Τι κάνει ένα ransomware σε ένα σύστημα διαχείρισης εγγράφων
Ένα λογισμικό λύτρων κρυπτογραφεί τα αρχεία στα οποία έχει πρόσβαση και στη συνέχεια ζητά λύτρα για το κλειδί. Σε ένα σύστημα διαχείρισης εγγράφων, ενεργεί με τα δικαιώματα του λογαριασμού ή του υπολογιστή που έχει μολύνει. Τρεις μηχανισμοί επιδεινώνουν τη ζημιά:
- ο συγχρονισμός: ο μολυσμένος υπολογιστής κρυπτογραφεί το τοπικό του αντίγραφο και μετά το πρόγραμμα συγχρονισμού στέλνει τα κρυπτογραφημένα αρχεία στον διακομιστή, σαν μια συνηθισμένη αλλαγή, και από εκεί στις άλλες συσκευές·
- το ιστορικό: κάθε κρυπτογραφημένο αρχείο γίνεται νέα έκδοση. Η παλιά έκδοση μπορεί να σώσει την κατάσταση, εκτός αν ο εισβολέας έχει αρκετά δικαιώματα για να καθαρίσει το ιστορικό και τον κάδο ανακύκλωσης·
- το αντίγραφο ασφαλείας: η ANSSI παρατηρεί ότι ένας εισβολέας συχνά επιδιώκει να κρυπτογραφήσει, να διαγράψει ή να καταστήσει μη διαθέσιμη την υποδομή αντιγράφων ασφαλείας, ώστε να εμποδίσει την ανασυγκρότηση.
Ορισμένες επιθέσεις αντιγράφουν επίσης δεδομένα πριν τα κρυπτογραφήσουν. Η επαναφορά αποκαθιστά τα αρχεία. Δεν λύνει αυτό το σκέλος, που αφορά τη διαχείριση κρίσης και, αν υπάρχουν προσωπικά δεδομένα, τον ΓΚΠΔ.
Περιορισμός της εμβέλειας
Κανείς δεν μπορεί να υποσχεθεί ότι κανένας υπολογιστής δεν θα μολυνθεί. Μπορούμε όμως να περιορίσουμε ό,τι μπορεί να φτάσει ένας μολυσμένος υπολογιστής ή λογαριασμός.
Τα δικαιώματα εγγραφής
Ένας λογαριασμός που μπορεί μόνο να διαβάσει έναν φάκελο δεν μπορεί να τον κρυπτογραφήσει. Οι φάκελοι αναφοράς (πρότυπα, διαδικασίες, υπογεγραμμένες συμβάσεις) μπορούν να είναι μόνο για ανάγνωση για τους περισσότερους. Τα δικαιώματα ορίζονται ανά ομάδα και ανά φάκελο, όχι «όλοι τροποποιούν τα πάντα».
Οι λογαριασμοί διαχείρισης
Η ANSSI συνιστά να περιορίζονται αυτοί οι λογαριασμοί στα απολύτως απαραίτητα. Πρέπει να είναι ονομαστικοί, να προστατεύονται με έλεγχο ταυτότητας δύο παραγόντων και να μη χρησιμοποιούνται για την καθημερινή εργασία.
Οι εξωτερικοί σύνδεσμοι
Ένας σύνδεσμος που δίνει δικαίωμα τροποποίησης σε έναν άγνωστο είναι μια πόρτα. Οι σύνδεσμοι προς τα έξω έχουν κωδικό πρόσβασης, ημερομηνία λήξης και, κατά κανόνα, μόνο δικαίωμα ανάγνωσης.
Οι συγχρονισμένοι υπολογιστές
Συγχρονίζετε σε κάθε υπολογιστή μόνο τους χρήσιμους φακέλους. Αφήστε τους ευαίσθητους φακέλους στο πρόγραμμα περιήγησης. Εγκαθιστάτε γρήγορα τις ενημερώσεις: η ANSSI υπενθυμίζει ότι είναι κρίσιμο να γίνεται σε σύντομο χρόνο και με ελεγχόμενη διαδικασία. Η συχνότερη πύλη εισόδου παραμένει το ηλεκτρονικό ταχυδρομείο: δείτε συνημμένα, σύνδεσμοι και ransomware μέσω email.
