Worms representam uma das principais ameaças aos serviços em nuvem. Eles exploram vulnerabilidades em servidores para se propagar pela rede e executar ações maliciosas que comprometem gravemente seus ativos e negócios. O Cloud Firewall oferece uma defesa em camadas contra a cadeia de ataque de worms, detectando e bloqueando uma ampla variedade desses agentes e suas variantes. Além disso, o Cloud Firewall atualiza suas capacidades de detecção e interceptação em tempo real, acompanhando a evolução do cenário de ameaças na nuvem para proteger contra os worms mais recentes. Este tópico descreve como o Cloud Firewall defende contra worms.
Ameaças causadas por worms
Os worms podem provocar os seguintes tipos de danos:
Interrupção de serviço: Após infectar um host, o worm pode alterar configurações ou interromper serviços, causando indisponibilidade do servidor e impactos nas operações de negócio.
Roubo de dados: Worms projetados para exfiltração de informações conseguem compactar e extrair dados dos seus servidores, o que pode resultar em violações graves de dados e uso indevido de recursos.
Bloqueio de IP: O alto volume de pacotes enviados durante a propagação de um worm pode levar órgãos reguladores a bloquear seus endereços IP, resultando em interrupção direta do serviço.
Resgate: Worms com capacidade de ransomware criptografam seus arquivos e exigem pagamento, podendo causar perdas financeiras ou perda permanente de dados.
Solução do Cloud Firewall
O Cloud Firewall fornece uma defesa em camadas contra a cadeia de ataque de worms, detectando e bloqueando diversos tipos de worms e suas variantes. A solução também atualiza e expande suas capacidades em tempo real com base no cenário de ameaças na nuvem, garantindo proteção contra as ameaças mais recentes.
Entre os worms mais comuns, destacam-se:
DDG: Propaga-se explorando vulnerabilidades no Redis e por meio de ataques de força bruta. Após a infecção, utiliza os recursos computacionais do host para mineração de criptomoedas.
WannaCry: Dissemina-se aproveitando falhas em sistemas Windows. Uma vez instalado, seu principal objetivo é exigir resgate pelos dados criptografados.
BillGates: Espalha-se via ataques de força bruta e exploração de vulnerabilidades em aplicações. Depois de infectar o sistema, cria uma botnet para lançar ataques DDoS.
Estudo de caso: O worm DDG
O DDG é um worm ativo que se propaga principalmente pela exploração de vulnerabilidades no Redis e por ataques de força bruta. Esse malware adiciona hosts infectados a uma botnet destinada à mineração de criptomoedas.
Sistemas afetados pelo DDG
Servidores que utilizam senhas fracas para SSH.
Servidores de banco de dados, como Redis, que apresentam vulnerabilidades conhecidas.
Principais ameaças do worm DDG
Interrupção de serviço: Hosts comprometidos pelo DDG são usados primordialmente para mineração. Essa atividade consome recursos computacionais significativos, podendo tornar os serviços indisponíveis ou prejudicar as operações normais do negócio.
Bloqueio de IP: Após a infecção, o worm DDG tenta se propagar ainda mais, o que pode resultar no bloqueio dos seus endereços IP por órgãos reguladores.
Defesa contra a cadeia de ataque do DDG
O Cloud Firewall oferece detecção e defesa em tempo real contra a cadeia de ataque do DDG, interrompendo todo o ciclo de ataque e propagação do worm.
A figura a seguir ilustra a arquitetura de defesa do Cloud Firewall contra a cadeia de ataque do DDG:
O Cloud Firewall disponibiliza quatro tipos de defesa:
Whitelist: O módulo do sistema de prevenção de intrusões (IPS) não bloqueia tráfego proveniente de endereços IP de source ou destino presentes na lista de permissões, pois são considerados confiáveis.
Threat Intelligence: O Cloud Firewall utiliza inteligência de ameaças para bloquear varreduras maliciosas, reconhecimento e tentativas de intrusão.
Basic Rules: Detecta malware e intercepta comunicações maliciosas, incluindo conexões com backdoors ou servidores de comando e controle (C&C).
Virtual Patching: Disponibiliza patches virtuais que fornecem proteção em tempo real contra vulnerabilidades populares e de alto risco em aplicações.
Procedimento
Faça login no console do Cloud Firewall.
No painel de navegação à esquerda, escolha .
Na aba Internet Border, selecione Block-Loose para Threat Engine Mode.
Clique em Allowlist e adicione endereços IP confiáveis ou um catálogo de endereços à lista de permissões para abranger tanto o tráfego de entrada quanto o de saída.
Nas abas Basic Protection, Virtual Patching e Threat Intelligence, ative a chave correspondente em cada uma para ative a proteção.
Para obter detalhes sobre a configuração de políticas do sistema de prevenção de intrusões (IPS), consulte Configuração do IPS.