Ransomware w firmie – co robić w pierwszych godzinach po ataku?
Atak ransomware może w ciągu kilku godzin zatrzymać pracę całej organizacji. Pracownicy tracą dostęp do dokumentów, system księgowy przestaje działać, serwery nie odpowiadają, a na ekranach pojawia się żądanie zapłaty okupu.
W takiej sytuacji najważniejsza jest nie panika, lecz szybka i uporządkowana reakcja. Błędne decyzje podjęte w pierwszych godzinach mogą doprowadzić do rozprzestrzenienia się infekcji, utraty dowodów albo zaszyfrowania kopii zapasowych.
Czym jest ransomware?
Ransomware to rodzaj złośliwego oprogramowania, które blokuje dostęp do systemów lub szyfruje znajdujące się w nich dane. Następnie przestępcy żądają zapłaty za ich odszyfrowanie.
Współczesne ataki coraz częściej nie kończą się na samym szyfrowaniu. Dane mogą zostać wcześniej wykradzione, a napastnicy grożą ich publikacją lub przekazaniem konkurencji. Zapłacenie okupu nie daje gwarancji odzyskania informacji ani pewności, że przestępcy nie pozostawili w środowisku dodatkowego dostępu.
Jak rozpoznać, że firma mogła zostać zaatakowana?
Pierwszymi sygnałami mogą być:
brak możliwości otwierania plików,
zmienione rozszerzenia dokumentów,
informacja z żądaniem okupu,
nagła niedostępność folderów sieciowych,
nietypowo wysokie obciążenie serwerów,
problemy z logowaniem do systemów,
wyłączone zabezpieczenia lub kopie zapasowe,
podejrzane logowania na konta administratorów.
Nie należy zakładać, że problem dotyczy tylko jednego komputera. Zainfekowana stacja robocza może być jedynie widocznym fragmentem większego incydentu.
Krok 1: odizoluj zainfekowane urządzenia
Komputer, na którym zauważono objawy ataku, należy jak najszybciej odłączyć od sieci przewodowej, Wi-Fi, VPN oraz współdzielonych zasobów.
Nie powinno się jednak od razu wyłączać urządzenia, restartować go ani formatować.
Pamięć operacyjna może zawierać informacje potrzebne podczas analizy incydentu. CERT Polska zaleca wyłączenie komputera dopiero wtedy, gdy nie ma możliwości skutecznego odłączenia go od sieci.
Jeżeli infekcja objęła większą część infrastruktury, może być konieczne czasowe odizolowanie całych segmentów sieci.
Krok 2: uruchom plan reagowania na incydenty
Firma powinna wyznaczyć osobę koordynującą działania. To ona kontaktuje się z zespołem IT, zarządem, dostawcami systemów oraz osobami odpowiedzialnymi za komunikację i kwestie prawne.
Na tym etapie należy ustalić:
które urządzenia i systemy zostały zaatakowane,
kiedy pojawiły się pierwsze objawy,
które procesy biznesowe nie działają,
czy zagrożone są dane klientów lub pracowników,
jakie systemy trzeba przywrócić w pierwszej kolejności,
kto podejmuje decyzje dotyczące dalszych działań.
Improwizowanie pod presją czasu zwiększa ryzyko pominięcia ważnych kroków. Dlatego scenariusz reagowania warto przygotować przed incydentem i regularnie go ćwiczyć.
Krok 3: zabezpiecz kopie zapasowe
Należy natychmiast sprawdzić, czy ransomware nie uzyskał dostępu do środowiska backupowego. Kopie podłączone stale do sieci mogą zostać zaszyfrowane razem z danymi produkcyjnymi.
Trzeba zabezpieczyć dostępne kopie, ograniczyć do nich dostęp i ustalić, z jakiego okresu pochodzą ostatnie niezainfekowane dane.
