Ransomware w małej i średniej firmie: jak się chronić i co robić po ataku

Poniedziałek, 7:40. Księgowa włącza komputer i zamiast plików widzi dziwne rozszerzenia oraz plik tekstowy z instrukcją zapłaty. Serwer nie odpowiada, program kadrowy nie startuje. Tak zwykle wygląda ransomware w małej firmie: atak przychodzi w weekend lub w nocy, a odkrywa się go rano. Ten tekst ma dwie części. Pierwsza mówi, co zrobić, gdy to się już stało, druga, jak sprawić, żeby kolejny atak nie sparaliżował firmy.

Pierwsza godzina: czego nie robić

W panice łatwo pogorszyć sytuację. Uważaj zwłaszcza na trzy odruchy:

• Nie wyłączaj wszystkiego na siłę bez konsultacji. Odłączenie od sieci jest dobre, ale twarde wyłączenie serwerów może zniszczyć ślady potrzebne do analizy, a czasem dane w pamięci.
• Nie kontaktuj się z atakującymi na własną rękę i nie płać. Zapłata nie gwarantuje odzyskania danych ani tego, że nie zostaną opublikowane.
• Nie zaczynaj od przywracania kopii, dopóki nie wiesz, którędy weszli atakujący. Inaczej odtworzysz system wprost do zainfekowanej sieci.

Co zrobić po ataku ransomware: plan na pierwsze godziny

1. Odizoluj zainfekowane urządzenia. Odłącz kable sieciowe, wyłącz Wi-Fi, odłącz dyski zewnętrzne. Jeśli nie wiesz, które urządzenia są zainfekowane, odłącz od internetu całą sieć.
2. Powiadom osobę odpowiedzialną za IT lub dostawcę obsługi IT. Zadzwoń, bo poczta może nie działać.
3. Zabezpiecz kopie zapasowe. Sprawdź, czy kopie poza siecią i w chmurze są nienaruszone, i do czasu wyjaśnienia sprawy odetnij do nich dostęp z firmowej sieci.
4. Zrób dokumentację: zdjęcia ekranów z komunikatem, listę objętych urządzeń, godzinę wykrycia. Przyda się do zgłoszeń i analizy.
5. Zmień hasła do kont administracyjnych, poczty i bankowości z czystego urządzenia spoza firmowej sieci.
6. Zgłoś incydent. Do CERT Polska zgłosisz go przez formularz zgłaszania incydentów. Jeśli atak dotyczy danych osobowych, oceń, czy musisz zawiadomić Prezesa UODO. RODO daje na to 72 godziny od stwierdzenia naruszenia.
7. Powiadom ubezpieczyciela, jeśli masz polisę obejmującą ryzyka cybernetyczne. Polisy często wymagają szybkiego zgłoszenia i współpracy ze wskazanymi specjalistami.

Kolejne dni: odbudowa

Po opanowaniu sytuacji trzeba ustalić, jak atakujący dostali się do sieci. Najczęściej wchodzą przez przejęte hasło do zdalnego dostępu bez uwierzytelniania wieloskładnikowego albo przez niezałataną podatność w urządzeniu wystawionym do internetu. Zdarza się też załącznik otwarty przez pracownika. Dopóki ta droga jest otwarta, odtwarzanie systemów nie ma sensu.

Odbudowa przebiega zwykle od systemów najważniejszych: kontrola domeny i kont, system ERP, poczta, pliki. Każdy serwer odtwarzany z kopii trzeba sprawdzić, bo kopia z ostatnich dni może już zawierać narzędzia atakującego. Stąd potrzeba historii kopii sięgającej kilka tygodni wstecz.

Jak się chronić przed ransomware: siedem warstw

Żaden pojedynczy produkt nie rozwiązuje problemu. Ochrona składa się z kilku warstw, a każda zatrzymuje część ataków.

1. Kopie, których atakujący nie skasuje

Przynajmniej jedna kopia powinna być odizolowana od sieci albo niezmienialna przez określony czas, a dostęp do niej chroniony innym kontem niż administrator domeny. Szczegóły opisujemy w artykule o zasadzie 3-2-1.

