Mit tesz egy zsarolóvírus egy dokumentumkezelő rendszerrel
A zsarolóvírus titkosítja azokat a fájlokat, amelyekhez hozzáfér, majd váltságdíjat követel a kulcsért cserébe. Egy dokumentumkezelő rendszerben a megfertőzött fiók vagy munkaállomás jogosultságaival működik. Három mechanizmus súlyosbítja a kárt:
- a szinkronizálás: a fertőzött munkaállomás titkosítja a helyi másolatát, majd a szinkronizáló kliens a titkosított fájlokat elküldi a szerverre, mint egy közönséges módosítást, onnan pedig a többi eszközre;
- az előzmények: minden titkosított fájl új verzióvá válik. A régi verzió megmentheti a helyzetet, kivéve, ha a támadó elegendő jogosultsággal rendelkezik az előzmények és a lomtár kiürítéséhez;
- a mentés: az ANSSI megfigyelése szerint a támadó gyakran a mentési infrastruktúrát is igyekszik titkosítani, törölni vagy elérhetetlenné tenni, hogy megakadályozza az újjáépítést.
Egyes támadások titkosítás előtt adatokat is lemásolnak. A visszaállítás helyreállítja a fájlokat. Ezt a részt nem rendezi: az a válságkezelés körébe tartozik, személyes adatok esetén pedig a GDPR hatálya alá.
A hatósugár szűkítése
Nem ígérhető, hogy egyetlen munkaállomás sem fertőződik meg. Az viszont korlátozható, hogy egy fertőzött munkaállomás vagy fiók mit érhet el.
Írási jogosultságok
Az a fiók, amely egy mappát csak olvasni tud, nem tudja titkosítani. A referenciamappák (sablonok, eljárásrendek, aláírt szerződések) a legtöbb ember számára lehetnek csak olvashatók. A jogosultságokat csoportonként és mappánként kell beállítani, nem úgy, hogy „mindenki mindent módosíthat”.
Adminisztrátori fiókok
Az ANSSI azt ajánlja, hogy ezeket a fiókokat a feltétlenül szükségesre korlátozzák. Legyenek névre szólók, kétfaktoros hitelesítéssel védettek, és ne szolgáljanak napi munkára.
Külső linkek
Egy olyan link, amely módosítási jogot ad egy ismeretlennek, egy nyitott ajtó. A kifelé mutató linkeknek legyen jelszavuk, lejárati dátumuk, és általában csak olvasási joguk.
Szinkronizált munkaállomások
Minden munkaállomáson csak a szükséges mappákat szinkronizálja. Az érzékeny mappákat hagyja a böngészőben. A frissítéseket gyorsan telepítse: az ANSSI emlékeztet, hogy ezt rövid határidőn belül és ellenőrzött folyamat szerint kell megtenni. A leggyakoribb behatolási pont továbbra is a levelezés: lásd e-mailben érkező mellékletek, linkek és zsarolóvírusok.
Miért kell a mentésnek elérhetetlennek lennie
Az a mentés, amely ugyanazzal a fiókkal érhető el, mint az éles rendszer, azzal együtt titkosítódik. Három elkülönítés helyezi biztonságba:
- másik azonosító: az ANSSI névre szóló, dedikált mentési adminisztrátori fiókokat és az éles címtáraktól független infrastruktúrát követel meg;
- módosíthatatlanság: egy megírt mentés a megőrzési ideje alatt többé nem módosítható és nem törölhető;
- másik helyszín, és lehetőség szerint egy offline másolat: az ANSSI ezt nélkülözhetetlennek és robusztusabbnak tartja egy online maradt módosíthatatlan mentésnél.
Marad az időbeli mélység kérdése. Egy behatolás hetekig rejtve maradhat a titkosítás előtt. Ha a megőrzési idő ennél rövidebb, az összes elérhető mentés tartalmazhatja a támadót vagy a már sérült fájlokat.
