1 of 28

��Daniel.Olkowski@dell.com

Cyfrowy Atak

Czy można mieć pewność zwycięstwa?

Dell Customer Communication - Confidential

2 of 28

Nasze środowisko

Applications,

Databases,

Mail

Linux, UNIX, Windows,

Backup

Server

DBs

Mails

Linux, UNIX, Windows,

Lokalizacja A

Tape

library

Disk

system

SAN

Media

agent

Tape

library

Disk

system

VM

Data Domain

VM

LAN

Lokalizacja B

Applications,

Databases,

Mail

Dell - Internal Use - Confidential

2

of Y

Dell Customer Communication - Confidential

3 of 28

Cyfrowe zagrożenia: �Fakty

Co 11 sekund�przeprowadzany jest cyfrowy atak.*

39s

3

of 16

86%

Ataków jest motywowanych finansowo

71%

48%

Ataków odbywa się na małe firmy

43%

$6T

Globalny koszt cyfrowych ataków w 2021.

Cybersecurity �Ventures

$1T

*Żrodło: Cybersecurity Ventures: � https://cybersecurityventures.com/global-ransomware-damage-costs-predicted-to-reach-20-billion-usd-by-2021� https://cybersecurityventures.com/cybercrime-damages-6-trillion-by-2021

$13M

$24.7M

Średni koszt dla organizacji

Bankowość	$18.4M
Usługi	$17.8M
Software	$16.0M
Prz. samochodowy	$15.8M
Ubezpieczenia	$15.8M
Przemysł	$14.7M
Finanse	$13.9M
Energetyka	$13.8M
US Federal	$13.7M
Produkty kons.	$11.9M
Zdrowie	$11.9M
Sprzedaż det.	$11.4M
Nauka	$10.9M
Media	$9.2M
Podróże	$8.2M
Sektor publiczny	$7.9M

3

of Y

Speaker Notes:

Cyber threats don’t cause mere thousands of dollars of loss anymore—the damage is in the trillions. Accenture forecasts over $5T of global value at risk over the next 5 years.

Attacks are virtually non-stop and the cost per attack continues to increase. And while there is a common misconception that only certain sized businesses or industries are attacked, the reality is that nobody is immune. Bad actors target businesses of all sizes, and across all industries.

Additional notes:

– Attackers are able to move along the cutting-edge of accelerated technology transformation, exploiting vulnerabilities as they emerge.

– Attacks are increasing, as it the attack surface, and the potential impacts on business are greater than they have ever been before.

If we consider some of the trends we’ve discussed so far, they are creating great opportunity as we’ve seen…

…but they are also leading to greater potential for cyber attack, with greater potential for damage than ever before.

We’ve seen companies make rapid technology changes during the crisis without considering the security implications.

We’ve seen a huge increase in the number of remote workers, and therefore the surface of potential attack.

There is also a related increased potential for insider threats – for example from disgruntled employees who now have remote access to company servers.

Aside from this, more long-term we’ve seen R&D cycles shorten, driven by customer expectation of product updates, meaning less time to test for vulnerabilities.

And we’ve seen the emergence of companies who rely on their digital platform and data as their very identity. The stakes for them couldn’t be higher.

It’s particularly alarming, then, to read this quote from the World Economic Forum, in assessing the global risks brought by the pandemic:

“According to 38% of the risk experts surveyed, new working patterns leading to cyberattacks and data fraud are the most likely technological fallout risk for the world.”[1]

They report, for example, that phishing scams have increased markedly during the crisis.

Meanwhile, business leaders, of course, are acutely aware of the penalties for a failure to comply with GDPR – a €20m maximum fine, or 4% of global turnover.[2]

And that is aside from the reputational costs already inherent in being breached.

Even before the pandemic outbreak, as many 61% of large businesses had reported an attack in the previous 12months – those are 2019 UK government figures.[3]

And new types of threat are emerging every day of course – and they’re often going undetected.

