Ransomware je škodlivý software, který zašifruje nebo odcizí data. Útočník pak požaduje výkupné za jejich obnovu nebo za to, že je nezveřejní. Antivirus je potřeba, ale řeší jen část problému. Útok obvykle nezačíná ani nekončí na jednom počítači.
Útok je proces, ne jeden soubor
Útok mívá několik fází. Útočník nejdřív získá přístup, například přes ukradené heslo, zranitelnou službu dostupnou z internetu nebo podvodný e-mail. Pak se v síti rozhlíží, získává vyšší oprávnění a hledá zálohy a důležitá data. Šifrování bývá až posledním krokem.
Z toho plyne praktický závěr. Obrana má mít více vrstev, které se doplňují. Pokud jedna selže, další mohou útok zpomalit, odhalit nebo omezit jeho dopad. Doporučení americké agentury CISA v příručce #StopRansomware Guide proto kombinují offline zálohy, segmentaci sítě, vícefaktorové ověřování, aktualizace i připravený plán reakce.
Zálohy, které útok přežijí
Zálohy jsou základem obnovy. Musí ale přežít i útočníka, který v síti získal oprávnění správce.
Často se používá pravidlo 3-2-1: tři kopie dat na dvou různých typech úložiště, z toho jedna mimo hlavní lokalitu. Proti ransomwaru je důležité mít alespoň jednu kopii, kterou útočník nemůže z běžné sítě změnit ani smazat. Může jít o offline zálohu, odpojené médium nebo úložiště s neměnností (immutability), kde data po dobu uchování nelze přepsat.
- Oddělte přístup k zálohovacímu systému od běžných doménových účtů.
- Chraňte správu záloh vícefaktorovým ověřováním.
- Sledujte neobvyklé mazání záloh a změny v nastavení doby uchování.
- Obnovu pravidelně zkoušejte, nestačí kontrolovat, že záloha doběhla.
- Zjistěte, jak dlouho trvá obnova kritických systémů a v jakém pořadí ji provedete.
Myslete i na data mimo vlastní servery. Pokud používáte cloudové služby, ověřte, co přesně a jak dlouho poskytovatel zálohuje a jak probíhá obnova. Synchronizace není záloha: smazaný nebo zašifrovaný soubor se může synchronizovat na všechna zařízení.
Záloha, kterou jste nikdy nezkusili obnovit, je spíš předpoklad než jistota.
Segmentace a identity
Když útočník ovládne jeden počítač, rozhoduje, jak snadno se dostane dál. Plochá síť, ve které spolu může komunikovat cokoli, mu práci usnadňuje.
Segmentace rozděluje síť na části s jasnými pravidly. Servery, uživatelské stanice, správa infrastruktury, zálohy a výrobní technologie by si neměly být navzájem volně dostupné. Nemusíte začínat velkým projektem. Často pomůže omezit vzdálenou správu a sdílení souborů jen tam, kde je skutečně potřeba.
Stejně důležité jsou identity. Útok nemusí začít zneužitím chyby. Stačí platný účet s ukradeným nebo uhodnutým heslem.
- Vícefaktorové ověřování pro e-mail, VPN, vzdálený přístup a správcovské účty.
- Oddělené účty pro správu a pro běžnou práci.
- Co nejméně trvalých správcovských oprávnění.
- Pravidelná kontrola účtů bývalých zaměstnanců, dodavatelů a servisních účtů.
Ke stejné skupině základních opatření patří aktualizace. Přednost by měly mít systémy dostupné z internetu, například VPN, poštovní servery a nástroje pro vzdálený přístup.
Detekce, reakce a co umí rollback
Nástroje EDR (detekce a reakce na koncových zařízeních) sledují chování procesů, nejen známé vzorky. Mohou zachytit podezřelou aktivitu dřív, než dojde k šifrování, a umožnit rychlou reakci, například izolaci zařízení od sítě.
Někteří výrobci nabízejí i vrácení změn po útoku. SentinelOne na svém webu popisuje funkci rollback, která má vrátit změny provedené škodlivým procesem. Podle FAQ výrobce se týká koncových zařízení s Windows a pracuje se službou stínových kopií (VSS). Dostupnost takové funkce závisí na licenci, podporovaném operačním systému, nastavení politik a stavu zařízení. Proto ji vždy ověřujeme pro konkrétní nabídku podle aktuálních podmínek výrobce.
Rollback ani jiná funkce ochrany koncových zařízení nenahrazuje zálohy. Nepokrývá zařízení, na kterých agent neběží, a nevrátí data, která útočník už odcizil. Je to užitečná vrstva, ne náhrada obnovy.
Technologie také sama nerozhodne. Je potřeba vědět, kdo výstrahu vyhodnotí, kdo smí izolovat server a kdo rozhodne o odpojení části sítě. Plán reakce na incident by měl obsahovat kontakty, rozhodovací pravomoci a postup komunikace, i pro situaci, kdy nefunguje e-mail ani běžná síť.
APPSEC prodává, nasazuje a podporuje SentinelOne pro enterprise prostředí a Heimdal Security pro menší a střední firmy. Říkáme to otevřeně. Výběr technologie by ale měl vycházet z vašeho prostředí a rizik, ne naopak.
Kontrolní seznam odolnosti proti ransomwaru
- Alespoň jedna kopie záloh je offline nebo neměnná.
- Obnovu kritických systémů jste nedávno skutečně vyzkoušeli.
- Správa záloh je oddělená od běžných účtů a chráněná vícefaktorovým ověřováním.
- E-mail a vzdálený přístup vyžadují vícefaktorové ověřování.
- Správcovské účty jsou oddělené od běžné práce.
- Síť je rozdělená alespoň na uživatele, servery, správu a zálohy.
- Koncová zařízení mají ochranu s detekcí chování a někdo výstrahy vyhodnocuje.
- Víte, které funkce vaše licence skutečně obsahuje a na kterých systémech fungují.
- Máte písemný plán reakce s kontakty a rozhodovacími pravomocemi.
Pokud chcete zjistit, kde je vaše obrana proti ransomwaru nejslabší, můžeme spolu projít zálohy, přístupy i používané technologie a navrhnout kroky, které dávají smysl pro vaše prostředí. Dobrým začátkem je krátká konzultace.
