Ha pontosan betartja az ebben a cikkben leírt ajánlásokat, soha nem kell váltságdíjat fizetnie, mindig visszakapja adatait, és a kieséseket az Ön által elfogadható időtartamra minimalizálja.
Néhány érdekesség
• Csehországban naponta 20, kibertámadással összefüggő bűncselekményt jelentenek be.
• Az elmúlt 3 évben a támadások száma megduplázódott.
• Évről évre átlagosan 25%-kal többet fizetnek egy támadásért.
• Csak egyes szervezetek készülnek fel előre a támadásra. A többiek várnak.
• A kérdés nem az, hogy jön-e támadás, hanem az, hogy mikor.
Mi az a ransomware
A ransomware olyan rosszindulatú kód (malware), amelyet a támadó anyagi haszonszerzése céljából hoznak létre. A felhasználók zsarolásának elvén működik. A károsult felhasználók kénytelenek fizetni saját adataik hozzáférhetővé tételéért (visszafejtéséért).
Hogyan működik a ransomware
Amint a ransomware beszivárog egy számítógépbe vagy számítógépes hálózatba, titkosítja a helyi lemezeken, külső lemezeken, hálózati tárhelyeken, NAS-on és más gépeken található összes adatot. A biztonsági réseket tartalmazó protokolloknak (általában frissítetlen rendszereken keresztül) köszönhetően a ransomware a hálózat olyan helyeire és olyan eszközökre is eljuthat, amelyek egyébként nagyon jól védettek és rendszerint elérhetetlenek. Különösen alattomos, hogy a titkosításnak nem kell közvetlenül a fertőzés után megkezdődnie, hanem később is indulhat. Amint minden adat titkosítva van, a támadó váltságdíjat követel. Általában a károsult gépek monitorain megjelenik egy felszólítás, hogy egy adott összeget meghatározott időn belül fizessenek ki, és elindul a visszaszámlálás (például fizessen 5 Bitcoint 72 órán belül egy adott Bitcoin-számlára). Ha ransomware-támadás áldozatává válik, és minden adatát, rendszerét és biztonsági mentését elveszíti, nem marad más hátra, mint a váltságdíj kifizetése. A váltságdíj megfizetése után a támadóknak visszafejtő kulcsot kell küldeniük. Ennek megadását követően adatainak visszafejtése, tehát eredeti állapotukba való visszaállítása történhet meg.
Miért van most ennyi ransomware, és miért hallani róla mindenhol?
Egyszerűen azért, mert működik, és nagyon könnyű módja a tisztességtelen pénzszerzésnek. Míg korábban a sikeres ransomware-támadók nagyon jó programozók közül kerültek ki, akiknek elég romlott volt a jellemük ahhoz, hogy így gazdagodjanak meg, ma már elég csupán a romlott jellem. Ennek oka, hogy a ransomware megvásárolható, sőt akár bérelhető is. Amikor tehát szinte bárki sikeres támadóvá válhat, a támadások száma logikusan nő.
A támadók fizetés után valóban működő visszafejtő kulcsokat küldenek?
Erre általánosságban nem lehet válaszolni. Ügyfeleink és partnereink tapasztalatai vegyesek. Míg egyesek akár többször is fizettek, majd sikeresen visszafejtették az adatokat, másoknak a kulcsok soha nem érkeztek meg. Ez támadásonként eltérő. Ismertek olyan esetek is, amikor láthatóan „rosszul sikerült ransomware” esetén megtörtént a titkosítás, de a fizetési és kommunikációs kapcsolat nem működött, így nem került sor visszafejtésre.
Egy tanács – próbáljon előzetesen kapcsolatba lépni a támadóval, és kérjen bizonyítékot arra, hogy valóban rendelkezik az adatai felett. Kérje meg a támadót, hogy fejtsen vissza egy adatrészt, vagy adja át a sérült adatok egy részét (például néhány fájlt). Ebből kiderül, hogy kapcsolatba lehet-e lépni a támadóval, és egyáltalán tud-e segíteni. Ha kis összeget követelnek – például 100–500 dollárt (általában sok felhasználót érintő tömeges támadás esetén) –, a támadó nem feltétlenül jelentkezik, mégis elküldhetik a visszafejtő kulcsokat, mert a kiszolgálás automatizált. Ha azonban nagy vagy jól prosperáló szervezet, amely ellen célzott támadást követtek el, és a követelt összeg több ezer dollár, akkor a támadó saját érdekében valószínűleg kommunikálni fog Önnel. Ezután csak fizetni kell, reménykedni, visszafejteni, tanulni az esetből és védekezni a következő támadás ellen.
Minket is megtámadhat a ransomware?