Γιατί το αντίγραφο ασφαλείας πρέπει να είναι εκτός εμβέλειας
Ένα αντίγραφο ασφαλείας προσβάσιμο με τον ίδιο λογαριασμό με την παραγωγή θα κρυπτογραφηθεί μαζί της. Τρεις διαχωρισμοί το προστατεύουν:
- άλλα διαπιστευτήρια: η ANSSI ζητά ονομαστικούς, αφιερωμένους λογαριασμούς διαχείρισης αντιγράφων ασφαλείας και υποδομή ανεξάρτητη από τους καταλόγους χρηστών της παραγωγής·
- το αμετάβλητο: ένα αντίγραφο ασφαλείας που έχει γραφτεί δεν μπορεί πλέον να τροποποιηθεί ούτε να διαγραφεί κατά τη διάρκεια διατήρησής του·
- άλλη τοποθεσία και, αν είναι δυνατόν, ένα αντίγραφο εκτός δικτύου: η ANSSI το θεωρεί απαραίτητο και πιο αξιόπιστο από ένα αμετάβλητο αντίγραφο που παραμένει online.
Μένει το βάθος. Μια εισβολή μπορεί να μείνει αθόρυβη για αρκετές εβδομάδες πριν από την κρυπτογράφηση. Αν η διάρκεια διατήρησης είναι μικρότερη από αυτό το διάστημα, όλα τα διαθέσιμα αντίγραφα ασφαλείας μπορεί να περιέχουν τον εισβολέα ή ήδη αλλοιωμένα αρχεία.
Η σειρά ανάκαμψης
Η επαναφορά δεν είναι ένα κουμπί. Είναι μια σειρά βημάτων, και η σειρά μετρά.
- Περιορισμός. Απομονώστε τους μολυσμένους υπολογιστές από το δίκτυο, αναστείλετε τους παραβιασμένους λογαριασμούς, απενεργοποιήστε τον συγχρονισμό και τους εξωτερικούς συνδέσμους στο πεδίο που επηρεάστηκε. Η ANSSI συμβουλεύει επίσης να τηρείται χρονοσημασμένο ημερολόγιο συμβάντων, να αποσυνδέονται τα μέσα αντιγράφων ασφαλείας αφού επιβεβαιωθεί ότι είναι υγιή, και να αποφεύγεται η διακοπή ρεύματος των μηχανημάτων, που μπορεί να σβήσει χρήσιμα ίχνη.
- Χρονολόγηση της έναρξης. Εντοπίστε το πρώτο κρυπτογραφημένο αρχείο, τον λογαριασμό και τον υπολογιστή που ευθύνονται. Αυτό καθορίζει το σημείο επαναφοράς.
- Επιλογή του σημείου επαναφοράς πριν από την κρυπτογράφηση, με περιθώριο αν η ημερομηνία είναι αβέβαιη.
- Επαναφορά σε υγιές περιβάλλον. Η ANSSI συνιστά επανεγκατάσταση από γνωστό μέσο και στη συνέχεια επαναφορά των δεδομένων από αντίγραφο ασφαλείας προγενέστερο της παραβίασης. Όταν το εργαλείο το επιτρέπει, η επαναφορά μόνο του πεδίου που επηρεάστηκε αποφεύγει να σβηστεί η δουλειά που έγινε αλλού στο μεταξύ.
- Έλεγχος. Ανοίξτε τυχαία αρχεία, βεβαιωθείτε ότι δεν απομένει κανένα κρυπτογραφημένο αρχείο, διορθώστε το κενό από το οποίο μπήκε η επίθεση, αλλάξτε τους κωδικούς πρόσβασης.
