Шифровальщики остаются самой разрушительной массовой угрозой для средних компаний: они не воруют данные, а делают их недоступными, и восстановление зависит только от подготовки.
Первый час: изоляция
Шифрование идёт по сети. Пока заражённая машина подключена, страдают общие папки, серверы и подключённые диски. Поэтому первое действие это разрыв связности.
Порядок:
- отключить заражённые машины от сети физически, вынув кабель или отключив Wi-Fi
- не выключать их: оперативная память содержит следы, которые помогут в разборе
- отключить от сети резервные копии, если они подключены как сетевой диск
- остановить синхронизацию облачных папок, чтобы зашифрованные версии не уехали в облако
- предупредить сотрудников, чтобы не открывали общие ресурсы
Дальше нужно понять границы: какие машины затронуты, какие серверы, дошло ли до резервных копий.
Отдельная беда это резервные копии на сетевом диске, который виден всем. Шифровальщик добирается до них в первую очередь. Копия, до которой нельзя дотянуться из рабочей сети, часто оказывается единственным, что спасает компанию.
Чего нельзя делать
Переустанавливать систему сразу. Вы потеряете возможность понять, как произошло заражение, и повторите ошибку.
Запускать дешифраторы из интернета. Половина из них сами являются вредоносными.
Переименовывать зашифрованные файлы. Некоторые дешифраторы ориентируются на расширения.
Восстанавливать из копии на заражённую машину. Сначала чистая система, потом данные.
Молчать. Если утекли персональные данные, действуют сроки уведомления регулятора, и они короткие.
Платить или нет
Короткий ответ: нет. Более длинный выглядит так.
Оплата не гарантирует расшифровку: ключ могут не прислать или прислать нерабочий. Оплата помечает вас как компанию, которая платит, и вероятность повторной атаки растёт. Оплата может подпадать под ограничения, связанные с финансированием противоправной деятельности.
Ситуации, когда компании всё же платят, обычно выглядят одинаково: резервных копий нет либо они зашифрованы вместе со всем остальным. Это не выбор, а следствие прошлых решений.
Восстановление
Порядок работ выглядит так:
| Этап | Что делают |
|---|---|
| 1. Оценка | список затронутых систем, поиск чистых копий |
| 2. Подготовка | развёртывание чистых систем на отдельном сегменте |
| 3. Проверка копий | восстановление тестового набора, проверка целостности |
| 4. Возврат сервисов | по приоритету: сначала критичные для работы |
| 5. Наблюдение | контроль признаков повторной активности |
Порядок возврата определяется заранее составленным списком критичных сервисов. Если такого списка нет, восстановление превращается в спор отделов о том, кто важнее.
Как он попал внутрь
Три типовых входа, и все три закрываются:
Почта. Вложение или ссылка, открытые сотрудником. Закрывается фильтрацией, отключением макросов и обучением людей.
Удалённый доступ. Открытый наружу порт удалённого рабочего стола со слабым паролем. Закрывается VPN, ограничением по адресам и вторым фактором.
Уязвимости. Непропатченные серверы и рабочие станции. Закрывается регулярным обновлением.
Профилактика, которая работает
- Резервные копии по правилу трёх экземпляров на двух носителях, один из которых недоступен из рабочей сети
- Ежемесячная проверка восстановления, а не только наличия копий
- Разграничение прав: сотрудник не должен иметь доступ ко всем общим папкам
- Обновления операционных систем и прикладного софта по графику
- Отключение прямого доступа к рабочим столам из интернета
- Второй фактор для удалённого доступа
- Обучение сотрудников распознавать фишинг
- Мониторинг: массовое изменение файлов должно поднимать тревогу
Схему копий с недоступным из сети хранилищем мы настраиваем в рамках услуги резервное копирование, а закрытие входов и антивирусную защиту берём на себя в информационной безопасности.