Kā sagatavot uzņēmumu izspiedējvīrusa (ransomware) uzbrukumam

Izspiedējvīruss joprojām ir viens no smagākajiem draudiem Baltijas maziem un vidējiem uzņēmumiem. Uzbrukums nešķiro nozari vai izmēru — tas šifrē failus, aptur darbu un pieprasa izpirkuma maksu. Labā ziņa ir tāda, ka gatavība ir iespējama: ar konsekventu profilaksi un pārbaudītu atjaunošanas plānu incidents no katastrofas pārvēršas par pārvaldāmu situāciju.

Kā izspiedējvīruss iekļūst uzņēmumā

Vairumā gadījumu uzbrukums sākas nevis ar sarežģītu tehnisku ielaušanos, bet ar cilvēku. Biežākais ceļš ir pikšķerēšanas e-pasts ar ļaunprātīgu pielikumu vai saiti, kas izliekas par rēķinu, piegādes paziņojumu vai iekšēju ziņu. Otrs izplatīts vektors ir vāji aizsargāta attālinātā piekļuve un neaizlāpītas ievainojamības publiski pieejamos serveros.

Pēc iekļūšanas ļaunprogrammatūra parasti nešifrē datus uzreiz. Vispirms tā klusi izplatās pa tīklu, meklē administratoru kontus, dublējumus un failu serverus. Tāpēc uzbrukuma sekas ir tik plašas — līdz brīdim, kad parādās izpirkuma paziņojums, uzbrucēji jau ir pārņēmuši ievērojamu daļu infrastruktūras.

Profilakse: samazināt uzbrukuma iespējamību

Neviens atsevišķs risinājums negarantē pilnīgu aizsardzību. Efektīva profilakse balstās vairākos slāņos, kas viens otru papildina.

Regulāra ielāpošana

Novecojusi programmatūra ir visbiežāk izmantotā ieejas durvju atslēga. Operētājsistēmu, lietojumprogrammu un tīkla iekārtu atjauninājumi jāuzstāda savlaicīgi un centralizēti, nevis atstājot tos katra darbinieka ziņā. Automatizēta ielāpu pārvaldība nodrošina, ka zināmās ievainojamības tiek novērstas dienu, nevis mēnešu laikā.

3-2-1 dublēšanas princips

Dublējumi ir pēdējā aizsardzības līnija, tāpēc tiem jābūt pasargātiem no paša uzbrukuma. Ievērojiet 3-2-1 principu: vismaz trīs datu kopijas, uz diviem dažādiem datu nesēju veidiem, no kurām viena glabājas ārpus objekta un ir atvienota no tīkla. Nemainīgas (immutable) vai atsevišķi izolētas kopijas nodrošina, ka uzbrucēji nevar tās izdzēst vai nošifrēt vienlaikus ar pārējiem datiem.

Darbinieku apziņa

Tehnoloģijas nespēj pilnībā aizstāt uzmanīgu darbinieku. Regulāras apmācības pret pikšķerēšanu, praktiskas simulācijas un skaidra kārtība, kā ziņot par aizdomīgu e-pastu, būtiski samazina risku. Darbiniekam jāzina, ka par kļūdainu klikšķi labāk ziņot uzreiz, nevis to noklusēt.

Tīkla segmentācija un piekļuves ierobežošana

Ja tīkls ir sadalīts segmentos, uzbrukums vienā daļā ne vienmēr nozīmē visa uzņēmuma zaudēšanu. Piešķiriet lietotājiem un sistēmām tikai tās tiesības, kas patiešām nepieciešamas, atsevišķi nodaliet administratoru kontus un ieviesiet daudzfaktoru autentifikāciju kritiskajai piekļuvei. Šie soļi ievērojami palēnina ļaunprogrammatūras izplatīšanos.

Incidentu reaģēšanas plāns

Pat vislabākā profilakse nedod simtprocentīgu garantiju, tāpēc katram uzņēmumam ir vajadzīgs rakstisks incidentu reaģēšanas plāns. Tas jāsagatavo mierīgā brīdī — nevis uzbrukuma laikā, kad katra minūte ir svarīga. Plānā skaidri jādefinē:

• kas un kā ātri izolē skartās iekārtas no tīkla, lai apturētu izplatīšanos;
• kurš pieņem lēmumus un kā notiek iekšējā saziņa, ja parastie kanāli nedarbojas;
• kad un kā informēt klientus, sadarbības partnerus un uzraudzības iestādi;
• kontaktinformācija atbalsta komandai un ārējiem speciālistiem.

Svarīgs princips: izpirkuma maksa nav risinājums. Samaksa negarantē datu atgūšanu, finansē turpmākus uzbrukumus un padara uzņēmumu par pievilcīgu mērķi atkārtoti. Uzticama, pārbaudīta atjaunošana no dublējumiem gandrīz vienmēr ir drošāks ceļš.

Atjaunošana un darbības nepārtrauktība

Dublējums ir vērtīgs tikai tad, ja no tā tiešām var atjaunoties. Pārāk bieži uzņēmumi atklāj, ka dublēšana gadiem klusi nedarbojusies, tieši uzbrukuma brīdī. Tāpēc atjaunošanas procedūra regulāri jātestē: jāpārbauda gan atsevišķu failu, gan veselu sistēmu atgūšana, un jāizmēra, cik ilgi tas aizņem.

Definējiet divus mērķus katrai kritiskajai sistēmai — pieļaujamo dīkstāves laiku (RTO) un pieļaujamo datu zudumu (RPO). Šie skaitļi nosaka, cik biežai jābūt dublēšanai un cik ātrai atjaunošanai. Darbības nepārtrauktības plāns (BCDR) šos elementus sasaista kopā, lai uzņēmums pēc incidenta spētu atsākt darbu paredzamā termiņā.

Gatavība ir process, nevis vienreizējs projekts

Izspiedējvīrusa gatavība nav produkts, ko var nopirkt un aizmirst. Tā ir disciplīna: konsekventa ielāpošana, izolēti dublējumi, izglītoti darbinieki un pārbaudīts atjaunošanas plāns, ko regulāri atsvaidzina. Uzņēmumi, kas šos soļus iedibinājuši iepriekš, uzbrukuma gadījumā zaudē stundas, nevis nedēļas — un bieži vien nezaudē neko neatgriezeniski.

Ja vēlaties izvērtēt sava uzņēmuma pašreizējo gatavību, mūsu komanda Rīgā var veikt drošības auditu un palīdzēt sagatavot praktisku atjaunošanas plānu, kas pielāgots jūsu vajadzībām.