Sam komunikat „backup jest wykonywany” nie daje jeszcze bezpieczeństwa. Kopie powinny być odizolowane, aktualne i regularnie testowane pod kątem możliwości odtworzenia systemów. CERT Polska rekomenduje m.in. model 3-2-1: trzy kopie danych, dwa rodzaje nośników i przynajmniej jedna kopia odizolowana od głównej infrastruktury.
Krok 4: zachowaj informacje potrzebne do analizy
Nie należy kasować notatki z żądaniem okupu ani samodzielnie usuwać wszystkich zaszyfrowanych plików.
Warto zabezpieczyć:
zdjęcie lub kopię komunikatu przestępców,
przykładowe zaszyfrowane pliki,
logi systemów i zabezpieczeń,
godziny zauważonych zdarzeń,
adresy e-mail, adresy portfeli i dane kontaktowe atakujących,
informacje o podejrzanych wiadomościach lub logowaniach.
Materiały te mogą pomóc w identyfikacji rodzaju ransomware, znalezieniu sposobu odszyfrowania danych oraz ustaleniu źródła infekcji.
Krok 5: znajdź źródło ataku
Przywrócenie danych bez usunięcia przyczyny może doprowadzić do ponownego zaszyfrowania środowiska.
Źródłem ataku może być:
podatna usługa dostępna z internetu,
niezabezpieczony dostęp RDP lub VPN,
przejęte konto administratora,
nieaktualny system,
wiadomość phishingowa,
złośliwy załącznik,
niewłaściwie zabezpieczone urządzenie zewnętrznego dostawcy.
Dopiero po zamknięciu drogi wykorzystanej przez atakujących można bezpiecznie rozpocząć odbudowę infrastruktury.
Krok 6: zgłoś incydent
Infekcję ransomware można zgłosić do CERT Polska przez formularz dostępny na stronie incydent.cert.pl lub za pośrednictwem adresu cert@cert.pl. W zgłoszeniu warto przekazać posiadane logi, notatkę z żądaniem okupu i przykładowe zaszyfrowane pliki.
W zależności od rodzaju organizacji, charakteru incydentu i zakresu naruszenia mogą wystąpić również obowiązki wobec innych instytucji. Powinny zostać ocenione przez osoby odpowiedzialne za bezpieczeństwo, ochronę danych oraz obsługę prawną.
Krok 7: przywróć systemy w odpowiedniej kolejności
Najpierw należy odbudować systemy krytyczne dla działania firmy. Powinno odbywać się to na czystych, sprawdzonych urządzeniach i przy użyciu bezpiecznych kopii.
Po przywróceniu środowiska trzeba zmienić hasła, zweryfikować konta administratorów, sprawdzić reguły pocztowe, zamknąć niepotrzebne usługi i objąć systemy zwiększonym monitoringiem.
Jak przygotować firmę przed atakiem?
Skutki ransomware można ograniczyć, wdrażając:
odizolowane i regularnie testowane kopie zapasowe,
segmentację sieci,
uwierzytelnianie wieloskładnikowe,
centralnie zarządzane zabezpieczenia stacji roboczych,
aktualizacje systemów i usług,
monitoring infrastruktury oraz logów,
ograniczenie uprawnień użytkowników,
szkolenia z phishingu,
plan reagowania i odtwarzania środowiska.
Podsumowanie
W przypadku ransomware liczy się czas, ale działania nie mogą być przypadkowe. Najpierw należy zatrzymać rozprzestrzenianie się infekcji, zabezpieczyć backup i materiały do analizy, a następnie znaleźć źródło ataku i rozpocząć kontrolowane przywracanie systemów.
SPARK‑IT wspiera firmy w przygotowaniu procedur reagowania, zabezpieczeniu infrastruktury, wdrażaniu monitoringu, tworzeniu systemów backupu oraz analizie incydentów.
Chcesz sprawdzić, czy Twoja firma jest przygotowana na atak ransomware? Zacznij od audytu bezpieczeństwa infrastruktury IT.
Komentarze