Što ransomware čini sustavu za upravljanje dokumentima
Ransomware šifrira datoteke kojima ima pristup, a zatim traži otkupninu za ključ. U sustavu za upravljanje dokumentima djeluje s pravima korisničkog računa ili računala koje je zarazio. Tri mehanizma povećavaju štetu:
- sinkronizacija: zaraženo računalo šifrira svoju lokalnu kopiju, a klijent za sinkronizaciju zatim šalje šifrirane datoteke na poslužitelj, kao običnu izmjenu, i odande na ostale uređaje;
- povijest: svaka šifrirana datoteka postaje nova verzija. Stara verzija može spasiti situaciju, osim ako napadač ima dovoljna prava da isprazni povijest i koš za smeće;
- sigurnosna kopija: ANSSI primjećuje da napadač često pokušava šifrirati, izbrisati ili onesposobiti infrastrukturu za sigurnosno kopiranje kako bi spriječio obnovu.
Neki napadi prije šifriranja i kopiraju podatke. Vraćanje dovodi datoteke u ispravno stanje. Ne rješava taj dio, koji spada u upravljanje krizom i, ako je riječ o osobnim podacima, u GDPR.
Smanjiti doseg napada
Ne može se obećati da nijedno računalo neće biti zaraženo. Može se ograničiti što zaraženo računalo ili korisnički račun može dosegnuti.
Prava pisanja
Korisnički račun koji mapu može samo čitati ne može je šifrirati. Referentne mape (predlošci, postupci, potpisani ugovori) za većinu osoba mogu biti samo za čitanje. Prava se dodjeljuju po grupi i po mapi, a ne „svi uređuju sve“.
Administratorski računi
ANSSI preporučuje da se ti računi ograniče na najnužnije. Moraju biti osobni, zaštićeni dvofaktorskom autentifikacijom i ne smiju se koristiti za svakodnevni rad.
Vanjske poveznice
Poveznica koja nepoznatoj osobi daje pravo uređivanja otvorena su vrata. Poveznice koje idu prema van imaju lozinku, datum isteka i u pravilu samo pravo čitanja.
Sinkronizirana računala
Na svakom računalu sinkronizirajte samo potrebne mape. Osjetljive mape ostavite u pregledniku. Brzo instalirajte ažuriranja: ANSSI podsjeća da je ključno to učiniti u kratkom roku i kontroliranim postupkom. Najčešći ulaz i dalje je e-pošta: pogledajte privici, poveznice i ransomware.
Zašto sigurnosna kopija mora biti izvan dosega
Sigurnosna kopija dostupna istim korisničkim računom kao i produkcija bit će šifrirana zajedno s njom. Tri razdvajanja je štite:
- drugi pristupni podaci: ANSSI zahtijeva osobne i namjenske administratorske račune za sigurnosno kopiranje te infrastrukturu neovisnu o produkcijskim imenicima;
- nepromjenjivost: zapisana sigurnosna kopija ne može se izmijeniti ni izbrisati tijekom razdoblja čuvanja;
- druga lokacija i, ako je moguće, izvanmrežna kopija: ANSSI je smatra neophodnom i otpornijom od nepromjenjive sigurnosne kopije koja ostaje na mreži.
Preostaje dubina. Upad može ostati neprimijećen nekoliko tjedana prije šifriranja. Ako je razdoblje zadržavanja kraće od tog roka, sve dostupne sigurnosne kopije mogu sadržavati napadača ili već oštećene datoteke.
Redoslijed oporavka
Vraćanje nije gumb. To je niz koraka i redoslijed je važan.
- Obuzdati. Izolirati zaražena računala od mreže, suspendirati kompromitirane korisničke račune, isključiti sinkronizaciju i vanjske poveznice u zahvaćenom opsegu. ANSSI savjetuje i vođenje dnevnika događaja s vremenskim oznakama, odspajanje medija za sigurnosno kopiranje nakon provjere da su ispravni te izbjegavanje isključivanja napajanja računala, čime se mogu izbrisati korisni tragovi.
- Utvrditi početak. Pronaći prvu šifriranu datoteku, korisnički račun i računalo o kojima je riječ. To određuje točku vraćanja.
- Odabrati točku vraćanja prije šifriranja, s rezervom ako je datum nesiguran.
- Vratiti na čisto okruženje. ANSSI preporučuje ponovnu instalaciju s poznatog medija, a zatim vraćanje podataka iz sigurnosne kopije starije od kompromitacije. Kada alat to omogućuje, vraćanje samo zahvaćenog opsega izbjegava prepisivanje posla obavljenog drugdje u međuvremenu.
- Provjeriti. Otvoriti nasumične datoteke, provjeriti da nije ostala nijedna šifrirana datoteka, ukloniti ranjivost kroz koju je napadač ušao, promijeniti lozinke.
- Postupno ponovno otvoriti pristupe. Računala se ponovno sinkroniziraju s vraćenog poslužitelja, nikada obrnuto. Neočišćeno računalo koje se ponovno spoji vraća svoje šifrirane datoteke.
