บทนำ
แรนซัมแวร์เป็นหนึ่งในภัยคุกคามทางไซเบอร์ที่สร้างความเสียหายมากที่สุด โดยเข้ารหัสข้อมูลสำคัญขององค์กรและเรียกค่าไถ่เพื่อกู้คืนข้อมูล แม้ว่าแคมเปญในช่วงแรกจะอาศัยการฟิชชิ่งจำนวนมากหรือการแพร่กระจายมัลแวร์ฉวยโอกาส แต่ปฏิบัติการแรนซัมแวร์สมัยใหม่ได้พัฒนาไปสู่การโจมตีแบบเจาะจงเป้าหมายที่ซับซ้อนมากขึ้น ศัตรูในปัจจุบันไม่เพียงแต่โจมตีเครื่องคอมพิวเตอร์เท่านั้น แต่ยังเคลื่อนที่ข้ามเครือข่าย ขโมยข้อมูลประจำตัว ทำลายระบบป้องกัน และรักษาการควบคุมอย่างต่อเนื่อง ทั้งหมดนี้เกิดขึ้นในขณะที่ยังคงหลบซ่อนและหลบเลี่ยงการตรวจจับ
ข้อสงวนสิทธิ์:เครื่องมือการเข้าถึงระยะไกลที่กล่าวถึงในบล็อกนี้เป็นผลิตภัณฑ์ซอฟต์แวร์ที่ถูกต้องตามกฎหมาย ซึ่งออกแบบมาเพื่อสนับสนุนการบริหารจัดการด้านไอทีและการสนับสนุนระยะไกล บทความนี้เน้นให้เห็นว่าผู้ไม่หวังดีอาจใช้เครื่องมือเหล่านี้ในทางที่ผิดในแคมเปญเรียกค่าไถ่ หากมีการตั้งค่าที่ไม่ถูกต้อง การจัดการที่ไม่ดี หรือปล่อยทิ้งไว้โดยไม่มีการตรวจสอบ บทความนี้ไม่ได้หมายความว่าเครื่องมือเหล่านั้นมีความเปราะบางหรือเป็นอันตรายโดยเนื้อแท้
ปัจจัยสำคัญที่ทำให้เกิดการโจมตีเหล่านี้คือการใช้ประโยชน์จากเครื่องมือเข้าถึงระยะไกล (RAT) ที่ถูกต้องตามกฎหมาย เช่นAnyDesk, UltraViewer, AppAnywhere, RustDesk, CloneDesk, Splashtop และ TightVNCเครื่องมือเหล่านี้ได้รับการออกแบบมาเพื่อการบริหารจัดการด้านไอทีและการสนับสนุนระยะไกลเป็นหลัก และหลายเครื่องมือมีเวอร์ชันฟรีหรือใช้งานได้ฟรีซึ่งผู้โจมตีมักใช้ประโยชน์จากจุดนี้เนื่องจากติดตั้งง่าย ได้รับความไว้วางใจอย่างกว้างขวาง และมักอยู่ในรายการที่อนุญาตในสภาพแวดล้อมขององค์กร เครื่องมือเหล่านี้มีคุณสมบัติดังนี้:
- การเข้าถึงโดยไม่ได้ตั้งใจ: เชื่อมต่อโดยไม่ต้องมีการโต้ตอบจากผู้ใช้
- การถ่ายโอนไฟล์: ย้ายไบนารีหรือดึงข้อมูลออก
- การควบคุมเดสก์ท็อปแบบโต้ตอบ: ดำเนินการงานบริหารจัดการจากระยะไกล
- การสื่อสารแบบเข้ารหัส: หลีกเลี่ยงการตรวจสอบเครือข่าย
องค์กรต่างๆ มักเพิ่มเครื่องมือการเข้าถึงระยะไกล (Remote Access Tools) ลงในรายการอนุญาต (Whitelist) และเชื่อถือลายเซ็นดิจิทัล ซึ่งผู้โจมตีสามารถใช้ประโยชน์เพื่อหลบเลี่ยงการควบคุมความปลอดภัยและแอบแฝงดำเนินการต่อไป การทำความเข้าใจว่าเครื่องมือการเข้าถึงระยะไกลถูกนำไปใช้ในทางที่ผิดนั้นมีความสำคัญอย่างยิ่งต่อการสร้างระบบป้องกันที่มีประสิทธิภาพต่อภัยคุกคามจากแรนซัมแวร์สมัยใหม่
