Como prevenir o ransomware: um guia prático para as organizações

O ransomware é uma das ameaças mais perturbadoras que as organizações enfrentam atualmente. Um ataque bem-sucedido pode impedir-te de aceder aos teus próprios sistemas em poucos minutos, paralisar as operações durante dias ou semanas e deixar-te com a escolha entre pagar um resgate ou reconstruir tudo do zero. A boa notícia é que a maioria dos ataques de ransomware é evitável, não através de ferramentas de segurança sofisticadas, mas sim através da aplicação consistente de medidas que qualquer organização pode implementar. Este guia explica como prevenir o ransomware, quais são os passos mais eficazes e qual é o papel do fator humano nisto tudo.

O que é o ransomware? Uma breve recapitulação

O ransomware é um tipo de malware que encripta ficheiros ou sistemas e exige um pagamento, normalmente em criptomoeda, em troca da chave de desencriptação. Os ataques modernos de ransomware vão muitas vezes um passo além: os atacantes extraem dados antes de os encriptar e ameaçam publicá-los se o resgate não for pago, uma técnica conhecida como dupla extorsão.

O ransomware chega às organizações através de um número limitado de formas: e-mails de phishing que levam um colaborador a executar malware, exploração de vulnerabilidades sem correção, ligações de ambiente de trabalho remoto comprometidas e software ou componentes da cadeia de abastecimento infetados. Compreender os pontos de entrada é essencial para a prevenção; só podes bloquear aquilo que sabes que deves procurar.

Para uma explicação mais detalhada sobre como funciona o ransomware, consulta o nosso artigo sobre o significado e o funcionamento do ransomware.

Como prevenir o ransomware: a vertente técnica

A prevenção do ransomware começa por fechar as portas que os atacantes costumam usar. Estas medidas técnicas constituem a base; sem elas, por mais formação de sensibilização que haja, não é possível compensar a exposição:

• Mantém o software e os sistemas atualizados. A maioria dos ransomware aproveita-se de vulnerabilidades conhecidas para as quais já existem atualizações. Um processo consistente de gestão de atualizações, aplicado a servidores, terminais, equipamento de rede e aplicações de terceiros, elimina um dos pontos de entrada mais comuns.
• Ativa a autenticação multifator (MFA). As credenciais comprometidas são uma das principais vias de entrada do ransomware, especialmente através da área de trabalho remota (RDP) e do e-mail. Com a MFA, as palavras-passe roubadas, por si só, não são suficientes para obter acesso.
• Restringe o acesso remoto. Desativa o RDP sempre que não for necessário. Quando for necessário, usa uma VPN com MFA, restringe o acesso por intervalo de IP e fica atento a horários ou locais de início de sessão invulgares.
• Segmenta a tua rede. Se um ransomware conseguir entrar, a segmentação da rede limita a extensão da sua propagação. Os sistemas críticos e os dados sensíveis devem ser isolados das redes gerais do escritório.
• Mantém cópias de segurança offline ou imutáveis. Um ataque de ransomware que atinja o teu sistema de cópias de segurança anula o objetivo de o teres. As cópias de segurança devem ser armazenadas offline ou num formato imutável, testadas regularmente e mantidas separadas dos sistemas de produção.
• Implementa uma solução de deteção e resposta em terminais (EDR). As ferramentas EDR modernas detetam comportamentos semelhantes aos do ransomware, encriptação em massa de ficheiros e movimentação lateral, e conseguem travar um ataque em curso antes que este cause danos completos.
• Filtra os anexos e os links dos e-mails. Como o phishing é o principal método de distribuição de ransomware, as ferramentas de segurança de e-mail que analisam os anexos, bloqueiam links maliciosos e sinalizam remetentes suspeitos reduzem significativamente a superfície de ataque.

Prevenir o ransomware na tua organização: o que o ambiente de escritório acrescenta

Os controlos técnicos abrangem sistemas e software. Mas um ambiente de escritório traz fatores de risco adicionais que vão além da infraestrutura de TI: dispositivos partilhados, acesso de visitantes à rede, dispositivos pessoais ligados à rede Wi-Fi do trabalho, pen drives trazidos de fora e colaboradores sob pressão de tempo que tomam decisões rápidas sem parar para verificar.

