Mitä kiristyshaittaohjelma tekee dokumenttienhallinnalle
Kiristyshaittaohjelma salaa tiedostot, joihin sillä on pääsy, ja vaatii sitten lunnaita avainta vastaan. Dokumenttienhallinnassa se toimii saastuttamansa tilin tai työaseman oikeuksin. Kolme mekanismia pahentaa vahinkoja:
- synkronointi: saastunut työasema salaa paikallisen kopionsa, minkä jälkeen synkronointisovellus lähettää salatut tiedostot palvelimelle tavallisena muutoksena ja sieltä muille laitteille;
- historia: jokaisesta salatusta tiedostosta tulee uusi versio. Vanha versio voi pelastaa tilanteen, ellei hyökkääjällä ole riittäviä oikeuksia tyhjentää historiaa ja roskakoria;
- varmuuskopiointi: ANSSI toteaa, että hyökkääjä pyrkii usein salaamaan, poistamaan tai lamauttamaan varmuuskopiointiinfrastruktuurin estääkseen jälleenrakennuksen.
Jotkin hyökkäykset myös kopioivat tietoja ennen niiden salaamista. Palautus korjaa tiedostot. Se ei ratkaise tätä osaa, joka kuuluu kriisinhallintaan ja, jos kyse on henkilötiedoista, EU:n tietosuoja-asetuksen (GDPR) piiriin.
Vaikutusalueen rajaaminen
Ei voi luvata, ettei yksikään työasema saastu. Voi rajata, mihin saastunut työasema tai tili ulottuu.
Kirjoitusoikeudet
Tili, joka voi vain lukea kansiota, ei voi salata sitä. Viitekansiot (mallipohjat, menettelyt, allekirjoitetut sopimukset) voivat olla useimmille henkilöille vain luku -tilassa. Oikeudet määritetään ryhmä- ja kansiokohtaisesti, ei periaatteella ”kaikki muokkaavat kaikkea”.
Pääkäyttäjätilit
ANSSI suosittaa rajaamaan nämä tilit ehdottoman välttämättömiin. Niiden on oltava henkilökohtaisia, kaksivaiheisella tunnistautumisella suojattuja, eikä niitä saa käyttää päivittäiseen työhön.
Ulkoiset linkit
Linkki, joka antaa tuntemattomalle muokkausoikeuden, on ovi. Ulos lähtevillä linkeillä on salasana, päättymispäivä ja yleensä vain lukuoikeus.
Synkronoidut työasemat
Synkronoikaa kullekin työasemalle vain tarpeelliset kansiot. Jättäkää arkaluonteiset kansiot selaimeen. Asentakaa päivitykset nopeasti: ANSSI muistuttaa, että se on ratkaisevaa tehdä lyhyessä ajassa ja hallitun prosessin mukaisesti. Yleisin sisäänpääsyreitti on edelleen sähköposti: katso liitteet, linkit ja kiristyshaittaohjelmat.
Miksi varmuuskopion on oltava ulottumattomissa
Varmuuskopio, johon pääsee samalla tilillä kuin tuotantoon, salataan sen mukana. Kolme erottelua suojaa sen:
- eri tunnukset: ANSSI edellyttää henkilökohtaisia ja erillisiä varmuuskopioinnin pääkäyttäjätilejä sekä tuotannon hakemistopalveluista riippumatonta infrastruktuuria;
- muuttumattomuus: kirjoitettua varmuuskopiota ei voi enää muuttaa eikä poistaa sen säilytysaikana;
- eri toimipaikka ja mahdollisuuksien mukaan offline-kopio: ANSSI pitää sitä välttämättömänä ja vahvempana kuin verkkoon jäävää muuttumatonta varmuuskopiota.
Jäljelle jää historian syvyys. Tunkeutuminen voi pysyä huomaamattomana useita viikkoja ennen salausta. Jos säilytysaika on tätä lyhyempi, kaikki saatavilla olevat varmuuskopiot voivat sisältää hyökkääjän tai jo turmeltuneita tiedostoja.