Ransomware Kill Chain: การวิเคราะห์แบบทีละขั้นตอน
Kill-chain ของแรนซัมแวร์จะอธิบายแต่ละขั้นตอนของการโจมตี ตั้งแต่การเข้าถึงครั้งแรกไปจนถึงการโจมตีครั้งสุดท้าย เมื่อผู้โจมตีใช้ประโยชน์จากเครื่องมือการเข้าถึงระยะไกลที่ถูกต้อง พวกเขาจะได้รับความสามารถในการซ่อนตัว การคงอยู่ และการควบคุม ทำให้การตรวจจับและการบรรเทาความเสี่ยงมีความท้าทายมากขึ้น
การทำความเข้าใจแต่ละขั้นตอนของ Kill Chain เป็นสิ่งสำคัญอย่างยิ่งสำหรับฝ่ายป้องกัน ไม่เพียงแต่ช่วยให้สามารถรับรู้รูปแบบการโจมตีได้ตั้งแต่เนิ่นๆ เท่านั้น แต่ยังช่วยสร้างระบบป้องกันที่แข็งแกร่งและซับซ้อนขึ้นเพื่อหยุดยั้งการโจมตีจากผู้โจมตีได้อีกด้วย การแบ่งขั้นตอนต่างๆ ออกเป็นส่วนๆ ช่วยให้ทีมรักษาความปลอดภัยสามารถคาดการณ์พฤติกรรมของฝ่ายตรงข้ามได้ดีขึ้น และดำเนินการอย่างทันท่วงทีเพื่อหยุดยั้งกิจกรรมที่เป็นอันตรายก่อนที่จะก่อให้เกิดความเสียหายร้ายแรง ส่วนต่อไปนี้จะอธิบายรายละเอียดทีละขั้นตอนว่าผู้ปฏิบัติการแรนซัมแวร์ใช้ประโยชน์จาก Remote Access Tools ที่ถูกต้องตามกฎหมายอย่างไรเพื่อพัฒนาแคมเปญของตน
ขั้นตอนที่ 1: การเข้าถึงเบื้องต้น – การประนีประนอมข้อมูลประจำตัว
ผู้โจมตีสามารถเข้าถึงข้อมูลที่ถูกต้องตามกฎหมายได้โดยใช้ข้อมูลประจำตัวที่ขโมยมาหรือถูกบังคับโดยมิชอบ (brute-forced) หลีกเลี่ยงการป้องกันและแสดงตนเป็นผู้ใช้ที่เชื่อถือได้ การกำหนดเป้าหมายบัญชีผู้ดูแลระบบช่วยให้สามารถควบคุมได้อย่างเต็มที่และช่วยให้สามารถดำเนินการในขั้นตอนต่อไปได้ เช่น การปรับใช้เครื่องมือการเข้าถึงระยะไกล (Remote Access Tool) และการเคลื่อนไหวในแนวขวาง
เส้นทางการโจมตีทั่วไป:
- การโจมตีแบบ Brute-force ต่อจุดปลายทาง RDP/SMB
- การนำข้อมูลประจำตัวกลับมาใช้ใหม่จากการรั่วไหลหรือการละเมิดในอดีต
- การกำหนดเป้าหมายบัญชีผู้ดูแลระบบเพื่อสิทธิ์สูงสุด
ตัวบ่งชี้การตรวจจับ:
- รหัสเหตุการณ์ Windows 4625 → 4624 (การเข้าสู่ระบบล้มเหลวหลายครั้งตามมาด้วยความสำเร็จทันที)
- การเข้าสู่ระบบ RDP ประเภท 10 ในเวลาที่ผิดปกติ
