeteksi serangan ransomware, segera aktivasi rencana respons insiden Anda. Setelah Anda mengonfirmasi bahwa insiden tersebut bukan positif palsu (PP) dan memengaruhi Google Cloud layanan Anda, buka kasus dukungan P1. Dukungan Pelanggan Cloud merespons seperti yang didokumentasikan dalam Google Cloud: Panduan Layanan Dukungan Teknis.

Setelah mengaktivasi rencana Anda, kumpulkan tim dalam organisasi Anda yang perlu dilibatkan dalam proses koordinasi dan resolusi insiden. Pastikan bahwa alat dan proses ini tersedia untuk menyelidiki dan menyelesaikan insiden.

Ikuti rencana respons insiden Anda untuk menghapus ransomware dan memulihkan lingkungan Anda ke kondisi yang sehat. Tergantung pada tingkat parahnya serangan dan kontrol keamanan yang telah Anda aktifkan, rencana Anda dapat mencakup aktivitas seperti berikut ini:

• Mengarantina sistem yang terinfeksi.
• Memulihkan dari cadangan yang masih sehat.
• Mengembalikan infrastruktur Anda ke kondisi baik sebelumnya menggunakan pipeline CI/CD Anda.
• Memverifikasi bahwa kerentanan telah diperbaiki.
• Mem-patch semua sistem yang mungkin rentan terhadap serangan serupa.
• Menerapkan kontrol yang Anda perlukan untuk menghindari serangan serupa.

Seiring Anda melewati proses respons, terus pantau tiket dukungan Google Anda. Dukungan Pelanggan mengambil tindakan yang sesuai dalam Google Cloud untuk mengatasi, membasmi, dan (jika memungkinkan) memulihkan lingkungan Anda.

Beri tahu Dukungan Pelanggan saat insiden Anda telah teratasi dan lingkungan Anda telah dipulihkan. Jika ada agenda yang dijadwalkan, berpartisipasilah dalam retrospektif bersama dengan perwakilan Google Anda.

Pastikan bahwa Anda mengambil pelajaran yang dapat dipetik dari insiden tersebut, dan tetapkan kontrol yang Anda perlukan untuk menghindari serangan serupa. Bergantung pada sifat serangannya, Anda dapat mempertimbangkan tindakan berikut ini:

• Tulis aturan deteksi dan peringatan yang secara otomatis akan terpicu jika serangan terjadi lagi.
• Perbarui playbook respons insiden Anda untuk mencantumkan semua pelajaran yang diperoleh.
• Tingkatkan postur keamanan berdasarkan temuan retrospektif Anda.

Langkah berikutnya

• Hubungi konsultan Mandiant untuk mendapatkan penilaian pertahanan cyber.
• Tinjau katalog praktik terbaik keamanan untuk mengetahui praktik terbaik tambahan.
• Untuk informasi tentang bagaimana cara Google mengelola insiden, lihat Proses respons insiden data.