Ko izspiedējvīruss nodara DPS
Izspiedējvīruss šifrē failus, kuriem tam ir piekļuve, un pēc tam pieprasa izpirkuma maksu par atslēgu. DPS tas darbojas ar inficētā konta vai datora tiesībām. Kaitējumu pastiprina trīs mehānismi:
- sinhronizēšana: inficētais dators šifrē savu lokālo kopiju, pēc tam sinhronizēšanas klients nosūta šifrētos failus uz serveri kā parastu izmaiņu un no turienes uz citām ierīcēm;
- vēsture: katrs šifrētais fails kļūst par jaunu versiju. Iepriekšējā versija var glābt situāciju, ja vien uzbrucējam nav pietiekamu tiesību izdzēst vēsturi un iztukšot miskasti;
- rezerves kopēšana: ANSSI novēro, ka uzbrucējs bieži cenšas nošifrēt, izdzēst vai padarīt nepieejamu rezerves kopēšanas infrastruktūru, lai novērstu atjaunošanu.
Daži uzbrukumi pirms šifrēšanas arī nokopē datus. Atjaunošana atjauno failus. Tā neatrisina šo daļu, kas ir krīzes vadības jautājums un, ja ir skarti personas dati, VDAR jautājums.
Ierobežot darbības rādiusu
Nevar solīt, ka neviens dators netiks inficēts. Var ierobežot to, ko inficēts dators vai konts var aizsniegt.
Rakstīšanas tiesības
Konts, kas mapi var tikai lasīt, nevar to nošifrēt. Atsauces mapes (veidnes, procedūras, parakstīti līgumi) lielākajai daļai cilvēku var būt tikai lasāmas. Tiesības nosaka pa grupām un mapēm, nevis „visi rediģē visu”.
Administrēšanas konti
ANSSI iesaka šos kontus ierobežot līdz absolūti nepieciešamajam. Tiem jābūt personālizētiem, aizsargātiem ar divfaktoru autentifikāciju un tos nedrīkst izmantot ikdienas darbam.
Ārējās saites
Saite, kas nepazīstamam cilvēkam dod rediģēšanas tiesības, ir durvis. Uz āru sūtītām saitēm ir parole, beigu datums un parasti tikai lasīšanas tiesības.
Sinhronizētie datori
Katrā datorā sinhronizējiet tikai vajadzīgās mapes. Jutīgās mapes atstājiet pārlūkprogrammā. Instalējiet atjauninājumus ātri: ANSSI atgādina, ka ir ļoti svarīgi to darīt īsā laikā un saskaņā ar kontrolētu procesu. Visbiežākā iekļūšanas vieta joprojām ir e-pasts: skatiet pielikumi, saites un izspiedējvīrusi.
Kāpēc rezerves kopijai jābūt nesasniedzamai
Rezerves kopija, kurai var piekļūt ar to pašu kontu kā ražošanas videi, tiks nošifrēta kopā ar to. To pasargā trīs veidu nodalīšana:
- cits identifikators: ANSSI prasa personālizētus un īpaši paredzētus rezerves kopēšanas administrēšanas kontus un no ražošanas direktorijiem neatkarīgu infrastruktūru;
- nemaināmība: ierakstītu rezerves kopiju tās glabāšanas laikā vairs nevar mainīt vai dzēst;
- cita vieta un, ja iespējams, bezsaistes kopija: ANSSI to uzskata par neaizstājamu un izturīgāku nekā tiešsaistē palikusi nemaināma rezerves kopija.
Paliek dziļuma jautājums. Ielaušanās var palikt nepamanīta vairākas nedēļas pirms šifrēšanas. Ja glabāšanas periods ir īsāks par šo laiku, visās pieejamajās rezerves kopijās var būt uzbrucējs vai jau bojāti faili.
Atjaunošanas secība
Atjaunošana nav poga. Tā ir soļu secība, un secībai ir nozīme.