Usporedno ANSSI preporučuje da se otkupnina nikada ne plati, da se šifrirani podaci sačuvaju (ključ može biti objavljen kasnije), da se podnese kaznena prijava te da krizni tim obavijesti CNIL u slučaju povrede osobnih podataka.
Što se gubi: RPO u praksi
Hipotetski slučaj. Ured s dvadeset zaposlenika sigurnosno kopira svoje dokumente svakih sat vremena. U ponedjeljak u 9:15 sinkronizirano računalo počinje šifrirati mapu „Klijenti“. Uzbuna se podiže u 10:05.
Posljednja ispravna točka sigurnosna je kopija od 9:00. Mapa „Klijenti“ vraća se u stanje od 9:00. Izmjene u toj mapi napravljene između 9:00 i 9:15 su izgubljene. Izmjene u ostalim mapama nisu, ako se vraćanje ograniči na zahvaćenu mapu. Tajnica koja je u 9:10 spremila tri dopisa pronalazi ih u svojoj e-pošti i ponovno ih sprema.
Upravo to mjeri RPO, najveći prihvatljivi gubitak podataka: razmak između točke vraćanja i incidenta. RTO, najdulje prihvatljivo vrijeme prekida, mjeri nešto drugo: vrijeme dok timovi ponovno ne počnu raditi. Oba se određuju prije incidenta, a ne tijekom njega.
Česte pogreške
- Vratiti prije obuzdavanja. Računalo koje je još spojeno ponovno šifrira vraćene datoteke.
- Ponovno sinkronizirati sa zaraženog računala. Lokalna kopija je šifrirana kopija.
- Računati na koš za smeće. On ne sadrži izmijenjene datoteke, samo izbrisane.
- Otkriti razdoblje zadržavanja tek na dan incidenta. Ako je upad star šest tjedana, a razdoblje zadržavanja trideset dana, izbor točke vraćanja postaje složen.
Gdje se nalazi Klytic
Za Klytic Docs sigurnosne kopije izrađuju se svakih sat vremena. Šifrirane su, nepromjenjive, replicirane na više lokacija, nadzirane, čuvaju se 30 dana, a vraćanja se testiraju svaki mjesec. Ciljevi su RPO manji od 2 sata za dokumente i RTO manji od 4 sata. Vraćanje se traži od podrške Klytic, uz navođenje opsega i približnog datuma. Uključeno je kada gubitak proizlazi iz kvara usluge Klytic. Nakon ransomwarea ili hakiranog korisničkog računa kod vas oporavak je također uključen ako su vaša računala bila ispravno zaštićena: ažuriranja primijenjena, antivirusna zaštita aktivna. Ako nisu bila dovoljno zaštićena, rješava se plaćenim zahtjevom za podršku, kao i vraćanje nakon pogrešne radnje. Pojedinosti su na stranici sigurnost i sigurnosno kopiranje.
Za prevenciju Klytic Docs pruža prava po osobi, po grupi i po mapi, dvofaktorsku autentifikaciju, zapis pristupa te poveznice zaštićene lozinkom s datumom isteka. Na strani Klytica tehnički pristupi ograničeni su na poslove upravljanja i podrške, osobni su i bilježe se.
Ograničenja: trideset dana zadržavanja ne pokriva kompromitaciju otkrivenu kasnije. Klytic vraća svoje usluge; čišćenje vaših računala, mreže i imenika posao je vašeg IT tima ili vašeg pružatelja usluga. Klytic nije ponuda s kvalifikacijom SecNumCloud.
Ova stranica opisuje opći okvir. U slučaju incidenta slijedite svoj plan oporavka i upute nadležnih tijela.
Izvori
Pregledano u listopadu 2026.
- ANSSI i francusko Ministarstvo pravosuđa (DACG), Attaques par rançongiciels, tous concernés, 2020: odspojene sigurnosne kopije, ograničavanje administratorskih računa, brza ažuriranja; u slučaju incidenta dnevnik događaja, izolacija, bez isključivanja napajanja, čuvanje šifriranih podataka, ne plaćati, kaznena prijava, vraćanje iz sigurnosne kopije starije od kompromitacije. messervices.cyber.gouv.fr
- ANSSI, Sauvegarde des systèmes d’information, vodič ANSSI-BP-100, v1.1: napadač često cilja infrastrukturu za sigurnosno kopiranje; namjenski računi; izvanmrežna kopija otpornija od mrežnog WORM rješenja; RPO i RTO. messervices.cyber.gouv.fr
- Klytic, Sigurnost i sigurnosno kopiranje: nepromjenjive, šifrirane, replicirane sigurnosne kopije, 30 dana, vraćanja testirana svaki mjesec, RTO manji od 4 h, RPO manji od 2 h. klytic.com
- Klytic, Smještaj i suverenost: tehnički pristupi ograničeni na upravljanje i podršku, osobni i zabilježeni. klytic.com
