Best Practice to Fight against Ransomware

Transkript

1 Best Practice to Fight against Ransomware November/2018 Hugo Bosshard CIO Studerus AG, ZCNT Security 1

2 Agenda 01 Ransomware Introduction Something You Need to Know 03 5 Tips for Preventing Ransomware Prevention Tips 02 How USG Firewall stops Ransomware Firewall First Line of Defense 2

3 Ransomware keeps coming back Locky.diablo6 &.lukitus In one day (28 Aug) Cyren detected: 130 million malicious s 15K unique VBS Locky files.ykcol &.asasin Dridex & Jaff Aug 28 th 3

4 Ransom Case Schweiz 1 Die Homepage eines unserer Partner leitet Anfragen auf eine russische Phising Seite um. Beim Aufruf von findet ein 302 moved zu you-supertb-winner.to statt und von dort ein weiterer 302 nach game3342.tpj892.info Der Redirect erfolgt pro zugreifende öffentliche IP nur einmal. 4

5 Ransom Case Schweiz 1 Wir haben den Hoster informiert und die Domain bei uns in eine "Watchlist" genommen, so dass wir sehen, ob die Seite bereinigt wird oder nicht. Wir ordnen diese Art der Infektion der Verteilung eines Bankentrojaners (Qadars) zu. Dabei werden verwundbare CMS übernommen und ein kleines JavaScript für die Redirects platziert. In diesem Fall ist der Link: <script language=javascript src=/modules/mod_stats/stat820. php ></script> Bis die Seite effektiv bereinigt wurde und das CMS gepatcht war brauchte es 2 Wochen! 5

6 How USG Firewalls stops Ransomware First Line of Defense 6

7 Bedrohung infizierte Webseite Der User surft auf eine Ihm bekannte Webseite die infiziert wurde und die Verbindung auf einen Malware Server umleitet oder eine weitere Verbindung parallel initiiert, über die entsprechender Schadcode (Trojaner/Ransomware) auf das System geladen wird. 7

8 Bedrohung Malware/Phishing Mail 8

9 Internet Zugang mit GeoIP Schutz GeoEnforcer X X 9

10 Internet Zugang mit GeoIP Schutz 10

11 Web Threats GeoIP welche Länder? Source: KasperskyLab 11

12 Internet Zugang mit Content Filter Schutz Content Filtering X X 12

13 Internet Zugang mit Content Filter Schutz 13

14 Schutz mit AV/Anti-Spam Anti-Virus Kann Anti-Virus auf der Firewall uns vor Maleware schützen? Kann Anti-Spam auf der Firewall uns vor Phising Mails schützen? Anti-Spam 14

15 Problem Verschlüsselung für AV/AS (1) X X 15

16 Problem Verschlüsselung für AV/AS (2) SSL/TLS Encryption (START-TLS) SSL/TLS Encryption (HTTPS) 16

17 Problem Verschlüsselung für AV/AS (3) X Man in the Middle SSL Inspection Man in the Middle SSL Inspection X 17

18 Schutz mit AV auf der Firewall Kann Anti-Virus auf der Firewall uns vor Malware schützen? Durch die «kostenlosen» SSL Zertifikate ist es einfacher geworden, verschlüsselte Webseiten zu erstellen. Anti-Virus Der Schutz ohne weitere komplexe Massnahmen wie «Man in the Middle» (SSL Inspection) ist nur sehr eingeschränkt möglich. Der Anti-Virus Schutz direkt auf dem Client oder Server ist effizienter. 18

19 Schutz mit Anti-Spam auf der Firewall Kann Anti-Spam auf der Firewall uns vor Phising Mails schützen? 99% der Mailkommunikation erfolgt verschlüsselt. Ohne komplexere Massnahmen wie SSL Inspection oder separate Front-End Server to Mailserver Konzepte mit unverschlüsselter Verbindung durch die Firewall ist ein Scan nach SPAM/Phishing/Malware in Mails kaum mehr möglich. Anti-Spam Optionen wie Hosted Exchange mit entsprechendem Security Service sind effizienter. Die beste Anti-SPAM Option die auch bei verschlüsselten Verbindungen auf der Firewall ohne Aufwand wirksam ist wäre IP Reputation bei der die IP des Absender-Servers gegen eine SPAM Datenbank geprüft wird. 19

20 Übersicht «First line of Defense» UTM Dienst KnowHow Initial Aufwand Betriebs Aufwand KMU Einsatz GeoEnforcer Content Filtering niedrig niedrig niedrig niedrig niedrig niedrig Anti-Virus niedrig SSL: hoch niedrig SSL: hoch niedrig SSL: hoch Anti-Spam mittel SSL: hoch mittel SSL: hoch niedrig SSL: hoch 20

21 Übersicht «First line of Defense» UTM Dienst KnowHow Initial Aufwand Betriebs Aufwand KMU Einsatz Application Patrol Intrusion Detection and Prevention (IDP) hoch hoch mittel hoch hoch mittel Application Patrol kann das laden von Schadsoftware via Tor/Darknet unterbinden. IDP dient Primär zum Schutz von Servern/Applikationen die aus dem Internet zugänglich sind. 21

22 5 Tips for Preventing Ransomware 22

23 PREVENT, not REACT 23

24 Ransomware Prevention Tips 1/5 1. Security Gateway Provides Comprehensive Protection To maximize your protection against malware, including Ransomware. To stop threat at different points of your next environment. Content Filtering GeoEnforcer X X X 24

25 Ransomware Prevention Tips 2/5 2. Backup regularly and always keep a recent backup copy off-site. Always do a regular backup of your files and system OS and encrypt your backup. This way you don't have to worry about Ransomaware threat because you could easily restore your files or system OS back very soon. 25

26 Ransomware Prevention Tips 3/5 3. Patch, patch, patch Malware threat relies on software or application vulnerabilities (or bugs). When you apply security patches, you give the cybercriminals fewer options for infecting you with ransomware. 26

27 Ransomware Prevention Tips 4/5 4. Be very careful about opening unsolicited attachments or clicking unfamiliar web link 27

28 Ransomware Prevention Tips 5/5 5. User Anti-Virus software on every clients Install and keep anti-virus (AV) and personal firewall software up-to-date on your client devices. Always check downloaded files because AV software could help keeping your client device free of the most common malware. 28

29 Reminding Again Always remember to regularly perform system backup on your PCs, Servers In case the system is hit, it can be restored and perform seamlessly 29

30 30