Per bloccare il ransomware nella fase di esecuzione e prevenire la crittografia dei file, quale soluzione dovrebbe essere utilizzata?

La risposta corretta è "Utilizzare il deployment di Cisco AMP con il motore Malicious Activity Protection abilitato". Cisco AMP (Advanced Malware Protection) con il motore Malicious Activity Protection è specificamente progettato per rilevare e bloccare attività dannose come la crittografia dei file tipica del ransomware in fase di esecuzione, prima che possa causare danni significativi. Le altre opzioni sono meno efficaci per questo specifico scenario: Bloccare il traffico verso le reti TOR con Cisco Firepower può aiutare a prevenire la comunicazione C2 (Command and Control) di alcuni ransomware, ma non blocca l'esecuzione e la crittografia dei file una volta che il ransomware è già attivo sulla macchina. Utilizzare Cisco Firepower con Intrusion Policy e regole Snort che bloccano lo sfruttamento di SMB è utile per prevenire l'infezione iniziale o la propagazione tramite vulnerabilità SMB, ma non blocca l'attività di crittografia di un ransomware già in esecuzione. Il motore Exploit Prevention di Cisco AMP è eccellente per prevenire l'esecuzione di exploit che potrebbero portare all'installazione di malware, ma Malicious Activity Protection è più mirato a bloccare il comportamento dannoso (come la crittografia) una volta che il malware è già in esecuzione.