- การเข้าสู่ระบบจากตำแหน่งทางภูมิศาสตร์ที่ไม่คาดคิด
ขั้นตอนที่ 2: การใช้เครื่องมือระยะไกลในทางที่ผิด – การแฮ็กหรือการติดตั้งแบบเงียบ
หลังจากเข้าถึงได้แล้ว ผู้โจมตีจะมุ่งเน้นไปที่การติดตั้ง Remote Access Tool เพื่อความต่อเนื่องอย่างแนบเนียน พวกเขาสามารถแฮ็ก Remote Access Tool ที่มีอยู่เพื่อหลีกเลี่ยงการตรวจจับ หรือติดตั้งแบบเงียบๆ โดยใช้โปรแกรมติดตั้งที่ได้รับการรับรองและมีพื้นที่ติดตั้งน้อยที่สุด การติดตั้งแบบเงียบๆ มักใช้ประโยชน์จากแฟล็กบรรทัดคำสั่งที่รู้จัก เอกสารประกอบของผู้จำหน่าย หรือวิศวกรรมย้อนกลับเพื่อค้นหาพารามิเตอร์การติดตั้ง
วิธีที่ 1: การแฮ็กเครื่องมือการเข้าถึงระยะไกลที่มีอยู่
- ระบุเครื่องมือการเข้าถึงระยะไกลที่ติดตั้งผ่าน WMI, รีจิสทรี หรือ PowerShell
- เพิ่มข้อมูลประจำตัวของผู้โจมตีหรือแก้ไขการกำหนดค่าการเข้าถึง
- หลีกเลี่ยงการสร้างไฟล์หรือกระบวนการใหม่ ลดความเสี่ยงในการตรวจจับ
วิธีที่ 2: การติดตั้งเครื่องมือการเข้าถึงระยะไกลแบบเงียบ
- ใช้งานโปรแกรมติดตั้งแบบน้ำหนักเบาและมีการลงนามโดยไม่ต้องมีการโต้ตอบจากผู้ใช้
- แฟล็กการติดตั้งแบบเงียบ: /S, /VERYSILENT, /quiet, /NORESTART
| เครื่องมือระยะไกล | คำสั่ง | วัตถุประสงค์ / ผล |
| AnyDesk | anydesk.exe –ติดตั้ง “C:\ProgramData\AnyDesk” –เงียบ –เริ่มต้นด้วย-win | บริการการเข้าถึงระยะไกลแบบถาวร |
| Ultra Viewer | UltraViewer_Setup.exe /VERYSILENT /NORESTART | ติดตั้งอย่างเงียบ ๆ โดยไม่ต้องรีบูต |
| แอปอะนีแวร์ | msiexec /i AppAnywhere.msi /เงียบ /norestart | การปรับใช้แบบเงียบสไตล์องค์กร |
| สนิมเดสก์ | rustdesk.exe –service install –password “Str0ngPass123” | เปิดใช้งานการเข้าถึงระยะไกลโดยไม่ต้องดูแล |
| โคลนเดสก์ | CloneDesk_Setup.exe /S /D=C:\ProgramData\CloneDesk | การติดตั้งแบบใช้พื้นที่น้อยที่สุด |
| Splashtop | Splashtop_Streamer.exe /s /i silent=1 precheck=0 confirm=0 | การปรับใช้แบบเงียบและระดับองค์กร |
| TightVNC | tightvnc-setup.exe /S /NORESTART | การติดตั้งแบบซ่อนที่ขับเคลื่อนด้วย CLI |
ขั้นตอนที่ 3: การคงอยู่และการรวมสิทธิพิเศษ
