Ransomvér je škodlivý softvér, ktorý zašifruje alebo odcudzí údaje. Útočník potom žiada výkupné za ich obnovu alebo za to, že ich nezverejní. Antivírus je potrebný, ale rieši len časť problému. Útok sa spravidla nezačína ani nekončí na jednom počítači.
Útok je proces, nie jeden súbor
Útok zvyčajne prebieha v niekoľkých fázach. Útočník najprv získa prístup, napríklad cez ukradnuté heslo, zraniteľnú službu dostupnú z internetu alebo podvodný e-mail. Potom sa v sieti rozhliada, získava vyššie oprávnenia a hľadá zálohy a dôležité údaje. Šifrovanie býva až posledným krokom.
Z toho vyplýva praktický záver. Obrana má mať viac vrstiev, ktoré sa dopĺňajú. Ak jedna zlyhá, ďalšie môžu útok spomaliť, odhaliť alebo obmedziť jeho dopad. Odporúčania americkej agentúry CISA v príručke #StopRansomware Guide preto kombinujú offline zálohy, segmentáciu siete, viacfaktorové overovanie, aktualizácie aj pripravený plán reakcie.
Zálohy, ktoré útok prežijú
Zálohy sú základom obnovy. Musia však prežiť aj útočníka, ktorý v sieti získal oprávnenia správcu.
Často sa používa pravidlo 3-2-1: tri kópie údajov na dvoch rôznych typoch úložiska, z toho jedna mimo hlavnej lokality. Proti ransomvéru je dôležité mať aspoň jednu kópiu, ktorú útočník nemôže z bežnej siete zmeniť ani zmazať. Môže ísť o offline zálohu, odpojené médium alebo úložisko s nemennosťou (immutability), kde sa údaje počas doby uchovávania nedajú prepísať.
- Oddeľte prístup k zálohovaciemu systému od bežných doménových účtov.
- Chráňte správu záloh viacfaktorovým overovaním.
- Sledujte neobvyklé mazanie záloh a zmeny v nastavení doby uchovávania.
- Obnovu pravidelne skúšajte, nestačí kontrolovať, že záloha dobehla.
- Zistite, ako dlho trvá obnova kritických systémov a v akom poradí ju vykonáte.
Myslite aj na údaje mimo vlastných serverov. Ak používate cloudové služby, overte, čo presne a ako dlho poskytovateľ zálohuje a ako prebieha obnova. Synchronizácia nie je záloha: zmazaný alebo zašifrovaný súbor sa môže zosynchronizovať na všetky zariadenia.
Záloha, ktorú ste nikdy neskúsili obnoviť, je skôr predpoklad než istota.
Segmentácia a identity
Keď útočník ovládne jeden počítač, rozhoduje, ako ľahko sa dostane ďalej. Plochá sieť, v ktorej spolu môže komunikovať čokoľvek, mu prácu uľahčuje.
Segmentácia rozdeľuje sieť na časti s jasnými pravidlami. Servery, používateľské stanice, správa infraštruktúry, zálohy a výrobné technológie by si nemali byť navzájom voľne dostupné. Nemusíte začínať veľkým projektom. Často pomôže obmedziť vzdialenú správu a zdieľanie súborov len tam, kde je to naozaj potrebné.
Rovnako dôležité sú identity. Útok sa nemusí začať zneužitím chyby. Stačí platný účet s ukradnutým alebo uhádnutým heslom.
- Viacfaktorové overovanie pre e-mail, VPN, vzdialený prístup a správcovské účty.
- Oddelené účty na správu a na bežnú prácu.
- Čo najmenej trvalých správcovských oprávnení.
- Pravidelná kontrola účtov bývalých zamestnancov, dodávateľov a servisných účtov.
K rovnakej skupine základných opatrení patria aktualizácie. Prednosť by mali mať systémy dostupné z internetu, napríklad VPN, poštové servery a nástroje na vzdialený prístup.
Detekcia, reakcia a čo dokáže rollback
Nástroje EDR (detekcia a reakcia na koncových zariadeniach) sledujú správanie procesov, nielen známe vzorky. Môžu zachytiť podozrivú aktivitu skôr, než dôjde k šifrovaniu, a umožniť rýchlu reakciu, napríklad izoláciu zariadenia od siete.
Niektorí výrobcovia ponúkajú aj vrátenie zmien po útoku. SentinelOne na svojom webe opisuje funkciu rollback, ktorá má vrátiť zmeny vykonané škodlivým procesom. Podľa FAQ výrobcu sa týka koncových zariadení s Windows a pracuje so službou tieňových kópií (VSS). Dostupnosť takejto funkcie závisí od licencie, podporovaného operačného systému, nastavenia politík a stavu zariadenia. Preto ju vždy overujeme pre konkrétnu ponuku podľa aktuálnych podmienok výrobcu.
Rollback ani iná funkcia ochrany koncových zariadení nenahrádza zálohy. Nepokrýva zariadenia, na ktorých agent nebeží, a nevráti údaje, ktoré už útočník odcudzil. Je to užitočná vrstva, nie náhrada obnovy.
Technológia tiež sama nerozhodne. Treba vedieť, kto výstrahu vyhodnotí, kto smie izolovať server a kto rozhodne o odpojení časti siete. Plán reakcie na incident by mal obsahovať kontakty, rozhodovacie právomoci a postup komunikácie, aj pre situáciu, keď nefunguje e-mail ani bežná sieť.
APPSEC predáva, nasadzuje a podporuje SentinelOne pre enterprise prostredie a Heimdal Security pre menšie a stredné firmy. Hovoríme to otvorene. Výber technológie by však mal vychádzať z vášho prostredia a rizík, nie naopak.
Kontrolný zoznam odolnosti proti ransomvéru
- Aspoň jedna kópia záloh je offline alebo nemenná.
- Obnovu kritických systémov ste nedávno naozaj vyskúšali.
- Správa záloh je oddelená od bežných účtov a chránená viacfaktorovým overovaním.
- E-mail a vzdialený prístup vyžadujú viacfaktorové overovanie.
- Správcovské účty sú oddelené od bežnej práce.
- Sieť je rozdelená aspoň na používateľov, servery, správu a zálohy.
- Koncové zariadenia majú ochranu s detekciou správania a niekto výstrahy vyhodnocuje.
- Viete, ktoré funkcie vaša licencia naozaj obsahuje a na ktorých systémoch fungujú.
- Máte písomný plán reakcie s kontaktmi a rozhodovacími právomocami.
Ak chcete zistiť, kde je vaša obrana proti ransomvéru najslabšia, môžeme spolu prejsť zálohy, prístupy aj používané technológie a navrhnúť kroky, ktoré dávajú zmysel pre vaše prostredie. Ako prvý krok si dohodnite krátku konzultáciu.
