Sopravvivere al ransomware — Gioco di cybersicurezza

Guidi ad interim le operazioni di AcmeWorks, un'azienda di 75 persone. Trenta giorni lavorativi. Un budget limitato. La campagna sta già camminando verso l'edificio. La resilienza è il lavoro noioso che fai prima.

Sopravvivere al ransomware è un gioco gratuito di cybersicurezza utilizzabile nel browser. Guidi ad interim le operazioni di AcmeWorks, un'azienda di 75 persone. Trenta giorni lavorativi. Un budget limitato. La campagna sta già camminando verso l'edificio. La resilienza è il lavoro noioso che fai prima.

Difficoltà: Avanzato. Durata stimata: 45 minuti.

Un piano di uffici 3D percorribile a piedi, tredici reparti e venti persone con un nome, guidato da un HUD gestionale. Dieci indicatori visibili — liquidità, budget sicurezza, produttività, morale, reputazione, postura di sicurezza, rischio operativo, stato dei backup, rilevamento e ripristino — stanno sopra ventotto variabili di sicurezza nascoste, quelle che il motore d'attacco legge davvero.

I giorni da uno a cinque sono un avvio guidato: un'email di un fornitore su cui il reparto Finanza ha dei dubbi, una finestra di aggiornamento ERP di quattro ore, un volume di backup al 95%, l'eccezione di accesso remoto del CEO e un fornitore che ha cambiato le coordinate bancarie. Dopo, un mazzo di cinquantaquattro eventi pesati viene distribuito in base allo stato che hai costruito, e gli eventi compaiono nell'edificio — un fascio sopra il reparto e un segno sulla persona a cui è successo — non solo come finestre a comparsa.

Venticinque misure di sicurezza fra identità, consapevolezza, endpoint, aggiornamenti, rete, email, cloud, registrazione dei log, SIEM, monitoraggio, backup, ripristino di emergenza, risposta agli incidenti, comunicazione, ambito legale e gestione dei fornitori si comprano come progetti di più giorni. Ogni livello dichiara costo, ore di IT, giorni e calo di produttività, e legge dalle stesse tabelle usate dal motore d'attacco quali vie d'ingresso diventano meno probabili e quali fasi della kill chain diventano bloccabili — così la spiegazione non può allontanarsi dalla simulazione.

Da qualche parte fra il giorno 18 e il giorno 30 parte una campagna lungo uno di sei vettori: phishing, credenziali rubate, desktop remoto esposto, fornitore compromesso, software malevolo o abuso di OAuth. Quello che si vede in quel momento dipende dal monitoraggio comprato nei giorni tranquilli — niente, un avviso EDR, una correlazione SIEM, o la frase di un analista. Poi si contiene, si ripristina o si paga. Prima di decidere puoi esaminare le prove nello strumento che guarderebbe una persona vera: un client di posta, la schermata di blocco di un telefono, una console di rilevamento, una console di backup.

L'analisi finale è un rapporto, non un voto: un punteggio su 100 fra Prevenire, Rilevare, Rispondere, Ripristinare e Persone, il punto di ingresso, la decisione migliore e quella più debole, l'avviso ignorato e che effetto avrebbe avuto un mix diverso sugli ultimi due giorni. Quattro modalità di formazione — individuale, squadra, workshop guidato, valutazione — cambiano se l'orologio si ferma per una decisione e se le conseguenze vengono spiegate mentre arrivano. Il seed è stampato, così la stessa forma di eventi e di attacco si può rigiocare contro un'altra strategia.

Schermate del gioco

Contatti · Chi siamo