ผู้โจมตีใช้ประโยชน์จากคีย์การรันรีจิสทรี (HKCU\Software\Microsoft\Windows\CurrentVersion\Run) งานที่กำหนดเวลาไว้แบบซ่อน และการแก้ไขไฟล์กำหนดค่าเพื่อรักษาการคงอยู่ การยกระดับสิทธิ์ทำได้โดยใช้เครื่องมือเช่น PowerRun หรือ TrustedInstaller ซึ่งช่วยให้ Remote Access Tools สามารถรันด้วยสิทธิ์ SYSTEM และหลีกเลี่ยงข้อจำกัดระดับผู้ใช้ได้
กลไก:
- คีย์การรันรีจิสทรี: HKCU\Software\Microsoft\Windows\CurrentVersion\Run
- งานตามกำหนดเวลา: งานที่ซ่อนไว้เพื่อรีสตาร์ทเครื่องมือการเข้าถึงระยะไกลโดยอัตโนมัติ
- ไฟล์การกำหนดค่า: แก้ไขไฟล์ config.toml (RustDesk) สำหรับการเข้าถึงโดยไม่ต้องดูแล
- การเพิ่มสิทธิ์พิเศษ: เปิดเครื่องมือการเข้าถึงระยะไกลเป็นระบบโดยใช้ PowerRun หรือ TrustedInstaller
- การตรวจสอบ: คีย์รีจิสทรีใหม่ งานที่กำหนดเวลาไว้ กระบวนการเครื่องมือการเข้าถึงระยะไกลที่ได้รับการยกระดับ
ขั้นตอนที่ 4: การทำให้โปรแกรมป้องกันไวรัสเป็นกลางและการป้องกันการตรวจสอบทางนิติวิทยาศาสตร์
การใช้เครื่องมือการเข้าถึงระยะไกลช่วยให้ผู้โจมตีสามารถหยุดบริการแอนติไวรัสแบบโต้ตอบ ปรับเปลี่ยนนโยบายกลุ่ม และเพิ่มไดเรกทอรีของเครื่องมือการเข้าถึงระยะไกลลงในรายการยกเว้นได้ บันทึกที่สำคัญจะถูกล้าง และใช้เครื่องมือทำลายไฟล์เพื่อลบหลักฐานทางนิติวิทยาศาสตร์ ทำให้การสืบสวนหลังเกิดเหตุเป็นเรื่องยาก
เทคนิค:
- หยุดบริการแอนตี้ไวรัส: สต็อป SC หรือหยุดสุทธิ
- การจัดการนโยบาย: เพิ่มไดเรกทอรีเครื่องมือการเข้าถึงระยะไกลไปยังข้อยกเว้น
- การล้างบันทึก: ศัตรูมักใช้บรรทัดคำสั่งต่อไปนี้เป็นส่วนหนึ่งของโปรแกรมป้องกันการตรวจสอบทางนิติวิทยาศาสตร์เพื่อล้างบันทึกเหตุการณ์:
wevtutil cl ความปลอดภัย
ระบบ wevtutil cl
แอปพลิเคชัน wevtutil cl - การทำลายไฟล์: ลบสิ่งประดิษฐ์ทางนิติวิทยาศาสตร์
ขั้นตอนที่ 5: การปรับใช้และการดำเนินการโหลด
ผู้โจมตีจะหยุดบริการแอนตี้ไวรัส แก้ไขนโยบายความปลอดภัย ปิดใช้งานกลไกการกู้คืน ล้างบันทึกเหตุการณ์ และทำลายไฟล์สำคัญเพื่อหลีกเลี่ยงการตรวจจับและขัดขวางการสืบสวนทางนิติวิทยาศาสตร์ พวกเขาอาจแทรกแซงโซลูชันการสำรองข้อมูล ปิดใช้งานสำเนาเงา และใช้ไฟล์ไบนารีแบบ Living-off-the-Land (LOLBins) เช่น rundll32 หรือ PowerShell เพื่อผสมผสานการกระทำที่เป็นอันตรายเข้ากับกระบวนการที่ถูกต้อง การกระทำเหล่านี้ทำให้ผู้ป้องกันมองเห็นได้น้อยที่สุดและสร้างสภาพแวดล้อมที่ปลอดภัยสำหรับการดำเนินการเรียกค่าไถ่
