建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
2021年3月下旬，澳大利亞最大的媒體Nine公司遭到重大勒索軟件攻擊，使其IT主管和新任命的網(wǎng)絡(luò)主管面臨巨大的責(zé)任和壓力。
在新冠疫情持續(xù)蔓延期間，網(wǎng)絡(luò)攻擊數(shù)量急劇上升。Nine公司在遭到攻擊之后，一些廣播和其他業(yè)務(wù)受到嚴(yán)重干擾，隨著這個(gè)消息的傳播，該公司的股價(jià)下跌了2.4%。
Nine公司的首席信息技術(shù)官(CITO) Damian Cronan和IT安全主管Celeste Lowe對(duì)該公司遭遇網(wǎng)絡(luò)攻擊的應(yīng)對(duì)過(guò)程以及攻擊之后發(fā)生的變化進(jìn)行了介紹。
Nine公司的IT部門(mén)由于發(fā)生勒索軟件攻擊被人喚醒
3月28日凌晨2點(diǎn)，Nine公司首席信息技術(shù)官Damian Cronan接聽(tīng)了一個(gè)緊急電話(huà)。
他在事后接受行業(yè)媒體的采訪(fǎng)時(shí)說(shuō)，“我當(dāng)時(shí)被電話(huà)鈴聲驚醒，接到我們的一位安全工程師打來(lái)的電話(huà)。他告訴我，從目前看到的情況以及各種跡象表明，Nine公司遭遇了一次重大的勒索軟件攻擊。
我們當(dāng)時(shí)并沒(méi)有清楚地了解它的范圍和規(guī)模，但從所看到的一切來(lái)看，遭遇的網(wǎng)絡(luò)攻擊很?chē)?yán)重。那時(shí)我在想，‘好吧，我們接下來(lái)需要做什么?’。我們于是組建了一個(gè)團(tuán)隊(duì)，開(kāi)始喚醒IT部門(mén)成員，并盡我們所能，例如在任何類(lèi)似的事件響應(yīng)中進(jìn)行遏制和隔離?！?/p>
名列IT部門(mén)名單的第一位就是Nine公司首席執(zhí)行官M(fèi)ike Sneesby。隨后他決定召集IT團(tuán)隊(duì)在單一地點(diǎn)(辦公室)工作，并與Nine公司新任命的IT安全部門(mén)總監(jiān)Celeste Lowe取得聯(lián)系，以確保采取正確的網(wǎng)絡(luò)響應(yīng)措施。
由于勒索軟件攻擊者的身份和來(lái)源仍然未知，Cronan與他的團(tuán)隊(duì)開(kāi)展合作，對(duì)業(yè)務(wù)的不同領(lǐng)域進(jìn)行細(xì)分和自我控制。這包括立即切斷Nine公司的廣播環(huán)境和各州辦事處之間的聯(lián)系，以及將該公司通信網(wǎng)絡(luò)與出版社的網(wǎng)絡(luò)分離。
Cronan說(shuō)，“這純粹是一種補(bǔ)救和遏制的嘗試，因?yàn)槲覀冞€不知道威脅對(duì)手或特定勒索軟件攻擊的傳播方式和范圍。”
Lowe立即啟動(dòng)了Nine公司針對(duì)此類(lèi)情況設(shè)計(jì)的“非常重要的事件響應(yīng)”流程。這個(gè)流程由兩個(gè)主要部分組成，第一部分側(cè)重于業(yè)務(wù)連續(xù)性;找出哪些要素對(duì)恢復(fù)業(yè)務(wù)服務(wù)至關(guān)重要。Cronan和Lowe必須與業(yè)務(wù)團(tuán)隊(duì)合作，回答諸如“我們可以繼續(xù)播出嗎?”、“我們可以發(fā)行報(bào)紙嗎?”、“我們可以收款嗎?”以及“我們能付錢(qián)給別人嗎?”等關(guān)鍵問(wèn)題。
第二部分涉及評(píng)估針對(duì)Nine公司對(duì)其面臨的對(duì)手有什么能力，以及他們是否被遏制并與關(guān)鍵環(huán)境隔離。