Igen. Ha ez még nem történt meg, nagy valószínűséggel hamarosan meg fog történni. A ransomware egyik aktuális trendje a helyi felhasználók és szervezetek célba vétele. Ez növeli a támadók sikerének esélyét. Ma már kevesen dőlnek be a rossz angolsággal írt, gyanús melléklet megnyitására felszólító e-maileknek. De ha az igazgató úr egy neves ügyvédi irodától kap e-mailt (az e-mail-cím természetesen hamisított), amely szép jogi cseh nyelven arról tájékoztatja, hogy egy ki nem fizetett számla miatt a következő napokban keresetet nyújtanak be a vállalat ellen, nagy valószínűséggel megnyitja a fertőzött mellékletet, amelyben állítólag a ki nem fizetett számla található. Mivel sok vállalatnál a felső vezetés teljes, azaz rendszergazdai jogosultságokkal rendelkezik, megkezdődhet a titkosítás. Egy másik gyakori módszer például az RDP protokollon keresztüli támadás, amikor a támadó nyers erővel próbálja feltörni a távoli asztal elérését. Ha ez sikerül, semmi sem akadályozza a ransomware elindítását.
10 + 1 szabály a ransomware elleni hatékony védekezéshez
1) A fertőzés leggyakoribb módja az e-mailen keresztül érkező fertőzött melléklet vagy az e-mailben található, fertőzött tartalomra mutató hivatkozás. A legkevesebb, amit megtehet, a szigorúbb levelezésszűrés beállítása.
2) A legnagyobb kockázatot a felhasználók jelentik. Nem nehéz rávenni egy tájékozatlan felhasználót, hogy valamilyen ürüggyel megnyisson egy mellékletet. Ilyen melléklet lehet például egy állítólag ki nem fizetett, a számlázási osztálynak küldött számla, egy állítólagos, a HR-osztálynak küldött önéletrajz, egy állítólagos, az értékesítési osztálynak küldött megrendelés vagy egy állítólagos csomagkézbesítési visszaigazolás. Ezért ne adjon rendszergazdai jogosultságot olyan felhasználóknak, akiknek erre nincs szükségük.
3) Tájékoztassa és rendszeresen képezze a felhasználókat a biztonságos viselkedésről. Különösen azokat, akik magasabb jogosultságokkal rendelkeznek.
4) Frissítsen. A naprakész rendszer általában javított és kevesebb biztonsági rést tartalmazó rendszert jelent (természetesen nem mindig). A rendszeresen frissített rendszereknél mindig kisebb a veszélye annak, hogy a rendszert ransomware támadja meg és terjed tovább.
5) Használjon aktív ransomware-védelmet, például vírusirtót és biztonsági szoftvert. Vagy használja az aktív ransomware-védelmet, amely minden Acronis biztonsági mentési megoldásban megtalálható. Az Acronis aktív védelmének előnye, hogy közvetlenül ransomware-re specializálódott. Az aktív védelem képes felismerni és megállítani a ransomware titkosítását és terjedését, vagy legalább enyhíteni az okozott károkat. Az Acronis aktív védelme ráadásul a fájlrendszer gyorsítótárából automatikusan helyre tudja állítani a már titkosított fájlokat. Azokon a gépeken, amelyeken nincs fizetős Acronis biztonsági mentési megoldása, telepítse legalább az ingyenes aktív ransomware-védelmet – Acronis Ransomware Protection (az Acronis Ransowmare Protection ingyenes aktív védelme csak Windows 7, 8 és 10 operációs rendszerekhez készült. Az Acronis fizetős biztonsági mentési megoldásaiban található aktív védelem a szerver operációs rendszereket és a virtuális infrastruktúrát is védi).
6) Használjon passzív védelmet – biztonsági mentést. Semmilyen aktív védelem nem garantál 100%-os védelmet a ransomware ellen. Ez mindig verseny az aktív védelem fejlesztői és a ransomware készítői között. Az aktív védelem ezért csak növeli a támadás elhárításának esélyét. Készítsen biztonsági mentéseket, és tárolja azokat biztonságos helyen. Ha a legrosszabb bekövetkezik, az adatokat és a rendszereket a mentésekből visszaállíthatja. Feltétel, hogy a mentéseket „biztonságosan” tárolják, lásd az alábbi 7. és 8. pontot.
7) Védje a biztonsági mentéseket. Ha a ransomware eljut a mentésekhez (az okosabb ransomware először ezzel próbálkozik), azokat is kíméletlenül titkosítja. Ha Acronis biztonsági mentési megoldást használ, további aktív ransomware-védelem áll rendelkezésére. Ez többek között nem engedi, hogy a megtámadott gépekről titkosítsák az Acronis által létrehozott mentéseket (az úgynevezett Acronis self defense rendszer).
8) Rejtse el a mentéseket. Nem kell aktívan védenie a mentéseket, ha a ransomware nem fér hozzájuk. Ezért ne tárolja a mentéseket olyan tárhelyeken, amelyekhez mindenki hozzáfér. A legrosszabb, amit tehet, hogy a mentéseket szabadon, közvetlenül a felhasználói adatok mellett tárolja. Külön területet kell kijelölni a mentések számára, és el kell különíteni azt. A jogosultságokat pontosan meg kell határozni. Ha Acronis szoftverrel készít mentéseket, állítsa be, hogy az adott tárhelyhez csak az Acronis férjen hozzá, és jelszóval védett hitelesítés legyen szükséges. Ezt a jelszót, illetve a mentési tárhelyet semmilyen más célra ne használja.