กลไก:
- Ransomware ถูกส่งผ่านช่องทางเครื่องมือการเข้าถึงระยะไกล มักปลอมตัวเป็นการอัปเดตที่เชื่อถือได้หรือการดำเนินการดูแลระบบ และดำเนินการภายในเซสชันระยะไกลที่มีอยู่เพื่อหลีกเลี่ยงความสงสัยของผู้ใช้และการตรวจสอบความปลอดภัย
ระยะที่ 6: การขยายด้านข้าง
การเคลื่อนย้ายในแนวข้างได้รับการอำนวยความสะดวกผ่านการใช้ข้อมูลรับรองซ้ำ การแพร่กระจายเครื่องมือการเข้าถึงระยะไกล หรือการใช้ประโยชน์จากการปรับใช้เครื่องมือการเข้าถึงระยะไกลขององค์กร
กลไก:
- การนำข้อมูลรับรองมาใช้ซ้ำในจุดสิ้นสุด
- การใช้ประโยชน์จากเครื่องมือการเข้าถึงระยะไกลขององค์กรเพื่อการปรับใช้จำนวนมาก
ตัวชี้วัด:
- จุดสิ้นสุดหลายจุดรายงานการเชื่อมต่อเครื่องมือการเข้าถึงระยะไกลใหม่
- งานที่กำหนดเวลาไว้โดยไม่ได้รับอนุญาตหรือการแก้ไขรีจิสทรีระหว่างเครื่อง
ขั้นตอนที่ 7: ผลกระทบ – การเข้ารหัสและการล็อกเอาต์
การทำงานของเพย์โหลดแรนซัมแวร์ทำให้เกิดการเข้ารหัสข้อมูล การล็อกบัญชี และการเปลี่ยนแปลงข้อมูลประจำตัวของเครื่องมือการเข้าถึงระยะไกลเพื่อบล็อกการแก้ไขของผู้ดูแลระบบ แคมเปญต่างๆ เช่น LockBit, Black และ Basta แสดงให้เห็นถึงขั้นตอนสุดท้ายนี้ในการโจมตีแบบสด
ผล:
- เข้ารหัสไฟล์บนระบบเป้าหมาย
- ล็อคบัญชีหรือเปลี่ยนข้อมูลประจำตัวเครื่องมือการเข้าถึงระยะไกลเพื่อป้องกันการแก้ไข
ตัวอย่างแคมเปญในโลกแห่งความเป็นจริง
ด้านล่างนี้เป็นเครื่องมือการเข้าถึงระยะไกลที่มักถูกใช้ในทางที่ผิดโดยผู้ไม่หวังดีในแคมเปญแรนซัมแวร์เพื่อความต่อเนื่อง การปรับใช้ และการเคลื่อนไหวในแนวขวาง
| ห่างไกล ทางเข้า เครื่องมือ | แคมเปญ Ransomware ที่เกี่ยวข้อง |
| AnyDesk | TargetCompany, D3adCrypt, Makop, Mallox, Phobos, LockBit 2.0, LockBit 3.0, LockBit 2025 Renegade, Beast, Dharma, Proton / Shinra, MedusaLocker |
| Ultra Viewer | Beast, CERBER, Dharma (.cezar Family), GlobeImposter 2.0, LockBit 3.0, Makop, Phobos, SpiderPrey, TargetCompany |
| แอปอะนีแวร์ | Makop, Ryuk, D3adCrypt, ธรรมะ |
| สนิมเดสก์ | มิมิค, ล็อคXXX, ไดมอนด์, ดี3แอดคริปต์, มาคอป |
| Splashtop | มาคอป, บลูสกาย, แรนซัมฮับ, พร็อกซิมา |