此時(shí)存在很大的不確定性。Lowe和她的團(tuán)隊(duì)發(fā)現(xiàn)攻擊者正在使用Medusa Locker勒索軟件，但仍然沒(méi)有了解關(guān)于攻擊者身份或位置的信息，也不知道他們攻擊的動(dòng)機(jī)。
另一方面，鑒于Medusa Locker是所謂的勒索軟件即服務(wù)的一個(gè)例子，他可能是任何人，甚至可能是一名孩子。
Nine公司遏制勒索軟件攻擊的工作
Lowe表示，無(wú)論攻擊者是誰(shuí)，無(wú)論他們想要什么，當(dāng)務(wù)之急是確定他們是否仍在系統(tǒng)環(huán)境中。Lowe和她的團(tuán)隊(duì)進(jìn)行了遏制和隔離活動(dòng)，直到確定網(wǎng)絡(luò)攻擊者已被擊退。
在擔(dān)任德勤公司澳大利亞風(fēng)險(xiǎn)咨詢(xún)網(wǎng)絡(luò)情報(bào)中心主任之前，Lowe曾是澳大利亞航空公司Qantas的高級(jí)網(wǎng)絡(luò)分析師。Lowe承認(rèn)，與Cronan一樣，她在職業(yè)生涯中從未經(jīng)歷過(guò)這樣的網(wǎng)絡(luò)安全事件。由于這個(gè)事件發(fā)生在這家知名媒體中，這使得其安全處理和回應(yīng)的挑戰(zhàn)變得越來(lái)越大。
Lowe說(shuō)，“我認(rèn)為這就是為媒體機(jī)構(gòu)工作的獨(dú)特之處……因?yàn)橹纫叩枚唷Ｎ蚁胨鼤?huì)改變Nine公司如何運(yùn)行事件和管理信息流，這在外部和內(nèi)部都是至關(guān)重要的?！?/p>
Cronan和Lowe共同創(chuàng)建了一個(gè)由10到15名核心工程師、經(jīng)理和其他專(zhuān)家組成的“作戰(zhàn)室”，他們從第一天開(kāi)始就致力于恢復(fù)工作，持續(xù)了大約三個(gè)月的時(shí)間。
Cronan說(shuō)，“這是對(duì)團(tuán)隊(duì)成員能力的證明，他們振作起來(lái)，沒(méi)有人在下午5點(diǎn)按時(shí)下班，而是日以繼夜地工作，在很多情況下，有人連續(xù)工作了好幾天。我們廢寑忘食地確保盡快處理問(wèn)題，其中很多都是緊密協(xié)作的，因?yàn)樵缙谌狈π畔?，并且需要做出很多決定?！?/p>
例如，任何技術(shù)決策都需要考慮是否安全，以及確保不會(huì)陷入困境，而把事情做好意味著持續(xù)的面對(duì)面協(xié)作。當(dāng)然，所有這些都需要傳達(dá)給企業(yè)的首席執(zhí)行官和董事會(huì)。
Cronan說(shuō)，“我們?cè)谠缙诟冻隽司薮蟮呐?lái)確保董事會(huì)獲得最新信息，我們的首席執(zhí)行官M(fèi)ike Sneesby也是這方面的關(guān)鍵人物，他確保信息清晰和簡(jiǎn)潔，在就董事會(huì)對(duì)此事的理解而言，我們還提供了簡(jiǎn)報(bào)?！?/p>
對(duì)于在網(wǎng)絡(luò)攻擊前幾個(gè)月才加入Nine公司的Lowe來(lái)說(shuō)，這是一次鳳凰涅槃。
她說(shuō)，“業(yè)務(wù)中的所有利益相關(guān)者都對(duì)技術(shù)抱有極大的信任，而Damian和我以及團(tuán)隊(duì)中的其他人都會(huì)繼續(xù)努力，做我們要做的事情。我認(rèn)為沒(méi)有人再猜測(cè)他們是正確的決定還是錯(cuò)誤的決定?！?/p>
