Erkennen von und Reagieren auf Ransomware-Angriffe

Dieser Artikel enthält azurespezifische Anleitungen zum Erkennen und Reagieren auf Ransomware-Angriffe.

Tipp

Dieser Artikel konzentriert sich auf azurespezifische Erkennung und Reaktion. Umfassende Anleitungen finden Sie unter Schutz Ihrer Organisation vor Ransomware und Erpressung.

Ransomware-Vorfälle sind in der Regel mit unterschiedlichen Warnzeichen vorhanden, die Sicherheitsteams identifizieren können. Im Gegensatz zu anderen Malware-Typen erzeugt Ransomware in der Regel sehr offensichtliche Indikatoren, die eine minimale Untersuchung erfordern, bevor sie einen Vorfall deklarieren. Diese besonders vertrauenswürdigen Trigger stehen im Gegensatz zu subtileren Bedrohungen, die vor der Eskalation umfangreiche Analysen erfordern würden. Wenn Ransomware schlägt, ist der Beweis oft unverkennbar.

Erkennen von Ransomware-Angriffen

Microsoft Defender für Cloud bietet hochwertige Bedrohungserkennungs- und Reaktionsfunktionen für Azure-Ressourcen, auch als erweiterte Erkennung und Reaktion (Extended Detection and Response, XDR) bezeichnet.

Stellen Sie eine schnelle Erkennung und Behebung häufiger Angriffe auf Azure-VMs, SQL-Server, Webanwendungen und Identitäten in Ihrer Azure-Umgebung sicher.

  • Priorisieren Sie gängige Einstiegspunkte: Ransomware-Betreiber bevorzugen Endpunkte, E-Mail, Identität und Remotedesktop Protocol (RDP)-Einstiegspunkte.
    • Integriertes XDR: Verwenden Sie integrierte Extended Detection and Response (XDR)-Tools wie Microsoft Defender for Cloud, um hochwertige Warnungen für Azure-Ressourcen bereitzustellen und Reibung sowie manuelle Schritte während der Reaktion zu minimieren.
    • Brute-Force: Überwachen Sie Brute-Force-Versuche wie Passwortspray gegen Azure-Ressourcen.
  • Überwachen Sie, ob Angreifer Sicherheitsfunktionen deaktivieren: Angreifer deaktivieren Sicherheitsfunktionen häufig als Teil der Angriffskette von durch Menschen gesteuerter Ransomware.
  • Löschen von Ereignisprotokollen überwachen: Überwachen Sie das Löschen des Sicherheitsereignisprotokolls und des PowerShell-Operational-Protokolls auf Azure-VMs.
    • Deaktivieren von Sicherheitstools und -kontrollen: Überwachen Sie das Deaktivieren von Sicherheitstools und Kontrollen, die mit bestimmten Gruppen verbunden sind.
  • Ignorieren Sie nicht Commodity-Malware: Ransomware-Angreifer kaufen regelmäßig Zugang zu Zielorganisationen von Dark-Markets.
  • Externe Experten integrieren: Externe Experten in Prozesse integrieren, um Expertise zu ergänzen, wie zum Beispiel das Microsoft Incident Response Team.
  • Kompromittierte Azure-VMs schnell isolieren: Kompromittierte Azure-VMs schnell isolieren, indem Sie Defender for Endpoint verwenden.

Reagieren auf Ransomware-Angriffe

Vorfalldeklaration

Nachdem eine erfolgreiche Ransomware-Infektion bestätigt wurde, sollte der Analyst überprüfen, ob es sich um einen neuen Vorfall handelt oder mit einem bestehenden Vorfall zusammenhängt. Suchen Sie nach derzeit offenen Tickets, die auf ähnliche Vorfälle hinweisen. Wenn das der Fall ist, aktualisieren Sie das aktuelle Störungsticket, indem Sie die neuen Informationen in das Ticketsystem einpflegen. Wenn es sich um einen neuen Vorfall handelt, melden Sie einen Vorfall im entsprechenden Ticketing-System und leiten Sie ihn an die zuständigen Teams oder Anbieter weiter, um den Vorfall einzudämmen und zu mildern. Das Management von Ransomware-Vorfällen kann Maßnahmen mehrerer IT- und Sicherheitsteams erfordern. Stellen Sie möglichst sicher, dass das Ticket den Vorfall klar als Ransomware identifiziert, um den Arbeitsablauf zu steuern.