On average, advanced cyber attacks go undetected for 197 days. [4]

From phishers, to hacktivists, to state-level attackers, criminals are clearly pursuing a cyber arms race with the business world.

So what does the perfect response look like? [Click to next slide]

Sources for Additional Notes: 1 – http://www3.weforum.org/docs/WEF_COVID_19_Risks_Outlook_Special_Edition_Pages.pdf 2 – gdpr.eu/fines 3 – https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/875799/Cyber_Security_Breaches_Survey_2019_-_Main_Report_-_revised.pdf 4 – https://www.delltechnologies.com/en-gb/microsites/connected-cybersecurity.htm#overlay=/content/dam/delltechnologies/assets/microsites/connected-cybersecurity/cyberattack-types.pdf]

Sources of Statistics:

2020 Verizon Data Breach Investigations Report: https://enterprise.verizon.com/resources/reports/2019-data-breach-investigations-report.pdf

2019 Accenture Cost of Cybercrime Study : https://www.accenture.com/us-en/insights/security/cost-cybercrime-study

2020 Accenture Cost of Cybercrime Study : https://www.accenture.com/us-en/insights/security/cost-cybercrime-study

Cyber attack every 11 seconds – Cybersecurity Ventures: https://cybersecurityventures.com/global-ransomware-damage-costs-predicted-to-reach-20-billion-usd-by-2021

$6T total global impact of cyber crime in 2021 - https://cybersecurityventures.com/cybercrime-damages-6-trillion-by-2021�2020 RiskIQ report - $24.7M USD cyber crime costs organizations on average in 2020 - https://www.helpnetsecurity.com/2020/08/28/global-cost-of-cybercrime-per-minute/

NEXT SLIDE

4 of 28

Zagrożenia cybernetyczne 2022 �Fakty:

a

Co 11 sekund�Dochodzi do ataków cybernetycznych lub ransomware

$6B�Całkowity globalny wpływ z cyberprzestępczości w 2021 r.

$13m�Średni koszt dla organizacji po skutecznym cyberataku

Średni czas wykrycia skutecznego ataku to 233 dni

*¹Cybersecurity Ventures: https://cybersecurityventures.com/global-ransomware-damage-costs-predicted-to-reach-20-billion-usd-by-2021� https://cybersecurityventures.com/cybercrime-damages-6-trillion-by-2021

²Cybersecurity Ventures: https://cybersecurityventures.com/cybercrime-damages-6-trillion-by-2021

³Accenture Insights, Ninth Annual Cost of Cyber crime Study March , 2019 - https://www.accenture.com/us-en/insights/security/cost-cybercrime-study

⁴^{Varonis,2021 https://info.varonis.com/hubfs/docs/research_reports/2021-Financial-Data-Risk-Report.pdf?utm_content=146358482&utm_medium=social&utm_source=twitter&hss_channel=tw-21672993}

Bankowość	$18.4M
Usługi	$17.8M
Software	$16.0M
Prz. samochodowy	$15.8M
Ubezpieczenia	$15.8M
Przemysł	$14.7M
Finanse	$13.9M
Energetyka	$13.8M
US Federal	$13.7M
Produkty kons.	$11.9M
Zdrowie	$11.9M
Sprzedaż det.	$11.4M
Nauka	$10.9M
Media	$9.2M
Podróże	$8.2M
Sektor publiczny	$7.9M

5 of 28

"64% kierowników IT obawia się, że ich firmy w ciągu najbliższych 12 miesięcy mogą stać się ofiarą cyberprzestępców"¹ Global Data Protection Index Survey 2021 Snapshot

“67% kierowników IT nie ma pewności, że w przypadku udanego ataku ransomware byliby w stanie odzyskać krytyczne dane.” ¹ Global Data Protection Index Survey 2021 Snapshot

^{1Based on research by Vanson Bourne commissioned by Dell Technologies, “Global Data Protection Index 2021 Snapshot,” carried out February – March, 2021.}

