Para bloquear el ransomware en la etapa de ejecución y evitar el cifrado de archivos, ¿qué solución se debe utilizar?

La opción correcta es usar Cisco AMP con el motor Malicious Activity Protection (MAP) habilitado. MAP está diseñado específicamente para detectar y bloquear el comportamiento malicioso de los archivos en tiempo real, como los intentos de cifrado de archivos que caracterizan al ransomware en la etapa de ejecución. Bloquear el tráfico a las redes TOR con Cisco Firepower podría ayudar a prevenir la comunicación de comando y control, pero no detendría el ransomware una vez que ya se está ejecutando y cifrando archivos localmente. Cisco Firepower con Intrusion Policy y reglas Snort que bloquean la explotación de SMB se enfoca en prevenir la entrada inicial o la propagación lateral a través de vulnerabilidades de SMB, no en la detección del comportamiento de cifrado en la etapa de ejecución. Cisco AMP con el motor Exploit Prevention habilitado se centra en bloquear exploits que intentan aprovechar vulnerabilidades de software para ejecutar código malicioso, no en el comportamiento de cifrado de archivos después de una ejecución exitosa.