- Ierobežot. Atvienot inficētos datorus no tīkla, apturēt kompromitētos kontus, atslēgt sinhronizēšanu un ārējās saites skartajā jomā. ANSSI iesaka arī vest notikumu žurnālu ar laika atzīmēm, atvienot rezerves kopiju nesējus pēc pārliecināšanās, ka tie ir neskarti, un neatslēgt iekārtu barošanu, jo tā var izdzēst noderīgas pēdas.
- Noteikt sākuma laiku. Identificēt pirmo šifrēto failu, iesaistīto kontu un datoru. Tas nosaka atjaunošanas punktu.
- Izvēlēties atjaunošanas punktu pirms šifrēšanas, ar rezervi, ja datums nav skaidrs.
- Atjaunot tīrā vidē. ANSSI iesaka pārinstalēt no zināma nesēja un pēc tam atjaunot datus no rezerves kopijas, kas izveidota pirms kompromitēšanas. Ja rīks to ļauj, atjaunojot tikai skarto jomu, netiek pārrakstīts citur kopš tam paveiktais darbs.
- Pārbaudīt. Atvērt nejauši izvēlētus failus, pārliecināties, ka nav palicis neviens šifrēts fails, novērst iekļūšanas ievainojamību, nomainīt paroles.
- Pakāpeniski atjaunot piekļuvi. Datori tiek no jauna sinhronizēti no atjaunotā servera, nekad otrādi. Nenotīrīts dators, kas pieslēdzas no jauna, atkal nosūta savus šifrētos failus.
Paralēli ANSSI iesaka nekad nemaksāt izpirkuma maksu, saglabāt šifrētos datus (atslēga var tikt publicēta vēlāk), iesniegt iesniegumu policijā un, ja noticis personas datu aizsardzības pārkāpums, nodrošināt, ka krīzes vadības grupa paziņo par to CNIL.
Kas tiek zaudēts: RPO praksē
Hipotētisks gadījums. Divdesmit cilvēku birojs katru stundu veido savu dokumentu rezerves kopijas. Pirmdien plkst. 9.15 sinhronizēts dators sāk šifrēt mapi „Klienti”. Trauksme tiek izsludināta plkst. 10.05.
Pēdējais tīrais punkts ir plkst. 9.00 rezerves kopija. Mape „Klienti” atgriežas savā stāvoklī plkst. 9.00. Šajā mapē laikā no 9.00 līdz 9.15 veiktās izmaiņas ir zaudētas. Citās mapēs veiktās izmaiņas nav zaudētas, ja atjaunošana aprobežojas ar skarto mapi. Sekretāre, kas plkst. 9.10 saglabāja trīs vēstules, atrod tās savā e-pastā un ievieto no jauna.
Tieši to mēra RPO – maksimālais pieļaujamais datu zudums: atšķirība starp atjaunošanas punktu un incidentu. RTO – maksimālais pieļaujamais dīkstāves ilgums – mēra ko citu: laiku, līdz komandas atkal var strādāt. Abus izlemj pirms incidenta, nevis tā laikā.
Biežākās kļūdas
- Atjaunot pirms ierobežošanas. Joprojām pieslēgtais dators atkal nošifrē atjaunotos failus.
- Sinhronizēt no jauna no inficētā datora. Lokālā kopija ir šifrētā kopija.
- Paļauties uz miskasti. Tajā nav mainīto failu, tikai dzēstie faili.
- Uzzināt glabāšanas periodu incidenta dienā. Ja ielaušanās notika pirms sešām nedēļām un glabāšanas periods ir trīsdesmit dienas, atjaunošanas punkta izvēle kļūst sarežģīta.
Biežāk uzdotie jautājumi
Vai pret izspiedējvīrusu pietiek ar versiju veidošanu?
Tā palīdz, ja vēsture ir neskarta. Ar to nepietiek, ja uzbrucējs varēja to izdzēst. Atšķirība ir izskaidrota rakstā dokumentu versiju veidošana, replikācija un rezerves kopēšana.
Vai jāmaksā izpirkuma maksa?