- Σταδιακό άνοιγμα των προσβάσεων. Οι υπολογιστές συγχρονίζονται ξανά από τον διακομιστή που επαναφέρθηκε, ποτέ αντίστροφα. Ένας υπολογιστής που δεν έχει καθαριστεί και επανασυνδέεται στέλνει ξανά τα κρυπτογραφημένα αρχεία του.
Παράλληλα, η ANSSI συνιστά να μην πληρώνονται ποτέ τα λύτρα, να διατηρούνται τα κρυπτογραφημένα δεδομένα (ένα κλειδί μπορεί να δημοσιευτεί αργότερα), να υποβάλλεται μήνυση και, σε περίπτωση παραβίασης προσωπικών δεδομένων, η ομάδα διαχείρισης κρίσης να ενημερώνει τη CNIL.
Τι χάνεται: το RPO στην πράξη
Υποθετική περίπτωση. Ένα γραφείο είκοσι ατόμων λαμβάνει αντίγραφα ασφαλείας των εγγράφων του κάθε ώρα. Τη Δευτέρα, στις 9:15, ένας συγχρονισμένος υπολογιστής αρχίζει να κρυπτογραφεί τον φάκελο «Πελάτες». Ο συναγερμός σημαίνει στις 10:05.
Το τελευταίο υγιές σημείο είναι το αντίγραφο ασφαλείας των 9:00. Ο φάκελος «Πελάτες» επιστρέφει στην κατάσταση των 9:00. Οι αλλαγές που έγιναν μεταξύ 9:00 και 9:15 σε αυτόν τον φάκελο χάνονται. Όσες έγιναν σε άλλους φακέλους δεν χάνονται, αν η επαναφορά περιορίζεται στον φάκελο που επηρεάστηκε. Η γραμματέας που αποθήκευσε τρεις επιστολές στις 9:10 τις βρίσκει στο ηλεκτρονικό ταχυδρομείο της και τις καταθέτει ξανά.
Αυτό μετρά το RPO, η μέγιστη αποδεκτή απώλεια δεδομένων: την απόσταση ανάμεσα στο σημείο επαναφοράς και στο περιστατικό. Το RTO, η μέγιστη αποδεκτή διάρκεια διακοπής, μετρά κάτι άλλο: τον χρόνο μέχρι οι ομάδες να ξαναδουλέψουν. Και τα δύο αποφασίζονται πριν από το περιστατικό, όχι κατά τη διάρκειά του.
Συχνά λάθη
- Επαναφορά πριν από τον περιορισμό. Ο υπολογιστής που είναι ακόμη συνδεδεμένος κρυπτογραφεί ξανά τα αρχεία που επαναφέρθηκαν.
- Επανασυγχρονισμός από τον μολυσμένο υπολογιστή. Το τοπικό αντίγραφο είναι το κρυπτογραφημένο αντίγραφο.
- Εμπιστοσύνη στον κάδο ανακύκλωσης. Δεν περιέχει τα αρχεία που τροποποιήθηκαν, μόνο τα αρχεία που διαγράφηκαν.
- Ανακάλυψη της διάρκειας διατήρησης την ημέρα του περιστατικού. Αν η εισβολή χρονολογείται έξι εβδομάδες πίσω και η διάρκεια διατήρησης είναι τριάντα ημέρες, η επιλογή του σημείου επαναφοράς δυσκολεύει.
