Какво прави рансъмуерът с една DMS
Рансъмуерът криптира файловете, до които има достъп, след което иска откуп срещу ключа. В DMS той действа с правата на акаунта или компютъра, който е заразил. Три механизма увеличават щетите:
- синхронизацията: заразеният компютър криптира локалното си копие, след което клиентът за синхронизация изпраща криптираните файлове към сървъра като обикновена промяна, а оттам и към другите устройства;
- историята: всеки криптиран файл става нова версия. Старата версия може да спаси положението, освен ако нападателят има достатъчно права, за да изчисти историята и кошчето;
- резервното копие: ANSSI отбелязва, че нападателят често се опитва да криптира, изтрие или направи недостъпна инфраструктурата за резервни копия, за да попречи на възстановяването.
Някои атаки също копират данни, преди да ги криптират. Възстановяването връща файловете в изправност. То не решава тази част, която е въпрос на управление на кризата и, ако има лични данни, на ОРЗД.
Ограничаване на обсега на действие
Не може да се обещае, че нито един компютър няма да бъде заразен. Но може да се ограничи до какво може да стигне заразен компютър или акаунт.
Правата за запис
Акаунт, който може само да чете дадена папка, не може да я криптира. Референтните папки (шаблони, процедури, подписани договори) могат да бъдат само за четене за повечето хора. Правата се задават по група и по папка, а не на принципа „всеки променя всичко“.
Администраторските акаунти
ANSSI препоръчва тези акаунти да се ограничат до строго необходимото. Те трябва да са персонални, защитени с двуфакторно удостоверяване и да не се използват за ежедневна работа.
Външните връзки
Връзка, която дава право на промяна на непознат, е врата. Връзките, които излизат навън, имат парола, крайна дата и по правило само право на четене.
Синхронизираните компютри
Синхронизирайте на всеки компютър само необходимите папки. Оставете чувствителните папки в браузъра. Инсталирайте актуализациите бързо: ANSSI напомня, че е от решаващо значение това да става в кратък срок и по контролиран процес. Най-честата входна врата остава електронната поща: вижте прикачени файлове, връзки и рансъмуер.
Защо резервното копие трябва да е извън обсега
Резервно копие, достъпно със същия акаунт като продукционната среда, ще бъде криптирано заедно с нея. Три вида разделяне го поставят на сигурно място:
- друг идентификатор: ANSSI изисква персонални, специално заделени администраторски акаунти за резервните копия и инфраструктура, независима от продукционните директории;
- непроменяемост: веднъж записано, резервното копие вече не може да бъде променено или изтрито през срока на съхранението си;
- друго място и, ако е възможно, офлайн копие: ANSSI го счита за задължително и за по-надеждно от непроменяемо резервно копие, останало онлайн.
Остава дълбочината. Проникването може да остане незабелязано няколко седмици преди криптирането. Ако срокът на съхранение е по-кратък от този период, всички налични резервни копия може да съдържат нападателя или вече повредени файлове.
Редът на възстановяване
Възстановяването не е бутон. То е поредица от стъпки и редът е важен.
- Ограничаване. Изолирайте заразените компютри от мрежата, спрете компрометираните акаунти, изключете синхронизацията и външните връзки в засегнатия периметър. ANSSI съветва също да се води дневник на събитията с час, да се изключат носителите на резервни копия, след като е проверено, че са чисти, и да се избягва изключването на захранването на машините, което може да заличи полезни следи.
- Датиране на началото. Установете първия криптиран файл, засегнатия акаунт и компютър. Това определя точката на възстановяване.
- Избор на точката на възстановяване преди криптирането, с резерв, ако датата е несигурна.
- Възстановяване в чиста среда. ANSSI препоръчва преинсталиране от известен носител, след което възстановяване на данните от резервно копие отпреди компрометирането. Когато инструментът го позволява, възстановяването само на засегнатия периметър предотвратява презаписването на работата, свършена другаде междувременно.
- Проверка. Отворете произволни файлове, проверете, че не е останал криптиран файл, затворете входната пробойна, сменете паролите.
- Постепенно отваряне на достъпа. Компютрите се синхронизират наново от възстановения сървър, никога обратното. Непочистен компютър, който се свърже отново, изпраща обратно криптираните си файлове.
