O čem to je
Pondělí ráno. Účetní volá, že nejde otevřít žádný soubor a na ploše je zpráva s požadavkem na výkupné. V takové chvíli rozhoduje, jestli firma má použitelné zálohy a připravený plán, co dělat. Bez nich hrozí týdny výpadku i krach firmy.
Nové pojmy
ZálohaKopie dat uložená jinde než originál, ze které jde data obnovit, když se originál ztratí, poškodí nebo zašifruje.Každou noc se data serveru zkopírují na zálohovací zařízení a jednou týdně mimo budovu.
RansomwarePřipomenutí: škodlivý program, který zašifruje data a požaduje výkupné. Často se snaží zašifrovat i zálohy, které najde v síti.Soubory s příponou .locked a soubor s pokyny k platbě.
Bezpečnostní událost a incidentUdálost je cokoli podezřelého, co může souviset s bezpečností. Incident je událost, která bezpečnost skutečně narušila nebo vážně ohrožuje (důvěrnost, integritu nebo dostupnost).Jeden neúspěšný pokus o přihlášení = událost. Zašifrované disky = incident.
Den útoku krok za krokem
8:05 – Účetní ohlásí problém na helpdesk podle postupu, který zná ze školení (detekce).
8:15 – Správce potvrdí ransomware a určí rozsah: které počítače a servery jsou zasažené (analýza).
8:20 – Zasažené stroje odpojí od sítě, zablokuje podezřelé účty (omezení, aby se útok nešířil).
Během dne – vedení rozhodne o komunikaci, ohlášení úřadům a o přizvání odborníků.
Další dny – najde se, jak útočník pronikl, malware se odstraní, díra se opraví (odstranění).
Data se obnoví z čistých záloh a systémy se postupně vrátí do provozu (obnova).
Po incidentu – společná porada: co se stalo, co fungovalo a co změnit (poučení).
Proč přežije jen ten, kdo zálohuje dobře
Pravidlo 3-2-1Měj aspoň 3 kopie dat (originál + 2 zálohy), na 2 různých druzích médií a 1 kopii mimo hlavní místo. Dnes se doporučuje mít aspoň jednu kopii navíc offline nebo neměnnou.Data na serveru, záloha na NAS ve firmě a záloha v cloudu s neměnnými verzemi.
Offline a neměnná zálohaOffline záloha není připojená k síti (odpojený disk, páska). Neměnná (immutable) záloha se po určitou dobu nedá smazat ani přepsat, ani administrátorským účtem.Ransomware zašifruje vše v síti, ale k odpojenému disku v trezoru se nedostane.
Firma zálohuje každou noc na síťový disk, který je trvale připojený jako jednotka Z: na všech počítačích. Co se stane při útoku ransomwaru?
Ransomware zašifruje i soubory na Z:, protože je vidí jako obyčejný disk. Firma přijde o data i o zálohy. Oprava: zálohy nesmí být běžně přístupné uživatelům, potřebuje offline nebo neměnnou kopii a kopii mimo budovu (pravidlo 3-2-1).
Firma zálohy dělá roky, ale obnovu nikdy nezkusila. Proč je to problém?
Záloha může být neúplná, poškozená nebo bez klíče k dešifrování a obnova může trvat mnohem déle, než se čekalo. Zjistí se to až při incidentu. Obnovu je proto třeba pravidelně testovat.
Roztřiď: jen podezřelé, nebo skutečné narušení bezpečnosti?
✗Při ransomwaru hned zaplatíme výkupné, je to nejrychlejší cesta zpět.
✓Postupuj podle plánu: odpojit, analyzovat, obnovit ze záloh a spolupracovat s odborníky a úřady.
Zaplacení nezaručuje, že dostaneš funkční klíč, ani že útočníci data nezveřejní. Financuje další útoky a firmu označí jako ochotnou platit.
Zálohy podle pravidla 3-2-1 s offline nebo neměnnou kopií a s testovanou obnovou. Incident se řeší podle připraveného plánu: detekce a analýza, omezení, odstranění, obnova, poučení.