0 
0 As sanções lideradas pelos EUA à Rússia por sua invasão da Ucrânia no início desta semana provocaram uma preocupação considerável com ataques cibernéticos retaliatórios e de repercussão da região contra organizações dos EUA e aqueles baseados em outras nações aliadas.
Muitos esperam que os ataques executem a gama de campanhas destrutivas envolvendo o uso de limpadores de disco e ransomware, até ataques de negação de serviço distribuídos, phishing, desinformação, desinformação e campanhas de influência. Especialistas em segurança esperam que alguns dos ataques sejam alvos e executados por ameaças russas apoiadas pelo Estado. Outros provavelmente serão lançados por atores simpatizantes aos interesses russos, e outros provavelmente apenas transbordarão da Ucrânia e causarão danos colaterais da mesma forma que o malware NotPetya fez há alguns anos.
Aqui estão sete medidas que especialistas em segurança dizem que as organizações precisam tomar agora para estar preparadas para esses ataques. A maioria dos conselhos inclui medidas que as organizações já deveriam ter em vigor. Mas se não o fizerem, agora é uma boa hora para implementá-los, dizem os especialistas.
1. Avalie sua exposição: nem todos enfrentam os mesmos riscos
Chester Wisniewski, principal cientista de pesquisa da Sophos, diz que a exposição que as organizações enfrentam aos ataques cibernéticos russos varia significativamente.
As empresas que fizeram ou estão fazendo negócios na Ucrânia devem esperar o pior e garantir que todos os seus controles de segurança estejam o mais atualizados possível. O monitoramento do abuso de credenciais é especialmente fundamental. “Você deve esperar que as comunicações não sejam confiáveis e tenham planos de backup para como se comunicar por outros meios se você pretende continuar operando durante o conflito”, diz Wisniewski.
A Agência de Segurança cibernética e infraestrutura dos EUA recomendou que as organizações que trabalham com contrapartes ucranianas tomem cuidado especial para “monitorar, inspecionar e isolar o tráfego dessas organizações” e revisar os controles de acesso para esse tráfego. O conselho é um em uma longa lista de dicas que a CISA reuniu em um documento chamado Shields Up.
Há uma chance razoável de organizações que fazem negócios na região, mas não especificamente a Ucrânia — como Polônia, Romênia, Estônia, Letônia, Lituânia ou Moldávia — se tornarem vítimas de danos colaterais causados por ataques projetados para impactar a Ucrânia. Wisniewski aponta para indicadores que Sophos observou quinta-feira de uma ferramenta de malware de limpeza de disco chamada HermeticWiper impactando algumas localidades contratadas na Letônia e lituânia, embora tenha sido direcionada a entidades ucranianas.
“Não espero que a Rússia tenha como alvo diretamente os membros da OTAN, mas vimos consequências semelhantes dos ataques do NotPetya, que tinham a intenção de impactar principalmente a Ucrânia”, diz Wisniewski.
Organizações sem conexão com a região correm o risco de se tornarem vítimas de atores independentes de ameaças baseados na Rússia que procuram causar danos ao ocidente e inimigos percebidos do Estado russo. “Estávamos preocupados com esse resultado antes do início do conflito e notamos que o grupo de ransomware Conti saiu e declarou seu ‘apoio total ao governo russo'”, diz Wisniewski.
2. Minimize sua superfície de ataque
As organizações devem validar sua postura de segurança procurando fronteiras de rede expostas/DMZ usando ferramentas como search.censys.io e shodan.io, diz Matthew Warner, CTO e co-fundador da Blumira.
É uma boa ideia também implantar a Sysmon dentro do ambiente, diz Warner. “O Sysmon pode fornecer ampla visibilidade em todo o seu ambiente que você não obterá com o registro padrão do Windows. Nesse sentido, ele essencialmente imita o que o EDR está tentando fazer”, diz ele. No entanto, as organizações muitas vezes podem obter boa fidelidade e detecções olhando os dados do Sysmon. “Muitas vezes, o Sysmon detecta comportamentos mesmo antes de uma ferramenta de detecção e resposta (EDR) final”, diz Warner.
