Če boste natančno upoštevali priporočila, opisana v tem članku, ne boste nikoli plačali odkupnine, vedno boste dobili svoje podatke nazaj in zmanjšali izpade na čas, ki ste ga pripravljeni sprejeti.
Nekaj zanimivosti
• Vsak dan je na Češkem prijavljenih 20 kaznivih dejanj, povezanih s kibernetskim napadom.
• V zadnjih treh letih se je število napadov podvojilo.
• Z vsakim letom se za napad v povprečju plača 25 % več.
• Le nekatere organizacije se na napad pripravijo vnaprej. Druge čakajo.
• Vprašanje ni, ali bo napad prišel, ampak kdaj bo prišel.
Kaj je ransomware
Ransomware je zlonamerna koda (malware), ustvarjena z namenom obogatitve napadalca. Deluje po načelu izsiljevanja uporabnikov. Oškodovani uporabniki so prisiljeni plačati za ponovno pridobitev dostopa (dešifriranje lastnih podatkov).
Kako ransomware deluje
Ko ransomware prodre v računalnik ali računalniško omrežje, šifrira vse podatke na lokalnih diskih, zunanjih diskih, omrežnih shrambah, NAS-u in podatke na drugih napravah. Zaradi pomanjkljivih protokolov (običajno prek neposodobljenih sistemov) lahko ransomware doseže tudi mesta v omrežju in naprave, ki so sicer zelo dobro zaščitene in običajno nedostopne. Zelo zahrbtno je tudi to, da se šifriranje ne začne nujno takoj po okužbi, temveč šele čez nekaj časa. Ko so vsi podatki šifrirani, napadalec zahteva odkupnino. Na zaslonih oškodovanih naprav se običajno prikaže poziv k plačilu določenega zneska do določenega roka in začne teči odštevanje (na primer plačajte 5 Bitcoinov v 72 urah na določen Bitcoin račun). Če postanete žrtev napada ransomware in izgubite vse podatke, sisteme ter varnostne kopije, vam ne preostane drugega kot plačilo odkupnine. Po plačilu odkupnine naj bi napadalci poslali dešifrirni ključ. Po njegovem vnosu naj bi se vaši podatki dešifrirali in tako vrnili v prvotno stanje.
Zakaj je zdaj ransomwarea toliko in zakaj o njem slišimo povsod?
Preprosto zato, ker deluje in je zelo enostaven način za nepošten zaslužek. Medtem ko so bili nekoč uspešni napadalci z ransomwareom zelo dobri programerji, ki so imeli dovolj pokvarjen značaj, da so se želeli na ta način obogatiti, je danes dovolj le še pokvarjen značaj. To zato, ker je ransomware mogoče kupiti ali celo najeti. Ker je lahko uspešen napadalec skoraj vsakdo, se število napadov logično povečuje.
Ali napadalci po plačilu res pošljejo delujoče dešifrirne ključe?
Na to ni mogoče odgovoriti na splošno. Izkušnje naših strank in partnerjev so nasprotujoče si. Nekateri so plačali celo večkrat in nato uspešno dešifrirali podatke, drugi pa ključev niso nikoli prejeli. Odvisno je od posameznega napada. Znani so celo primeri očitno »neuspešnega ransomwarea«, kjer je prišlo do šifriranja, vendar povezava za plačila in komunikacijo ni delovala, zato do dešifriranja ni prišlo.
En nasvet – poskusite vnaprej stopiti v stik z napadalcem in ga prosite za dokaz, da res nadzoruje vaše podatke. Prosite napadalca, naj dešifrira del podatkov ali vam posreduje kakšen del poškodovanih podatkov (na primer nekaj datotek). Tako boste ugotovili, ali je z napadalcem mogoče vzpostaviti stik in ali vam sploh lahko pomaga. Če se zahteva majhen znesek – na primer od 100 do 500 dolarjev (običajno množični napad na veliko število uporabnikov) – se napadalec morda ne bo odzval, dešifrirni ključi pa so lahko kljub temu poslani, ker je postopek avtomatiziran. Če pa ste velika ali uspešna organizacija, proti kateri je bil izveden ciljni napad in se zahtevani znesek meri v tisočih dolarjev, bo napadalec zaradi lastnega interesa z vami verjetno komuniciral. Nato morate le plačati, upati, dešifrirati, se naučiti iz izkušnje in zaščititi pred naslednjim napadom.
Ali lahko ransomware napade tudi nas?
