Зміст статті
Від програм-вимагачів бізнес захищають п’ять речей: резервні копії, до яких зловмисник не дотягнеться і з яких ви вже пробували відновитися, MFA на віддаленому доступі й пошті, оновлені системи, що дивляться в інтернет, мінімум прав адміністратора і письмовий план на перші години. Антивірус потрібен, але зашифровані дані поверне лише копія, до якої зловмисник не дістався.
Нижче пояснено, як вимагачі зазвичай потрапляють у компанію, таблиця заходів із перевіркою, як влаштувати копії, що робити в першу годину атаки і що офіційні джерела кажуть про викуп.
Коротко
- Типові входи: фішинг, вкрадені або підібрані паролі до VPN і віддаленого робочого столу (RDP), неоновлені пристрої на межі мережі. [1] [2]
- Головний захист від втрати даних: копія, яку не можна видалити чи зашифрувати з робочої мережі, і перевірене відновлення з неї.
- MFA на пошті, VPN і акаунтах із доступом до критичних систем не дає увійти з одним лише вкраденим паролем. [1]
- Що менше людей мають права адміністратора, то менше шкоди від одного зламаного акаунта. [1]
- План реагування має бути на папері: під час атаки пошта й файли можуть бути недоступні. [1]
- Викуп не гарантує повернення даних. Так кажуть і британський NCSC, і американські відомства. [1] [4]
Як вимагачі потрапляють у компанію
Програма-вимагач (ransomware) шифрує файли і сервери, а за ключ вимагає гроші. Часто зловмисники ще й копіюють дані заздалегідь і погрожують їх опублікувати. [1]
Шифрування зазвичай не перший крок. За описом NCSC, зловмисник спершу отримує доступ до мережі, закріплюється в ній і лише потім запускає шифрувальник. [4] CISA додає, що зловмисники часто використовують акаунти з правами адміністратора, щоб зашифрувати всю мережу, і шукають доступні резервні копії. [1]
Посібник #StopRansomware від CISA, FBI та NSA групує захист за типовими способами проникнення. [1] Для малої компанії головні з них такі:
- Фішинг. Лист із вкладенням чи посиланням, після якого на комп’ютері опиняється шкідлива програма або зловмисник отримує пароль.
- Вкрадені або підібрані паролі. Зловмисники часто заходять через відкритий у інтернет і погано захищений віддалений доступ (RDP), через VPN або з чужими обліковими даними. [1]
- Вразливості на межі мережі. Неоновлені пристрої віддаленого доступу та сервери, доступні з інтернету. NCSC радить закривати відомі вразливості в таких пристроях негайно. [2]
- Підрядники. IT-підрядник із доступом до ваших систем теж може стати входом: CISA прямо називає постачальників керованих послуг одним із шляхів поширення вимагачів. [1]
CERT-UA серед найпоширеніших способів первинного проникнення в українські організації називає відомі вразливості, скомпрометовані облікові записи і цільовий фішинг. [5]
Які з цих входів відкриті саме у вас, показує пентест периметра. Як працівники реагують на фішинг, перевіряє фішинг-симуляція.
Заходи, які зупиняють вимагачів, і як перевірити, що вони працюють
| Захід | Що зупиняє | Як перевірити, що зроблено | Зусилля |
|---|---|---|---|
| Копія поза досяжністю зловмисника (офлайн або незмінна) | Втрату даних після шифрування, тиск «платіть, бо копій немає» | Адміністратор домену не може видалити цю копію з робочої мережі | Середні |
| Тест відновлення із засіканням часу | Сюрприз «копія є, але не відновлюється» | Є дата останнього тесту і скільки годин зайняло відновлення | Середні, раз на квартал |
| MFA на пошті, VPN, RDP і хмарних адмінках | Вхід із вкраденим чи підібраним паролем | Звіт із пошти чи VPN: жодного користувача без MFA | Низькі |
| Закритий RDP з інтернету | Підбір паролів до віддаленого робочого столу | Зовнішнє сканування не бачить порт 3389 та інших сервісів віддаленого доступу | Низькі |
| Оновлення VPN, фаєрволів, поштових і веб-серверів | Вхід через відому вразливість | Список пристроїв на межі мережі з версією прошивки і датою оновлення | Середні, постійно |
| Мінімум прав адміністратора | Шифрування всієї мережі з одного зламаного акаунта | Скільки людей у групі адміністраторів і чи працюють вони під окремими акаунтами | Середні |
| Фільтрація пошти й навчання працівників | Запуск шкідливого вкладення, введення пароля на фальшивій сторінці | Результат фішинг-симуляції: хто відкрив, хто повідомив | Низькі |
| Письмовий план реагування на папері | Хаос і стерті докази в перші години | Роздрукований план із телефонами, останнє тренування | Низькі |
Зовнішній периметр і права доступу перевірить оцінка безпеки або пентест. Пентест показує, як зловмисник дійде від першого входу до серверів і копій.
Резервні копії, з яких ви відновитеся
Багато вимагачів спершу шукають доступні резервні копії і видаляють або шифрують їх, щоб без викупу відновитися було неможливо. [1] Тому хоча б одна копія має лежати там, куди зловмисник не дотягнеться.
