Foliensatz herunterladen

Ich habe den Foliensatz hochgeladen, und Sie können ihn HIER herunterladen.

Fragen und Antworten zum Webinar

F: Was kann durch Ransomware verschlüsselt werden? Alle lokalen Festplatten, irgendwelche Netzwerkfreigaben? Verbundene Laufwerke?

Das hängt von der Variante der jeweiligen Ransomware ab, aber gehen Sie allgemein davon aus, dass alles verschlüsselt werden kann, worauf der betroffene Benutzer Zugriff hat. In den meisten Fällen wird es sich dabei um die Dateien auf dem lokalen Computer und den für den Benutzer verbundenen Netzlaufwerken handeln, aber einige Varianten sind intelligent genug, UNC-Pfaden zu folgen und nach nicht verbundenen (aber zugreifbaren) Netzwerkfreigaben zu suchen.

F: Was würden Sie einem MSP raten, um alle FSRM-Dateiprüfungen über mehrere Clientumgebungen hinweg auf dem aktuellen Stand zu halten?

Der beste Weg führt über PowerShell und Ihr RMM-Hilfsprogramm. Die meisten RMM-Hilfsprogramme, wie etwa LabTech oder Kaseya, sind imstande, Skripts per Push an überwachte Endpunkte zu übertragen. Das Koppeln eines geeigneten PowerShell-Skripts mit Ihrem RMM-Hilfsprogramm in dieser Weise sollte zum Ziel führen.

F: Besteht die Möglichkeit, dass Ransomware eine Zeit lang schläft und dann zu einem späteren Zeitpunkt ausgelöst wird?

Es gibt Varianten, die so funktionieren, aber die von Luke im Webinar vorgestellten Techniken sollten es Ihnen trotzdem ermöglichen, sie bei einem Ausführungsversuch abzufangen, obwohl sie eine Zeit lang ruhend waren. Sobald dies geschieht, sollten Sie dann in der Lage sein, den Speicherort der angreifenden Datei zu ermitteln und sie zu entfernen.

F: Wenn festplattenbasierte Backups lokal gespeichert werden, besteht dann die Gefahr, dass die Backups ebenfalls betroffen sind?

F: Da Cloud-Backups im Grunde auch netzwerkbasiert sind, welche Mechanismen verhindern ihre Verschlüsselung?

F: Wie halten Sie Ihre Liste von FSRM-Erweiterungen auf dem aktuellen Stand?

Die meisten AV-Websites veröffentlichen neu entdeckte Erweiterungen, sodass Sie Ihre Listen auf dem aktuellen Stand halten können. Luke wird im Lauf der nächsten Tage einen eigenen Anschlussbeitrag mit diesen Informationen und Links zu gültigen Quellen für diese Informationen veröffentlichen.

F: Was geschieht, wenn Angreifer gültige Dateierweiterungen für ihre Angriffe verwenden? Würde das FSRM nicht umgehen?

Es würde die Situation jedenfalls erschweren, keine Frage. Es ist keine zu 100 % wirksame Lösung, sie verhindert aber einen großen Teil der Infektionen. Die Kopplung dieser Option mit weiteren Vorsorgemaßnahmen zeigt die stärkste Wirkung.

F: Infiziert Ransomware zuerst den lokalen Computer und im Anschluss die Netzlaufwerke? Sind die Varianten zufallsbasiert?

Das hängt von der Variante der Infektion ab.

F: Kann Ransomware die in einer Datenbank gespeicherten Daten verschlüsseln oder Anwendungsdateien beschädigen?

Ja und ja. Um Daten innerhalb einer Datenbank zu beeinträchtigen, braucht Ransomware lediglich die MDF-Datei (in Fall von MSSQL) zu verschlüsseln, damit sind alle darin enthaltenen Daten verschlüsselt. Das Gleiche gilt für Anwendungsdateien.

F: Warum hindern Filterprodukte für E-Mails die Anlagen mit Ransomware nicht an der Ausführung?

Mir sind viele Anlagen untergekommen, die den Anschein von MS Word-Dokumenten oder PDFs erwecken. Wenn Sie eine wirklich strenge Antivirusrichtlinie implementiert haben, die diese Dokumenttypen sperrt oder das Öffnen von Dokumenten insgesamt einschränkt, wären Sie auf der sicheren Seite, aber bei den meisten kleinen und mittleren Unternehmen sind keine solchen Richtlinien implementiert. Außerdem enthalten E-Mails dann einfach einen Link, was ebenfalls problematisch ist.