Palautusjärjestys
Palautus ei ole nappi. Se on vaiheiden sarja, ja järjestyksellä on merkitystä.
- Rajaa. Eristäkää saastuneet työasemat verkosta, keskeyttäkää murretut tilit, poistakaa käytöstä synkronointi ja ulkoiset linkit kohteena olevalta alueelta. ANSSI neuvoo myös pitämään aikaleimattua tapahtumalokia, irrottamaan varmuuskopiovälineet tarkistettuaan niiden olevan puhtaita ja välttämään koneiden virran katkaisemista, mikä voi pyyhkiä hyödyllisiä jälkiä.
- Ajoita alku. Tunnistakaa ensimmäinen salattu tiedosto sekä asianomainen tili ja työasema. Se määrää palautuspisteen.
- Valitse palautuspiste ennen salausta, marginaalin kanssa, jos ajankohta on epävarma.
- Palauta puhtaaseen ympäristöön. ANSSI suosittaa uudelleenasennusta tunnetulta välineeltä ja tietojen palauttamista sitten tunkeutumista edeltävästä varmuuskopiosta. Kun työkalu sen sallii, vain kohteena olevan alueen palauttaminen välttää muualla sen jälkeen tehdyn työn korvaamisen.
- Tarkista. Avatkaa satunnaisia tiedostoja, varmistakaa, ettei salattuja tiedostoja ole jäljellä, korjatkaa sisäänpääsyn mahdollistanut haavoittuvuus, vaihtakaa salasanat.
- Avaa pääsyt uudelleen vähitellen. Työasemat synkronoidaan uudelleen palautetulta palvelimelta, ei koskaan päinvastoin. Puhdistamaton työasema, joka yhdistää uudelleen, lähettää salatut tiedostonsa takaisin.
Samanaikaisesti ANSSI suosittaa, ettei lunnaita makseta koskaan, että salatut tiedot säilytetään (avain voidaan julkaista myöhemmin), että tehdään rikosilmoitus ja että kriisiryhmä ilmoittaa valvontaviranomaiselle (Ranskassa CNIL), jos kyseessä on henkilötietojen tietoturvaloukkaus.
Mitä menetetään: RPO käytännössä
Kuvitteellinen tapaus. Kahdenkymmenen hengen toimisto varmuuskopioi asiakirjansa tunneittain. Maanantaina klo 9.15 synkronoitu työasema alkaa salata kansiota ”Asiakkaat”. Hälytys annetaan klo 10.05.
Viimeinen puhdas piste on klo 9 varmuuskopio. Kansio ”Asiakkaat” palaa klo 9 tilaansa. Kansioon klo 9 ja 9.15 välillä tehdyt muutokset menetetään. Muihin kansioihin tehtyjä ei menetetä, jos palautus rajataan kohteena olevaan kansioon. Sihteeri, joka tallensi kolme kirjettä klo 9.10, löytää ne sähköpostistaan ja tallentaa ne uudelleen.
Tätä mittaa RPO, suurin hyväksyttävä tietojen menetys: palautuspisteen ja häiriön välinen aika. RTO, suurin hyväksyttävä katkoksen kesto, mittaa muuta: aikaa, ennen kuin tiimit voivat jälleen työskennellä. Molemmista päätetään ennen häiriötä, ei sen aikana.
Yleisiä virheitä
- Palauttaminen ennen rajaamista. Yhä verkossa oleva työasema salaa palautetut tiedostot uudelleen.
- Uudelleensynkronointi saastuneelta työasemalta. Paikallinen kopio on salattu kopio.
- Luottaminen roskakoriin. Se ei sisällä muokattuja tiedostoja, vain poistetut.
- Säilytysajan selvittäminen vasta häiriöpäivänä. Jos tunkeutuminen tapahtui kuusi viikkoa sitten ja säilytysaika on kolmekymmentä päivää, palautuspisteen valinta vaikeutuu.
Usein kysyttyä
Riittääkö versiointi kiristyshaittaohjelmaa vastaan?
Se auttaa, jos historia on ehjä. Se ei riitä, jos hyökkääjä on voinut tyhjentää sen. Eroa selitetään oppaassa asiakirjojen versiointi, replikointi ja varmuuskopiointi.
