Ransomware to atak, który odbiera organizacji dostęp do własnych danych przez ich zaszyfrowanie i uzależnia przywrócenie dostępu od zapłaty. Przygotowanie polega na rozstrzygnięciu z góry kilku rzeczy: skąd odtwarzamy dane, w jakim czasie, kto decyduje o odcięciu systemów i kogo zawiadamiamy.
Na skróty
Czego dowiesz się z artykułu:
- Jakie decyzje trzeba podjąć przed atakiem, bo w jego trakcie nie ma na nie czasu
- Czym są progi odtworzenia i dlaczego bez nich plan jest życzeniem
- Dlaczego kopia zapasowa bez testu odtworzenia nie jest zabezpieczeniem
- Jak rozdzielić role w pierwszej godzinie incydentu
Dla kogo jest ten artykuł:
- Kadra zarządzająca i właściciele usług w średnich organizacjach
- Administratorzy odpowiedzialni za kopie zapasowe i odtwarzanie
- Osoby prowadzące szkolenia świadomości bezpieczeństwa w zespołach
Czas czytania: 7 minut
Co trzeba rozstrzygnąć przed atakiem
Atak ransomware odbiera organizacji nie tylko dane, ale też czas na myślenie. Dlatego lista decyzji podjętych wcześniej jest najważniejszym elementem przygotowania. Trzeba wiedzieć, kto ma mandat odciąć segment sieci albo wyłączyć usługę produkcyjną bez pytania zarządu, kto rozmawia z klientami, kto z organem nadzoru, i czy w ogóle rozważamy kontakt z atakującym.
Zalecenia csrc.nist.gov dotyczące reagowania na incydenty (SP 800-61 Rev. 3) traktują reagowanie jako część zarządzania ryzykiem cyberbezpieczeństwa i porządkują je wokół funkcji ram CSF: nadzoru, rozpoznania, ochrony, wykrywania, reagowania i odtwarzania. Istotne jest, że reagowanie i odtwarzanie są osobnymi funkcjami — odtwarzanie danych do środowiska, w którym atakujący nadal ma dostęp, jest najkosztowniejszym możliwym błędem.
Druga decyzja dotyczy komunikacji wewnętrznej. Zespół, który dowiaduje się o incydencie z komunikatu na ekranie, działa chaotycznie. Zespół, który wie, pod jaki numer dzwonić i czego nie robić, kupuje organizacji te kilkadziesiąt minut, które rozstrzygają o zasięgu szyfrowania.
Progi odtworzenia: od czego zależy cała reszta
Plan odtworzenia bez nazwanych progów jest deklaracją. Przewodnik planowania awaryjnego csrc.nist.gov (SP 800-34 Rev. 1) nazywa dwie wielkości, które muszą być ustalone per usługa, a nie globalnie dla firmy: dopuszczalną utratę danych liczoną czasem (RPO) i dopuszczalny czas niedostępności usługi (RTO).
Ustalenie progów nie jest zadaniem technicznym. To właściciel usługi rozstrzyga, czy utrata danych z ostatnich godzin jest akceptowalna, bo on ponosi skutek. Dopiero z tej decyzji wynika częstotliwość kopii, ich liczba i miejsce przechowywania — i dopiero wtedy rozmowa o kosztach ma sens, bo dotyczy konkretu, a nie ogólnego poczucia bezpieczeństwa.
Z progów wynika też podział usług. Nie wszystko wymaga odtworzenia tego samego dnia; część systemów może poczekać tydzień bez wpływu na działalność. Organizacja, która nie zrobiła tego podziału, w czasie incydentu odtwarza wszystko naraz i nie odtwarza niczego na czas.
Kopia zapasowa, która wytrzyma atak
Zestaw zabezpieczeń cisecurity.org opisuje odtwarzanie danych jako samodzielną kontrolę, a nie dodatek do kopii: wymaga kopii odizolowanej od środowiska produkcyjnego i okresowego sprawdzenia, że odtworzenie faktycznie działa. To rozróżnienie jest istotne, bo ransomware celuje w kopie zapasowe równie konsekwentnie jak w dane produkcyjne.
Z praktyki wynikają właściwości, które kopia musi mieć, żeby wytrzymać atak. Musi być nieusuwalna i niemodyfikowalna przez konto, które administruje środowiskiem produkcyjnym. Musi istnieć poza tą samą domeną uwierzytelnienia, bo przejęcie konta uprzywilejowanego inaczej obejmuje też kopie. I musi być przetestowana odtworzeniem, nie sprawdzeniem statusu zadania kopii — raport „sukces” mówi o wykonaniu kopii, a nie o jej przydatności.