| TightVNC | เซอร์เบอร์ 4.0 / 5.0 |
การทำแผนที่ TTP ของผู้คุกคาม (MITRE ATT&CK)
การทำความเข้าใจกลยุทธ์ เทคนิค และขั้นตอน (TTP) ที่ผู้โจมตีใช้เป็นสิ่งสำคัญอย่างยิ่งในการป้องกันการโจมตีจากแรนซัมแวร์ที่ขับเคลื่อนด้วยเครื่องมือการเข้าถึงระยะไกล การแมปกิจกรรมเหล่านี้เข้ากับเฟรมเวิร์ก MITRE ATT&CK ช่วยให้ทีมรักษาความปลอดภัยเห็นภาพได้ว่าผู้โจมตีเข้าถึง ใช้งานเครื่องมือ รักษาความต่อเนื่อง ยกระดับสิทธิ์ และในที่สุดก็ส่งเพย์โหลดที่มีผลกระทบอย่างไร ตารางด้านล่างนี้จะเน้นขั้นตอนสำคัญของการโจมตี เทคนิคที่นำมาใช้ และเครื่องมือการเข้าถึงระยะไกลที่มักถูกนำไปใช้ในทางที่ผิด ซึ่งสอดคล้องกับแต่ละขั้นตอน
| การฝึกงาน | เทคนิค | รหัสย่อยเทคนิค MITRE ATT&CK | ข้อสังเกต |
| การเข้าถึงเบื้องต้น | โหดเหี้ยม | T1110.001 | การกำหนดเป้าหมายจุดสิ้นสุด RDP/SMB เพื่อรับการเข้าถึงเบื้องต้น |
| การปรับใช้เครื่องมือ | การถ่ายโอนเครื่องมือขาเข้า | T1105 | ยูทิลิตี้การเข้าถึงระยะไกลถูกโอนเพื่อดำเนินการ |
| การกระทำ | บริการระยะไกล | T1021.001 | เซสชันระยะไกลที่ใช้ในการดำเนินการโหลด |
| การติดตา | คีย์การรันรีจิสทรี | T1547.001 | คีย์รีจิสทรีที่สร้าง/แก้ไขเพื่อความคงอยู่ของเครื่องมือ |
| การเลื่อนระดับสิทธิ์ | กลไกการควบคุมการยกระดับการใช้งานที่ไม่เหมาะสม | T1548.002 | การเพิ่มสิทธิ์ที่สังเกตได้ในการเรียกใช้เครื่องมือที่มีสิทธิ์ SYSTEM |
| การหลบหลีกการป้องกัน | ทำให้เสียการป้องกัน | T1562.001 | ปิดใช้งานบริการรักษาความปลอดภัย บันทึกถูกล้าง |
| การเคลื่อนไหวด้านข้าง | บริการระยะไกล | T1021.001 | บริการระยะไกลถูกละเมิดเพื่อย้ายข้ามจุดสิ้นสุด |
| เรื่องราว | ข้อมูลที่เข้ารหัสเพื่อผลกระทบ | T1486 | เครื่องมือที่ใช้ในการปรับใช้แรนซัมแวร์และเข้ารหัสข้อมูล |
แนวโน้มที่เกิดขึ้นใหม่และภัยคุกคามในอนาคต
เมื่อผู้ปฏิบัติการแรนซัมแวร์มีวิวัฒนาการมากขึ้น กลยุทธ์ใหม่ๆ ก็ผุดขึ้นมา ซึ่งขยายขอบเขตไปไกลกว่าการโจมตีแบบ on-premise แบบดั้งเดิม แนวโน้มเหล่านี้ชี้ให้เห็นว่าผู้โจมตีกำลังผสานรวมระบบอัตโนมัติ การละเมิดระบบคลาวด์ และระบบนิเวศ RaaS เข้าด้วยกัน เพื่อขยายขอบเขตและความลับของการดำเนินงานให้สูงสุด