A helyreállítás sorrendje
A visszaállítás nem egy gomb. Lépések sorozata, és a sorrend számít.
- Megfékezés. Válassza le a fertőzött munkaállomásokat a hálózatról, függessze fel a kompromittált fiókokat, kapcsolja ki a szinkronizálást és a külső linkeket az érintett területen. Az ANSSI azt is tanácsolja, hogy vezessenek időbélyeggel ellátott eseménynaplót, válasszák le a mentési adathordozókat, miután ellenőrizték, hogy épek, és ne áramtalanítsák a gépeket, mert az hasznos nyomokat törölhet.
- A kezdet időpontjának megállapítása. Azonosítsa az első titkosított fájlt, valamint az érintett fiókot és munkaállomást. Ez határozza meg a visszaállítási pontot.
- A visszaállítási pont kiválasztása a titkosítás előttről, ráhagyással, ha az időpont bizonytalan.
- Visszaállítás ép környezetbe. Az ANSSI azt ajánlja, hogy ismert adathordozóról telepítsenek újra, majd a kompromittálódás előtti mentésből állítsák vissza az adatokat. Ha az eszköz lehetővé teszi, csak az érintett terület visszaállításával elkerülhető, hogy felülírják a máshol azóta végzett munkát.
- Ellenőrzés. Nyisson meg véletlenszerűen fájlokat, ellenőrizze, hogy nem maradt titkosított fájl, javítsa ki a behatolási rést, cserélje le a jelszavakat.
- A hozzáférések fokozatos újranyitása. A munkaállomások a visszaállított szerverről szinkronizálnak újra, soha nem fordítva. Egy meg nem tisztított munkaállomás, amely újra csatlakozik, visszaküldi titkosított fájljait.
Ezzel párhuzamosan az ANSSI azt ajánlja, hogy soha ne fizessenek váltságdíjat, őrizzék meg a titkosított adatokat (egy kulcs később nyilvánosságra kerülhet), tegyenek feljelentést, és személyes adatokat érintő adatvédelmi incidens esetén a válságstáb jelentse be azt a CNIL-nek.
Ami elvész: az RPO a gyakorlatban
Feltételezett eset. Egy húszfős iroda óránként menti a dokumentumait. Hétfőn 9:15-kor egy szinkronizált munkaállomás titkosítani kezdi az „Ügyfelek” mappát. A riasztás 10:05-kor történik.
Az utolsó ép pont a 9:00-s mentés. Az „Ügyfelek” mappa visszakerül 9:00-s állapotába. Az ebben a mappában 9:00 és 9:15 között végzett módosítások elvesznek. A többi mappában végzett módosítások nem, ha a visszaállítás az érintett mappára korlátozódik. A titkárnő, aki 9:10-kor három levelet mentett el, megtalálja őket a levelezésében, és újra feltölti őket.
Ezt méri az RPO, a maximálisan elfogadható adatvesztés: a visszaállítási pont és az incidens közötti eltérést. Az RTO, a maximálisan elfogadható leállási idő, mást mér: azt az időt, amíg a csapatok újra dolgozni tudnak. Mindkettőről az incidens előtt kell dönteni, nem közben.
Gyakori hibák
- Visszaállítani a megfékezés előtt. A még csatlakoztatott munkaállomás újra titkosítja a visszaállított fájlokat.
- Újraszinkronizálni a fertőzött munkaállomásról. A helyi másolat a titkosított másolat.
- A lomtárra hagyatkozni. Nem a módosított fájlokat tartalmazza, csak a törölteket.
- Az incidens napján szembesülni a megőrzési idővel. Ha a behatolás hat hete történt, a megőrzési idő pedig harminc nap, a visszaállítási pont kiválasztása bonyolulttá válik.
Gyakori kérdések
Elegendő-e a verziókezelés egy zsarolóvírus ellen?
Segít, ha az előzmények épek. Nem elegendő, ha a támadó ki tudta üríteni őket. A különbséget a verziókezelés, replikáció és a dokumentumok mentése útmutató magyarázza el.
Ki kell-e fizetni a váltságdíjat?
Az ANSSI azt ajánlja, hogy soha ne fizessék ki. A fizetés sem a kulcsot, sem egy újabb támadás elmaradását nem garantálja.
Hogyan korlátozható, ki módosíthat egy mappát?
Csoportonkénti és mappánkénti jogosultságokkal. Lásd: annak beállítása, ki melyik dokumentumot látja.
Hogyan kerülhető el, hogy egy link behatolási pontként szolgáljon?
Jelszóval, lejárati dátummal és csak olvasási joggal. Lásd: megosztási linkek, partnerek és letöltések.
Hol helyezkedik el a Klytic
A Klytic Docs esetében a mentések óránként történnek. Titkosítottak, módosíthatatlanok, több helyszínre replikáltak, felügyelet alatt állnak, 30 napig megőrzöttek, a visszaállításokat pedig havonta teszteljük. A célértékek: a dokumentumokra 2 óránál kisebb RPO és 4 óránál kisebb RTO. A visszaállítás a Klytic ügyfélszolgálatától kérhető, az érintett terület és a hozzávetőleges dátum megadásával. Díjmentes, ha az adatvesztés a Klytic szolgáltatás hibás működéséből ered. Az Önöknél bekövetkezett zsarolóvírus-támadás vagy feltört fiók után a helyreállítás akkor is díjmentes, ha munkaállomásaik megfelelően védettek voltak: telepített frissítések, működő vírusvédelem. Ha nem voltak kellően védettek, díjköteles támogatási jegy tárgya, akárcsak egy helytelen kezelés utáni visszaállítás. A részletek a biztonság és mentés oldalon találhatók.
A megelőzés terén a Klytic Docs személyenkénti, csoportonkénti és mappánkénti jogosultságokat, kétfaktoros hitelesítést, hozzáférési naplót, valamint jelszóval védett, lejárati dátummal ellátott linkeket biztosít. A Klytic oldalán a technikai hozzáférések az üzemeltetési és támogatási műveletekre korlátozódnak, névre szólók és naplózottak.
A korlátok: a harmincnapos megőrzési idő nem fedi le a később felfedezett kompromittálódást. A Klytic a saját szolgáltatásait állítja helyre; munkaállomásainak, hálózatának és címtárának megtisztítása az Ön informatikai csapatának vagy szolgáltatójának feladata. A Klytic nem rendelkezik SecNumCloud minősítéssel.
Ez az oldal általános keretet ír le. Incidens esetén kövesse helyreállítási tervét és az illetékes hatóságok utasításait.
Források
Megtekintve 2026 októberében.
- ANSSI és a francia Igazságügyi Minisztérium (DACG), Attaques par rançongiciels, tous concernés, 2020: leválasztott mentések, az adminisztrátori fiókok korlátozása, gyors frissítések; incidens esetén eseménynapló, elkülönítés, áramtalanítás mellőzése, a titkosított adatok megőrzése, a fizetés elutasítása, feljelentés, visszaállítás a kompromittálódás előtti mentésből. messervices.cyber.gouv.fr
- ANSSI, Sauvegarde des systèmes d’information, ANSSI-BP-100 útmutató, v1.1: a támadó gyakran a mentési infrastruktúrát veszi célba; dedikált fiókok; az offline robusztusabb az online WORM-nál; PDMA és DMIA. messervices.cyber.gouv.fr
- Klytic, Biztonság és mentés: módosíthatatlan, titkosított, replikált mentések, 30 nap, havonta tesztelt visszaállítások, 4 óránál kisebb RTO, 2 óránál kisebb RPO. klytic.com
- Klytic, Tárhely és szuverenitás: az üzemeltetésre és a támogatásra korlátozott, névre szóló és naplózott technikai hozzáférések. klytic.com
