Ochrana pred ransomvérom
Zálohovanie a úložiská navrhujeme tak, aby útok neznamenal stratu dát ani platenie výkupného. Takto to funguje technicky.
Čo je ransomvér
Ransomvér je škodlivý softvér, ktorý zablokuje prístup k vašim dátam - najčastejšie ich zašifruje - a za ich vrátenie žiada výkupné, zvyčajne v kryptomenách. Dnes ho neprevádzkujú jednotlivci, ale organizované skupiny, ktoré cielene útočia na firmy, nemocnice aj verejnú správu.
Šifrovací ransomvér
Zašifruje súbory, databázy aj virtuálne servery. Bez kľúča od útočníka sú dáta nečitateľné.
Blokujúci ransomvér
Zamkne prístup k systému alebo zariadeniu. Dáta nemusí šifrovať, no znemožní prácu.
Dvojité vydieranie
Pred šifrovaním dáta ukradne a hrozí ich zverejnením. Záloha tak rieši len časť problému.
Ransomvér ako služba
Vývojári prenajímajú nástroje „partnerom“, ktorí útočia. Útok si tak dnes môže objednať takmer ktokoľvek.
Ako sa dostane do firmy
Väčšina útokov nevyužíva nič exotické. Stačí jedna slabina, ktorá zostala otvorená.
Phishing
E-mail s infikovanou prílohou alebo odkazom na falošnú prihlasovaciu stránku.
Ukradnuté heslá
Uniknuté alebo slabé heslá k VPN, vzdialenej ploche či e-mailu bez dvojfaktorového overenia.
Neopravené zraniteľnosti
Chyby vo firewalloch, VPN bránach a serveroch, na ktoré už existuje záplata.
Otvorená vzdialená plocha
RDP alebo správa servera dostupná z internetu bez ďalšej ochrany.
Dodávatelia
Útok cez prístup externej firmy alebo cez kompromitovaný softvér tretej strany.
Infikované zariadenia
Napadnutý notebook alebo USB kľúč pripojený do firemnej siete.
Známe útoky
Ransomvér nie je teoretická hrozba. Tieto prípady zasiahli celé odvetvia.
WannaCry (2017)
Zasiahol stovky tisíc počítačov vo vyše 150 krajinách vrátane britských nemocníc. Šíril sa sám cez neopravenú zraniteľnosť Windows.
NotPetya (2017)
Maskoval sa ako ransomvér, no dáta nenávratne zničil. Firmám ako Maersk či Merck spôsobil škody v stovkách miliónov dolárov.
Colonial Pipeline (2021)
Útok cez jediné uniknuté heslo k VPN bez MFA odstavil najväčší ropovod v USA na niekoľko dní.
Ako prebieha útok
Moderný ransomvér nezačína šifrovaním. Najprv sa útočník postará o to, aby ste sa nemali odkiaľ obnoviť.
Prienik
Phishing, zraniteľná VPN alebo ukradnuté heslo.
Prevzatie kontroly
Útočník získa administrátorské práva a zmapuje sieť.
Útok na zálohy
Vymaže alebo zašifruje zálohy a snapshoty.
Šifrovanie a vydieranie
Zašifruje servery a hrozí zverejnením ukradnutých dát.
Zálohy sú prvý cieľ. Preto musia odolať aj útočníkovi s administrátorským prístupom.
Nemenné zálohy (immutability)
Zálohy a snapshoty ukladáme v režime WORM (Write Once, Read Many). Po zapísaní sa počas nastavenej doby uchovávania nedajú zmeniť ani vymazať - ani administrátorom, ani cez API.
NetApp ONTAP
- SnapLock - režim Compliance a Enterprise
- Uzamknuté (tamperproof) snapshoty
Synology DSM
- Immutable Snapshots (Btrfs)
- Zdieľané priečinky WriteOnce (WORM)
Cloud (S3)
- S3 Object Lock v režime Compliance
- Kópia mimo vašej infraštruktúry
Typická doba uzamknutia denných záloh. Nastavujeme ju podľa toho, ako dlho môže útok zostať neodhalený. Mesačné zálohy uzamykáme dlhšie.
Detekcia útoku
Čím skôr sa útok odhalí, tým menej dát zasiahne. Na úložiskách NetApp využívame Autonomous Ransomware Protection (ARP), ktorá pri podozrení automaticky vytvorí chránený snapshot a spustí upozornenie. Pri všetkých riešeniach navyše sledujeme zálohovacie úlohy.
Entropia dát
Zašifrované súbory vyzerajú ako náhodný šum. Prudký nárast entropie je jasný signál.
Neobvyklé prípony
Hromadné premenovanie súborov na neznáme prípony.
Skok v aktivite
Náhly nárast zápisov a mazaní mimo bežného profilu.