9) A biztonsági mentések másolatait olyan helyen tárolja, ahol a ransomware nem árthat nekik. Ideális hely az Acronis felhőtárhelye – Acronis Cloud Storage. Miért? Mert az ügyféleszközök és a felhőtárhely közötti kommunikáció saját fejlesztésű mechanizmussal valósul meg, amely többek között érvényes tanúsítványokkal történő hitelesítést használ, így nincs esély arra, hogy a ransomware károsítsa vagy titkosítsa a felhőben lévő mentéseket. Ez azt jelenti, hogy még ha a szervezet éppen támadás alatt áll, és fertőzött mentést küldenek az Acronis felhőtárhelyre, a felhőben tárolt többi mentés sértetlen marad. Az utolsó, fertőzött mentés nem lesz használható visszaállításra. De bármely korábban létrehozott mentés használható lesz, amelynek tartalma még nincs titkosítva.
Ha ezt összehasonlítjuk a nyilvános vagy privát felhő típusú, általános protokollokon keresztül elérhető szokásos külső tárhelyekkel, egyértelmű, hogy a kapcsolat megnyitása folyamatban lévő támadás idején veszélyezteti a szervezeten kívüli másodlagos tárhelyen tárolt mentéseket is. A ransomware ezekhez a tárhelyekhez is hozzáférést szerezhet, hasonlóan a helyi tárhelyekhez. Így a ransomware akár a világ másik végén tárolt mentéseket is titkosíthatja. Az ilyen másodlagos tárhely csak az elsődleges mentési tárhely meghibásodása ellen védi a szervezetet, ransomware ellen sajnos nem elegendő.
10) Ha az összes előző pontot teljesíti, nyugodtan alhat. 100%-os bizonyossága lesz afelől, hogy nem fizet váltságdíjat. Biztos lehet abban, hogy nem veszti el az adatait. Biztos lehet abban, hogy még ha a ransomware a szervezet felét titkosítja is, végül ismét üzembe tudja helyezni a rendszereket (ez természetesen időt vesz igénybe). Ha ez nem elég, olvassa el a 11. pontot.
11) Pont ínyenceknek – ha nem hajlandó tolerálni a ransomware vagy más ok által okozott kieséseket (folyamatos működést garantál, kritikus rendszereket üzemeltet, és minden kieső óra hatalmas veszteséget okoz), tekintse meg az Acronis Backup vállalati biztonsági mentési megoldás és az Acronis Disaster Recovery kombinációját. Ez a rendszer meghibásodás esetén (például ransomware miatt) képes kritikus gépeket indítani az Acronis felhőjében, és így átvenni az összes szükségesen működtetendő szolgáltatást. A termelési környezet ismételt üzembe helyezése után szinte kiesés nélkül (1–2 perc offline idővel számoljon) visszakapcsolhat a szervezetben lévő termelési gépekre. Ezekre a háttérben feltöltődnek az ideiglenesen futó felhőgépekről származó aktuális adatok, majd megtörténik az átkapcsolás.
Az Acronis ransomware elleni védelmi megoldásainak áttekintése
| Kinek ajánlott a megoldás | Háztartások számára alkalmas megoldások | Szervezetek számára alkalmas megoldások | ||||
| A megoldás neve | Acronis True Image Standard |
Acronis True Image Advanced |
Acronis True Image Premium |
Acronis Backup |
Acronis Backup + Acronis Cloud Storage |
Acronis Backup + Acronis Disaster Recovery |
| Fizetős megoldás |  |
|
|
|
|
|
| Számítógépek, munkaállomások és notebookok védelméhez |
|
|
|
|
|
|
| Szerverek, virtuális és felhőinfrastruktúra védelméhez |
|
|
|
|||
| Védelem az adatok titkosítása és a ransomware terjedése ellen |
| | | | | |
| Biztonsági mentések készítése és tárolása helyi és hálózati tárhelyeken |
| | | | | |
| Az Acronis mentések titkosítása elleni védelem |
| | | | | |
| Mentések küldése elkülönített Acronis felhőtárhelyre |
250 GB | 1 000 GB | Saját választás szerint | Saját választás szerint |
||
| A kritikus gép azonos példányának indítása a felhőben |
|
|||||
| A gép friss példányának visszahelyezése termelési környezetbe |
|
|||||
A megoldások nevei – a táblázat felső részében hivatkozások találhatók (kattintással az adott megoldáshoz jut)
Konkrét tanácsra van szüksége?
• Tanácsra van szüksége a ransomware elleni védelemmel kapcsolatban?
• Érdekli, hogyan nézhetne ki az ilyen védelem az Ön környezetében?
• Saját szemével szeretné látni, hogyan védjük a rendszereket nálunk?
Ne habozzon kapcsolatba lépni velünk a +420 596 912 961 telefonszámon, vagy írjon e-mailt az info@acronis.cz címre
A cikk szerzője: ZEBR.ai szerkesztőség