- AIการปรับใช้เครื่องมือการเข้าถึงระยะไกลที่ขับเคลื่อนด้วย: การตัดสินใจอัตโนมัติสำหรับเพย์โหลด
- การละเมิดเครื่องมือการเข้าถึงระยะไกลบนคลาวด์: การใช้ประโยชน์จากพอร์ทัลการเข้าถึงระยะไกลบนคลาวด์
- การรวม RaaS: เครื่องมือการเข้าถึงระยะไกลที่ฝังอยู่ในข้อเสนอ ransomware-as-a-service สำหรับแคมเปญขององค์กร
- การโจมตีหลายขั้นตอน: การประนีประนอมเครื่องมือการเข้าถึงระยะไกลเบื้องต้นตามด้วยเพย์โหลดรอง (การขโมยข้อมูล การขโมยข้อมูลแบบเข้ารหัส การเรียกค่าไถ่ทางอ้อม)
การรักษาให้หายเร็วแค่ไหน / Seqrite ป้องกันตนเองจากกิจกรรมเหล่านี้
กลุ่มแฮกเกอร์เรียกค่าไถ่อาจพยายามใช้เครื่องมือที่น่าเชื่อถือเป็นอาวุธ แต่ Quick Heal และ Seqrite ระบบเหล่านี้ถูกสร้างขึ้นด้วยระบบป้องกันหลายชั้นเพื่อหยุดยั้งการโจมตี โดยการผสมผสานการตรวจสอบแบบเรียลไทม์ การป้องกันตนเอง และการตรวจจับพฤติกรรมขั้นสูง โซลูชันเหล่านี้จึงมั่นใจได้ว่าผู้โจมตีไม่สามารถปิดใช้งานระบบรักษาความปลอดภัยหรือหลบเลี่ยงการตรวจจับได้ง่ายๆ
- การปกป้องจากไวรัส: ตรวจจับและกำจัดโปรแกรมติดตั้งที่เป็นโทรจันหรือเพย์โหลดที่ซ่อนอยู่ก่อนที่จะสามารถดำเนินการได้
- การป้องกันไวรัสด้วยตนเอง: ป้องกันผู้โจมตีจากการยุติหรือถอนการติดตั้งบริการความปลอดภัยโดยใช้กำลัง
- การตรวจจับตามพฤติกรรม: ตรวจสอบกิจกรรมที่ผิดปกติที่เชื่อมโยงกับแรนซัมแวร์ เช่น การเปลี่ยนแปลงไฟล์จำนวนมากหรือการเปิดกระบวนการที่น่าสงสัย
- การป้องกันแรนซัมแวร์: บล็อกความพยายามเข้ารหัสที่ไม่ได้รับอนุญาตแบบเรียลไทม์ ตัดการโจมตีก่อนที่ข้อมูลจะถูกล็อค
- การควบคุมแอปพลิเคชัน: จำกัดการใช้เครื่องมือระยะไกลที่ไม่ได้รับอนุญาต เพื่อให้แน่ใจว่าอนุญาตให้มีเพียงแอปพลิเคชันที่เชื่อถือได้เท่านั้นที่สามารถทำงานได้
แนวทางปฏิบัติและคำแนะนำที่ดีที่สุดด้านความปลอดภัย
การป้องกันแรนซัมแวร์ไม่ได้หมายถึงแค่การมีเครื่องมือที่เหมาะสมเท่านั้น แต่ยังรวมถึงการใช้เครื่องมือเหล่านั้นอย่างชาญฉลาดและสร้างนิสัยที่ดีในชีวิตประจำวันด้วย ต่อไปนี้คือขั้นตอนปฏิบัติที่ทุกองค์กรสามารถนำไปใช้ได้จริงเพื่อก้าวข้ามผู้โจมตี:
- จำกัดการใช้งานเครื่องมือการเข้าถึงระยะไกล:เก็บเฉพาะเครื่องมือระยะไกลที่คุณต้องการจริงๆ และลบส่วนที่เหลือออก ยิ่งจุดเข้าน้อย ระบบของคุณก็จะยิ่งปลอดภัยมากขึ้น
