حملات باج‌افزاری (Ransomware) زمانی آغاز نمی‌شوند که فایل‌ها رمزنگاری شوند؛ بلکه تا آن لحظه، مهاجم احتمالاً اعتبارنامه‌های معتبر را به دست آورده، وارد شبکه شده، در سیستم‌ها جابه‌جا شده (Lateral Movement) و یک کانال فرماندهی و کنترل (C2) ایجاد کرده است.
چرا دفاع واکنشی (Reactive) کافی نیست؟
کنترل‌های واکنشی همچنان مهم هستند، اما اغلب نمی‌توانند بافت (Context) خارجی لازم برای شناسایی تهدیدات احتمالی را فراهم کنند. ابزارهایی مانند EDR، مانیتورینگ شبکه و بک‌آپ‌ها نقش مهمی دارند، اما مشکل اصلی زمان‌بندی است. اگر تیم امنیتی تنها پس از مشاهده رفتار مخرب در محیط داخلی اقدام کند، مهاجم احتمالاً دسترسی‌های لازم را کسب کرده یا در حال حرکت به سمت سیستم‌های حیاتی است.
تفاوت IOCها و TTPها در پیش‌بینی حملات
شاخص‌های آلودگی (IOCs) مانند IPهای مخرب، دامنه‌ها و هش‌های فایل، برای شناسایی تهدیدات شناخته شده مفیدند، اما عمر کوتاهی دارند زیرا مهاجمان سریعاً زیرساخت‌های خود را تغییر می‌دهند.
در مقابل، تاکتیک‌ها، تکنیک‌ها و رویه‌ها (TTPs) نحوه عملیات مهاجم را توصیف می‌کنند (مانند چارچوب MITRE ATT&CK). تغییر یک روش حمله موفق برای مهاجم دشوارتر از تغییر یک IP است. رصد هم‌زمان IOCها و TTPها به مدافعان کمک می‌کند تا تصمیم بگیرند چه چیزی را اکنون مسدود کنند و منتظر چه رفتارهایی باشند.
نقش Threat Intelligence در پیشگیری از باج‌افزار
بهترین زمان برای متوقف کردن باج‌افزار، پیش از رسیدن مهاجم به مرحله اثرگذاری (Impact) است. هوش تهدید فرصت‌هایی را برای اقدام در مراحل دسترسی اولیه (Initial Access) و فعالیت‌های C2 فراهم می‌کند:
- رصد مهاجم خارج از شبکه: دلالان دسترسی اولیه (IABs) دسترسی‌های به‌دست‌آمده را در بازارهای سیاه می‌فروشند. Threat Intelligence می‌تواند اعتبارنامه‌های لو رفته یا دسترسی‌های RDP باز را شناسایی کند تا پیش از استفاده مهاجم، اقدامات پیشگیرانه صورت گیرد.
- تحلیل زیرساخت C2: با شناسایی زیرساخت‌های مرتبط با عوامل تهدید (Threat Actors)، تیم‌های امنیتی می‌توانند ارتباطات مشکوک در شبکه داخلی خود را شناسایی و ایزوله کنند، پیش از آنکه Payload باج‌افزار اجرا شود.
اقدامات عملیاتی در نقاط حساس
ردیابی تنها زمانی مفید است که منجر به تغییر در اقدامات تیم امنیتی شود:
- مدیریت اعتبارنامه‌ها: در صورت مشاهده اعتبارنامه‌های سازمانی در منابع مجرمانه، باید فوراً حساب‌های مربوطه بررسی و رمز عبورها تغییر کنند.
- اولویت‌بندی آسیب‌پذیری‌ها: به جای تکیه صرف بر امتیاز Severity، باید بر اساس شواهد بهره‌برداری (Exploitation) توسط گروه‌های باج‌افزاری فعال، اولویت اصلاح (Patching) را تعیین کرد.
- مسدودسازی زیرساخت‌ها: ارسال شاخص‌های با اطمینان بالا (High-confidence) به ابزارهای امنیتی برای مسدود کردن ارتباط با C2های شناخته شده.
تحلیل قربانی‌شناسی (Victimology)
همه گروه‌های باج‌افزاری اهداف یکسانی ندارند. بررسی الگوهای هدف‌گیری بر اساس صنعت و جغرافیا به تیم‌های SOC کمک می‌کند تا تمرکز خود را بر گروه‌هایی بگذارند که احتمالاً سازمان آن‌ها را هدف قرار می‌دهند و شناسایی (Detection) و شکار تهدید (Hunting) را بر اساس آن تنظیم کنند.
