Ransomver napad: šta uraditi u prvih 60 minuta

Obično počne neprimetno: fajlovi koji se ne otvaraju, čudna ekstenzija, poruka sa zahtevom za otkup na desktopu servera. Od tog trenutka važi svaki minut. Odluke iz prvog sata odlučuju da li ćete izgubiti nekoliko računara ili podatke cele firme.

Ovaj vodič daje praktičan redosled radnji. Namenjen je vlasnicima firmi i IT menadžerima, a ne samo stručnjacima. Odštampajte ga, podelite sa onim ko vodi IT u vašoj firmi i dogovorite se oko njega pre nego što se nešto desi.

Minuti 0–10: zaustavite širenje

• Izolujte zahvaćene uređaje sa mreže. Izvucite mrežni kabl i isključite Wi-Fi. Još ništa ne brišite i ne instalirajte ponovo.
• Ne gasite servere u panici. Gašenje može da uništi dokaze koji se nalaze u memoriji. Ako možete, prvo izolujte, pa pitajte stručnjaka da li treba isključiti.
• Prekinite deljene resurse. Isključite pristup deljenim folderima, VPN-u i udaljenoj radnoj površini. Ransomver se širi svuda gde može da dohvati.
• Zaštitite backup. Ako je backup na istoj mreži, odmah odvojite taj prostor. Napadači često prvo traže backup.

Minuti 10–30: shvatite šta se desilo

• Zapišite vreme kada ste primetili problem, koji su računari zahvaćeni i šta piše u poruci o otkupu. Napravite fotografije ili snimke ekrana.
• Promenite ključne lozinke sa čistog uređaja, ne sa zaraženog: administratorski nalozi, e-pošta, VPN, cloud konzole. Uključite višefaktorsku autentifikaciju svuda gde je nema.
• Proverite koji su se nalozi nedavno prijavljivali. Tražite nepoznate korisnike, nove administratorske naloge i prijave u neobično vreme.
• Ne kontaktirajte napadače i ne plaćajte pod pritiskom. Uplata ne garantuje da ćete dobiti podatke nazad, a vašu firmu označava kao voljnog platišu.

Minuti 30–60: pozovite prave ljude

• Uključite tim za odgovor na incidente. Iskusan tim može da potvrdi vrstu ransomvera, kako su napadači ušli i da li su podaci ukradeni, a ne samo šifrovani.
• Obavestite upravu i odredite ko govori u ime firme. Jedna osoba treba da vodi svu komunikaciju sa zaposlenima, klijentima i partnerima.
• Razmislite o zakonskim obavezama. Ako su lični podaci možda izloženi, propisi o zaštiti podataka mogu zahtevati obaveštavanje nadležnog organa u kratkom roku, najčešće 72 sata. Pitajte pravnika koja pravila važe za vas.
• Prijavite incident nadležnom državnom telu ili CERT-u, a policiji ako nameravate da podnesete prijavu.

Posle prvog sata: oporavak

Oporavak je projekat, a ne dugme. Razuman redosled je:

1. Ponovo izgradite ili očistite zahvaćene sisteme sa pouzdanih medija.
2. Zatvorite ulaznu tačku: neažuriran softver, otvoren udaljeni pristup, ukradene lozinke ili phishing poruku.
3. Vratite podatke iz backup-a za koji ste proverili da je čist, počevši od sistema koji su poslovanju najpotrebniji.
4. Nekoliko nedelja pažljivo pratite da li ima znakova da su napadači još unutra.

Kako da budete spremni pre napada

Većina muke u ransomver incidentu dolazi od nepripremljenosti. Najviše pomažu ove mere:

• Backup koji ne može da se šifruje. Čuvajte bar jednu kopiju van mreže ili nepromenljivu i pratite pravilo 3-2-1: tri kopije, dve vrste medija, jedna van lokacije.
• Testirano vraćanje. Backup koji nikad niste vratili samo je nada. Zakažite probe vraćanja i merite koliko traju. Ciljeve objašnjavamo u članku o ciljevima oporavka (RTO i RPO).
• Ažuriranje i najmanje privilegije. Održavajte sisteme ažurnim i dajte ljudima samo pristup koji im treba.
• Višefaktorska autentifikacija za e-poštu, VPN i administratorske naloge.
• Pisani plan za incidente sa telefonima, ulogama i redosledom koraka iz ovog teksta.
• Edukacija zaposlenih. Većina napada počinje jednom ubedljivom porukom. Kratke, redovne obuke se isplate.

Kako vam možemo pomoći

Alficom projektuje rešenja za kontinuitet poslovanja i oporavak od katastrofe sa lokalnom i cloud replikacijom i nepromenljivim backup-om, a pomaže i u izradi strategije sajber otpornosti sa planom odgovora na incidente. Ako želite da znate gde ste danas, možemo da počnemo kratkim pregledom vašeg backup-a i izloženosti ovakvim napadima.