Правило 3-2-1. NCSC описує його як найпоширеніший спосіб зробити стійкі копії: щонайменше три копії, на двох різних пристроях, одна з них поза офісом. [3] Але саме правило не вимагає, щоб якась копія була відключена від мережі. Тому NCSC радить додати офлайн-копію. [3]
Офлайн або незмінна копія. Офлайн означає відключений диск або сховище, до якого немає доступу з робочої мережі. Хмарне сховище не можна просто висмикнути з розетки, тому його треба відокремити інакше: окремі облікові дані, окремий акаунт, обмежений доступ. [3] CISA попереджає, що автоматична синхронізація з хмарою може не допомогти: зашифровані файли синхронізуються і перезапишуть нормальні. [1] Деякі хмарні сервіси пропонують незмінне сховище, яке не дає видалити чи змінити копію певний час. [1]
Тест відновлення з часом. CISA і NCSC радять регулярно перевіряти, що копії цілі і з них можна відновитися. [1] [2] Практично це так:
- Оберіть одну критичну систему: облік, CRM або файловий сервер.
- Відновіть її з офлайн-копії на окремому комп’ютері чи віртуальній машині.
- Засічіть час від початку до моменту, коли люди можуть працювати.
- Запишіть дату, час і що заважало. Повторіть через квартал.
Якщо відновлення займає три дні, а бізнес витримує один, це питання до власника, а не до адміністратора.
Що ще зберігати офлайн. CISA радить тримати «золоті образи» критичних систем, тобто готові шаблони з налаштованою системою і програмами, щоб швидко їх перебудувати. [1] Для малої компанії це може бути хоча б записана інструкція налаштування і дистрибутиви ключових програм разом із копією.
Перша година після атаки
Ваш порядок дій у перші години визначає, скільки даних і доказів залишиться. Посібник CISA радить виконати перші три кроки саме в такій послідовності. [1]
- Ізолюйте. Від’єднайте уражені комп’ютери від мережі: кабель або Wi-Fi. Якщо уражено багато систем, вимкніть мережу на рівні комутатора. [1]
- Не стирайте і не перевстановлюйте. Вимикайте живлення лише тоді, коли пристрій неможливо від’єднати від мережі, бо так зникають сліди в оперативній пам’яті. [1]
- Дзвоніть, а не пишіть. Зловмисник може читати вашу пошту і чати. CISA радить узгоджувати ізоляцію телефоном чи іншим каналом поза мережею. [1]
- Збережіть докази. Журнали, записку з вимогою, підозрілі файли, знімки хмарних дисків. [1]
- Повідомте. Кіберполіція і CERT-UA, IT-підрядник, юрист, страхова, якщо є поліс. Як діяти з контактами і що сказати клієнтам, пояснено в статті зламали акаунт компанії: що робити в перші 30 хвилин.
- Відновлюйте на чисте. Повертайте дані з офлайн-копій лише тоді, коли вхід зловмисника знайдено і закрито, інакше заразитеся знову. [1]
План має лежати роздрукованим. CISA прямо радить мати паперову та офлайн-версію плану реагування. [1]
Платити викуп чи ні: що кажуть офіційні джерела
NCSC пише, що правоохоронні органи не заохочують, не підтримують і не схвалюють оплату викупу, а заплатити не означає гарантовано отримати дані назад. [4] [2]
CISA, FBI та NSA не рекомендують платити: оплата не гарантує розшифрування, не гарантує, що зловмисник піде з ваших систем, і не гарантує, що дані не опублікують. [1] Вони також попереджають, що платіж може нести санкційні ризики, і радять консультуватися з правоохоронцями. [1]
Рішення про викуп ухвалює власник разом з юристом. Але найкраще, що можна зробити заздалегідь, щоб це питання взагалі не постало: мати копію, з якої ви вже відновлювалися.
Типові помилки
- Копія на тому ж сервері або на мережевому диску, доступному з домену. Вимагач видалить її першою.
- Ніколи не пробували відновитися. Копія виявляється неповною або відновлення займає тиждень.
- RDP відкритий в інтернет «тимчасово». Тимчасове лишається на роки.
- MFA у всіх, крім директора і адміністратора. Саме їхні акаунти зловмисникам найцінніші.
- Перевстановити все одразу. Разом із системою зникають докази, і ви не дізнаєтесь, як зловмисник зайшов.
- План лише в пошті чи на файловому сервері. Під час атаки він зашифрований разом з усім іншим.
Чекліст захисту від програм-вимагачів
Завантажити чекліст підготовки (PDF)PDF · A4
FAQ
Чи захистить від ransomware антивірус?
Частково. Антивірус потрібен, але зашифровані файли він не поверне. Рекомендації CISA починаються з офлайн-копій, а далі йдуть MFA, оновлення і обмеження прав.
Чи вистачить хмарної синхронізації замість резервних копій?
Ні. Якщо файли на комп’ютері зашифровано, синхронізація може перенести зашифровані версії в хмару і перезаписати нормальні. Потрібна окрема копія, відокремлена від робочих облікових записів.
Як часто перевіряти відновлення з копій?
Офіційні джерела радять робити це регулярно. На практиці для малої компанії підходить раз на квартал і після кожної великої зміни в системах.
Чи гарантує оплата викупу повернення даних?
Ні. NCSC, CISA і FBI прямо кажуть, що оплата не гарантує ні розшифрування, ні того, що дані не опублікують.
Що перевірити першим, якщо часу мало?
Три речі: чи є копія, яку не можна видалити з мережі, чи увімкнено MFA на пошті й VPN, і чи не відкрито RDP в інтернет. Ширший список у статтях чекліст безпеки для компанії на 30 людей та захист пошти компанії від фішингу.