Prevenir o ransomware num contexto de escritório ou empresarial significa estabelecer políticas claras em torno destes fatores de risco e garantir que os colaboradores compreendem por que razão existem:

• Separação da rede de visitantes. Os visitantes e os dispositivos pessoais nunca devem estar no mesmo segmento de rede que os sistemas e os dados da empresa.
• Política relativa a dispositivos USB e suportes removíveis. As pen drives infetadas continuam a ser um vetor real de ransomware, especialmente em ambientes de produção e logística. Uma política que restrinja ou bloqueie a utilização de dispositivos USB nos equipamentos de trabalho elimina este canal.
• Procedimentos de escalonamento claros. Os colaboradores que suspeitem que algo está errado — um e-mail estranho, um pop-up inesperado, um sistema a comportar-se de forma estranha — precisam de saber exatamente a quem recorrer e que isso é encorajado, não punido. A comunicação atempada pode impedir um incidente antes que se transforme num ataque em grande escala.
• Análise do acesso de fornecedores e terceiros. Muitos ataques de ransomware ocorrem através de um fornecedor ou prestador de serviços geridos com acesso privilegiado aos sistemas do alvo. Verifica quem tem acesso externo, restringe-o ao estritamente necessário e exige que os fornecedores cumpram normas mínimas de segurança.

O ransomware não faz distinção quanto ao tamanho das organizações. As pequenas empresas e os pequenos escritórios são frequentemente alvo de ataques precisamente porque se parte do princípio de que têm menos medidas de segurança, e essa suposição costuma estar correta.

O fator humano: por que é que a formação em sensibilização para a segurança é essencial para a prevenção do ransomware

Os controlos técnicos reduzem a superfície de ataque, mas não conseguem eliminar o risco humano. O phishing é o principal método de distribuição de ransomware, e o phishing tem sucesso não porque os filtros técnicos falhem, mas porque uma pessoa toma uma decisão num momento de distração, pressão de tempo ou confiança mal depositada.

Um colaborador que abre um anexo malicioso, introduz as suas credenciais numa página de login falsa ou liga de volta para uma «equipa de segurança do banco» não é estúpido. Está apenas a fazer o que qualquer pessoa faz quando age com base em informações incompletas e sob pressão. A questão é como ensinar as pessoas a reconhecer os padrões para que parem para pensar e verifiquem antes de agir, e isso só se consegue com a prática.

A formação em sensibilização para a segurança desenvolve essa prática através de sessões curtas e regulares e de simulações realistas de phishing. Os colaboradores que já viram um e-mail de phishing convincente numa simulação estão mais bem preparados para o identificar na vida real. As organizações que implementam programas de sensibilização contínuos registam consistentemente taxas de cliques em phishing mais baixas, o que se traduz diretamente em menos pontos de entrada para o ransomware.

A formação em sensibilização também muda o que acontece depois de um e-mail suspeito chegar. Os colaboradores que receberam formação são mais propensos a comunicar o caso do que a clicar no link. Essa mudança, de alvo passivo para comunicador ativo, é uma das reduções de risco mais significativas que uma organização pode conseguir, a um custo relativamente baixo e sem necessidade de infraestrutura adicional.

Lista de verificação para a prevenção de ransomware: em que ponto está a tua organização?

Usa esta lista de verificação para avaliar até que ponto a tua organização está atualmente protegida contra um ataque de ransomware:

• Todos os sistemas operativos, aplicações e firmware recebem as atualizações de segurança dentro de um prazo definido
• A autenticação MFA está ativada no e-mail, no acesso remoto e nos sistemas críticos
• O RDP está desativado ou protegido por uma VPN com MFA
• Existem cópias de segurança offline ou imutáveis, que são testadas regularmente
• A segmentação da rede separa os sistemas críticos das redes gerais do escritório
• O EDR ou um sistema equivalente está instalado em todos os terminais
• A filtragem de e-mails está configurada para bloquear anexos e links maliciosos
• Os colaboradores participam regularmente em simulações de phishing e em formações de sensibilização para a segurança
• Existe um processo claro de escalamento e comunicação de incidentes, que é do conhecimento de todo o pessoal
• O acesso de terceiros e fornecedores é analisado e limitado ao estritamente necessário

Se faltarem ou não estiverem claras mais de duas ou três destas medidas, a tua organização está significativamente exposta a um ataque de ransomware, mas essas lacunas podem ser resolvidas.