2. Uwierzytelnianie wieloskładnikowe

MFA na poczcie, VPN, pulpicie zdalnym i kontach administracyjnych zamyka najczęstszą drogę wejścia, czyli wykradzione hasło. Od czego zacząć, piszemy w tekście o MFA w firmie.

3. Aktualizacje

Najpilniej aktualizuje się urządzenia wystawione do internetu: firewall, serwer VPN, serwer pocztowy, NAS z dostępem zdalnym. Podatności w tych urządzeniach są aktywnie wykorzystywane krótko po publikacji.

4. Ograniczenie uprawnień

Pracownicy nie powinni pracować na kontach z uprawnieniami administratora. Dostęp do udziałów sieciowych przydzielaj według potrzeb, a nie „wszyscy do wszystkiego”. Im mniej widzi zainfekowane konto, tym mniej zaszyfruje.

5. Ochrona stanowisk

Nowoczesne oprogramowanie ochronne wykrywa podejrzane zachowanie, na przykład masowe szyfrowanie plików, a nie tylko znane sygnatury. Ktoś musi jednak faktycznie czytać jego alerty.

6. Świadomi pracownicy

Phishing nadal często otwiera atak. Krótkie, regularne szkolenia i prosta zasada „zgłaszasz, nie usuwasz” dają więcej niż jednorazowy wykład.

7. Plan na wypadek ataku

Spisz, kto decyduje, do kogo się dzwoni, gdzie są hasła awaryjne i w jakiej kolejności przywraca się systemy. Taki plan to część szerszego planu ciągłości działania.

Komunikacja w trakcie incydentu

Pracownicy muszą wiedzieć, czy mogą włączać komputery i jak pracować do czasu przywrócenia systemów. Klienci i dostawcy mogą dostać fałszywe wiadomości z przejętych skrzynek, więc dobrze ich uprzedzić, zwłaszcza o tym, że firma nie zmienia numeru rachunku bankowego.

Ustal z góry, kto jest jedynym źródłem informacji wewnątrz firmy i kto rozmawia z klientami. Numery telefonów najważniejszych osób, dostawcy IT i ubezpieczyciela zapisz na papierze lub w telefonie. W trakcie ataku firmowa poczta i dysk mogą być niedostępne.

Ubezpieczenie od ryzyk cybernetycznych

Coraz więcej firm rozważa polisę obejmującą skutki ataków. Ubezpieczyciele zwykle pytają o podstawowe zabezpieczenia: MFA, kopie zapasowe odizolowane od sieci, aktualizacje, ochronę stanowisk. Brak tych elementów może utrudnić zawarcie umowy albo wypłatę odszkodowania. Porządek w IT ma więc też wymiar finansowy.

Ten sam atak, dzień przestoju albo wiele dni

Wyobraź sobie dwie firmy usługowe zaatakowane w ten sam sposób, przez przejęte konto pulpitu zdalnego. Pierwsza trzyma kopie wyłącznie na dysku sieciowym w tej samej sieci. Zostają zaszyfrowane razem z serwerem, a firma przez wiele dni odtwarza dokumenty z poczty i papierowych wydruków.

Druga ma dodatkową kopię w chmurze z niezmienialnością i osobnym kontem dostępowym. Po wyczyszczeniu środowiska i zamknięciu dostępu zdalnego przywraca system ERP i pliki z kopii sprzed ataku. Traci mniej niż dzień pracy. O różnicy zdecydował nie budżet, tylko miejsce i sposób przechowywania kopii.

Sprawdź swoją firmę w pięć minut

• Czy masz kopię, której nie da się usunąć z konta administratora domeny?
• Czy dostęp zdalny do firmy wymaga drugiego składnika logowania?
• Czy wiesz, kiedy ostatnio aktualizowano firewall i serwer VPN?
• Czy pracownicy wiedzą, do kogo dzwonić, gdy zobaczą coś podejrzanego?
• Czy kiedykolwiek przywracano serwer z kopii testowo?

Każde „nie” lub „nie wiem” to punkt do uporządkowania, zanim zrobi to za Ciebie atakujący. Umów rozmowę o obsłudze IT Twojej firmy i ocenie odporności na ransomware.