Eindämmung und Minderung

Im Allgemeinen konfigurieren Sie verschiedene Antimalware-, E-Mail-Antimalware- und Netzwerkschutzlösungen für Server- oder Endpunkte, um bekannte Ransomware automatisch einzudämmen und zu mindern. Bestimmte Ransomware-Varianten könnten diese Schutzmaßnahmen umgehen und Zielsysteme erfolgreich infizieren.

Microsoft stellt umfangreiche Ressourcen zur Verfügung, mit denen Ihre Prozesse zur Reaktion auf Vorfälle auf Grundlage der wichtigsten bewährten Methoden für die Azure-Sicherheit aktualisiert werden können.

Ergreifen Sie die folgenden empfohlenen Maßnahmen, um einen gemeldeten Vorfall mit Ransomware einzudämmen oder zu mindern, bei dem automatisierte Maßnahmen von Anti-Malware-Systemen erfolglos sind:

  1. Beziehen Sie Antimalware-Anbieter über standardisierte Supportprozesse ein.
  2. Fügen Sie manuell Hashes und andere mit Malware verbundene Informationen zu Anti-Malware-Systemen hinzu.
  3. Wenden Sie Antimalware-Anbieterupdates an.
  4. Halte betroffene Systeme ein, bis du sie beseitigst.
  5. Deaktiviere kompromittierte Konten.
  6. Führen Sie eine Ursachenanalyse durch.
  7. Wenden Sie relevante Patches und Konfigurationsänderungen auf betroffenen Systemen an.
  8. Blockieren Sie Ransomware-Kommunikation durch interne und externe Kontrollen.
  9. Lösche zwischengespeicherte Inhalte.

Weg zur Genesung

Das Microsoft Incident Response-Team schützt Sie vor Angriffen.

Das Verständnis und die Behebung der grundlegenden Sicherheitsprobleme, die zum Kompromittieren geführt haben, sollte für Ransomware-Ziele Priorität haben.

Integrieren Sie externe Experten in Prozesse, um Fachwissen zu ergänzen, z. B. das Microsoft Incident Response-Team. Microsoft Incident Response arbeitet mit Organisationen weltweit zusammen, hilft dabei, Azure-Umgebungen vor Angriffen zu schützen und zu stärken, bevor sie auftreten, und untersucht und behebt Angriffe, wenn sie auftreten.

Sie können Microsoft-Sicherheitsexperten direkt über das Microsoft Defender-Portal einschalten, um eine zeitnahe und präzise Reaktion zu erhalten. Experten liefern Erkenntnisse, die nötig sind, um die komplexen Bedrohungen, die Ihre Organisation betreffen, besser zu verstehen – von Alarmanfragen, potenziell kompromittierten Geräten und der Ursache einer verdächtigen Netzwerkverbindung bis hin zu zusätzlichen Bedrohungsinformationen zu laufenden fortgeschrittenen persistenten Bedrohungskampagnen.

Microsoft kann Ihr Unternehmen bei der Rückkehr zu einem sicheren Betrieb unterstützen.

Microsoft führt Hunderte von Wiederherstellungen kompromittierter Systeme durch und verfügt über eine bewährte Methodik. Die Methodik hilft Ihnen, eine sicherere Position zu erreichen und Ihre langfristige Strategie zu überdenken, anstatt nur auf die Situation zu reagieren.

Microsoft bietet Rapid Ransomware Recovery-Dienste. Diese Dienste bieten Unterstützung in Bereichen wie der Wiederherstellung von Identitäts-Diensten, Sanierung und Härtung sowie Überwachung der Implementierung, um Zielen von Ransomware-Angriffen zu helfen, so schnell wie möglich zum normalen Geschäft zurückzukehren.

Microsoft behandelt Rapid Ransomware Recovery-Dienste während des gesamten Einsatzes als vertraulich. Das Microsoft Incident Response Team liefert ausschließlich Rapid Ransomware Recovery Engagements. Für weitere Informationen wenden Sie sich bitte an Microsoft Incident Response.

Nächste Schritte

Umfassende Richtlinien zum Schutz vor Ransomware auf allen Microsoft-Plattformen und -Diensten finden Sie unter Schutz Ihrer Organisation vor Ransomware und Erpressung.

Andere Artikel zu Azure Ransomware:

  • Last updated on