^{Results were derived from a total of 1,000 IT decision makers worldwide from both private and public organizations with 250+ employees.}

5

6 of 28

Cyfrowy Bunkier to dopowiedź na szerokie spektrum cyberzagrożeń

Terroryzm

Sabotaż i zniszczenie w celu zaszczepienia strachu�

Haktywizm

Przyczyny polityczne lub społeczne

Insider

Zaufani insiderzy kradną lub wymuszają z powodów osobistych, finansowych i ideologicznych.�

Mają uprzywilejowany dostęp do systemów�

Wojna

Podmioty państwowe�z bronią cybernetyczną�(NotPetya)�

Szpiegostwo

Podmioty korporacyjne lub państwowe kradną cenne dane�

Przestępstwo�

Kradzież i wymuszenia finansowe,�korzyści�

To nie jest tak, że schemat jest zawsze ten sam – zaszyfrują – zapłacimy. Może nie chodzić o okup.

Zbyt często widzimy organizacje skoncentrowane na ochronie przed bardzo specyficznym rodzajem cyberataku lub cyberprzestępcą. To wąskie skupienie może narazić ich na ryzyko. �Ważne jest, aby zrozumieć, że cyberataki przybierają wiele różnych form, a atakujący mogą mieć różne motywacje, techniki, a nawet platformy, z których mogą przeprowadzać ataki. Tak więc, na przykład, organizacje nie mogą liczyć na zapłacenie okupu jako ostatniej linii obrony. Chociaż dane mogą być zaszyfrowane i wyglądać jak atak oparty na ransomware, Może nie być nikogo, kto chce okupu za odszyfrowanie danych. �Jednym z najtrudniejszych rodzajów cyberataków do obrony jest ten przeprowadzony przez insidera (świadomie lub nieświadomie). Mają zwykle fizyczny dostęp, pełną wiedzę na temat infrastruktury, a nawet mogli skorzystać z pełzania przywilejów, dając im dostęp do większej liczby systemów. �Dobra strategia odzyskiwania cybernetycznego uwzględnia wszystkie te kwestie. �

Vide Estonia 2007 – wojna cybernetyczna (Rosja)

Wikileak! Assange

7 of 28

CyberAtaki to obecnie największe zagrożenie dla biznesu, większe od terroryzmu, klęsk żywiołowych czy baniek finansowych

Paul Mee & Till Schuermann

Harvard Business Review

8 of 28

Disaster Recovery to nie Cyber Recovery

Disaster Recovery / Business Continuity to za mało żeby zabezpieczyć się przed aktualnymi cyber-zagrożeniami

CYBER RECOVERY

DISASTER�RECOVERY

Internal Use - Confidential

Speaker Notes:

Furthermore, Cyber Recovery goes beyond but compliments most Disaster Recovery plans.

RPO/RTO – For DR we strive for close to zero RTO and zero RPO. What’s keeping us from that goal is typically costs, distance limitations etc. Cyber Recovery assume that DR infrastructure is already in place. Customers typically look for a daily copy knowing that this might be the last line of defense. Longer recovery times also allow time for analytics, recovery drills etc.

Business critical environments like mainframe might require near continuous recovery point in the cyber attack use case as well but those are specialized use cases.

Recovery from a destructive cyber attack also solves for a different type of disaster and can be very different from recovery from another disaster like a power outage, fire, flood or similar event. Cyber attacks are typically not limited to a specific location so their impact can often be felt globally, even with traditional disaster recovery solutions in place. For this reason logical segregation of infrastructure to limit the spread of malware and reduce the surface of attack is typically more effective than having regionally dispersed data centers.

Recovery procedures can be more involved and iterative due to additional forensics working with cyber security teams. Hence, fast a reliable recovery is critical.