F: Ist Ihnen ein realer Fall bekannt, in dem Ransomware einen Hyper-V-Host verschlüsselt hat? Falls ja, was wurde getan, um das Problem zu beheben?

F: Dmalock3.0 verschlüsselt den lokalen Speicher und alle Freigaben im Netzwerk und benennt Dateierweiterungen nicht um. Darüber hinaus dringt der Angreifer remote ein und löscht Backups. Gibt es einen Schutz vor dieser Art Angriff?

Die erste Verteidigungslinie besteht immer in der Schulung der Benutzer und dann im Einsatz von Web- und Spamfiltern. Diese Maßnahmen helfen, das Risiko zu verringern. Wenn Ihre einzige Backup-Methode im Einsatz von Windows-Sicherung und Schattenkopien besteht, ist schon recht deutlich, dass sie gegenüber Ausspähung und Löschung von Backups anfällig ist, wenn Sie für die Backups jedoch eine Drittanbieteranwendung einsetzen, ist dies deutlich schwieriger. Wenn der Angreifer aber darüber hinaus in den Besitz der Administratorrechte gelangt, die für das Ausspähen von Drittanbieter-Backups erforderlich sind, müssen Sie mit allem rechnen.

F: Verwendet Ransomware eigene Kryptografie-Infrastruktur, oder nutzt sie die des Betriebssystems?

Das hängt von der Variante der fraglichen Ransomware ab.

F: Kann ein NAS-System (Network Attached Storage) verschlüsselt werden?

Wenn die Ransomware mit einem Konto ausgeführt wird, das Zugriff auf den betreffenden Speicherort hat, verfügt sie höchstwahrscheinlich über diese Fähigkeit.

F: Antiviren- und Anti-Malware-Software wurde Jahr um Jahr verbessert. Würden Sie auf der Grundlage Ihrer Erfahrungen sagen, dass Ransomware hinsichtlich Viren und Schadsoftware die größte Herausforderung darstellt?

Ich bin mir nicht sicher, ob es die größte ist, aber es ist vielleicht die in ihrer Ausführung ungewöhnlichste. Seit dem Aufkommen von staatlich unterstützter Schadsoftware, die die Fähigkeit besitzt, an kritischer Infrastruktur von Ländern physische Schäden zu verursachen, würde ich diese Bedrohung größer als die durch Ransomware einstufen.

F: Wie schützen wir lokale Daten auf dem Computer in ähnlicher Weise wie Sie das in der Demo mit FSRM vorgestellt haben?

FSRM wäre in dem Fall keine Hilfe. Sie müssten Softwareeinschränkungen verwenden, wie im Webinar erörtert, und es ist fraglos hilfreich, für die tägliche Arbeit ein Konto zu verwenden, das KEINE lokalen Administratorrechte besitzt.

F: Beeinträchtigt die Dateiprüfung mit FSRM die Leistung des Dateiservers?

Der Einfluss auf die Leistung ist ziemlich gering und wahrscheinlich zu vernachlässigen.

F: Sind Daten auf, beispielsweise, Office 365 – OneDrive for Business oder auf Dropbox besser geschützt als auf normalem Speicher?

Das Problem bei dieser Art Technologie besteht darin, dass sie normalerweise einen Synchronisierungsvorgang auf dem lokalen Computer umfasst. Wenn die lokalen Dateien verschlüsselt sind, werden sie zurück auf den Cloud-Speicherort synchronisiert, da das Applet eine "neue Version" der betroffenen Datei erkannt hat.

F: Wir haben eine Dateifreigabe auf einer Linux/Unix-Box, die als Netzlaufwerk verbunden ist. Was würden Sie als Alternative zu FSRM vorschlagen.

Soweit mir bekannt ist, gibt es zurzeit kein Gegenstück zu FSRM unter Linux.

Wenn Sie eine Frage spezifisch zu Altaro VM Backup haben...

Bitte beachten Sie unsere Produktseite HIER und unsere häufig gestellten Fragen (FAQ) HIER.