Comment contenir les attaques du ransomware LockBit avec Illumio

The risk of ransomware is top of mind for many organizations.

Avec de nouvelles attaques qui font constamment la une des journaux, il est impossible d'y échapper. À l'heure actuelle, la plupart des organisations partent du principe qu'elles subiront un jour ou l'autre une intrusion. La meilleure façon d'éviter une cyber-catastrophe est de planifier et de protéger votre organisation en conséquence.

Illumio aide les organisations à prévenir les cyber-catastrophes en stoppant la propagation latérale est-ouest. Avec Illumio, lorsque cette brèche se produit, elle est rapidement circonscrite. Illumio empêche l'attaque de progresser au-delà de la première charge de travail qu'elle détourne et prévient la perte de données précieuses.

Today, we'll walk you through a real use case with LockBit to illustrate the following:

• Qu'est-ce que Lockbit ?
• À quoi cela ressemble-t-il dans le monde réel ?
• Expliquez étape par étape comment vous pouvez résoudre ce problème avec Illumio.

Les brèches sont effrayantes, mais Illumio peut vous aider à vous préparer.

Apprenez-en plus sur la segmentation zéro confiance d'Illumio.

Qu'est-ce que Lockbit ?

LockBit is a group running ransomware-as-a-service since 2019 that's been making headlines. While commonly known as ABCD ransomware, LockBit has now grown into a major threat, accounting for 48% of known attacks in 2022.

LockBit est un logiciel malveillant qui cible les organisations par le biais de pièces jointes aux courriels et d'infections en cascade du système de fichiers. Contrairement à d'autres types de ransomware qui se concentrent sur les entreprises et les particuliers, LockBit affecte principalement les entreprises et les organisations gouvernementales.

Une fois infecté, Lockbit se propage à travers d'autres appareils du réseau via SMB et PowerShell. Ces attaques se concentrent sur les appareils Windows et Linux.

Prenons un exemple concret de cette organisation en action.

Un exemple concret : L'attaque du ransomware Lockbit

Cette situation a un impact sur les entreprises et les agences du monde entier. Pas plus tard que l'été dernier, une grande organisation multinationale employant plus de 150 000 personnes a été touchée par un ransomware. LockBit a revendiqué la responsabilité de cette attaque et a affirmé avoir réussi à voler des données.

L'organisation a pu garder le contrôle de ses systèmes informatiques et a pris des mesures défensives pour rétablir l'intégrité totale de ses systèmes informatiques. Ils ont commencé à travailler avec une tierce partie pour enquêter sur l'incident. À la fin de l'automne, l'enquête se poursuivait.

Lorsque ces situations se présentent, leur résolution peut s'avérer incroyablement coûteuse et longue. Plus de trois mois plus tard, l'enquête se poursuit. Il s'agit là d'une réalité commune aux organisations victimes de tous les types d'attaques.

Illumio aide les organisations à répondre rapidement à ces situations afin de limiter l'impact d'une violation inévitable. Cela peut permettre d'économiser du temps et de l'argent dans le cadre d'une enquête coûteuse.

Comment aborder ce scénario de ransomware avec Illumio ?

La visibilité est essentielle

Je suis alerté d'un risque que Lockbit se soit introduit dans l'une de nos machines Windows 10. La première étape critique dans cette situation consiste à déterminer le nombre de dispositifs potentiels susceptibles d'être affectés.

Using Illumio's Illumination Plus, I can group my traffic based on OS (operating system):

Je dispose ainsi d'une vue claire de mes appareils par système d'exploitation. Je peux voir s'il y a un trafic actif entre les appareils Windows 10 et d'autres appareils dans mon entreprise pour prendre des décisions éclairées sur ce qu'il faut faire ensuite. Il est important de noter que ce trafic est visible en temps réel. Il n'est pas nécessaire d'attendre ou de s'inquiéter s'il s'agit d'une ancienne version. Je sais que j'ai accès aux informations les plus récentes au sein de mon organisation.

Maintenant que je sais qu'il y a actuellement du trafic entre mes appareils Windows 10 et d'autres appareils dans mon organisation, je dois rapidement formuler un plan pour arrêter le trafic entre ces appareils. Je sais que LockBit utilise couramment SMB et PowerShell pour se déplacer dans un réseau, je vais donc commencer par faire une analyse des menaces.

Ensuite, je mettrai les appareils concernés en quarantaine et je fermerai SMB et PowerShell partout où je sais qu'ils ne sont pas nécessaires.

Élaborer rapidement des règles de refus pour empêcher la propagation

To do this, I will need to create a deny rule within Illumio. These are referred to in the product as Enforcement Boundaries. First, I will create a new rule with a name such as, Block SMB and PowerShell.

Lorsque je clique sur enregistrer, Illumio me guide immédiatement vers une page où je peux voir toutes les connexions potentiellement bloquées par cette nouvelle règle. C'est un excellent moyen de vérifier où se situe l'impact et de comprendre ce qui pourrait être affecté avant de mettre la règle en place.

Après avoir vérifié quel trafic sera affecté, je clique sur provision pour appliquer la nouvelle politique. Si, dans certains cas, j'ai besoin que ce trafic se poursuive, par exemple pour permettre aux postes de travail Windows d'accéder à un serveur de fichiers spécifique via SMB, je peux faire des exceptions à l'aide de règles d'autorisation.

Protection maintenant

En cliquant sur un bouton, Illumio applique immédiatement les changements à toutes les charges de travail touchées. Cela permet à mon organisation de bénéficier d'une protection rapide dans une situation critique pour l'entreprise.

Maintenant que j'ai mis en quarantaine les appareils touchés et que j'ai mis en place une règle pour limiter la communication avec le reste du réseau, j'ai éliminé le risque de propagation. À ce stade, je peux commencer à examiner les appareils mis en quarantaine.

Read the Bishop Fox report that proves Illumio stops ransomware in less than 10 minutes compared to endpoint detection and response (EDR) solutions.

Soyez proactif contre la propagation des ransomwares avec Illumio

La mise en place d'une solution comme Illumio permet aux organisations d'être proactives dans le contrôle de la propagation de tout trafic indésirable entre les appareils. Illumio limite le mouvement latéral est-ouest d'une attaque, donnant aux outils de détection et de réponse le temps nécessaire pour identifier les menaces.

Illumio works alongside the traditional security tools, such as EDR, NDR, XDR, and perimeter firewalls, to improve cyber resilience.

Contact Illumio today to see rapid breach containment like never before.