當(dāng)然，考慮到2021年3月遭受的網(wǎng)絡(luò)攻擊事件，Lowe的任命尤其具有先見(jiàn)之明。網(wǎng)絡(luò)攻擊之前幾周，她的職位獲得批準(zhǔn)，然后讓她上任的過(guò)程創(chuàng)造了一定程度的信任，這使Nine公司遭到網(wǎng)絡(luò)攻擊幾個(gè)月后經(jīng)過(guò)如此嚴(yán)格的測(cè)試時(shí)得到了很好的服務(wù)。
Cronan說(shuō)，“關(guān)于將Lowe入職的討論，以及我們改善整體安全態(tài)勢(shì)的愿望，無(wú)疑有助于在事件發(fā)生之前建立了一定程度的信任。”
Nine公司自從遭受勒索軟件攻擊以來(lái)發(fā)生的變化
Cronan表示，他和Lowe已經(jīng)投入了大量工作來(lái)改善Nine公司在勒索軟件攻擊事件發(fā)生前的網(wǎng)絡(luò)態(tài)勢(shì)，他們現(xiàn)在已經(jīng)采取了一種更大的“基于風(fēng)險(xiǎn)”的網(wǎng)絡(luò)安全方法。
他說(shuō)，“我要說(shuō)的是，在我和Lowe臨危受命改進(jìn)Nine公司整體安全狀況的情況下，就像任何經(jīng)歷了合并，并已經(jīng)發(fā)展多年的大型企業(yè)一樣，很多事情都是不可能完成的任務(wù)?！?/p>
從安全的角度來(lái)看，就業(yè)務(wù)運(yùn)營(yíng)方式而言，有很多事情并不理想，但遭到網(wǎng)絡(luò)攻擊卻帶來(lái)了很多積極的影響。
Cronan指出，“在許多方面，我們的一些措施在網(wǎng)絡(luò)攻擊之后得到提升和運(yùn)行。但框架和戰(zhàn)略都已經(jīng)到位。因此，當(dāng)發(fā)生網(wǎng)絡(luò)攻擊事件時(shí)，我們的重點(diǎn)是在戰(zhàn)術(shù)上確保能夠繼續(xù)運(yùn)營(yíng)和運(yùn)作，但是一旦塵埃落定，主要的話(huà)題很快就轉(zhuǎn)向了如何加快處理速度，因?yàn)槲覀兞私饬擞?jì)劃，并且經(jīng)歷了網(wǎng)絡(luò)攻擊的后果?！?/p>
Lowe指出，雖然Nine公司在網(wǎng)絡(luò)攻擊事件發(fā)生之前已經(jīng)開(kāi)始實(shí)施互聯(lián)網(wǎng)安全中心(CIS)框架，該公司此后加快了部署，以增強(qiáng)檢測(cè)、防御和響應(yīng)能力。
在受到網(wǎng)絡(luò)攻擊的最初幾個(gè)小時(shí)內(nèi)，幾個(gè)“第三方”組織與作戰(zhàn)室開(kāi)展合作來(lái)完成這項(xiàng)工作，其中包括部署一些現(xiàn)成的安全產(chǎn)品。
在展望未來(lái)時(shí)，Lowe強(qiáng)調(diào)保持簡(jiǎn)單的重要性;考慮到Nine公司收購(gòu)Fairfax公司等幾家企業(yè)合并所帶來(lái)的復(fù)雜性，這絕非易事。
Lowe說(shuō)：“我們?cè)趹?zhàn)略上把重點(diǎn)放在簡(jiǎn)化這一點(diǎn)上。我們已經(jīng)非常努力，例如了解我們的環(huán)境、其中的資產(chǎn)以及需要對(duì)其進(jìn)行的控制級(jí)別。我們當(dāng)然了解業(yè)務(wù)運(yùn)營(yíng)的優(yōu)先順序。這也是這一網(wǎng)絡(luò)攻擊事件帶來(lái)的一個(gè)機(jī)會(huì)?！?/p>
