Что произошло
Microsoft наблюдал быструю эксплуатацию недавно раскрытых уязвимостей во внешних системах, иногда с переходом от первичного доступа к ransomware менее чем за сутки.
Почему это важно
Ransomware редко начинается с самого шифрования. Обычно ему предшествуют внешний доступ, кража учётных данных, перемещение по сети и сбор данных.
Что стоит проверить
- Публичные сервисы и своевременность патчей
- Удалённый доступ и VPN
- Пути кражи учётных данных и lateral movement
- Изоляцию резервных копий
- Покрытие EDR и сценарии реагирования
Что это означает на практике
Ransomware почти всегда является финальной стадией более длинной цепочки. До шифрования обычно есть первичный доступ, закрепление, кража учётных данных, повышение привилегий, перемещение по сети и попытка добраться до резервных копий или ценных данных. Поэтому защита только от самого шифровальщика оставляет слишком много слепых зон.
При аудите полезно моделировать путь от внешнего сервиса или обычной учётной записи к критическим функциям. Проверяются удалённый доступ, сегментация, привилегии, защита резервных копий, EDR-покрытие и журналирование. Цель не в «запуске ransomware», а в безопасном подтверждении звеньев, которые сделали бы такой сценарий возможным.
Что даёт аудит
На аудите полезно проверять не отдельный индикатор, а весь путь: внешний сервис, идентификацию, права, данные, соседние системы и способность команды заметить попытку злоупотребления.