NEXT SLIDE

9 of 28

Generyczny scenariusz ataku

Prewencja i monitorowanie

Wykrywanie skutecznego ataku i odpowiedź

Odtworzenie

Phishing lub exploit

Szybsza reakcja zmniejsza zasięg i skraca czas wykrywania skutecznego ataku

Atak

Rozpoznanie

Ustanowienie przyczółka

Rozszerzenie wpływu

Cel – krytyczne systemy i kopie zapasowe

Narzędzia / działania reaktywne

Działania proaktywne / procesy / procedury

Dywersja

To nie jest tak, że schemat jest zawsze ten sam – zaszyfrują – zapłacimy. Może nie chodzić o okup.

Zbyt często widzimy organizacje skoncentrowane na ochronie przed bardzo specyficznym rodzajem cyberataku lub cyberprzestępcą. To wąskie skupienie może narazić ich na ryzyko. �Ważne jest, aby zrozumieć, że cyberataki przybierają wiele różnych form, a atakujący mogą mieć różne motywacje, techniki, a nawet platformy, z których mogą przeprowadzać ataki. Tak więc, na przykład, organizacje nie mogą liczyć na zapłacenie okupu jako ostatniej linii obrony. Chociaż dane mogą być zaszyfrowane i wyglądać jak atak oparty na ransomware, Może nie być nikogo, kto chce okupu za odszyfrowanie danych. �Jednym z najtrudniejszych rodzajów cyberataków do obrony jest ten przeprowadzony przez insidera (świadomie lub nieświadomie). Mają zwykle fizyczny dostęp, pełną wiedzę na temat infrastruktury, a nawet mogli skorzystać z pełzania przywilejów, dając im dostęp do większej liczby systemów. �Dobra strategia odzyskiwania cybernetycznego uwzględnia wszystkie te kwestie. �

Vide Estonia 2007 – wojna cybernetyczna (Rosja)

Wikileak! Assange

10 of 28

Cyberbezpieczeństwo�to strategia.

Wysokopoziomowe, holistyczne podejście uwzględniające standardy bezpieczeństwa, wytyczne, zasoby ludzkie, procesy biznesowe i rozwiązania technologiczne.

Przykład: NIST Cybersecurity Framework

Framework

10

of Y

Speaker Notes:

To help provide context around where a Cyber Recovery solution fits into your overall Security and Cyber Resilience strategy, let’s start with a standard definition – we are using the NIST CyberSecurity Framework for reference.

“Resilience" means the ability to prepare for and adapt to changing conditions and withstand and recover rapidly from disruptions. Resilience includes the ability to withstand and recover from deliberate attacks, accidents, or naturally occurring threats or incidents.

In our digital world with its reliance on data and real-time access on any device from any location it is more and more difficult to be resilient based upon non-technology capabilities.

In short, Cyber Resilience is a STRATEGY that incorporates people, process and technology into a holistic framework that protects an entire business, organization or entity.

NEXT SLIDE

11 of 28

Framework

Cyfrowy Bunkier

to rozwiązanie.

Architektura chroniąca krytyczne dane przed skutkami udanego cyberataku.

Dane są przechowywane w cyfrowym skarbcu, chronione przed zaszyfrowaniem i dostępem z zewnątrz, umożliwiając szybkie, pewne i skuteczne ich odzyskanie.

11

of Y

12 of 28

Strategia zamku

12

13 of 28

Niedopuszczenie do ataku

Strategia zamku

13

14 of 28

Strategia karetki pogotowia

14

15 of 28

Cyfrowy Bunkier

Strategia karetki pogotowia

15

16 of 28

Elementy Cyfrowego Bunkra

Izolacja

Fizyczne i logiczne oddzielenie danych

Niezmienność

Zachowanie integralności danych

Odpowiedź na zagrożenia cyfrowego świata

Analityka

ML sprawdzające bezpieczeństwo danych

16

of Y

Speaker Notes:

Over the past 6 years of helping our customers protect their critical data and recover their businesses following a successful cyber attack or ransomware incident, we have found that there are 3 main components and common characteristics of a Cyber Recovery solution:

Isolation – Physical (via a locked room on-prem, in an off-prem or cloud-based vault) and Logical (data and management path, command and control access) separation of the cyber recovery vault from the attack surface of production and backup infrastructure.�
Immutability – Although the market disagrees on a standard definition, Dell defines immutability as hardware and/or software, in addition to additional controls that ensure the original integrity, confidentiality and availability of the vault data is preserved. �
Intelligence – Applying innovative and comprehensive tools and analytics, machine learning and AI within the security of the vault to identify potential cyber threats or corruption and to help to ensure vaulted data is recoverable.

The significance is the 3 of these components working independently and collectively within an integrated solution to provide the maximum levels of security and protection for vaulted data and to give you the best possible chance to recover vaulted data with integrity and confidence should an attack penetrate the data center.

Solutions that offer 1 or 2 of these components as features of backup or DR products and services, while useful, should not be expected to provide the same levels of protection of critical data when faced with a sophisticated attack that impacts production, backup and perhaps DR.

While such features as storing backups in some immutable form provide an incremental amount of protection over non-immutable backups, this feature alone will not withstand insider credentialed attacks or NTP attacks which fool many software-defined storage systems into releasing the retention period believing it had expired due to the cyber criminals tampering with the NTP setting.

NEXT SLIDE

17 of 28

IT Infrastructure

Any backup�software

Backup

Recovery

SITE A

IT Infrastructure

Any backup�software

SITE B

Disaster Recovery

1% data transfer

100% recovery

Data Domain

Air Gap

Cyber Bunker

Cyber

Recovery

Checking

ransomware

PLAN B – Secure data & Recovery

Compliance

No possibility to change data

Ransomware

protection

Secure

Historical

backups

Recovery

automation

Data Domain

Separation

from production

Cyber

Sense

Backup

software

Sandbox

Any tests

Ransomware

protection

Management

and automation

Data Domain

Dell - Internal Use - Confidential

17

of Y

18 of 28

Dell - Internal Use - Confidential

18

of Y

19 of 28

Cyfrowy bunkier odpowiada na następujące pytania

Co jeśli jestem zaszyfrowany?
Czy jestem aktualnie szyfrowany?
Kto mnie szyfruje?
Jak zatrzymać atak?
Która kopia jest dobra?
Jak się odtworzyć?

19

20 of 28

Jakie funkcje może pełnić Cyfrowy Bunkier

Gwarantowane odtworzenie
Weryfikacja produkcji
Centrum testowo odtworzeniowe

20

21 of 28

IT Infrastructure

Backup

Recovery

SITE A

Cyber Bunker

Data Domain

Air Gap

Cyber

Recovery

Cyber

Sense

Access

Station

DNS

Backup

software

AD

SQL

Hyp

Oracle

Storage

Recovery / Test Center

Dell - Internal Use - Confidential

21

of Y

22 of 28

PowerProtect Cyber Recovery

Cyber Recovery Vault

‸

Data Center

Backup

Produkcja

Odtwarzanie

Monitoring i Raportowanie

Kopia

2

Blokada

3

Analiza

4

1

Synchro

Automatyczny�Air Gap

Proces chronienia i odtwarzania danych

22

of Y

Speaker Notes:

Our Cyber Recovery solution protects the most critical data in a vault environment. The vault is ideally physically isolated – a locked cage or room – and is always logically isolated via an operational air gap. The vault components are never accessible from production, and access to the vault target – when the air gap is unlocked – is extremely limited. This is a key to the maturity of our solution (and can be covered in a separate, more technical session). The vault is not an extra data center – it is usually located at the production or corporate data center and more frequently now, with a third party solution provider.

The vault operates in 4 basic steps:

Data representing critical applications is synced through the air gap, which is unlocked by the management server into the vault, and replicated into the vault target storage. The air gap is then re-locked�
A copy of that data is made. Vault retention is configurable but most keep about a month's worth of copies�
The data is retention locked to further protect it from accidental or intentional deletion�
The data is optionally analyzed by our analytics engine, CyberSense (more on that later).

