Kaj izsiljevalska programska oprema naredi DMS
Izsiljevalska programska oprema šifrira datoteke, do katerih ima dostop, nato pa za ključ zahteva odkupnino. V DMS deluje s pravicami računa ali delovne postaje, ki jo je okužila. Škodo povečajo trije mehanizmi:
- sinhronizacija: okužena delovna postaja šifrira svojo lokalno kopijo, nato odjemalec za sinhronizacijo pošlje šifrirane datoteke na strežnik kot običajno spremembo, od tam pa na druge naprave;
- zgodovina: vsaka šifrirana datoteka postane nova različica. Stara različica lahko reši položaj, razen če ima napadalec dovolj pravic, da izprazni zgodovino in koš;
- varnostna kopija: ANSSI ugotavlja, da napadalec pogosto skuša šifrirati, izbrisati ali onesposobiti infrastrukturo za varnostno kopiranje, da prepreči ponovno vzpostavitev.
Nekateri napadi podatke pred šifriranjem tudi skopirajo. Obnova datoteke vrne v prejšnje stanje. Tega dela ne reši: ta sodi v krizno upravljanje in, če gre za osebne podatke, v GDPR.
Zmanjšati doseg
Ne moremo obljubiti, da nobena delovna postaja ne bo okužena. Lahko pa omejimo, kaj lahko okužena delovna postaja ali račun doseže.
Pravice pisanja
Račun, ki mapo lahko le bere, je ne more šifrirati. Referenčne mape (predloge, postopki, podpisane pogodbe) so lahko za večino ljudi samo za branje. Pravice se določijo po skupinah in mapah, ne po načelu »vsi urejajo vse«.
Skrbniški računi
ANSSI priporoča, da te račune omejite na nujno potrebne. Morajo biti poimenski, zaščiteni z dvofaktorsko avtentikacijo in se ne smejo uporabljati za vsakdanje delo.
Zunanje povezave
Povezava, ki neznancu daje pravico urejanja, so odprta vrata. Povezave navzven imajo geslo, datum poteka in praviloma samo pravico branja.
Sinhronizirane delovne postaje
Na vsako delovno postajo sinhronizirajte le potrebne mape. Občutljive mape pustite v brskalniku. Posodobitve namestite hitro: ANSSI poudarja, da je to ključno storiti v kratkem roku in po nadzorovanem postopku. Najpogostejša vstopna točka ostaja e-pošta: glejte priponke, povezave in izsiljevalska programska oprema.
Zakaj mora biti varnostna kopija zunaj dosega
Varnostna kopija, dostopna z istim računom kot produkcija, bo šifrirana skupaj z njo. Zaščitijo jo tri ločitve:
- druga identiteta: ANSSI zahteva poimenske in namenske skrbniške račune za varnostno kopiranje ter infrastrukturo, neodvisno od produkcijskih imenikov;
- nespremenljivost: zapisane varnostne kopije v obdobju hrambe ni več mogoče spremeniti ali izbrisati;
- druga lokacija in po možnosti kopija brez povezave: ANSSI jo ocenjuje kot nepogrešljivo in bolj robustno od nespremenljive varnostne kopije, ki ostane povezana.
Ostane še globina. Vdor lahko ostane neopažen več tednov pred šifriranjem. Če je obdobje hrambe krajše od tega časa, lahko vse razpoložljive varnostne kopije vsebujejo napadalca ali že poškodovane datoteke.
Vrstni red obnove
Obnova ni gumb. Je zaporedje korakov, in vrstni red je pomemben.
- Zajeziti. Okužene delovne postaje izolirajte iz omrežja, začasno onemogočite ogrožene račune, izklopite sinhronizacijo in zunanje povezave na prizadetem območju. ANSSI svetuje tudi vodenje dnevnika dogodkov s časovnimi žigi, odklop nosilcev varnostnih kopij, potem ko preverite, da so neokuženi, in izogibanje izklopu napajanja naprav, ki lahko izbriše koristne sledi.
- Določiti začetek. Ugotovite prvo šifrirano datoteko, vpleteni račun in delovno postajo. To določa točko obnove.
- Izbrati točko obnove pred šifriranjem, z rezervo, če je datum negotov.
- Obnoviti v čistem okolju. ANSSI priporoča ponovno namestitev z znanega nosilca, nato obnovo podatkov iz varnostne kopije, ki je starejša od vdora. Če orodje to omogoča, obnova le prizadetega območja prepreči prepis dela, opravljenega drugje v vmesnem času.
- Preveriti. Naključno odprite datoteke, preverite, da ni ostala nobena šifrirana datoteka, odpravite vstopno ranljivost, zamenjajte gesla.
- Postopno ponovno odpreti dostope. Delovne postaje se ponovno sinhronizirajo z obnovljenega strežnika, nikoli obratno. Neočiščena delovna postaja, ki se ponovno poveže, pošlje svoje šifrirane datoteke nazaj.
Vzporedno ANSSI priporoča, da odkupnine nikoli ne plačate, da šifrirane podatke ohranite (ključ je lahko objavljen pozneje), da vložite kazensko ovadbo in da krizna skupina ob kršitvi varstva osebnih podatkov o tem uradno obvesti nadzorni organ (v Franciji CNIL).
