Hvad ransomware gør ved et dokumentstyringssystem
Ransomware krypterer de filer, den har adgang til, og kræver derefter en løsesum for nøglen. I et dokumentstyringssystem handler den med rettighederne fra den konto eller computer, den har inficeret. Tre mekanismer forværrer skaden:
- synkronisering: den inficerede computer krypterer sin lokale kopi, og synkroniseringsklienten sender derefter de krypterede filer til serveren som en almindelig ændring og videre derfra til de andre enheder;
- historikken: hver krypteret fil bliver en ny version. Den gamle version kan redde situationen, medmindre angriberen har tilstrækkelige rettigheder til at tømme historikken og papirkurven;
- backuppen: ANSSI konstaterer, at en angriber ofte forsøger at kryptere, slette eller gøre backupinfrastrukturen utilgængelig for at forhindre genopbygningen.
Nogle angreb kopierer også data, før de krypteres. Gendannelsen bringer filerne tilbage i orden. Den løser ikke denne del, som hører under krisestyring og, hvis der er personoplysninger, under GDPR.
Begræns rækkevidden
Man kan ikke love, at ingen computer bliver inficeret. Man kan begrænse, hvad en inficeret computer eller konto kan nå.
Skriverettigheder
En konto, der kun kan læse en mappe, kan ikke kryptere den. Referencemapper (skabeloner, procedurer, underskrevne kontrakter) kan være skrivebeskyttede for de fleste. Rettigheder tildeles pr. gruppe og pr. mappe, ikke efter princippet »alle redigerer alt«.
Administratorkonti
ANSSI anbefaler at begrænse disse konti til det strengt nødvendige. De skal være personlige, beskyttet med totrinsgodkendelse og ikke bruges til det daglige arbejde.
Eksterne links
Et link, der giver en ukendt person redigeringsret, er en dør. Links, der sendes ud, har en adgangskode, en udløbsdato og som regel kun læseadgang.
Synkroniserede computere
Synkronisér kun de nødvendige mapper på hver computer. Lad de følsomme mapper blive i browseren. Installér opdateringer hurtigt: ANSSI understreger, at det er afgørende at gøre det inden for kort tid og efter en kontrolleret proces. Den hyppigste indgang er fortsat e-mail: se vedhæftede filer, links og ransomware.
Hvorfor backuppen skal være uden for rækkevidde
En backup, der er tilgængelig med samme konto som produktionen, bliver krypteret sammen med den. Tre former for adskillelse beskytter den:
- et andet login: ANSSI kræver personlige, dedikerede administratorkonti til backup og en infrastruktur, der er uafhængig af produktionens brugerkataloger;
- uforanderlighed: en skrevet backup kan ikke ændres eller slettes i sin opbevaringsperiode;
- en anden lokation og om muligt en offline kopi: ANSSI vurderer den som uundværlig og mere robust end en uforanderlig backup, der forbliver online.
Tilbage står dybden. En indtrængen kan forblive ubemærket i flere uger før krypteringen. Er opbevaringsperioden kortere end det, kan alle tilgængelige backups indeholde angriberen eller allerede beskadigede filer.
Genopretningsrækkefølgen
Gendannelse er ikke en knap. Det er en række trin, og rækkefølgen betyder noget.
- Inddæm. Isolér de inficerede computere fra netværket, suspendér de kompromitterede konti, og deaktivér synkronisering og eksterne links i det berørte område. ANSSI råder også til at føre en tidsstemplet log, at frakoble backupmedierne efter at have kontrolleret, at de er rene, og at undgå at slukke strømmen til maskinerne, da det kan slette nyttige spor.
- Datér begyndelsen. Find den første krypterede fil og den pågældende konto og computer. Det er det, der fastlægger gendannelsestidspunktet.
- Vælg gendannelsestidspunktet før krypteringen, med en margen, hvis datoen er usikker.
- Gendan i et rent miljø. ANSSI anbefaler at geninstallere fra et kendt medie og derefter gendanne data fra en backup, der er ældre end kompromitteringen. Når værktøjet tillader det, undgår man ved kun at gendanne det berørte område at overskrive arbejde, der er udført andre steder siden.
- Kontrollér. Åbn tilfældige filer, kontrollér, at der ikke er krypterede filer tilbage, luk indgangen, og skift adgangskoderne.
- Åbn adgangen igen gradvist. Computerne synkroniserer igen fra den gendannede server, aldrig omvendt. En computer, der ikke er renset og kobler sig på igen, sender sine krypterede filer tilbage.
Sideløbende anbefaler ANSSI aldrig at betale løsesummen, at gemme de krypterede data (en nøgle kan blive offentliggjort senere), at politianmelde og at lade krisestaben anmelde brud på persondatasikkerheden til tilsynsmyndigheden.