Da. In če se to še ni zgodilo, se bo z veliko verjetnostjo zgodilo zelo kmalu. Eden od trenutnih trendov na področju ransomwarea je ciljanje lokalnih uporabnikov in organizacij. To namreč povečuje možnosti napadalcev za uspeh. Na e-poštna sporočila, napisana v slabi angleščini, ki pozivajo k odpiranju sumljive priponke, danes nasede le malokdo. Če pa direktor prejme e-poštno sporočilo ugledne odvetniške pisarne (e-poštni naslov je seveda ponarejen), napisano v dobri pravni češčini, v katerem piše, da bo zaradi neplačanega računa v prihodnjih dneh proti podjetju vložena tožba, bo direktor z veliko verjetnostjo odprl okuženo priponko, v kateri naj bi bil neplačani račun. Ker ima v številnih podjetjih najvišje vodstvo nastavljene polne, torej skrbniške pravice, se lahko šifriranje začne. Druga pogosta metoda so na primer napadi prek protokola RDP, pri katerih skuša napadalec z metodo grobe sile vdreti v dostop do oddaljenega namizja. Če mu to uspe, nič več ne preprečuje zagona ransomwarea.
10 + 1 pravil za učinkovito obrambo pred ransomwareom
1) Najpogostejši način okužbe je prek e-pošte in okužene priponke ali povezave v e-pošti, ki vodi do okužene vsebine. Najmanj, kar lahko storite, je nastavitev strožjega filtriranja pošte.
2) Največje tveganje predstavljajo uporabniki. Nepoučenega uporabnika ni težko prepričati, da pod katerim koli pretvezo odpre priponko. Takšna priponka je lahko na primer domnevno neplačan račun, poslan računovodstvu, domnevni življenjepis, poslan kadrovski službi, domnevno naročilo, poslano prodajnemu oddelku, ali domnevno potrdilo o dostavi pošiljke. Zato uporabnikom, ki jih ne potrebujejo, ne dodeljujte skrbniških pravic.
3) Poučite uporabnike in jih redno usposabljajte za varno ravnanje. Predvsem tiste uporabnike, ki imajo nastavljene višje pravice.
4) Posodabljajte. Posodobljen sistem običajno pomeni zakrpan in manj ranljiv sistem (seveda ne vedno). Pri redno posodobljenih sistemih je tveganje, da bo sistem napadel ransomware in se ta širil naprej, vedno manjše.
5) Uporabljajte aktivno zaščito pred ransomwareom, kot so protivirusni in varnostni programi. Lahko pa uporabite aktivno zaščito pred ransomwareom, ki je prisotna v vseh rešitvah za varnostno kopiranje Acronis. Prednost aktivne zaščite Acronis je, da je specializirana neposredno za ransomware. Aktivna zaščita lahko zazna in ustavi šifriranje ter širjenje ransomwarea ali vsaj zmanjša povzročeno škodo. Aktivna zaščita Acronis lahko poleg tega že šifrirane datoteke samodejno obnovi iz predpomnilnika datotečnega sistema. Na napravah, kjer nimate plačljive rešitve za varnostno kopiranje Acronis, namestite vsaj brezplačno aktivno zaščito pred ransomwareom – Acronis Ransomware Protection (Brezplačna aktivna zaščita, vključena v Acronis Ransowmare Protection, je namenjena samo operacijskim sistemom Windows 7, 8 in 10. Aktivna zaščita v plačljivih rešitvah za varnostno kopiranje Acronis ščiti tudi strežniške operacijske sisteme in virtualno infrastrukturo).
6) Uporabite pasivno zaščito – varnostno kopiranje. Nobena aktivna zaščita ne zagotavlja 100-odstotne obrambe pred ransomwareom. Vedno gre za boj med razvijalci aktivne zaščite in ustvarjalci ransomwarea. Aktivna zaščita zato le povečuje možnosti za odpornost proti napadu. Ustvarjajte varnostne kopije in jih shranjujte na varno mesto. V najslabšem primeru boste podatke in sisteme obnovili iz varnostnih kopij. Pogoj je, da so varnostne kopije shranjene »varno«, glejte naslednji točki 7 in 8.
7) Zaščitite varnostne kopije. Če ransomware doseže varnostne kopije (pametnejši ransomware to poskuša najprej), jih bo brez usmiljenja prav tako šifriral. Če uporabljate rešitev za varnostno kopiranje Acronis, imate poleg tega na voljo aktivno zaščito pred ransomwareom. Ta med drugim ne dovoli šifriranja varnostnih kopij, ustvarjenih z Acronisom, z napadenih naprav (t. i. sistem Acronis self defense).
8) Skrijte varnostne kopije. Varnostnih kopij vam ni treba aktivno ščititi, če jih ransomware ne more doseči. Zato varnostnih kopij ne shranjujte v shrambe, do katerih imajo dostop vsi. Najslabše, kar lahko storite, je, da varnostne kopije prosto shranjujete tik ob podatkih uporabnikov. Za varnostne kopije je treba nameniti in ločiti določen prostor. Natančno je treba določiti pravice. Če boste varnostne kopije ustvarjali s programsko opremo Acronis, nastavite, da ima do dane shrambe dostop samo Acronis in da se zahteva poverilnica, zaščitena z geslom. Tega gesla oziroma shrambe za varnostne kopije ne uporabljajte za noben drug namen.