Nine公司遭遇的網(wǎng)絡(luò)攻擊事件強(qiáng)調(diào)了人員在網(wǎng)絡(luò)安全中發(fā)揮的關(guān)鍵作用，促使Lowe分配更多資源來(lái)支持Nine公司的培訓(xùn)計(jì)劃。她解釋說(shuō)，這是“強(qiáng)制”和“選擇加入”的混合，具體取決于各個(gè)角色的風(fēng)險(xiǎn)狀況，需要一些員工參與網(wǎng)絡(luò)釣魚(yú)模擬。為此，Nine公司增加了面對(duì)面和一對(duì)多培訓(xùn)課程，而其員工有更多機(jī)會(huì)參加學(xué)習(xí)活動(dòng)。
Lowe說(shuō)，“顯然，對(duì)某些系統(tǒng)具有特權(quán)訪(fǎng)問(wèn)權(quán)限的人員需要與那些整天在電子郵件中工作的員工接受不同類(lèi)型的培訓(xùn)。我認(rèn)為需要了解目標(biāo)受眾，想從中得到什么。以及試圖降低的風(fēng)險(xiǎn)。”
她說(shuō)，“永遠(yuǎn)不要低估企業(yè)內(nèi)部人員的力量，因?yàn)樗麄兪瞧髽I(yè)防御層的一部分。需要盡可能多地教育他們，并提高他們的安全意識(shí)水平，無(wú)論從最基本的知識(shí)還是更復(fù)雜的知識(shí)，這是絕對(duì)必要的。”
Nine公司定義網(wǎng)絡(luò)安全的關(guān)鍵因素
Lowe和她的團(tuán)隊(duì)現(xiàn)在問(wèn)自己的問(wèn)題是：“哪些業(yè)務(wù)對(duì)我們至關(guān)重要?什么對(duì)網(wǎng)絡(luò)安全至關(guān)重要?我們已經(jīng)優(yōu)先考慮管理一些安全控制，而且顯然是在關(guān)注邊緣資產(chǎn)。我們實(shí)際上有什么面向公眾的資產(chǎn)，并確保得到盡可能好的保護(hù)。因此，我們對(duì)此采取了基于風(fēng)險(xiǎn)的觀點(diǎn)，并真正了解了我們的情況。”
Cronan表示，Nine公司的網(wǎng)絡(luò)安全規(guī)劃考慮到了媒體業(yè)務(wù)的性質(zhì)。
他說(shuō)，“媒體行業(yè)有一些獨(dú)特的方面，使我們成為某些利益集團(tuán)以及犯罪威脅行為者的特別關(guān)注點(diǎn)。這對(duì)我們來(lái)說(shuō)是一個(gè)復(fù)雜的威脅形勢(shì)。這也為我們的關(guān)注點(diǎn)和應(yīng)對(duì)策略提供了信息?！?/p>
Cronan說(shuō)，雖然媒體無(wú)疑是一個(gè)越來(lái)越重要的行業(yè)和服務(wù)需要保護(hù)，但澳大利亞內(nèi)政部尚未就新通過(guò)的關(guān)鍵基礎(chǔ)設(shè)施法案正式接洽Nine公司。Cronan說(shuō)，“我們還沒(méi)有對(duì)我們是否屬于這一范疇達(dá)成一致?！北M管Lowe確認(rèn)正在評(píng)估中。
Lowe說(shuō)，“當(dāng)人們談?wù)摪踩L(fǎng)問(wèn)服務(wù)邊緣(SASE)或零信任模型時(shí)，這對(duì)每個(gè)企業(yè)都意味著不同的東西。而且我不認(rèn)為有一種適合所有人的標(biāo)準(zhǔn)或產(chǎn)品。有很多供應(yīng)商說(shuō)他們的產(chǎn)品是安全訪(fǎng)問(wèn)服務(wù)邊緣(SASE)或零信任，但我認(rèn)為對(duì)于企業(yè)來(lái)說(shuō)，就像Nine公司在這里所做的那樣，必須評(píng)估并選擇適合的組件。這不能掉以輕心，因?yàn)樾枰罅客顿Y。我認(rèn)為這需要在可持續(xù)性方面付出大量努力?！?/p>
網(wǎng)頁(yè)名稱(chēng)：企業(yè)如何從Nine公司經(jīng)歷的勒索軟件噩夢(mèng)中吸取教訓(xùn)
當(dāng)前路徑：http://www.dlmjj.cn/article/ccshhpj.html