Hvad der går tabt: RPO i praksis
Et tænkt tilfælde. En rådgivningsvirksomhed med tyve ansatte tager backup af sine dokumenter hver time. Mandag kl. 9.15 begynder en synkroniseret computer at kryptere mappen »Kunder«. Alarmen lyder kl. 10.05.
Det seneste rene tidspunkt er backuppen fra kl. 9.00. Mappen »Kunder« føres tilbage til sin tilstand kl. 9.00. Ændringer foretaget i mappen mellem kl. 9.00 og 9.15 er tabt. Ændringer i de andre mapper er ikke tabt, hvis gendannelsen begrænses til den berørte mappe. Sekretæren, der gemte tre breve kl. 9.10, finder dem i sin e-mail og lægger dem ind igen.
Det er det, RPO måler, det maksimalt acceptable datatab: afstanden mellem gendannelsestidspunktet og hændelsen. RTO, den maksimalt acceptable nedetid, måler noget andet: tiden, før medarbejderne kan arbejde igen. Begge besluttes før hændelsen, ikke under den.
Hyppige fejl
- At gendanne før inddæmning. Den computer, der stadig er tilsluttet, krypterer de gendannede filer igen.
- At synkronisere igen fra den inficerede computer. Den lokale kopi er den krypterede kopi.
- At regne med papirkurven. Den indeholder ikke ændrede filer, kun slettede.
- At opdage opbevaringsperioden på dagen. Er indtrængen seks uger gammel og opbevaringsperioden tredive dage, bliver valget af gendannelsestidspunkt kompliceret.
Ofte stillede spørgsmål
Er versionering nok mod ransomware?
Den hjælper, hvis historikken er intakt. Den er ikke nok, hvis angriberen har kunnet tømme den. Forskellen forklares i versionering, replikering og backup af dokumenter.
Skal man betale løsesummen?
ANSSI anbefaler aldrig at betale. Betaling garanterer hverken nøglen eller, at der ikke kommer et nyt angreb.
Hvordan begrænser man, hvem der kan ændre en mappe?
Med rettigheder pr. gruppe og pr. mappe. Se styr, hvem der ser hvilke dokumenter.
Hvordan undgår man, at et link bliver en indgang?
Med en adgangskode, en udløbsdato og kun læseadgang. Se delingslinks, partnere og downloads.
Hvor Klytic står
For Klytic Docs tages der backup hver time. Backupperne er krypterede, uforanderlige, replikeret på flere lokationer, overvåget og opbevaret i 30 dage, og gendannelser testes hver måned. Målene er en RPO på under 2 timer for dokumenterne og en RTO på under 4 timer. Der anmodes om gendannelse hos Klytic-supporten med angivelse af område og omtrentlig dato. Den er inkluderet, når tabet skyldes en fejl i Klytic-tjenesten. Efter ransomware eller en hacket konto hos jer er genopretningen også inkluderet, hvis jeres computere var korrekt beskyttet: opdateringer installeret, antivirus aktivt. Var de utilstrækkeligt beskyttet, håndteres den som en betalt supportsag, ligesom en gendannelse efter en fejlbetjening. Detaljerne findes på siden sikkerhed og backup.
Til forebyggelse har Klytic Docs rettigheder pr. person, pr. gruppe og pr. mappe, totrinsgodkendelse, en adgangslog og links beskyttet med adgangskode og udløbsdato. Hos Klytic er den tekniske adgang begrænset til drift og support, personlig og logget.
Begrænsningerne: tredive dages opbevaring dækker ikke en kompromittering, der opdages senere. Klytic gendanner sine tjenester; rensningen af jeres computere, jeres netværk og jeres brugerkatalog er en opgave for jeres it-afdeling eller jeres it-leverandør. Klytic er ikke et SecNumCloud-kvalificeret tilbud.
Denne side beskriver en generel ramme. Ved en hændelse skal I følge jeres beredskabsplan og de kompetente myndigheders anvisninger.
Kilder
Gennemgået i oktober 2026.
- ANSSI og det franske justitsministerium (DACG), Attaques par rançongiciels, tous concernés, 2020: frakoblede backups, begrænsning af administratorkonti, hurtige opdateringer; ved en hændelse: log, isolering, ingen afbrydelse af strømmen, opbevaring af krypterede data, ingen betaling, politianmeldelse, gendannelse fra en backup, der er ældre end kompromitteringen. messervices.cyber.gouv.fr
- ANSSI, Sauvegarde des systèmes d’information, vejledning ANSSI-BP-100, v1.1: angriberen går ofte efter backupinfrastrukturen; dedikerede konti; offline mere robust end online WORM; RPO og RTO. messervices.cyber.gouv.fr
- Klytic, Sikkerhed og backup: uforanderlige, krypterede, replikerede backups, 30 dage, gendannelser testet hver måned, RTO under 4 timer, RPO under 2 timer. klytic.com
- Klytic, Hosting og suverænitet: teknisk adgang begrænset til drift og support, personlig og logget. klytic.com
