O schimbare semnificativă are loc în lumea securității cibernetice: atacatorii de ransomware nu se mai axează doar pe Windows, ci vizează din ce în ce mai mult sistemele Linux și mediile VMware. Această reorientare strategică este logică, având în vedere că Linux stă la baza majorității infrastructurilor cloud și a serverelor web de top.

Mai multe grupări de ransomware proeminente și-au adaptat atacurile pentru a include Linux și VMware. De exemplu, Pay2Key și-a actualizat instrumentele pentru a ținti specific Linux, în timp ce grupul BERT și-a extins, de asemenea, aria de acoperire către aceste sisteme. Tehnica lor a evoluat considerabil, folosind adesea execuție fără fișiere și tactici "Living-off-the-Land", ceea ce înseamnă că utilizează instrumente de sistem legitime (cum ar fi scripturile Bash) pentru a opera direct în memorie, ocolind astfel detecția tradițională.

Această nouă abordare prezintă provocări majore pentru echipele de securitate cibernetică, deoarece atacurile din memorie lasă puține urme digitale și pot eluda soluțiile de securitate concepute în principal pentru Windows. Mediile cloud și DevOps sunt deosebit de vulnerabile, atacatorii exploatând adesea configurările greșite și permisiunile slabe. În plus, utilizarea containerelor și a clusterelor Kubernetes facilitează o răspândire rapidă a malware-ului în întreaga infrastructură odată ce accesul inițial este obținut, crescând exponențial impactul potențial al unui atac.

Sfaturi de Protectie

1. Actualizați Constant Sistemele și Software-ul dvs

Pe Linux (Ubuntu/Debian):

Actualizare pachete:

• Deschideti un terminal.
• Rulati: sudo apt update (actualizează lista de pachete disponibile).
• Apoi: sudo apt upgrade -y (instalează actualizările).
• Pentru actualizări majore de sistem (kernel, etc.) care ar putea necesita repornire: sudo apt dist-upgrade -y.

Pe VMware ESXi/vCenter:

• Descărcați Patch-uri/Update-uri:
• Accesați Customer Connect (fostul MyVMware) cu contul dumneavoastră.
• Navigați la "Products" > "My Products" și căutați produsele VMware vSphere/ESXi pe care le aveți.
• Descărcați pachetele de patch-uri (patch bundles) sau actualizările complete pentru versiunea dumneavoastră.

2. Implementați Segmentarea Rețelei

Concept: Folosiți VLAN-uri și reguli de firewall pentru a izola mașinile Linux sau host-urile VMware între ele și de alte rețele.

Pe Switch-uri și Routere:

• Configurați VLAN-uri separate pentru diferite tipuri de trafic (ex: management, VMotion, rețele de mașini virtuale cu trafic sensibil).
• Exemplu de comandă pe un switch Cisco (concept general): vlan 10, name Management; vlan 20, name VMs_Sensitive.
• Asociați porturile fizice sau interfețele la VLAN-urile corespunzătoare.

Pe Firewall:

• Creați reguli care permit comunicarea doar pe porturile și protocoalele necesare între VLAN-uri.
• Exemplu: Permite traficul SSH (port 22) doar din rețeaua de management către serverele Linux. Refuză orice alt trafic între rețeaua de VM-uri și rețeaua de management.

3. Configurați Corect Drepturile de Acces

Pe Linux:

Evitați Logarea Directă ca root:

• Creați un utilizator non-root standard: sudo adduser nume_utilizator.
• Adăugați utilizatorul la grupul sudo pentru a putea executa comenzi cu privilegii: sudo usermod -aG sudo nume_utilizator.
• Conectați-vă cu acest utilizator și folosiți sudo pentru comenzi administrative (ex: sudo apt update).

Securizați SSH (fără parolă root și doar cu chei SSH):

• Editați fișierul de configurare SSH: sudo nano /etc/ssh/sshd_config.
• Căutați și modificați liniile:
• PermitRootLogin no (dezactivează logarea directă ca root).
• PasswordAuthentication no (dezactivează autentificarea cu parolă - folosiți DOAR dacă ați configurat deja autentificarea cu chei SSH!).
• Salvați și închideți fișierul (Ctrl+X, Y, Enter).
• Reporniți serviciul SSH: sudo systemctl restart ssh.

Pe VMware vCenter/ESXi:

Principiul Privilegiului Minim:

• În vSphere Client, navigați la "Hosts and Clusters", "VMs and Templates" sau "vCenter Server".
• Click dreapta pe obiectul dorit (ex: un VM, un host ESXi, folderul "VMs and Templates").
• Selectați "Add Permission...".
• Alegeți utilizatorul/grupul și selectați "Role" (rolul) cel mai restrictiv care permite îndeplinirea sarcinilor necesare (ex: "Virtual machine power user" pentru a porni/opri VM-uri, nu "Administrator"). Evitați pe cât posibil rolul de "Administrator" pentru conturile de zi cu zi.

4. Monitorizați Activitatea In-Memory și Comportamentul Sistemului

Pe Linux:

Instalați un EDR (ex: Wazuh Agent, Elastic Agent cu Endpoint Security):

• Urmați instrucțiunile specifice furnizorului EDR pentru instalarea agentului pe serverele Linux. Acestea monitorizează apelurile de sistem, procesele, activitatea de fișiere și rețea.
• Exemplu general pentru Wazuh: Instalați agentul (apt install wazuh-agent), configurați manager-ul și porniți serviciul (systemctl enable wazuh-agent && systemctl start wazuh-agent).