Kaj je izgubljeno: RPO v praksi
Hipotetičen primer. Pisarna z dvajsetimi zaposlenimi svoje dokumente varnostno kopira vsako uro. V ponedeljek ob 9.15 sinhronizirana delovna postaja začne šifrirati mapo »Stranke«. Alarm se sproži ob 10.05.
Zadnja neokužena točka je varnostna kopija ob 9.00. Mapa »Stranke« se vrne v stanje ob 9.00. Spremembe v tej mapi med 9.00 in 9.15 so izgubljene. Spremembe v drugih mapah niso, če je obnova omejena na prizadeto mapo. Tajnica, ki je ob 9.10 shranila tri dopise, jih najde v svoji e-pošti in jih ponovno odloži.
To meri RPO, največja sprejemljiva izguba podatkov: razmik med točko obnove in incidentom. RTO, najdaljši sprejemljivi čas prekinitve, meri nekaj drugega: čas, preden ekipe spet delajo. Oboje se določi pred incidentom, ne med njim.
Pogoste napake
- Obnoviti, preden zajezite. Delovna postaja, ki je še povezana, obnovljene datoteke znova šifrira.
- Ponovno sinhronizirati z okužene delovne postaje. Lokalna kopija je šifrirana kopija.
- Zanašati se na koš. Ne vsebuje spremenjenih datotek, le izbrisane.
- Obdobje hrambe odkriti na dan incidenta. Če je vdor star šest tednov, obdobje hrambe pa trideset dni, se izbira točke obnove zaplete.
Pogosta vprašanja
Ali zgodovina različic zadostuje proti izsiljevalski programski opremi?
Pomaga, če je zgodovina nedotaknjena. Ne zadostuje, če jo je napadalec lahko izpraznil. Razlika je pojasnjena v različice, replikacija in varnostno kopiranje dokumentov.
Ali je treba plačati odkupnino?
ANSSI priporoča, da je nikoli ne plačate. Plačilo ne zagotavlja ne ključa ne tega, da ne bo novega napada.
Kako omejiti, kdo lahko spreminja mapo?
S pravicami po skupinah in mapah. Glejte določite, kdo vidi katere dokumente.
Kako preprečiti, da bi povezava postala vstopna točka?
Z geslom, datumom poteka in pravico samo za branje. Glejte povezave za deljenje, partnerji in prenosi.
Kje je Klytic
Za Klytic Docs se varnostno kopiranje izvaja vsako uro. Varnostne kopije so šifrirane, nespremenljive, replicirane na več lokacij, nadzorovane in se hranijo 30 dni, obnove pa se preizkusijo vsak mesec. Cilja sta RPO pod 2 urama za dokumente in RTO pod 4 urami. Obnovo zahtevate pri podpori Klytic in navedete obseg ter približen datum. Vključena je, kadar izguba izhaja iz nepravilnega delovanja storitve Klytic. Po napadu izsiljevalske programske opreme ali vdoru v račun pri vas je obnova prav tako vključena, če so bile vaše delovne postaje ustrezno zaščitene: nameščene posodobitve, delujoč protivirusni program. Če niso bile dovolj zaščitene, se odpre plačljiv zahtevek za podporo, enako kot pri obnovi po napačnem ravnanju. Podrobnosti so na strani varnost in varnostno kopiranje.
Za preprečevanje Klytic Docs zagotavlja pravice po osebah, skupinah in mapah, dvofaktorsko avtentikacijo, dnevnik dostopov in povezave, zaščitene z geslom in datumom poteka. Na strani Klytic so tehnični dostopi omejeni na operativne posege in podporo, so poimenski in zabeleženi.
Omejitve: trideset dni hrambe ne pokrije vdora, odkritega pozneje. Klytic obnovi svoje storitve; čiščenje vaših delovnih postaj, omrežja in imenika je naloga vaše ekipe IT ali vašega izvajalca. Klytic ni ponudba s kvalifikacijo SecNumCloud.
Ta stran opisuje splošen okvir. Ob incidentu sledite svojemu načrtu ponovne vzpostavitve in navodilom pristojnih organov.
Viri
Pregledano oktobra 2026.
- ANSSI in francosko ministrstvo za pravosodje (DACG), Attaques par rançongiciels, tous concernés, 2020: varnostne kopije brez povezave, omejitev skrbniških računov, hitre posodobitve; ob incidentu dnevnik dogodkov, izolacija, brez izklopa napajanja, hramba šifriranih podatkov, brez plačila, ovadba, obnova iz varnostne kopije pred vdorom. messervices.cyber.gouv.fr
- ANSSI, Sauvegarde des systèmes d’information, vodnik ANSSI-BP-100, v1.1: napadalec pogosto cilja infrastrukturo za varnostno kopiranje; namenski računi; kopija brez povezave bolj robustna od spletnega WORM; PDMA in DMIA. messervices.cyber.gouv.fr
- Klytic, Varnost in varnostno kopiranje: nespremenljive, šifrirane, replicirane varnostne kopije, 30 dni, obnove, preizkušene vsak mesec, RTO pod 4 urami, RPO pod 2 urama. klytic.com
- Klytic, Gostovanje in suverenost: tehnični dostopi, omejeni na operativne posege in podporo, poimenski in zabeleženi. klytic.com
