แรนซัมแวร์ (ransomware คือมัลแวร์ที่เข้ารหัสข้อมูลแล้วเรียกค่าไถ่) ยังเป็นภัยที่สร้างความเสียหายให้องค์กรมากที่สุดเรื่องหนึ่ง แต่การป้องกันส่วนใหญ่เริ่มได้จากพื้นฐานที่ลงมือทำได้ทันที
1. สำรองข้อมูลแบบ 3-2-1
เก็บข้อมูลให้ครบ 3 สำเนา บนสื่อเก็บข้อมูล 2 ประเภทที่ต่างกัน และอย่างน้อย 1 สำเนาต้องแยกออกจากเครือข่าย คือเก็บแบบออฟไลน์ (offline) หรือแบบ immutable (แก้ไขหรือลบไม่ได้) เหตุผลคือแรนซัมแวร์มักเข้ารหัสหรือลบข้อมูลสำรองที่เชื่อมต่ออยู่กับเครือข่ายไปด้วย
2. เปิดการยืนยันตัวตนหลายขั้น (MFA) ให้ทุกบัญชีสำคัญ
MFA คือการให้ผู้ใช้พิสูจน์ตัวตนมากกว่ารหัสผ่านอย่างเดียว ควรเริ่มจากอีเมล VPN (การเชื่อมต่อเข้าเครือข่ายองค์กรจากภายนอก) และบัญชีผู้ดูแลระบบ เพราะการขโมยรหัสผ่านเป็นทางเข้าที่พบบ่อย ถ้าสงสัยว่าควรเลือก MFA แบบไหน อ่านที่ MFA แบบไหนปลอดภัยกว่ากัน
3. อัปเดตแพตช์ (ตัวแก้ช่องโหว่) ระบบที่เปิดสู่อินเทอร์เน็ตก่อน
เริ่มจาก VPN, firewall, ระบบ remote access และเว็บเซิร์ฟเวอร์ เพราะเป็นระบบที่คนภายนอกเข้าถึงได้โดยตรง ช่องโหว่ที่กำลังถูกโจมตีจริงให้ทำก่อนช่องโหว่อื่น
4. จำกัดสิทธิ์ผู้ใช้ให้เท่าที่จำเป็น
- ผู้ใช้ทั่วไปไม่ควรเป็น local admin (ผู้ดูแลเครื่องของตัวเอง ที่ติดตั้งโปรแกรมหรือเปลี่ยนค่าระบบได้)
- แยกบัญชีผู้ดูแลระบบออกจากบัญชีที่ใช้ทำงานประจำวัน
- แบ่งส่วนเครือข่าย (segmentation) เพื่อไม่ให้การโจมตีลามไปทั่วทั้งระบบ
5. ซ้อมแผนรับมือเหตุการณ์
ก่อนเกิดเหตุ ควรตกลงกันไว้ว่าใครเป็นผู้ตัดสินใจ ใครติดต่อใคร และจะแยกระบบที่ติดเชื้อออกจากเครือข่ายอย่างไร การซ้อมแผนสั้น ๆ ปีละครั้งช่วยลดเวลาตอบสนองได้มาก
การจำกัดสิทธิ์และการแบ่งส่วนเครือข่ายอย่างเป็นระบบ เป็นส่วนหนึ่งของแนวคิด Zero Trust (แนวคิดที่ไม่เชื่อใจใครโดยอัตโนมัติ ต้องตรวจสอบทุกครั้ง) ซึ่งกว้างกว่านี้ อ่านต่อที่ Zero Trust คืออะไร และองค์กรควรเริ่มตรงไหน
การตรวจจับและตอบสนองให้เร็วขึ้นต้องอาศัยเครื่องมือที่เหมาะสม ได้แก่ SIEM (ระบบรวบรวมและวิเคราะห์ log จากหลายแหล่ง) SOAR (ระบบสั่งงานตอบสนองเหตุการณ์อัตโนมัติ) และ XDR (ระบบตรวจจับและตอบสนองที่รวมข้อมูลจากหลายจุด) ดูการเปรียบเทียบได้ที่ SIEM + SOAR กับ XDR: ข้อดี ข้อจำกัด และคำแนะนำ
หลังวางแผนแล้ว ควรฝึกซ้อมจริงด้วย tabletop (การซ้อมบนโต๊ะ โดยสมมติเหตุการณ์แล้วไล่ตัดสินใจตามแผน) และการจำลองการโจมตี ดูวิธีเริ่มที่ Network & Cyber Security Simulator: ประเภทและการใช้งาน