Anomálie v zálohách
Prudký nárast zmenených dát alebo pokles deduplikácie.
Izolácia a riadenie prístupu
Aj keď útočník ovládne vašu sieť, k zálohám sa nesmie dostať. Preto je zálohovacia infraštruktúra oddelená a prístup k nej prísne chránený.
Oddelená sieť
Zálohy sú v samostatnom segmente (VLAN) a mimo domény Active Directory.
Dvojfaktorové overenie
Správa vyžaduje samostatné admin účty a MFA.
Schválenie druhou osobou
Mazanie snapshotov či zmenu politík musí potvrdiť ďalší administrátor (Multi-Admin Verification).
Najnižšie oprávnenia
Prednastavené účty sú vypnuté, každý má len prístup, ktorý potrebuje.
Pravidlo 3-2-1-1-0
Overený štandard zálohovania. Replikáciu do druhej lokality alebo dátového centra v EÚ zabezpečuje NetApp SnapMirror, resp. Synology Snapshot Replication a Hyper Backup. Dáta sú šifrované pri prenose (TLS) aj v úložisku (AES-256) a kľúče zostávajú u vás.
Rýchla obnova
Obnova zo snapshotu nekopíruje dáta, len vráti zväzok do pôvodného stavu (NetApp SnapRestore, Btrfs snapshoty). Virtuálne servery vieme spustiť priamo zo zálohy a za chodu ich presunúť späť do produkcie.
Obnova zväzku zo snapshotu, bez ohľadu na objem dát.
Pred obnovou vždy určíme posledný stav pred začiatkom útoku, aby sa infekcia nevrátila spolu s dátami.
Testovanie a havarijný plán
Záloha, ktorá nebola obnovená, nie je overená. Obnovu preto pravidelne skúšame v izolovanom prostredí a výsledok dostávate v reporte. Spolu s vami pripravíme havarijný plán (runbook): kto čo robí, v akom poradí a ako dlho to trvá.
Čo sa stane pri útoku
Keď útok príde, nikto neimprovizuje. Postupujeme podľa pripraveného plánu.
Detekcia
Zachytíme podozrivú aktivitu a okamžite vás kontaktujeme.
Izolácia
Odpojíme zasiahnuté systémy, aby sa šifrovanie nešírilo.
Bod obnovy
Nájdeme posledný čistý snapshot pred začiatkom útoku.
Obnova
Obnovíme dáta a servery podľa havarijného plánu.
Analýza
Zistíme, ako sa útočník dostal dnu, a uzavrieme túto cestu.
Prečo neplatiť výkupné
Zaplatenie sa môže zdať ako najrýchlejšie riešenie. V praxi prináša viac rizík ako istoty.
Žiadna záruka
Dešifrovací nástroj nemusí fungovať vôbec alebo len čiastočne a obnova býva pomalá.
Ukradnuté dáta zostávajú
Zaplatenie nezaručí, že útočník dáta vymaže alebo ich nepredá ďalej.
Opakovaný cieľ
Firma, ktorá raz zaplatila, sa často stane cieľom znova.
Právne riziko
Platba môže porušiť sankčné predpisy, ak skupina figuruje na sankčných zoznamoch.
Povinnosti pri incidente
Ransomvér nie je len technický problém. Môže spustiť zákonné povinnosti s krátkymi lehotami.
Únik osobných údajov
Porušenie ochrany osobných údajov treba podľa GDPR nahlásiť Úradu na ochranu osobných údajov do 72 hodín od zistenia.
Kybernetická bezpečnosť
Subjekty podľa zákona o kybernetickej bezpečnosti (NIS2) musia závažný incident hlásiť Národnému bezpečnostnému úradu.
Informovanie dotknutých
Pri vysokom riziku pre ľudí treba informovať aj samotných zákazníkov či zamestnancov.
Dokumentácia
Priebeh incidentu a prijaté opatrenia je potrebné zdokumentovať. Pripravený havarijný plán to výrazne uľahčí.
Čo môžete urobiť hneď
Nemenné zálohy sú posledná línia obrany. Tieto kroky znížia šancu, že sa útočník vôbec dostane dnu.
Dvojfaktorové overenie
Na VPN, e-mail, vzdialený prístup a všetky administrátorské účty.
Aktualizácie
Pravidelne záplatujte firewally, VPN, servery a zálohovací softvér.
Školenie ľudí
Zamestnanci, ktorí rozpoznajú phishing, sú najlacnejšia ochrana.
Ochrana koncových zariadení
Moderný antivírus alebo EDR, ktorý zachytí podozrivé správanie, nielen známe vzorky.
Chcete vedieť, ako ste na tom vy?
Preveríme vaše súčasné zálohovanie a navrhneme, čo zlepšiť.
Kontaktujte nás