- บังคับใช้การตรวจสอบปัจจัยหลายประการ (MFA): แม้ว่าผู้โจมตีจะขโมยรหัสผ่าน MFA ก็ทำให้พวกเขาเข้าสู่ระบบได้ยากขึ้นมาก
- จำกัดสิทธิ์การดูแลระบบ: อย่ามอบสิทธิ์ผู้ดูแลระบบให้เว้นแต่จำเป็นจริงๆ สิทธิ์ที่น้อยลงหมายถึงความเสียหายน้อยลงหากบัญชีถูกบุกรุก
- ตรวจสอบและติดตามบันทึกอย่างต่อเนื่อง: คอยติดตามบันทึกของคุณอย่างใกล้ชิด — การเข้าสู่ระบบที่ผิดปกติ การติดตั้งแบบเงียบๆ หรือคำสั่งตั้งค่าที่แปลก อาจเป็นสัญญาณเตือนล่วงหน้าได้
- การอัปเดตและการแก้ไขปกติ: ติดตามการอัปเดตสำหรับระบบปฏิบัติการและเครื่องมือรักษาความปลอดภัยของคุณเพื่อไม่ให้ผู้โจมตีสามารถใช้ประโยชน์จากข้อบกพร่องเก่าๆ ได้
- การฝึกอบรมการรับรู้ของผู้ใช้: ผู้คนคือแนวป้องกันด่านแรก การฝึกอบรมพนักงานให้ตรวจจับอีเมลฟิชชิงหรือกิจกรรมสนับสนุนระยะไกลที่น่าสงสัยสามารถหยุดยั้งการโจมตีได้ก่อนที่จะเกิดขึ้นเสียอีก
สรุป:
เครื่องมือไอทีที่ถูกต้องตามกฎหมายอาจกลายเป็นช่องทางโจมตีที่ซ่อนอยู่ได้อย่างง่ายดายหากบริหารจัดการอย่างไม่ถูกต้อง และการใช้ Remote Access Tool ในทางที่ผิดในปัจจุบันเป็นปัจจัยสำคัญที่ทำให้เกิดแรนซัมแวร์ยุคใหม่ เพื่อรับมือกับความเสี่ยงนี้ องค์กรต่างๆ จำเป็นต้องมีแนวทางแบบหลายชั้นที่ผสมผสานการกำกับดูแล การตรวจสอบ และการตอบสนองอย่างรวดเร็ว
รักษาอย่างรวดเร็วและ Seqrite มีบทบาทสำคัญในกลยุทธ์การป้องกันนี้ โดยให้การป้องกันไวรัสที่แข็งแกร่ง การตรวจจับพฤติกรรม และการป้องกันแรนซัมแวร์ เมื่อผนวกกับการกำกับดูแลที่เข้มงวดและการตอบสนองต่อเหตุการณ์ องค์กรต่างๆ จะสามารถก้าวล้ำหน้าผู้โจมตีได้
มาตรการสำคัญ ได้แก่ :
- การกำกับดูแลเครื่องมือการเข้าถึงระยะไกลและการสร้างรายชื่อขาว
- ระบบป้องกันไวรัสหลายชั้นที่ขับเคลื่อนด้วย Quick Heal / Seqrite
- การตรวจจับพฤติกรรมและการกรองข้อมูลขาออก
- การตอบสนองต่อเหตุการณ์อย่างรวดเร็วเพื่อการควบคุมและการกู้คืน
การนำกลยุทธ์การป้องกันหลายชั้นนี้มาใช้ องค์กรต่างๆ จะสามารถตรวจจับ ควบคุม และบรรเทาภัยคุกคามจากแรนซัมแวร์ที่ใช้ Remote Access Tool ได้อย่างรอบด้าน โดยเปลี่ยนเครื่องมือที่เชื่อถือได้จากภัยคุกคามที่อาจเกิดขึ้นให้กลายเป็นทรัพย์สินที่ควบคุมและจัดการได้
ผู้เขียน:มาติน ทัดวี
ผู้ร่วมเขียน : อูมาร์ ข่าน