Pitääkö lunnaat maksaa?
ANSSI suosittaa, ettei niitä makseta koskaan. Maksaminen ei takaa avainta eikä sitä, ettei uutta hyökkäystä tule.
Miten rajataan, kuka voi muokata kansiota?
Ryhmä- ja kansiokohtaisilla oikeuksilla. Katso kuka näkee mitkäkin asiakirjat.
Miten estetään, ettei linkistä tule sisäänpääsyreittiä?
Salasanalla, päättymispäivällä ja pelkällä lukuoikeudella. Katso jakolinkit, kumppanit ja lataukset.
Klyticin asema
Klytic Docsin varmuuskopiot otetaan tunneittain. Ne ovat salattuja, muuttumattomia, useaan toimipaikkaan replikoituja ja valvottuja, niitä säilytetään 30 päivää, ja palautukset testataan kuukausittain. Tavoitteena on asiakirjoille alle 2 tunnin RPO ja alle 4 tunnin RTO. Palautusta pyydetään Klyticin tuelta ilmoittamalla kohde ja likimääräinen päivämäärä. Se sisältyy hintaan, kun menetys johtuu Klytic-palvelun toimintahäiriöstä. Teillä tapahtuneen kiristyshaittaohjelman tai murretun tilin jälkeen palautus sisältyy myös hintaan, jos työasemanne oli suojattu asianmukaisesti: päivitykset asennettu, virustorjunta käytössä. Jos ne oli suojattu puutteellisesti, palautus käsitellään maksullisena tukipyyntönä, kuten virheellisen toiminnon jälkeinen palautus. Lisätiedot ovat sivulla tietoturva ja varmuuskopiointi.
Ennaltaehkäisyä varten Klytic Docs tarjoaa henkilö-, ryhmä- ja kansiokohtaiset oikeudet, kaksivaiheisen tunnistautumisen, pääsylokin sekä salasanalla suojatut linkit päättymispäivineen. Klyticin puolella tekniset pääsyt on rajattu yllä- ja tukitoimiin, ja ne ovat henkilökohtaisia ja lokitettuja.
Rajoitukset: kolmenkymmenen päivän säilytys ei kata myöhemmin havaittua tunkeutumista. Klytic palauttaa omat palvelunsa; työasemienne, verkkonne ja hakemistopalvelunne puhdistus kuuluu IT-tiimillenne tai palveluntarjoajallenne. Klyticillä ei ole SecNumCloud-hyväksyntää.
Tämä sivu kuvaa yleisen kehyksen. Häiriön sattuessa noudattakaa palautumissuunnitelmaanne ja toimivaltaisten viranomaisten ohjeita.
Lähteet
Tarkistettu lokakuussa 2026.
- ANSSI ja Ranskan oikeusministeriö (DACG), Attaques par rançongiciels, tous concernés, 2020: verkosta irrotetut varmuuskopiot, pääkäyttäjätilien rajaaminen, nopeat päivitykset; häiriön sattuessa tapahtumaloki, eristäminen, ei virran katkaisua, salattujen tietojen säilyttäminen, ei maksamista, rikosilmoitus, palautus tunkeutumista edeltävästä varmuuskopiosta. messervices.cyber.gouv.fr
- ANSSI, Sauvegarde des systèmes d’information, opas ANSSI-BP-100, v1.1: hyökkääjä tähtää usein varmuuskopiointiinfrastruktuuriin; erilliset tilit; offline vahvempi kuin verkossa oleva WORM; PDMA ja DMIA. messervices.cyber.gouv.fr
- Klytic, Tietoturva ja varmuuskopiointi: muuttumattomat, salatut, replikoidut varmuuskopiot, 30 päivää, palautukset testataan kuukausittain, RTO alle 4 h, RPO alle 2 h. klytic.com
- Klytic, Hosting ja suvereniteetti: tekniset pääsyt rajattu yllä- ja tukitoimiin, henkilökohtaisia ja lokitettuja. klytic.com