Πού τοποθετείται η Klytic
Για το Klytic Docs, τα αντίγραφα ασφαλείας λαμβάνονται κάθε ώρα. Είναι κρυπτογραφημένα, αμετάβλητα, αναπαράγονται σε πολλές τοποθεσίες, παρακολουθούνται, διατηρούνται 30 ημέρες, και οι επαναφορές δοκιμάζονται κάθε μήνα. Οι στόχοι είναι RPO κάτω από 2 ώρες για τα έγγραφα και RTO κάτω από 4 ώρες. Η επαναφορά ζητείται από την υποστήριξη της Klytic, με αναφορά στο πεδίο και στην κατά προσέγγιση ημερομηνία. Περιλαμβάνεται όταν η απώλεια οφείλεται σε δυσλειτουργία της υπηρεσίας Klytic. Μετά από ransomware ή παραβιασμένο λογαριασμό στη δική σας πλευρά, η ανάκαμψη περιλαμβάνεται επίσης αν οι υπολογιστές σας ήταν σωστά προστατευμένοι: εφαρμοσμένες ενημερώσεις, ενεργό antivirus. Αν ήταν ανεπαρκώς προστατευμένοι, αντιμετωπίζεται με αίτημα υποστήριξης με χρέωση, όπως μια επαναφορά μετά από λανθασμένο χειρισμό. Οι λεπτομέρειες βρίσκονται στη σελίδα ασφάλεια και αντίγραφα ασφαλείας.
Στην πρόληψη, το Klytic Docs παρέχει δικαιώματα ανά άτομο, ανά ομάδα και ανά φάκελο, έλεγχο ταυτότητας δύο παραγόντων, ημερολόγιο προσβάσεων και συνδέσμους προστατευμένους με κωδικό πρόσβασης και ημερομηνία λήξης. Από την πλευρά της Klytic, οι τεχνικές προσβάσεις περιορίζονται στις εργασίες λειτουργίας και υποστήριξης, είναι ονομαστικές και καταγράφονται.
Τα όρια: τριάντα ημέρες διατήρησης δεν καλύπτουν μια παραβίαση που ανακαλύπτεται αργότερα. Η Klytic επαναφέρει τις υπηρεσίες της· ο καθαρισμός των υπολογιστών, του δικτύου και του καταλόγου χρηστών σας είναι ευθύνη της ομάδας πληροφορικής σας ή του παρόχου σας. Η Klytic δεν είναι προσφορά με πιστοποίηση SecNumCloud.
Αυτή η σελίδα περιγράφει ένα γενικό πλαίσιο. Σε περίπτωση περιστατικού, ακολουθήστε το σχέδιο ανάκαμψής σας και τις οδηγίες των αρμόδιων αρχών.
Πηγές
Η ανάγνωση έγινε τον Οκτώβριο του 2026.
- ANSSI και γαλλικό Υπουργείο Δικαιοσύνης (DACG), Attaques par rançongiciels, tous concernés, 2020: αποσυνδεδεμένα αντίγραφα ασφαλείας, περιορισμός των λογαριασμών διαχείρισης, γρήγορες ενημερώσεις· σε περίπτωση περιστατικού, ημερολόγιο συμβάντων, απομόνωση, όχι διακοπή ρεύματος, διατήρηση των κρυπτογραφημένων δεδομένων, μη πληρωμή, μήνυση, επαναφορά από αντίγραφο ασφαλείας προγενέστερο της παραβίασης. messervices.cyber.gouv.fr
- ANSSI, Sauvegarde des systèmes d’information, οδηγός ANSSI-BP-100, v1.1: ο εισβολέας στοχεύει συχνά την υποδομή αντιγράφων ασφαλείας· αφιερωμένοι λογαριασμοί· το αντίγραφο εκτός δικτύου είναι πιο αξιόπιστο από το online WORM· PDMA και DMIA. messervices.cyber.gouv.fr
- Klytic, Ασφάλεια και αντίγραφα ασφαλείας: αμετάβλητα, κρυπτογραφημένα, αναπαραγόμενα αντίγραφα ασφαλείας, 30 ημέρες, επαναφορές που δοκιμάζονται κάθε μήνα, RTO κάτω από 4 ώρες, RPO κάτω από 2 ώρες. klytic.com
- Klytic, Φιλοξενία και κυριαρχία: τεχνικές προσβάσεις περιορισμένες στη λειτουργία και την υποστήριξη, ονομαστικές και καταγεγραμμένες. klytic.com
