Experterna listar åtgärder mot ransomware

Så kan företag minska risken effektivt

Här är de viktigaste stegen en verksamhet behöver ta för att minska risken för att drabbas av en ransomware-attack, enligt ny forskning från Cisco Talos.

Cisco Talos, som är Ciscos organisation för cyberhotanalys och forskning, har gått igenom en stor mängd incidenter som kan beskrivas som ”förberedande ransomwareattacker”. Forskarna har sedan granskat vilka försvarsåtgärder som bidrog till att attacken inte kunde genomföras fullt ut, samt vilka indikationer som kan upptäckas tidigt för att säkerhetsansvariga ska kunna agera snabbt och resolut.

I nästan alla verksamheter idag finns åtminstone en grundläggande säkerhetsstruktur som innebär att det inte räcker med att klicka på en länk i jobbmejlen för att infektera först sin egen enhet och sedan flera delar av organisationen med ransomware. Därför börjar en ransomware-attack långt tidigare, med att de kriminella aktörerna skaffar sig tillgång till infrastrukturen för att kunna manipulera den. Det är dessa förberedande attacker som undersökts.

Av de angrepp som stoppats var huvudorsaken i 32 procent av incidenterna att organisationen snabbt och effektivt slog larm till sin säkerhetspartner. Det innebar att man hade större möjligheter att spåra attacken steg för steg och förutsäga vad angriparna skulle försöka med härnäst. I de granskade fallen bidrog Cisco Talos både med expertis och XDR-verktyg för detaljerad övervakning och för att rensa systemet av alla spår av angriparen.

32 procent av attackförsöken, nästan en tredjedel, förhindrades i första hand genom att spårningsverktyg (EDR/MDR) snabbt kunde slå larm om det misstänkta beteendet. Det gjorde att säkerhetsansvariga snabbt kunde isolera hotet från att få tillgång till resten av infrastrukturen. Det rörde sig såväl om aktivitet som IT-organisationen på förhand hade kategoriserat som misstänkt, och andra ovanliga händelser – exempelvis att nya administratörskonton skapades, manipulationsförsök av MFA-verktyg eller inloggningsförsök till sedan tidigare blockerade domäner.

14 procent av angreppen förhindrades genom varningar från myndigheter eller andra säkerhetspartners om misstänkt aktivitet.

13 procent förhindrades i första hand av säkerhetslösningar som var konfigurerade att automatiskt blockera misstänkta aktiviteter och försätta enheterna i karantän. Här är finns en viktig skillnad mellan stoppade attacker och genomförda attacker – många av dessa lösningar används endast passivt, där de slår larm men inte kan agera utan mänsklig handpåläggning.

Nio procent av angreppen stoppades i första hand av verksamhetens egna restriktioner och policies, exempelvis att nyskapade konton inte kunde få tillgång till kritiska systemunktioner.

Bland de attackmetoder som kartlades var de vanligaste angreppssätten extrena tjänster och mjukvara för fjärråtkomst, följt av lösenordsstölder och nätfiskeförsök. Dessa fyra angrepp stod för nästan 44 procent av det totala antalet attacker.

De råd som Cisco Talos ger utifrån analysen för att stärka försvaret mot intrång är:
• Håll alltid alla operativsystem och programvaruuppdateringar uppdaterade.
• Spara säkerhetskopior offline.
• Konfigurera säkerhetslösningar så att endast beprövade, godartade applikationer kan startas, och förhindra installation av oväntad programvara.
• Kräv flerfaktorsautentisering, MFA, på alla kritiska tjänster, inklusive fjärråtkomst och identitetshanteringstjänster.
• Använd Windows-tjänsten Sysmon för systemövervakning, förbättrad synlighet och loggning av slutpunkter.
• Implementera strikta brandväggsregler för både inkommande och utgående trafik för att blockera oönskade protokoll från att kunna användas av angripare.
• Segmentera nätverket försvåra att angripare kan förflytta sig i sidled och minska attackytan, vilket säkerställer att exempelvis domäncontrollers inte ansluter direkt till internet för funktioner där det inte är nödvändigt.
• Investera löpande i cybersäkerhetsutbildning för användare om social ingenjörskonst, som täcker även nya och snabbväxande typer av attackmetoder, exempelvis MFA-utmattningsattacker.

2025-10-06 - Industritorget