Christian Ranum Spohr fra Eagle Shark har tatt en sal full av IT-fagfolk gjennom to reelle angrep med løsepengevirus. Ingen hypotetiske scenarioer. Ingen leverandørlysbilder. Bare beslutningene som måtte tas under press – og hva de kostet. Tilfellene var anonymisert. Lærdommene var det ikke. Og for IT-ledere som har ansvar for endepunktadministrasjon og for å redusere angrepsflaten for løsepengevirus, er lærdommene direkte relevante i driften.
Slik ser et reelt løsepengevirusangrep ut for IT-ledelsen
Det første tilfellet gjaldt et programvareselskap som leverer til hotell- og restaurantbransjen. Sju servere. Alle fullstendig kryptert. E-posten nede. Telefonlinjene ble oversvømt av kunder som var avhengige av programvaren for å drive den daglige virksomheten. Eieren hadde 72 timer på seg til å avgjøre om selskapet ville overleve. Christian Ranum Spohr beskrev øyeblikket tydelig: Dette var ikke bare en IT-hendelse. Det var en krise for hele organisasjonen – med samtidig press fra kunder, ansatte, pressen, personvernmyndigheten og politiet. Og midt i det hele én person som måtte ta en beslutning uten fullstendig informasjon, uten en tydelig plan og uten å vite når det ville ta slutt.
De tre alternativene på bordet
IT-ledere i den situasjonen står overfor tre veier – og ingen av dem er gode. Betale løsepengene. Statistisk sett den raskeste veien tilbake til drift. Men det krever transaksjoner i kryptovaluta, tillit til at kriminelle leverer dekrypteringsnøklene, og at man aksepterer de etiske og mulige juridiske konsekvensene. Bygge opp alt på nytt. I dette tilfellet anslo spesialistene gjenopprettingen til rundt én million danske kroner per server – uten garanti for full gjenoppretting – og en tidslinje på 12 til 24 måneder for å komme tilbake til full drift. For et selskap der kundene er avhengige av programvaren for å drive virksomheten sin, er det ikke en farbar vei. Legge ned selskapet. Et reelt alternativ når den økonomiske eksponeringen – løsepenger, gjenopprettingskostnader, juridisk ansvar, erstatning til kunder – overstiger det virksomheten kan bære. Selskapet betalte. Det tok nesten en måned å dekryptere filene fullt ut på grunn av flere lag med kryptering. De overlevde.
Beslutningsrammeverket IT-ledere trenger før angrepet
Christian Ranum Spohr kom med et poeng som mange i salen kjente seg igjen i: De fleste virksomheter er ikke trege fordi de mangler teknisk kompetanse. De er trege fordi de ikke har definert hvem som bestemmer hva, når og med hvilken myndighet. Når et angrep rammer klokken 23 en fredag, er spørsmålet ikke bare teknisk. Det er organisatorisk. Hvem har myndighet til å isolere systemer uten å eskalere til styret? Hvem kommuniserer med kundene? Hvem kontakter advokat? Hvem håndterer varslingen til myndighetene, som NIS2 i EU krever innen 24 timer ved vesentlige hendelser? Uten at disse beslutningene er tatt på forhånd, spiser de første timene av krisen opp tiden som burde gått til å begrense angrepet. Det mest verdifulle en IT-leder kan gjøre før et angrep, er å definere dette beslutningstreet. Ikke et policydokument på 28 sider – men et tydelig, handlingsrettet rammeverk som svarer på de fem spørsmålene som betyr mest når alt står i brann.
Slik reduserer endepunktadministrasjon angrepsflaten for løsepengevirus
Tilfellene Christian Ranum Spohr la fram, hadde en fellesnevner: Angriperne hadde vært inne i miljøet i uker eller måneder før de startet krypteringen. De kartla infrastrukturen. De identifiserte backupsystemene. De ventet. Den oppholdstiden er ikke uunngåelig. Den finnes fordi virksomheter har upatchede programmer, uovervåket eskalering av rettigheter og for dårlig innsikt i hva som skjer på endepunktene. Endepunktadministrasjon er ikke en reaktiv disiplin. Den virker i rommet der sikkerhetsverktøyene slutter og endepunktdriften begynner – og lukker eksponering før den blir en inngangsport, i stedet for bare å varsle når den allerede har blitt det. IT-ledere som samler endepunktdriften – patching, styring av rettigheter og innsikt i sårbarheter – på én plattform, reduserer angrepsflaten løsepengevirus er avhengig av. De reduserer også oppholdstiden, fordi avvik blir synlige raskere når alle endepunktdata går gjennom ett sted. CapaOne-plattformen for endepunktadministrasjon gir IT-ledere en samlet oversikt. Plattformen fungerer sammen med Microsoft Intune eller som en frittstående plattform – og tetter de konkrete hullene løsepengevirus oftest utnytter: upatchede tredjepartsprogrammer, faste lokale administratorrettigheter og blindsoner i sårbarhetseksponeringen på tvers av enhetsparken. Den beste krisehåndteringsbeslutningen en IT-leder kan ta, er den som hindrer at krisen noen gang eskalerer til en nødsituasjon på styrenivå. Og hvis det verste skjer, står CapaOne klar til å støtte gjenoppretting av endepunkter innen 10 minutter – for alle virksomheter.
Vil du se hvordan et samlet bilde av endepunktene snevrer inn angrepsflaten i ditt eget IT-miljø? Book en demo av CapaOne-plattformen for endepunktadministrasjon.
