Mida lunavara dokumendihaldusele teeb
Lunavara krüpteerib failid, millele tal on juurdepääs, ja nõuab seejärel võtme eest lunaraha. Dokumendihalduses tegutseb see nakatatud konto või tööjaama õigustega. Kolm mehhanismi suurendavad kahju:
- sünkroonimine: nakatunud tööjaam krüpteerib oma kohaliku koopia, seejärel saadab sünkroonimisklient krüpteeritud failid serverisse nagu tavalise muudatuse ja sealt edasi teistesse seadmetesse;
- ajalugu: igast krüpteeritud failist saab uus versioon. Vanem versioon võib olukorra päästa, kui ründajal pole piisavaid õigusi ajaloo ja prügikasti tühjendamiseks;
- varundus: ANSSI täheldab, et ründaja püüab sageli varundustaristut krüpteerida, kustutada või kättesaamatuks muuta, et takistada taastamist.
Mõned rünnakud kopeerivad andmed ka enne krüpteerimist. Taastamine teeb failid taas korda. See ei lahenda seda osa, mis kuulub kriisijuhtimise ja isikuandmete korral isikuandmete kaitse üldmääruse (GDPR) alla.
Mõjuala vähendamine
Ei saa lubada, et ükski tööjaam ei nakatu. Küll saab piirata, milleni nakatunud tööjaam või konto ulatub.
Kirjutusõigused
Konto, mis saab kausta ainult lugeda, ei saa seda krüpteerida. Viitekaustad (mallid, protseduurid, allkirjastatud lepingud) võivad enamikule inimestele olla kirjutuskaitstud. Õigused määratakse grupi ja kausta kaupa, mitte põhimõttel „kõik muudavad kõike“.
Administraatorikontod
ANSSI soovitab piirata need hädavajalikuga. Need peavad olema isikustatud, kaitstud kaheastmelise autentimisega ega tohi olla kasutusel igapäevatööks.
Välised lingid
Link, mis annab võõrale muutmisõiguse, on uks. Väljapoole minevatel linkidel on parool, lõppkuupäev ja üldjuhul ainult lugemisõigus.
Sünkroonitud tööjaamad
Sünkroonige igas tööjaamas ainult vajalikud kaustad. Jätke tundlikud kaustad brauserisse. Paigaldage uuendused kiiresti: ANSSI rõhutab, et seda on oluline teha lühikese aja jooksul ja kontrollitud protsessi järgi. Kõige sagedasem sissepääs on endiselt e-post: vt manused, lingid ja lunavara.
Miks peab varundus olema kättesaamatu
Varundus, millele pääseb ligi sama kontoga kui tootmiskeskkonnale, krüpteeritakse koos sellega. Kolm eraldust hoiavad selle kaitstuna:
- teine kasutajatunnus: ANSSI nõuab isikustatud ja spetsiaalseid varunduse administraatorikontosid ning tootmiskeskkonna kataloogiteenustest sõltumatut taristut;
- muutumatus: kirjutatud varukoopiat ei saa säilitusaja jooksul enam muuta ega kustutada;
- teine asukoht ja võimaluse korral võrguühenduseta koopia: ANSSI peab seda hädavajalikuks ja töökindlamaks kui võrku jäänud muutumatut varukoopiat.
Jääb sügavuse küsimus. Sissetung võib enne krüpteerimist jääda mitmeks nädalaks märkamatuks. Kui säilitusaeg on sellest lühem, võivad kõik olemasolevad varukoopiad sisaldada ründajat või juba rikutud faile.
Taastamise järjekord
Taastamine ei ole nupp. See on sammude jada ja järjekord on oluline.
- Piirake. Eraldage nakatunud tööjaamad võrgust, peatage kompromiteeritud kontod, lülitage mõjutatud alal välja sünkroonimine ja välised lingid. ANSSI soovitab ka pidada ajatempliga sündmuste logi, ühendada varukandjad lahti pärast nende puhtuse kontrollimist ja vältida masinate vooluvõrgust väljalülitamist, mis võib kustutada kasulikke jälgi.
- Määrake algus. Tuvastage esimene krüpteeritud fail, asjaomane konto ja tööjaam. See määrab taastepunkti.
- Valige taastepunkt, mis eelneb krüpteerimisele, ebakindla kuupäeva korral varuga.
- Taastage puhtas keskkonnas. ANSSI soovitab paigaldada uuesti teadaolevalt kandjalt ja seejärel taastada andmed kompromiteerimisele eelnenud varukoopiast. Kui tööriist seda võimaldab, väldib ainult mõjutatud ala taastamine mujal vahepeal tehtud töö ülekirjutamist.
- Kontrollige. Avage juhuslikke faile, veenduge, et krüpteeritud faile ei ole alles jäänud, parandage sissepääsu nõrkus, vahetage paroolid.
- Avage juurdepääsud järk-järgult. Tööjaamad sünkroonitakse uuesti taastatud serverist, mitte kunagi vastupidi. Puhastamata tööjaam, mis uuesti ühendub, saadab tagasi oma krüpteeritud failid.