9) Kopije varnostnih kopij shranjujte na mesto, kjer jim ransomware ne more škodovati. Idealno mesto je oblačna shramba podjetja Acronis – Acronis Cloud Storage. Zakaj? Ker komunikacija med odjemalskimi napravami in oblačno shrambo poteka prek lastniškega mehanizma z avtentikacijo, med drugim z veljavnimi certifikati, zato ransomware nima možnosti poškodovati ali šifrirati varnostnih kopij v oblaku. To pomeni, da bodo tudi, če je organizacija ravno pod napadom in se v oblačno shrambo Acronis pošlje okužena varnostna kopija, druge varnostne kopije, shranjene v oblaku, nepoškodovane. Zadnje, okužene varnostne kopije ne bo mogoče uporabiti za obnovitev. Vendar bo mogoče uporabiti katero koli drugo, prej ustvarjeno varnostno kopijo, katere vsebina še ni šifrirana.
Če to primerjamo z običajnimi zunanjimi shrambami vrste javni oblak ali zasebni oblak, dostopnimi prek pogosto uporabljenih protokolov, je jasno, da odprtje povezave med potekajočim napadom ogrozi tudi varnostne kopije, shranjene v sekundarni shrambi zunaj organizacije. Ransomware lahko do teh shramb pridobi dostop podobno kot do lokalnih shramb. Tako lahko šifrira tudi varnostne kopije, ki jih imate shranjene na drugem koncu sveta. Takšna sekundarna shramba organizacijo ščiti le pred okvarami primarne shrambe varnostnih kopij, vendar žal ne zadostuje za zaščito pred ransomwareom.
10) Če izpolnite vse prejšnje točke, lahko mirno spite. Imate namreč 100-odstotno gotovost, da ne boste plačali odkupnine. Gotovi ste, da ne boste izgubili podatkov. Gotovi ste, da boste tudi, če ransomware šifrira polovico organizacije, na koncu lahko znova vzpostavili delovanje sistemov (seveda bo to zahtevalo čas). Če vam to ne zadostuje, preberite točko 11.
11) Točka za zahtevne uporabnike – če niste pripravljeni dopuščati izpadov, ki jih povzroči ransomware ali drug vzrok (zagotavljate neprekinjeno delovanje, upravljate kritične sisteme, vam vsaka ura izpada povzroča ogromne izgube), si oglejte kombinacijo poslovne rešitve za varnostno kopiranje Acronis Backup in Acronis Disaster Recovery. Ta sistem lahko ob nesreči (ki jo povzroči na primer ransomware) zažene kritične naprave v oblaku podjetja Acronis in tako prevzame vse storitve, ki jih je treba izvajati. Po ponovni vzpostavitvi produkcijskega okolja skoraj brez izpada (računajte na 1–2 minuti nedelovanja) delovanje preklopite nazaj na produkcijske naprave v organizaciji. Nanje se v ozadju naložijo aktualni podatki iz začasno delujočih oblačnih naprav, nato pa se izvede preklop.
Pregled rešitev Acronis za zaščito pred ransomwareom
| Za koga je rešitev primerna | Rešitve, primerne za gospodinjstva | Rešitve, primerne za organizacije | ||||
| Ime rešitve | Acronis True Image Standard |
Acronis True Image Advanced |
Acronis True Image Premium |
Acronis Backup |
Acronis Backup + Acronis Cloud Storage |
Acronis Backup + Acronis Disaster Recovery |
| Plačljiva rešitev |  |
|
|
|
|
|
| Za zaščito računalnikov, postaj in prenosnikov |
|
|
|
|
|
|
| Za zaščito strežnikov, virtualne in oblačne infrastrukture |
|
|
|
|||
| Zaščita pred šifriranjem podatkov in širjenjem ransomwarea |
|
|
|
|
|
|
| Ustvarjanje in shranjevanje varnostnih kopij v lokalne in omrežne shrambe |
|
|
|
|
|
|
| Zaščita pred šifriranjem varnostnih kopij Acronis |
|
|
|
|
|
|
| Pošiljanje varnostnih kopij v ločeno oblačno shrambo Acronis |
250 GB | 1 000 GB | Po lastni izbiri |
Po lastni izbiri |
||
| Zagon identične kopije kritične naprave v oblaku |
|
|||||
| Prenos sveže kopije naprave nazaj v produkcijo |
|
|||||
Imena rešitev – v zgornjem delu tabele so povezave (s klikom preidete na posamezno rešitev)
Potrebujete konkreten nasvet?
• Potrebujete nasvet glede zaščite pred ransomwareom?
• Vas zanima, kako bi takšna zaščita lahko izgledala pri vas?
• Želite na lastne oči videti, kako pri nas ščitimo sisteme?
Ne oklevajte in nas kontaktirajte na številki +420 596 912 961 ali nam pišite na e-poštni naslov info@acronis.cz
Avtor članka: Uredništvo ZEBR.ai