Test odtworzenia jest też najtańszym sposobem wykrycia rzeczy, których nikt nie planował: brakującej dokumentacji konfiguracji, zaszyfrowanego klucza przechowywanego w odtwarzanym systemie, zależności od usługi, która sama wymaga odtworzenia.
Role w pierwszej godzinie i obowiązki regulacyjne
Reagowanie wymaga nazwanego zespołu. Rolę CSIRT albo wewnętrznego zespołu reagowania pełni w średniej firmie zwykle grupa łącząca administratora, osobę od komunikacji i decydenta biznesowego — istotne jest, by skład i zastępstwa były zapisane, bo incydenty nie respektują urlopów.
Dla podmiotów objętych dyrektywą NIS2, czyli dyrektywą (UE) 2022/2555 opublikowaną w eur-lex.europa.eu, zarządzanie ciągłością działania wraz z zarządzaniem kopiami zapasowymi oraz obsługa incydentów są wymienione wprost wśród środków zarządzania ryzykiem w art. 21. Ten sam akt wprowadza obowiązki zgłoszeniowe o krótkich terminach, co znaczy, że ścieżka powiadamiania musi być przygotowana, a nie improwizowana.
Element, który najłatwiej pominąć, jest szkoleniowy. Większość udanych ataków zaczyna się od działania człowieka: otwarcia załącznika, wpisania danych na podstawionej stronie, zatwierdzenia żądania uwierzytelnienia, którego nikt nie inicjował. Świadomość nie zastępuje kontroli technicznych, ale obniża liczbę zdarzeń, które te kontrole muszą przechwycić.
Czytaj także
- Czym jest i jak działa Analiza incydentów bezpieczeństwa? — etap analizy, od którego zależy jakość powstrzymania
- Czym jest ISO 22301 — Zarządzanie Ciągłością Działania? — rama, w którą wpisują się progi odtworzenia
- Cyberbezpieczeństwo: budowanie świadomości w organizacji — warstwa ludzka, od której zaczyna się większość incydentów
Rozwijaj kompetencje
Temat rozwijają szkolenia Ransomware Response — przygotowanie, reagowanie i odzyskiwanie oraz Zespół reagowania na incydenty cyberbezpieczeństwa (CERT). Pierwsze pracuje na scenariuszu ataku i odtworzeniu, drugie na budowie zespołu i procedurach. Skontaktuj się z nami, żeby dopasować zakres do struktury Twojej organizacji.
Najczęściej zadawane pytania (FAQ)
Czym ransomware różni się od innego złośliwego oprogramowania?
Celem i modelem działania. Klasyczne złośliwe oprogramowanie dąży do ukrycia się i utrzymania dostępu, natomiast ransomware w pewnym momencie celowo się ujawnia, bo jego wartością jest wymuszenie. Coraz częściej łączy szyfrowanie z wyprowadzeniem danych, więc odtworzenie z kopii kończy problem dostępności, ale nie problem ujawnienia informacji.
Czy kopia zapasowa w chmurze wystarczy jako zabezpieczenie?
Zależy od uprawnień, nie od miejsca. Kopia w chmurze dostępna dla konta administrującego środowiskiem produkcyjnym dzieli z tym środowiskiem los. Kopia odporna na nadpisanie i usunięcie, z własną ścieżką uwierzytelnienia i przetestowanym odtworzeniem, chroni także wtedy, gdy leży w tej samej chmurze.
Czy warto przeprowadzać symulacje ataku?
Tak, i to w wariancie bez udziału narzędzi ofensywnych. Przejście scenariusza przy stole — kto dzwoni, kto odcina, skąd odtwarzamy, co mówimy klientom — wykrywa luki w procedurze szybciej i taniej niż ćwiczenie techniczne. Symulacja techniczna ma sens jako kolejny krok, gdy procedura już istnieje.
Czy podmioty objęte NIS2 mają osobne wymagania wobec kopii zapasowych?
Dyrektywa wymienia zarządzanie kopiami zapasowymi i odtwarzaniem w katalogu środków zarządzania ryzykiem, nie narzucając jednak konkretnej technologii ani częstotliwości. Dobór parametrów pozostaje po stronie podmiotu, a dowodem zgodności jest udokumentowana analiza ryzyka, ustalone progi odtworzenia i ślad z testów.