5. Utilizați Soluții de Securitate Specifice pentru Linux și Cloud

Pe Linux:

• Antivirus/Anti-malware pentru Linux: Instalați o soluție dedicată (ex: ClamAV, sau soluții comerciale precum CrowdStrike, Sophos, ESET care au agenți Linux).
• Exemplu ClamAV (open source, pentru scanare la cerere): sudo apt install clamav clamav-daemon. Rulează o scanare: clamscan -r /.

Pentru Medii Cloud (exemplu AWS, dar principii similare pentru Azure/GCP):

Configurații de securitate:

• Folosiți serviciul AWS Security Hub pentru a monitoriza postura de securitate și a detecta configurări greșite.
• Activați Amazon GuardDuty pentru detectarea amenințărilor continue.

Securitate Containere:

• Integrați scanarea de vulnerabilități în pipeline-ul CI/CD pentru imagini Docker/Kubernetes (ex: folosind Trivy, Snyk).
• Asigurați-vă că runtime-ul containerelor (ex: containerd) este configurat securizat.

6. Efectuați Backupuri Regulate și Testați Recuperarea

Pe Linux:

Backup cu rsync (exemplu simplu):

• Creați un script de backup: nano backup.sh
• Adăugați: rsync -avz --delete /calea/sursa/ /calea/destinatie_backup/ (destinația ar trebui să fie o unitate externă, NAS, sau un alt server securizat).
• Rulați scriptul: bash backup.sh.

Pe VMware vSphere (exemplu simplu cu Veeam Backup & Replication):

Configurare Job Backup:

• Deschideți consola Veeam Backup & Replication.
• Click pe "Backup Job" > "Virtual machine".
• Selectați VM-urile de backup-at.
• Alegeți o destinație de backup (repozitoriu de backup). Asigurați-vă că aveți un repozitoriu imutabil sau un backup offline.
• Setați un program (zilnic, săptămânal, etc.).

7. Securizarea Sistemelor Linux și VMware

Pe Linux:

Dezactivați serviciile care nu sunt strict necesare:

• Listează serviciile active: sudo systemctl list-units --type=service --state=running.
• Oprește un serviciu: sudo systemctl stop nume_serviciu.
• Dezactivează-l să nu mai pornească la boot: sudo systemctl disable nume_serviciu.

Pe VMware ESXi:

• Descărcați "VMware vSphere Security Configuration Guide" de pe site-ul VMware.
• Urmați recomandările pentru: Dezactivarea serviciilor neutilizate pe ESXi (ex: CIM server, SLP) si Schimbarea parolelor implicite.
• Configurarea jurnalizării centralizate (Syslog).

8. Implementați Autentificarea Multi-Factor (MFA)

Pe Linux (pentru SSH, prin PAM):

Instalați libpam-google-authenticator:

• sudo apt install libpam-google-authenticator.
• Rulați: google-authenticator și urmați pașii pentru a genera coduri TOTP (time-based one-time password) pe telefon.

Configurați SSH:

• Editați /etc/pam.d/sshd și adăugați linia: auth required pam_google_authenticator.so.
• Editați /etc/ssh/sshd_config și asigurați-vă că ChallengeResponseAuthentication yes este activat și UsePAM yes.
• Reporniți SSH: sudo systemctl restart ssh.
• Acum, la logare SSH, vi se va cere parola, apoi codul TOTP de pe telefon.

Pe VMware vCenter/ESXi:

Integrare cu Identity Provider (IDP) cu MFA:

• Configurați vCenter Server să utilizeze o sursă externă de identitate (ex: Active Directory, LDAP, sau un serviciu de identitate compatibil SAML 2.0 precum Okta, Azure AD) care suportă MFA.
• În vSphere Client, navigați la "Administration" > "Single Sign On" > "Configuration" > "Identity Providers".
• Adăugați și configurați IDP-ul pentru a impune MFA.

9. Instruiți Personalul și Echipa DevOps

Conștientizarea utilizatorilor:

• Simulări de Phishing: Utilizați platforme specializate pentru a trimite e-mailuri de phishing simulate și a educa utilizatorii care cad pradă.
• Sesiuni de instruire: Organizați sesiuni regulate (online/offline) unde discutați despre amenințările curente, recunoașterea e-mailurilor suspecte și importanța nu a da click pe linkuri necunoscute.

10. Informați-vă Constant și Adaptați-vă Strategiile

• Peisajul amenințărilor cibernetice este într-o continuă schimbare. E crucial să fiți la curent cu noile tipuri de atacuri, vulnerabilități și tactici folosite de infractori.
• Participați la webinarii, citiți rapoarte de securitate și faceți schimb de experiență cu alți profesioniști. Numai prin informare și adaptare continuă veți putea dezvolta și menține un plan de apărare eficient, capabil să țină pasul cu provocările în evoluție.

Pentru mai multe sfaturi și informații despre securitatea cibernetică, vizitează regulat sigurantapenet.ro

Sursa