Samal ajal soovitab ANSSI mitte kunagi lunaraha maksta, säilitada krüpteeritud andmed (võti võidakse hiljem avaldada), esitada kuriteoteade ja lasta kriisimeeskonnal isikuandmetega seotud rikkumisest teavitada järelevalveasutust (Prantsusmaal CNIL).
Mis läheb kaotsi: RPO praktikas
Hüpoteetiline juhtum. Kahekümne töötajaga büroo varundab oma dokumente iga tund. Esmaspäeval kell 9.15 hakkab sünkroonitud tööjaam krüpteerima kausta „Kliendid“. Häire antakse kell 10.05.
Viimane puhas punkt on kella 9 varukoopia. Kaust „Kliendid“ naaseb kella 9 seisu. Kella 9 ja 9.15 vahel selles kaustas tehtud muudatused on kadunud. Teistes kaustades tehtud muudatused ei kao, kui taastamine piirdub mõjutatud kaustaga. Sekretär, kes salvestas kell 9.10 kolm kirja, leiab need oma postkastist ja laadib uuesti üles.
Just seda mõõdab RPO, suurim lubatud andmekadu: vahe taastepunkti ja intsidendi vahel. RTO, suurim lubatud katkestuse kestus, mõõdab midagi muud: aega, enne kui meeskonnad saavad taas tööd teha. Mõlemad otsustatakse enne intsidenti, mitte selle ajal.
Sagedased vead
- Taastada enne piiramist. Endiselt ühendatud tööjaam krüpteerib taastatud failid uuesti.
- Sünkroonida uuesti nakatunud tööjaamast. Kohalik koopia on krüpteeritud koopia.
- Loota prügikastile. See ei sisalda muudetud faile, ainult kustutatud faile.
- Avastada säilitusaeg kriisipäeval. Kui sissetung toimus kuus nädalat tagasi ja säilitusaeg on kolmkümmend päeva, muutub taastepunkti valik keeruliseks.
Klyticu positsioon
Klytic Docsi varundus toimub iga tund. Varukoopiad on krüpteeritud, muutumatud, replikeeritud mitmesse asukohta, jälgitud, neid hoitakse 30 päeva ja taastamisi testitakse iga kuu. Eesmärgid on dokumentide RPO alla 2 tunni ja RTO alla 4 tunni. Taastamist taotletakse Klyticu toelt, näidates ala ja ligikaudse kuupäeva. See sisaldub hinnas, kui kadu tuleneb Klyticu teenuse tõrkest. Pärast lunavararünnakut või häkitud kontot teie juures sisaldub taastamine samuti hinnas, kui teie tööjaamad olid korralikult kaitstud: uuendused paigaldatud, viirusetõrje aktiivne. Kui need olid ebapiisavalt kaitstud, avatakse tasuline tugipilet, nagu taastamisel pärast vale tegevust. Üksikasjad on lehel turvalisus ja varundus.
Ennetuse poolel pakub Klytic Docs inimese, grupi ja kausta põhiseid õigusi, kaheastmelist autentimist, juurdepääsulogi ning parooliga kaitstud ja aeguvaid linke. Klyticu poolel on tehnilised juurdepääsud piiratud käitamis- ja tugitoimingutega, isikustatud ja logitud.
Piirangud: kolmekümnepäevane säilitusaeg ei kata hiljem avastatud kompromiteerimist. Klytic taastab oma teenused; teie tööjaamade, võrgu ja kataloogiteenuse puhastamine on teie IT-meeskonna või teenusepakkuja ülesanne. Klytic ei ole SecNumCloudi kvalifikatsiooniga pakkumine.
See leht kirjeldab üldist raamistikku. Intsidendi korral järgige oma taasteplaani ja pädevate asutuste juhiseid.
Allikad
Vaadatud oktoobris 2026.
- ANSSI ja Prantsuse justiitsministeerium (DACG), Attaques par rançongiciels, tous concernés, 2020: võrgust lahti ühendatud varukoopiad, administraatorikontode piiramine, kiired uuendused; intsidendi korral sündmuste logi, eraldamine, mitte vooluvõrgust välja lülitada, krüpteeritud andmete säilitamine, mitte maksta, kuriteoteade, taastamine kompromiteerimisele eelnenud varukoopiast. messervices.cyber.gouv.fr
- ANSSI, Sauvegarde des systèmes d’information, juhend ANSSI-BP-100, v1.1: ründaja sihib sageli varundustaristut; spetsiaalsed kontod; võrguühenduseta koopia töökindlam kui võrgus olev WORM; PDMA ja DMIA. messervices.cyber.gouv.fr
- Klytic, Turvalisus ja varundus: muutumatud, krüpteeritud, replikeeritud varukoopiad, 30 päeva, taastamisi testitakse iga kuu, RTO alla 4 h, RPO alla 2 h. klytic.com
- Klytic, Majutus ja suveräänsus: tehnilised juurdepääsud piiratud käitamise ja toega, isikustatud ja logitud. klytic.com