Успоредно с това ANSSI препоръчва никога да не се плаща откупът, да се запазят криптираните данни (ключ може да бъде публикуван по-късно), да се подаде сигнал до полицията и кризисният щаб да уведоми надзорния орган (във Франция – CNIL) при нарушение на сигурността на личните данни.
Какво се губи: RPO на практика
Хипотетичен случай. Кантора с двадесет души прави резервни копия на документите си на всеки час. В понеделник в 9:15 ч. синхронизиран компютър започва да криптира папката „Клиенти“. Тревогата е вдигната в 10:05 ч.
Последната чиста точка е резервното копие от 9:00 ч. Папката „Клиенти“ се връща в състоянието си от 9:00 ч. Промените в тази папка между 9:00 и 9:15 ч. са загубени. Промените в другите папки не са, ако възстановяването се ограничи до засегнатата папка. Секретарката, която е записала три писма в 9:10 ч., ги намира в пощата си и ги качва отново.
Именно това измерва RPO, максимално допустимата загуба на данни: разликата между точката на възстановяване и инцидента. RTO, максимално допустимото прекъсване, измерва нещо друго: времето, докато екипите започнат отново да работят. И двете се решават преди инцидента, а не по време на него.
Чести грешки
- Възстановяване преди ограничаване. Компютърът, който още е свързан, отново криптира възстановените файлове.
- Повторна синхронизация от заразения компютър. Локалното копие е криптираното копие.
- Разчитане на кошчето. То не съдържа променените файлове, а само изтритите.
- Узнаване на срока на съхранение в деня на инцидента. Ако проникването е отпреди шест седмици, а срокът на съхранение е тридесет дни, изборът на точка на възстановяване се усложнява.
Къде се намира Klytic
За Klytic Docs резервни копия се правят на всеки час. Те са криптирани, непроменяеми, репликирани на няколко места, под наблюдение, съхраняват се 30 дни, а възстановяванията се тестват всеки месец. Целите са RPO под 2 часа за документите и RTO под 4 часа. Възстановяване се иска от поддръжката на Klytic, като се посочват периметърът и приблизителната дата. То е включено, когато загубата се дължи на неизправност на услугата Klytic. След рансъмуер или хакнат акаунт при вас възстановяването също е включено, ако компютрите ви са били правилно защитени: инсталирани актуализации, активна антивирусна програма. Ако защитата им е била недостатъчна, то е предмет на платен тикет за поддръжка, както възстановяване след грешна манипулация. Подробностите са на страницата сигурност и резервни копия.
По отношение на превенцията Klytic Docs предлага права по човек, група и папка, двуфакторно удостоверяване, журнал на достъпа и връзки, защитени с парола и срок на валидност. От страна на Klytic техническият достъп е ограничен до операциите по експлоатация и поддръжка, персонален е и се записва в журнал.
Ограничения: тридесет дни съхранение не покриват компрометиране, открито по-късно. Klytic възстановява своите услуги; почистването на вашите компютри, мрежа и директория е задача на вашия ИТ екип или доставчик. Klytic не е услуга с квалификация SecNumCloud.
Тази страница описва обща рамка. При инцидент следвайте своя план за възстановяване и указанията на компетентните органи.
Източници
Прегледани през октомври 2026 г.
- ANSSI и Министерство на правосъдието на Франция (DACG), Attaques par rançongiciels, tous concernés, 2020: изключени от мрежата резервни копия, ограничаване на администраторските акаунти, бързи актуализации; при инцидент – дневник на събитията, изолиране, без изключване на захранването, запазване на криптираните данни, без плащане, подаване на сигнал, възстановяване от резервно копие отпреди компрометирането. messervices.cyber.gouv.fr
- ANSSI, Sauvegarde des systèmes d’information, ръководство ANSSI-BP-100, v1.1: нападателят често се цели в инфраструктурата за резервни копия; специални акаунти; офлайн копието е по-надеждно от онлайн WORM; PDMA и DMIA. messervices.cyber.gouv.fr
- Klytic, Сигурност и резервни копия: непроменяеми, криптирани, репликирани резервни копия, 30 дни, възстановявания, тествани всеки месец, RTO под 4 ч., RPO под 2 ч. klytic.com
- Klytic, Хостинг и суверенитет: технически достъп, ограничен до експлоатация и поддръжка, персонален и записван в журнал. klytic.com