Recovering data from the vault in the event of a cyber attack or simply for recovery testing procedures is critical and there are a number of ways recovery can be performed.

Monitoring and reporting is also provided from within the vault and can be shared outside of the vault environment in a variety of secure methods which we will discuss in more detail.

NEXT SLIDE

23 of 28

PowerProtect Cyber Recovery

Proces odzyskiwania:

Analiza kopii w Bunkrze

Wybranie punktu odtworzenia

Odtwarzanie za pomocą aplikacji backupowej,

Czyszczenie / łatanie aplikacji które ucierpiały w ataku

Reverse

Replicate�

Recover in

production

Data Center

Backup Server & Target

Production Hosts / Arrays

Cyfrowy Bunkier

A

Dodatkowe hosty w Bunkrze�

B

Podstawowe scenariusze odtworzenia

23

of Y

24 of 28

Jak działa CyberSense?

ROZBUDOWANA BAZA ZAGROŻEŃ

Zawartość jest regularnie aktualizowana

ANALIZA BEZPIECZEŃSTWA

100+ parametrów świadczących o ataku

MACHINE LEARNING

Szkolenie z użyciem trojanów i 20+ rodzajów ataków

Cyfrowy Bunkier z CyberSense

Informacja o ataku�
Ransomware�
Uszkodzenia plików�
Zmiany w danych / usunięcia�
Zhackowane konta

Zhackowane pliki�
Odtworzenie ostatniej dobrej kopii

Uczenie maszynowe umożliwia szybką detekcję i szybkie odtworzenie po ataku

24

of Y

Speaker Notes:

Looking at the CyberSense workflow and how attacks are detected, it all begins with the comprehensive indexing weEvery time CyberSense sees a new backup image, statistics are generated from that scan, and compared to previous scans. These analytics are input into the machine learning model. The results are deterministic regarding the data’s integrity and if the data has been corrupted by a ransomware attack. just discussed.

CyberSense also provides a number of reports and details that will assist in the diagnosis and recovery from the attack. CyberSense will provide the attack vector utilized to manipulate the data.

Also, a complete listing of files that have been manipulated, providing an understanding of the breadth of the attack.

Additionally, using the event logs CyberSense will report on the user account that corrupted the data. This user account was breached and should be shut down to avoid further damage.

The event log report will also point to the executable that was used to corrupt the data; this is likely the malware that can be eliminated.

And finally since CyberSense is continually looking at how data has changed it can provide the intelligence needed to assist in the restore of the last known good copy of the file.

NEXT SLIDE

25 of 28

PowerProtect Cyber Recovery

CyberSense Alert

25

of Y

26 of 28

Air Gap

Cyber Bunker

Cyber

Recovery

Checking

ransomware

Recovery

automation

Management

and automation

Cyber

Sense

Backup

software

Sandbox

Any tests

Koszty

Dell - Internal Use - Confidential

26

of Y

27 of 28

Materiały

Cyfrowy Bunkier

Skrót: https://youtu.be/nBvyz76rTFg
Pełna wersja: https://youtu.be/WGUT8aoiYds
Artykuł: https://backuprecoveryman.pl/cyfrowy-bunkier/

Weryfikacja danych w bunkrze:

Video: https://youtu.be/SjmM60ZhPHw
Artykuł: https://backuprecoveryman.pl/cybersense/

27

of 20

28 of 28

Cyfrowy Bunkier

Ochrona przed ransomware/hacker�

Izolacja

Fizyczna i logiczna separacja danych

Niezmienność

Blokada przed edycją lub skasowaniem danych.��Gwarancja niezmienności danych

Weryfikacja

Analityka i wykrywanie ataków

Procedury

Przetestowane metody odtworzenia danych

28

of 20