Monitore o tráfego de saída em busca de sinais de malware na rede chamando para um destino de comando e controle. Embora o malware do estado-nação possa ser extremamente difícil de detectar, na maioria dos casos o malware tem que se comunicar de alguma forma, disse BreachRX.
Uma semana antes da invasão russa da Ucrânia, a Agência de Segurança Nacional emitiu um aviso sobre a necessidade de as organizações usarem tipos fortes de senha para proteger credenciais em arquivos de configuração de dispositivos em roteadores Cisco.
“O aumento do número de compromissos de infraestruturas de rede nos últimos anos é um lembrete de que a autenticação para dispositivos de rede é uma consideração importante”, observou a NSA, sem fazer qualquer referência aos ataques russos ou ao conflito atual na Ucrânia.
3. Execute o Básico
Os APTs russos seguem cartilhas semelhantes a outros grupos altamente eficazes, diz Warner. Suas técnicas, táticas e procedimentos (TTPs) não são segredos, observa. Também é significativo que muitos dos ataques cibernéticos relatados na Ucrânia – como aqueles que envolvem malware de limpeza de discos como o HermeticWiper – tenham envolvido sistemas aos quais os atacantes parecem já ter tido acesso anteriormente.
Assim, preparar-se para essas ameaças requer prestar atenção ao básico de segurança — como sempre faz. “Infelizmente, o conselho não varia do normal em torno do patching, usando autenticação multifatorial, etc.”, diz Wisniewski. “Os backups provavelmente são mais críticos do que nunca, considerando que vimos mais atividades de eliminadores recentemente, mesmo por gangues de ransomware como Conti, que podem optar por limpar seu ambiente se você não pagar, como vingança.”
A Warner recomenda que as organizações prestem atenção aos seus ambientes Windows, por exemplo, permitindo mfa em Microsoft 365, G Workplace, Okta e outros ambientes semelhantes; desativação da autenticação herdativa; e bloqueando macros de execução em ambientes Microsoft Office.
Certifique-se de que seus roteadores sejam atualizados, tenha uma senha segura e não exponha a interface administrativa ao mundo, diz Johannes Ullrich, reitor do Instituto de Tecnologia SANS.
“Também é um bom momento para entidades que acreditam que podem ser alvo para agir como se já tivessem sido violadas de alguma forma ou moda”, diz Casey Ellis, fundador e CTO da Bugcrowd. Mesmo que seja só um exercício de mesa, faça. E garantir que os planos de detecção de intrusos e resposta a incidentes estejam atualizados, diz Ellis.
A CISA recomendou que as organizações designem uma equipe de resposta a crises com principais pontos de contato no caso de um incidente de cibersegurança ou suspeita de incidente.
4. Observe essas conexões VPN B2B
Um grande risco que as organizações enfrentam é se tornar vítima de danos colaterais dos ataques cibernéticos na Ucrânia. Um exemplo é o surto de NotPetya de 2017 que começou como ataques russos contra a Ucrânia, mas acabou impactando milhares de organizações em todo o mundo. “As conexões VPN B2B que não são filtradas por controles de segurança, como regras de firewall, são os caminhos mais prováveis para esse derramamento”, diz John Pescatore, diretor de tendências emergentes de segurança do Instituto SANS, que estabeleceu um centro de recursos para ajudar as organizações a navegar em potenciais ameaças cibernéticas relacionadas à Ucrânia. A SANS recomenda que as organizações encontrem imediatamente todas as conexões B2B VPN no ambiente e tomem medidas para evitar que sejam um ponto de entrada inicial para os atacantes, diz ele.
