Chciałem stworzyć przejrzysty przewodnik dotyczący tego, co należy zrobić w przypadku ataku oprogramowania ransomware, ponieważ większość osób podejmuje decyzje pod presją i nie ma czasu na szukanie informacji w trakcie zdarzenia.
1. Odizoluj zainfekowane systemy
Natychmiast odłącz zainfekowane komputery od sieci. Wyciągnij kabel sieciowy lub wyłącz Wi-Fi – nie wystarczy po prostu wyłączyć komputer. Wyłączenie komputera może spowodować skasowanie zawartości pamięci ulotnej, która będzie później potrzebna zespołom kryminalistycznym, a ponadto nie powstrzyma oprogramowania ransomware przed dotarciem do dysków współdzielonych lub kopii zapasowych nadal podłączonych do sieci.
2. Upewnij się, że to oprogramowanie ransomware, i zidentyfikuj jego odmianę
Poszukaj notatki z żądaniem okupu, zmian rozszerzeń plików oraz wszelkich komunikatów wyświetlanych na zablokowanym ekranie. Narzędzia takie jak ID Ransomware lub szybkie wyszukiwanie tekstu notatki z żądaniem okupu mogą pomóc w ustaleniu, z którym wariantem masz do czynienia. Ma to znaczenie, ponieważ dla niektórych wariantów istnieją znane narzędzia deszyfrujące, a inne zachowują się inaczej pod względem tego, co szyfrują i w jaki sposób się rozprzestrzeniają.
3. Uruchom plan reagowania na incydenty
Wezwij zespół reagowania na incydenty oraz wcześnie poinformuj o sytuacji radcę prawnego i kierownictwo. Jeśli posiadasz ubezpieczenie od cyberataków, w tym momencie skontaktuj się również z ubezpieczycielem, ponieważ wiele polis wymaga zgłoszenia w określonym terminie i wskazuje preferowanych dostawców usług kryminalistycznych oraz negocjacyjnych.
4. Zabezpiecz dowody, zanim zaczniesz cokolwiek robić
Przed rozpoczęciem działań naprawczych wykonaj kopie obrazowe dotkniętych systemów lub przynajmniej zapisz logi. Uważam, że ten krok jest zbyt często pomijany, ponieważ ludzie chcą działać szybko, ale bez dowodów tracisz możliwość zrozumienia, w jaki sposób atakujący się włamał, a mogą one być potrzebne do zgłoszenia roszczenia ubezpieczeniowego lub współpracy z organami ścigania.
5. Zgłoś incydent
W Stanach Zjednoczonych zgłoś incydent do Centrum Skarg Dotyczących Przestępstw Internetowych FBI (IC3) oraz do CISA. Zgłoszenie nic nie kosztuje, a może zapewnić dostęp do kluczy deszyfrujących lub informacji wywiadowczych na temat konkretnej grupy cyberprzestępców. Przewodnik CISA #StopRansomware stanowi dobre źródło informacji na ten etap oraz kolejne (cisa.gov/stopransomware).
6. Sprawdź swoje kopie zapasowe
Sprawdź, czy kopie zapasowe są rzeczywiście nieuszkodzone i czy w momencie ataku były odłączone od sieci lub izolowane fizycznie (air gap). Zazwyczaj to właśnie ten krok decyduje o przebiegu całego procesu przywracania danych. Jeśli kopie zapasowe są nienaruszone, masz realną szansę na przywrócenie danych bez konieczności płacenia okupu. Jeśli były one podłączone do sieci i również zostały zaszyfrowane, Twoje możliwości znacznie się zawężają.
7. Ostrożnie podejmij decyzję w sprawie okupu
Unikałbym tutaj pochopnej decyzji. Zapłacenie nie gwarantuje, że otrzymasz działający klucz deszyfrujący, a ponadto może sprawić, że zostaniesz uznany za cel skłonny do ponownej zapłaty. Niepłacenie może oznaczać dłuższy proces odbudowy. Jest to decyzja, którą powinni wspólnie podjąć kierownictwo, dział prawny i często organy ścigania – nie jest to coś, o czym należy decydować samodzielnie o 2 w nocy. Firma Ontrack opisała te kompromisy bardziej szczegółowo, jeśli chcesz zgłębić ten temat (czy powinniśmy zapłacić okup).
8. Odbudowa i przywrócenie danych z czystych systemów
Wyczyść zainfekowane maszyny i odbuduj je na podstawie sprawdzonych obrazów, a następnie przywróć dane z kopii zapasowych, co do których masz pewność, że są czyste. Najpierw zajmij się systemami, które mają największe znaczenie dla bezpieczeństwa i przychodów, i odbudowuj je w środowisku segmentowanym, tak aby nie podłączać niczego do aktywnej sieci, dopóki nie zostanie potwierdzone, że jest czyste.
9. Przeskanuj wszystko przed ponownym podłączeniem
Przeprowadź pełne skanowanie w poszukiwaniu złośliwego oprogramowania na przywróconych systemach, zanim ponownie dołączysz je do sieci. Nie spiesz się z tym krokiem. Zbyt szybkie działanie w tym momencie może spowodować ponowne zainfekowanie środowiska, które właśnie oczyściłeś.
10. Przeanalizuj, co się stało, i zlikwiduj luki
Gdy sytuacja się ustabilizuje, przeprowadź odpowiednią analizę po incydencie. Ustal punkt wejścia – czy był to phishing, odsłonięty port RDP, czy też niezałatana luka – i usuń tę konkretną lukę. Zaktualizuj plan reagowania na incydenty w oparciu o to, czego faktycznie się nauczyłeś, a nie tylko o to, co mówią podręczniki.
Kilka szczerych uwag: czas przywrócenia sprawności systemu zależy w dużym stopniu od jakości kopii zapasowych oraz od tego, jak szybko uda się wyizolować zagrożenie, dlatego nie chcę obiecywać konkretnej liczby dni. Jeśli właśnie zmagasz się z aktywnym incydentem, kroki od 1 do 5 należy wykonać natychmiast, a pozostałe działania można podjąć dopiero po opanowaniu sytuacji.
Źródła: