勒索软件和第三方风险管理：立即采取的 4 个步骤

2021 年Verizon 数据泄露调查报告》于本月发布，一如既往地全面回顾了网络攻击模式的重要趋势。今年的报告中值得注意的是，网络钓鱼、勒索软件和网络应用程序攻击的发生率越来越高，这主要是由于在家工作的白领越来越多，而在家工作的网络安全性可能不如在办公室环境中强。

从针对医疗机构的 Ryuk和继微软 Exchange Server 漏洞之后的 REvil，到最近由 DarkSide 策划的 Colonial Pipeline 攻击，勒索软件在多个行业的增长是一个特别令人担忧的趋势。在这篇文章中，我们将回顾勒索软件的增长点和增长方式，为什么组织处理勒索软件的成本越来越高，以及组织可以采取哪些措施来保护其最薄弱的安全环节：第三方供应商、销售商和合作伙伴。

勒索软件日益猖獗，勒索手段不断演变

根据 Verizon 今年的报告，勒索软件占安全事件总数的 5%，占所有入侵事件的 10%，在过去五年中急剧上升，因为攻击者的 "商业模式 "已经从简单地加密系统发展到威胁公布数据，直到支付赎金。窃取凭证和暴力攻击往往是这些网络犯罪分子最常用的攻击手段，在多达 60% 的勒索软件案例中，他们通过桌面共享应用程序直接安装或安装勒索软件。

攻击者现在的目标也不仅仅是管理许多公司财务王国钥匙的支付处理系统。正如在殖民地管道攻击事件中一样，他们现在更频繁地攻击会影响业务运营的系统。这往往会增加企业支付赎金以重新访问其系统和数据的可能性，并有可能避免因数据暴露事件而受到严厉的合规处罚和声誉损害。

Verizon的报告指出，勒索软件在金融和保险、医疗保健、采矿和采石、石油和天然气开采、公用事业和制造业中很受欢迎。

勒索软件代价高昂

正如Colonial Pipeline 攻击事件所表明的，勒索软件会给企业带来巨大损失。据报道，该公司向攻击组织 DarkSide 支付了 500 万美元。随着收入和生产力的损失，成本可能还会增加。今年的 Verizon 报告显示，在勒索软件攻击中，公司平均需要支付 120 万美元以上才能收回系统和数据。

更糟糕的是，支付赎金并不意味着你就安全了。Verizon 的报告指出，有些组织会在触发加密之前拷贝数据，然后将其作为对付受害组织的筹码。

确保第三方保护您的数据免遭勒索软件风险的四个步骤

勒索软件是当今企业面临的最昂贵、对业务影响最大的风险之一。由于大多数公司从数据托管/处理和支付到提供关键产品和服务都依赖于第三方，因此企业必须确保其销售商、供应商和合作伙伴制定了降低风险的计划。以下是我们认为必不可少的四个步骤：

1.主动评估关键供应商

不要等到新闻见报 - 现在就对您的供应商进行评估，以确定他们在检测、保护、响应和减轻勒索软件攻击方面采取了哪些控制措施。利用 Prevalent 的免费勒索软件评估，该评估涉及事件响应、责任方、灾难恢复计划、预防控制和端点安全措施等领域。有了这些基准洞察力，您就可以集中了解第三方的安全实践，并能快速识别风险和提出补救建议，从而降低企业的风险敞口。

2.监测网络入侵迹象

评估供应商的安全实践是必不可少的，但这是周期性的。通过持续监控面向公众的供应商网站属性、犯罪论坛、洋葱页面、深层暗网的特殊访问论坛、威胁源、泄漏凭证的粘贴网站，以及安全社区、代码库和漏洞数据库中提及的关键供应商，来强化这些结果。将这些活动集中到一项服务中，该服务可监控网络安全情报，并可根据发现的情况自动触发补救措施。

3.监测第三方披露

仅仅监控新闻网站、社交媒体帖子或从 RSS 源获取有关关键供应商的每日更新信息，并不能使您量化或分析违规披露信息或采取相应行动。这就是为什么必须从集中式服务中寻求定性见解的原因，这种服务包括成千上万的公共和私人来源，并能让您将数据整合到统一的风险登记册中。Prevalent 提供了一个免费选项，最多可为 20 家最重要的供应商获取这些洞察力。

4.获得快速应对事件所需的专家帮助

当勒索软件来袭时，许多组织都在努力使用基于手工电子表格的方法从供应商那里及时获得影响通知，从而延误了风险识别和缓解，最终导致不必要的风险暴露。相反，您可以寻求专家服务来代表您完成这项工作。Prevalent 的快速第三方事件响应服务可根据事件自动触发的可定制事件问卷对供应商进行评估，使他们能够主动提交评估，并提供规范的补救指导，以快速识别和减轻安全事件的影响。

管理风险的下一步措施

与其他任何安全风险一样，勒索软件永远无法完全防范。但是，采取规范性的方法，提供对第三方风险的持续可见性，可以降低此类事件发生的可能性和影响。

如需进一步了解 Prevalent 如何提供帮助，请立即与我们预约战略简报会，或利用我们的免费解决方案来评估您的第三方勒索软件风险。