Os conselhos da SANS para VPNs B2B incluem bloquear protocolos de alto risco em todos eles ou limitar destinos de tráfego para protocolos de alto risco se os requisitos comerciais não permitirem qualquer bloqueio de protocolo em VPNs B2B. Também recomenda o monitoramento de fluxo de rede em todos os pontos de saída B2B VPN e ter planos de desligá-los com pressa se algo acontecer.
“Pelo menos certifique-se de que os protocolos perigosos conhecidos sejam bloqueados e, idealmente, que apenas os mínimos necessários sejam permitidos portos, protocolos e aplicativos”, diz Pescatore.
5. Comunicar
Há apenas muito que as organizações serão capazes de fazer por meio da implementação de controles de segurança que eles ainda não têm para se preparar para potenciais ataques cibernéticos relacionados à Ucrânia. Assim, alertar os funcionários sobre a probabilidade de ataques avançados de phishing, campanhas de desinformação e tentativas de invasores cibernéticos russos de comprometer sistemas corporativos é fundamental para reduzir a exposição a esses vetores. “Notifique todos os funcionários para estarem mais conscientes e cautelosos e que informem quaisquer e-mails ou arquivos o mais rápido possível”, diz Warner.
“Envie um lembrete para toda a sua empresa sobre como as pessoas são o vetor de ataque mais provável”, disse a BrightRX em um blog sobre como as organizações devem se preparar para potenciais ataques. “Por exemplo, lembre-os de ataques de phishing e diga-lhes para relatar atividades incomuns.”
As equipes de segurança devem verificar conexões executivas ou comunicações sobre temas politicamente sensíveis — como postagens de mídia social críticas à Rússia. “Você pode ser um alvo por causa dessas opiniões e não por causa do seu negócio”, disse BrightRX. Considere também colocar uma cartilha privilegiada no lugar para resolver possíveis problemas de segurança de insiders maliciosos, disse a empresa de resposta e prontidão de incidentes.
6. Minimizar as mudanças
A TI deve minimizar as mudanças e investigar todos os novos softwares/executáveis, novas contas estabelecidas e contas com altos privilégios no ambiente, diz Pescatore. Além disso, ele recomenda o aumento do uso de autenticação forte, especialmente em contas privilegiadas, e o aumento do controle de mudanças e monitoramento de mudanças.
“Se esse conflito lhe dá atenção da gestão, faça ganhos na higiene básica da segurança, mesmo que temporária”, aconselha Pescatore.
7. Organizações de alto risco devem considerar uma adesão ao ISAC
Organizações dos setores de petróleo, gás natural e eletricidade estão em alto risco de ataques focados em interromper o fluxo de petróleo, gás e eletricidade confiável, disse o Grupo ABS nesta semana. Os líderes de negócios e tecnologia nesses setores devem se envolver com suas equipes de tecnologia da informação (TI) e tecnologia operacional (OT) para garantir a adesão em seus centros de análise e compartilhamento de informações do setor apropriados (ISAC), disse o Grupo ABS. Os ISACs são projetados para ajudar os operadores de infraestrutura crítica a manter-se a par de ameaças cibernéticas específicas do setor e como se preparar, defendê-las e atenuá-las.
O ABS Group também recomendou que as organizações desses setores pratiquem procedimentos de resposta e reportem imediatamente todas as tentativas ou confirmações de invasões cibernéticas ao seu respectivo ISAC, chefe de segurança da organização e Departamento de Energia (DOE) ou ao Federal Bureau of Investigation (FBI).
Muitas organizações provavelmente se percebem como sendo de baixo risco de ataques cibernéticos russos. Mas, embora possa ser verdade que eles não são alvos específicos, eles são tão propensos quanto outros a serem pegos em ataques oportunistas por atores de ameaça simpatizantes da Rússia ou se tornam vítimas de danos colaterais como foi o caso do NotPetya.
É por isso que é uma boa ideia para todas as organizações revisarem e reforçarem sua postura de segurança, disseram especialistas em segurança.
FONTE: DARK READING