ANSSI iesaka to nekad nemaksāt. Samaksa negarantē ne atslēgu, ne to, ka nebūs jauna uzbrukuma.
Kā ierobežot, kas var mainīt mapi?
Ar tiesībām pa grupām un mapēm. Skatiet kā noteikt, kurš redz kurus dokumentus.
Kā nepieļaut, ka saite kļūst par iekļūšanas vietu?
Ar paroli, beigu datumu un tikai lasīšanas tiesībām. Skatiet kopīgošanas saites, partneri un augšupielādes.
Kur ir Klytic
Klytic Docs rezerves kopijas tiek veidotas katru stundu. Tās ir šifrētas, nemaināmas, replicētas vairākās vietās, uzraudzītas, glabātas 30 dienas, un atjaunošana tiek testēta katru mēnesi. Mērķi ir RPO mazāk par 2 stundām dokumentiem un RTO mazāk par 4 stundām. Atjaunošanu pieprasīa Klytic atbalstam, norādot skarto jomu un aptuveno datumu. Tā ir iekļauta, ja zudumu izraisījuši Klytic pakalpojuma darbības traucējumi. Pēc izspiedējvīrusa vai uzlauzta konta jūsu pusē atjaunošana arī ir iekļauta, ja jūsu datori bija pienācīgi aizsargāti: uzstādīti atjauninājumi, aktīva pretvīrusu programma. Ja tie bija aizsargāti nepietiekami, tiek atvērts maksas atbalsta pieprasījums, tāpat kā atjaunošanai pēc nepareizas darbības. Sīkāka informācija ir lapā drošība un rezerves kopēšana.
Novēršanas jomā Klytic Docs nodrošina tiesības pa personām, grupām un mapēm, divfaktoru autentifikāciju, piekļuves žurnālu un ar paroli aizsargātas saites ar derīguma beigu datumu. Klytic pusē tehniskā piekļuve ir ierobežota ar ekspluatācijas un atbalsta darbībām, tā ir personālizēta un reģistrēta žurnālā.
Ierobežojumi: trīsdesmit dienu glabāšanas periods neaptver kompromitēšanu, kas atklāta vēlāk. Klytic atjauno savus pakalpojumus; jūsu datoru, tīkla un direktorija attīrīšana ir jūsu IT komandas vai pakalpojuma sniedzēja uzdevums. Klytic nav SecNumCloud kvalificēts piedāvājums.
Šajā lapā aprakstīts vispārīgs ietvars. Incidenta gadījumā rīkojieties saskaņā ar savu darbības atjaunošanas plānu un kompetento iestāžu norādījumiem.
Avoti
Skatīti 2026. gada oktobrī.
- ANSSI un Francijas Tieslietu ministrija (DACG), Attaques par rançongiciels, tous concernés, 2020: atvienotas rezerves kopijas, administrēšanas kontu ierobežošana, ātri atjauninājumi; incidenta gadījumā notikumu žurnāls, izolēšana, barošanas neatslēgšana, šifrēto datu saglabāšana, nemaksāšana, iesniegums policijā, atjaunošana no pirms kompromitēšanas izveidotas rezerves kopijas. messervices.cyber.gouv.fr
- ANSSI, Sauvegarde des systèmes d’information, vadlīnijas ANSSI-BP-100, v1.1: uzbrucējs bieži mērķē uz rezerves kopēšanas infrastruktūru; īpaši paredzēti konti; bezsaiste izturīgāka nekā tiešsaistes WORM; PDMA un DMIA. messervices.cyber.gouv.fr
- Klytic, Drošība un rezerves kopēšana: nemaināmas, šifrētas, replicētas rezerves kopijas, 30 dienas, atjaunošana testēta katru mēnesi, RTO mazāk par 4 h, RPO mazāk par 2 h. klytic.com
- Klytic, Mitināšana un suverenitāte: tehniskā piekļuve ierobežota ar ekspluatāciju un atbalstu, personālizēta un reģistrēta žurnālā. klytic.com
