Cacing merupakan ancaman utama bagi layanan cloud. Cacing mengeksploitasi kerentanan server untuk menyebar melalui jaringan dan melakukan operasi jahat pada server yang telah dikompromikan. Serangan cacing menimbulkan ancaman serius terhadap aset dan bisnis pengguna. Cloud Firewall menyediakan pertahanan berlapis terhadap rantai serangan cacing, mendeteksi serta menghentikan berbagai jenis cacing, dan secara dinamis memperbarui kemampuannya berdasarkan intelijen ancaman dari cloud. Topik ini menjelaskan cara melindungi dari cacing yang berasal dari server C&C.
Dampak cacing
Berikut adalah masalah yang dapat timbul akibat serangan cacing:
Penghentian Layanan: Cacing dapat memodifikasi konfigurasi atau menghentikan layanan pada server yang telah dikompromikan, menyebabkan risiko seperti kegagalan server atau penghentian layanan.
Pencurian Informasi: Cacing bertujuan mencuri informasi dengan memampatkan data pada server yang telah dikompromikan dan mengirimkan data terkompresi kepada penyerang, yang dapat menyebabkan pelanggaran data dan penyalahgunaan sumber daya.
Kontrol Regulasi: Saat cacing menyebar melalui jaringan, ia mengirimkan sejumlah besar paket, memicu kontrol regulasi pada alamat IP yang dapat mengakibatkan penghentian layanan, misalnya pemblokiran alamat IP.
Kehilangan Ekonomi atau Data: Ransomware cacing mengenkripsi file pada server yang telah dikompromikan untuk tebusan, yang dapat menyebabkan kehilangan ekonomi atau data.
Solusi yang disediakan oleh Cloud Firewall
Cloud Firewall menyediakan pertahanan berlapis terhadap rantai serangan cacing, mendeteksi serta menghentikan berbagai jenis cacing, dan secara dinamis memperbarui kemampuannya berdasarkan intelijen ancaman dari cloud.
Berikut adalah beberapa cacing umum:
DDG: Menyebar dengan mengeksploitasi kerentanan Redis dan meluncurkan serangan brute-force. Cacing ini menggunakan sumber daya komputasi pada server yang telah dikompromikan untuk menambang cryptocurrency.
WannaCry: Menyebar dengan mengeksploitasi kerentanan sistem Windows dan mengkompromikan server untuk tebusan.
BillGates: Menyebar dengan mengeksploitasi kerentanan aplikasi dan meluncurkan serangan brute-force. Cacing ini membangun botnet dari server yang telah dikompromikan untuk meluncurkan serangan DDoS.
Case: DDG worm
DDG adalah cacing aktif yang menyebar dengan mengeksploitasi kerentanan Redis dan meluncurkan serangan brute-force. Server yang telah dikompromikan ditambahkan ke botnet untuk menambang cryptocurrency.
Impact scope of DDG
Server yang menggunakan kata sandi SSH lemah.
Server Redis atau database lainnya yang memiliki kerentanan tertentu.
Major impact of DDG
Penghentian Layanan: DDG menambang cryptocurrency pada server yang telah dikompromikan, menggunakan sejumlah besar sumber daya komputasi. Hal ini dapat mempengaruhi ketersediaan layanan atau menyebabkan penghentian layanan.
Kontrol Regulasi: Saat DDG menyebar melalui jaringan, ia mengirimkan sejumlah besar paket, memicu kontrol regulasi pada alamat IP yang dapat mengakibatkan penghentian layanan, misalnya pemblokiran alamat IP.
Defense against the DDG attack chain
Cloud Firewall mendeteksi dan mempertahankan diri terhadap rantai serangan DDG secara real-time, sehingga mencegah penyebaran cacing.
Gambar berikut menunjukkan arsitektur yang digunakan untuk mempertahankan diri terhadap rantai serangan DDG.
Cloud Firewall menyediakan kemampuan Sistem Pencegahan Intrusi (IPS) berikut:
Whitelist: Cloud Firewall mempercayai alamat IP sumber dan tujuan yang Anda tentukan dalam daftar putih dan tidak memblokir lalu lintas dari alamat IP tersebut.
Threat intelligence: Cloud Firewall memindai server Anda untuk intelijen ancaman dan memblokir perilaku jahat dari server C&C berdasarkan intelijen ancaman.
Basic protection: Cloud Firewall mendeteksi malware dan menghentikan permintaan yang dikirimkan ke atau diterima dari server C&C atau backdoor.
Virtual patching: Cloud Firewall menyediakan patch virtual untuk melindungi layanan Anda dari kerentanan aplikasi berisiko tinggi populer secara real-time.
Prosedur
Masuk ke Konsol Cloud Firewall.
Di panel navigasi di sebelah kiri, pilih .
Di tab Internet Border, pilih Block-Loose untuk Threat Engine Mode.
Klik Whitelist dan tambahkan alamat IP sumber tepercaya, alamat IP tujuan, atau buku alamat untuk lalu lintas masuk dan keluar ke daftar putih tertentu.
Aktifkan sakelar pada tab Basic Protection, Virtual Patching, dan Threat Intelligence.
Untuk informasi lebih lanjut tentang cara mengonfigurasi kemampuan IPS, lihat konfigurasi IPS.