การจับบัญชีที่ถูกยึดและการยกระดับสิทธิ์ (privilege escalation คือผู้โจมตีหาสิทธิ์สูงกว่าบัญชีที่ยึดมาได้) ให้ได้ตั้งแต่ต้น เป็นอีกด้านหนึ่งของการรับมือแรนซัมแวร์ อ่านเพิ่มที่ ITDR: ตรวจจับและตอบสนองการโจมตีที่เล็งตัวตน
วิธีทำจริงของข้อ "แบ่งส่วนเครือข่าย" อยู่ที่ Network Segmentation และ Micro-segmentation: เริ่มโดยไม่ทำระบบล่ม
การจำกัดว่าใครถือสิทธิ์แอดมินและถือได้เมื่อใด ช่วยลดความเสียหายที่ทำได้ด้วยรหัสผ่านที่ถูกขโมย แนวทางนี้เรียกว่า PAM (การควบคุมสิทธิ์ระดับผู้ดูแลระบบ) อ่านต่อใน PAM คืออะไร และทำไมต้องควบคุมสิทธิ์ผู้ดูแลระบบ
การยืนยันตัวตนแบบต้านฟิชชิง (phishing-resistant) ช่วยลดความเสี่ยงจากข้อมูลรับรองการเข้าใช้ (credential) ที่ถูกขโมย วางแผนนำ Passkeys (การ login ด้วยกุญแจดิจิทัลแทนรหัสผ่าน) ไปใช้ทีละเฟสได้ใน วิธีนำ Passkeys ไปใช้ในองค์กรทีละขั้น
ข้อ 1 กล่าวถึงกฎ 3-2-1 ส่วนวิธีเพิ่มสำเนาที่ผู้โจมตีลบไม่ได้และทดสอบกู้คืนให้มั่นใจ อ่านต่อใน กลยุทธ์ Backup 3-2-1-1-0 และ Immutable Backup
การตรวจจับที่เครื่องผู้ใช้และการมีคนเฝ้าดูนอกเวลางานช่วยให้รับมือแรนซัมแวร์ได้เร็วขึ้น ดู EDR, XDR และ MDR ต่างกันอย่างไร
ฟิชชิงทางอีเมลเป็นช่องทางหนึ่งที่ผู้โจมตีใช้ขโมยรหัสผ่านและลงมัลแวร์ ดูวิธีป้องกันทางเข้าทางอีเมลหลายชั้นใน Email Security: ป้องกันฟิชชิงและ BEC หลายชั้น
การแพตช์ระบบที่เชื่อมต่ออินเทอร์เน็ตก่อนต้องมีแผนรองรับ เรื่องวิธีวางแผนและลดผลกระทบต่อระบบ ดู Patch Management: ทำอย่างไรให้ทันและไม่ทำระบบล่ม
ข้อ 5 กล่าวถึงการซ้อมแผนรับมือ ส่วนการตั้งเป้าหมายเวลากู้คืนด้วย RTO และ RPO พร้อมตัวอย่างคำนวณ อ่านต่อใน แผนกู้คืนหลังโดนแรนซัมแวร์: RTO, RPO และการซ้อม
การเลือก patch ระบบที่เปิดสู่อินเทอร์เน็ตและช่องโหว่ที่ถูกโจมตีจริงก่อน เป็นส่วนหนึ่งของงานที่ทำเป็นระบบได้ ดู โปรแกรม Vulnerability Management ที่ใช้ได้จริง
มาตรการพื้นฐานช่วยลดโอกาสเกิดเหตุ แต่เมื่อเกิดขึ้นจริงองค์กรต้องมีแผน ดู แผนรับมือเหตุการณ์ตาม NIST SP 800-61 Rev. 3
ถ้าเกิดเหตุแรนซัมแวร์แล้ว การเก็บหลักฐานให้ถูกวิธีช่วยการสอบสวนภายหลัง ดู Digital Forensics เบื้องต้น: เก็บหลักฐานอย่างไรไม่ให้เสีย
แหล่งอ้างอิงและข้อมูลเพิ่มเติม
- CISA #StopRansomware: แนวทางและแหล่งข้อมูลจาก CISA (หน่วยงานความมั่นคงปลอดภัยไซเบอร์ของสหรัฐฯ) สำหรับป้องกันและรับมือแรนซัมแวร์