해결책:

• 모든 선박 엔드포인트에 IBM Security® QRadar® EDR을 설치했습니다. 
  
  
• 데이터 사용량이 적기 때문에 지상 승무원은 실시간으로 선박을 모니터링하고 연결이 가능할 때 대응할 수 있습니다.
  
  
• 자동화된 대응 및 해결은 인터넷 연결을 사용할 수 없는 경우에도 위협을 제거하는 데 도움이 됩니다.

선박에 심각한 문제를 일으킨 일련의 랜섬웨어 공격 이후, 이 해운 회사는 IBM에 인프라 보안을 요청했습니다. 초기 위생 점검에서는 RAT, 트로이 목마, 리버스 쉘을 포함한 다양한 멀웨어에 이미 감염된 다수의 선박이 나타났습니다. 확인된 모든 감염을 평가하고 제거한 다음, IBM Security QRadar EDR 소프트웨어를 인터넷에 연결되지 않은 상태에서도 데이터 손실이 없도록 보장하면서 비즈니스 연속성에 대한 위험을 최소화해야 하는 회사의 사양에 맞게 재구성했습니다. 일상적인 작업에 필수적인 위성 연결이 포화되지 않도록 데이터 전송도 최소화해야 했습니다. 

위생 점검

초기 배포 후 QRadar EDR은 다양한 비정상적인 작동에 즉시 플래그를 지정하고 신속하게 해결하고 수정했습니다. 대부분의 멀웨어는 승무원이 기내에 반입한 것이었으며, 인터넷에 연결된 엔드포인트에서 다운로드한 콘텐츠에서 발생한 경우도 있었습니다. 위협 헌팅 캠페인이 시작되었고 원격 운영자가 연결하여 제어하기를 기다리는 몇 가지 "휴면" 멀웨어 인스턴스가 드러났습니다. 이들 역시 해결되었으며, 7일간의 관찰 기간이 이어졌습니다. 추가 이상 현상이 없음을 확인한 후 IBM은 최적의 데이터 사용과 낮은 비즈니스 중단 위험이라는 회사의 매개변수 내에서 작동하도록 플랫폼을 재구성했습니다.

일일 조작

선박 관리를 중앙 집중화하기 위해 IBM과 이 해운 회사는 회사의 주요 기지에 보안 대시보드를 설치했습니다. 선상 네트워크가 통합되어 있고 단 하나의 엔드포인트만 인터넷에 액세스할 수 있는 선박에서 IBM은 승무원 기기를 포함한 모든 엔드포인트가 QRadar EDR 데이터를 주요 기지에 전달할 수 있는 보안 채널을 만들어 분석가 팀이 가능한 사고를 모니터링하고 대응할 수 있도록 했습니다.

선박이 오프라인 상태가 되면 이 해운 회사는 랜섬웨어는 데이터를 위험에 빠뜨릴 수 있는 유일한 악성 벡터이기 때문에 QRadar EDR의 랜섬웨어 보호 기능을 활성화합니다. RAT나 트로이 목마를 통한 감염은 연결이 없었기 때문에 즉각적인 영향을 미치지 않았을 것입니다. 다른 모든 동작은 추적 데이터를 로컬에 보관하여 모니터링되며 인터넷 연결을 다시 사용할 수 있게 되면 즉시 전달됩니다.

이후 3개월 동안 이 해운 회사는 QRadar EDR을 사용하여 24건의 랜섬웨어 공격을 방지하고, 수십 가지 위협(대부분 RAT)을 추적 및 해결하고, 데이터 손실을 방지했습니다. 이 솔루션이 없었다면 선박의 운영이 위태로웠을 것이고, 승무원들이 이상적이지 않은 조건에서 중요한 데이터를 사용할 수 없게 되어 운송이 지연되고 많은 비용이 드는 긴급 대응 작업이 필요했을 것입니다.