Ransomware: In 5 Schritten zur Notfall-Strategie

In den letzten Monaten sahen sich weltweit zahlreiche Unternehmen Ransomware-Attacken und einem folgenden Notfall ausgesetzt, die sogar vor namhaften IT-Firmen nicht Halt gemacht haben. Spezialisten haben diese Entwicklung bereits vorausgesagt, da viele Unternehmen aufgrund der Lockdowns unvorbereitet zu Cloud-Anwendungen gewechselt sind.

Das bietet ein leichtes Einfallstor für Cyberkriminelle, die Daten abgreifen, verschlüsseln und nur gegen ein Lösegeld freigeben. In der 5-Schritte Anleitung von Commvault können sich Unternehmen schnell und einfach eine Notfall-Strategie gegen Ransomware-Attacken aufbauen:

1. Einen Plan erstellen

Ein durchdachter und effektiver Plan für den Ernstfall ist die elementare Grundlage für eine möglichst schnelle Wiederaufnahme des täglichen Betriebs. Für die Entwicklung einer Disaster-Recovery-Strategie ist es an erster Stelle wichtig, kritische Anwendungen und Daten zu identifizieren. Dann können sich IT-Verantwortliche auf diejenigen Daten konzentrieren, die im Falle eines Verlusts zuerst wiederhergestellt werden müssen. Anschließend sollten die Ziele für die Wiederherstellungszeit festgelegt werden, also wie weit eine Wiederherstellung zurückreichen sollte und wie schnell diese möglich ist.

2. Mögliche Angriffe verhindern

Jeder Angriff, der verhindert werden kann, spart Zeit und Geld. Eine geschärfte Wachsamkeit und geschulte Mitarbeiter sind elementar. Denn ein Großteil der Malware gelangt durch User-Aktionen, per E-Mail oder über Links und Anhänge ins Firmennetzwerk. Um dies zu verhindern, sollte stets überprüft werden, ob es sich beim Absender um eine vertrauenswürdige Quelle handelt. Zudem sollte Software nur von legitimen Anbietern heruntergeladen und vor dem Anklicken auf Malware gescannt werden. Allein diese leicht umsetzbaren Maßnahmen können viele Angriffe verhindern. Auch die IT-Abteilung muss verantwortungsbewusst handeln. Updates und Patches sollten unbedingt rechtzeitig eingespielt werden, sowie privilegierte Accounts besonders abgesichert sein. Eine Möglichkeit hierzu ist die Multifaktor-Authentifzierung. Denn oft nutzen erfolgreiche Angriffe Schwachstellen, für die bereits Patches zur Verfügung gestanden hätten.

3. Die Umgebung überwachen

Server sollten regelmäßig nach Anomalien, wie ungewöhnliches Filesystem-Verhalten, durchsucht werden. Hierfür werden aktuelle Daten mit historischen verglichen, um den Unterschied zwischen legitimen Aktivitäten und Anzeichen für potenzielle Probleme zu erkennen. Sogenannte „Honeypot files“, also für Ransomware besonders attraktive Dateien, werden als Köder über die gesamte Infrastruktur hinweg ausgelegt. So kann oftmals Ransomware enttarnt werden, bevor echte, geschäftskritische Dateien angegriffen und verschlüsselt werden.

4. Daten schnell wiederherstellen

Sollte ein Ransomware-Angriff Erfolg haben, ist es entscheidend, die Angriffsfläche zu reduzieren. Hier greift die Disaster Recovery: Es gilt, angegriffene Bereiche zu isolieren, zum Beispiel durch ein automatisches Ausschalten betroffener virtueller Maschinen, sobald ein Angriff auf diesen festgestellt wurde. Dies kann je nach Angriffsart dazu führen, dass sich die Schadsoftware nicht verbreiten kann. Anschließend müssen die Daten möglichst schnell wiederhergestellt werden, um so die Auswirkungen des Angriffes weiter zu reduzieren. Besonders relevant ist es, die intakten Kopien der Daten wieder schnell verfügbar zu machen, um den normalen Geschäftsbetrieb sicherzustellen. Hier unterstützen Technologien die gesicherte Daten ohne langwierigen Restore-Prozess direkt aus dem Backup für die Nutzer bereitstellen.

5. Den Plan testen

Ist der Plan ausgearbeitet und entsprechende Technologien zu seiner Umsetzung implementiert, sollte regelmäßig getestet werden, ob er auch funktioniert wie geplant und gewünscht, zum Beispiel mit Hilfe einer virtuellen Testumgebung. Hierfür sollte das eingesetzte Backuptool ermöglichen, Virtuelle Maschinen (VM) direkt aus dem Backup heraus in einem gesonderten Netzwerk zu starten. Zudem sollte es die in den VMs laufenden Anwendungen überprüfen können. So muss für den Test der Wiederherstellbarkeit kein langwieriger Restore-Prozess stattfinden. Denn egal wie gut ein Disaster-Recovery-Plan auf dem Papier konzipiert ist, so muss er immer wieder getestet werden, um für den Ernstfall bereit zu sein.

Passende Artikel zum Thema