Wal­ka z ata­ka­mi ty­pu ran­som­wa­re tr­wa. W ostat­nich la­tach ten ro­dzaj ata­ku stał się re­al­nym za­gro­że­niem dla przed­si­ębiorstw. Za­kro­jo­ne na sze­ro­ką ska­lę dzia­ła­nia cy­ber­prze­stęp­ców zdąży­ły już utrud­nić dzia­ła­nie nie tyl­ko mi­ędzy­na­ro­do­wych kor­po­ra­cji, ale ta­kże in­sty­tu­cji rządo­wych, unie­mo­żli­wia­jąc im re­ali­za­cję naj­wa­żniej­szych za­dań. W ro­ku 2017 atak Wan­na­Cry do­pro­wa­dził do blo­ka­dy szpi­tal­nych sys­te­mów in­for­ma­tycz­nych w różnych kra­jach Eu­ro­py, uniesz­ko­dli­wia­jąc po­nad 200 ty­si­ęcy kom­pu­te­rów . Trud­no o lep­szy przy­kład de­struk­cyj­ne­go po­ten­cja­łu te­go ro­dzaju dzia­łań.

Naj­bar­dziej zna­ne przy­pad­ki to jak do tej po­ry Wan­na­Cry i Pe­tya, jed­nak we­dług przy­go­to­wa­ne­go przez Eu­ro­pol ra­por­tu In­ter­net Or­ga­ni­zed Cri­me Th­re­at As­ses­sment (IOCTA) licz­ba cy­be­ra­ta­ków w dal­szym ci­ągu ro­śnie. Przed­si­ębior­stwa i in­sty­tu­cje mu­szą zdać so­bie spra­wę z te­go za­gro­że­nia i pod­jąć od­po­wied­nie kro­ki w ce­lu przy­go­to­wa­nia śro­do­wi­ska i me­cha­ni­zmów ochro­ny oraz opra­co­wa­nia środ­ków na­praw­czych. To klu­czo­wy ele­ment, dzi­ęki które­mu mo­żna unik­nąć nie­za­pla­no­wa­nych i z du­żym praw­do­po­do­bie­ństwem nie­sku­tecz­nych dzia­łań po­dej­mo­wa­nych w re­ak­cji na ewen­tu­al­ny in­cy­dent. Sil­ne, wie­lo­war­stwo­we za­bez­pie­cze­nia i stra­te­gia dzia­ła­nia mu­szą oprzeć się na trzech ele­mentach: edu­ka­cji użyt­kow­ni­ków, wdro­że­niu od­po­wied­nich roz­wi­ązań oraz za­sto­so­wa­niu wła­ści­wych środ­ków na­praw­czych. Kry­tycz­ne zna­cze­nie ma rów­nież wdro­że­nie zwi­ęk­sza­jących od­por­no­ść śro­do­wi­ska me­cha­ni­zmów two­rze­nia ko­pii za­pa­so­wych, odzy­ski­wa­nia i od­twa­rza­nia da­nych, po­nie­waż po­zwa­la to za­cho­wać ci­ągło­ść funk­cjo­no­wa­nia fir­my w mo­men­cie po­ja­wie­nia się za­gro­że­nia.

Edu­ka­cja użyt­kow­ni­ków w przed­si­ębior­stwie

Je­śli cho­dzi o prze­ka­zy­wa­nie wie­dzy, na­le­ży ob­jąć nim dwie istot­ne gru­py pra­cow­ni­ków, to jest per­so­nel in­for­ma­tycz­ny i użyt­kow­ni­ków bi­zne­so­wych. Wa­żne jest uwzględ­nie­nie obu grup, po­nie­waż za­gro­że­nia mo­gą po­ja­wić się w obu śro­do­wi­skach pra­cy.

Ata­ki ty­pu ran­som­wa­re re­ali­zo­wa­ne są głów­nie za po­śred­nic­twem pro­to­ko­łu RDP (Re­mo­te De­sk­top Pro­to­col) lub in­nych me­cha­ni­zmów zdal­ne­go do­stępu, wy­łu­dza­nia da­nych (tzw. phi­shin­gu) oraz ak­tu­ali­za­cji opro­gra­mo­wa­nia. W skrócie rzecz uj­mu­jąc, w wi­ęk­szo­ści sy­tu­acji cy­ber­prze­stęp­cy nie mu­szą po­dej­mo­wać zbyt wiel­kich sta­rań, by osi­ągnąć swój cel. Wie­dząc o tych me­cha­ni­zmach, mo­że­my ła­twiej wska­zać ob­sza­ry, w które na­le­ży szcze­gól­nie za­in­we­sto­wać, je­śli chce­my za­pew­nić od­por­no­ść sie­ci na ata­ki ran­som­wa­re i uwzględ­nić przy tym wek­to­ry ata­ku.

Wi­ęk­szo­ść ad­mi­ni­stra­to­rów sys­te­mów in­for­ma­tycz­nych ko­rzy­sta z pro­to­ko­łu RDP na co dzień, a wie­le ser­we­rów RDP jest po­łączo­nych bez­po­śred­nio z In­ter­ne­tem. Na­le­ży zre­zy­gno­wać z ta­kiej kon­fi­gu­ra­cji. Ad­mi­ni­stra­to­rzy śro­do­wi­ska in­for­ma­tycz­ne­go mo­gą sto­so­wać różne za­awan­so­wa­ne środ­ki, np. spe­cjal­ne ad­re­sy IP, prze­kie­ro­wy­wa­nie por­tów RDP al­bo skom­pli­ko­wa­ne ha­sła, jed­nak da­ne jed­no­znacz­nie wska­zu­ją, że po­nad po­ło­wa ata­ków ty­pu ran­som­wa­re od­by­wa się za po­śred­nic­twem pro­to­ko­łu RDP. Dłu­go­ter­mi­no­wa stra­te­gia za­pew­nie­nia od­por­no­ści wy­klu­cza mo­żli­wo­ść bez­po­śred­nie­go łącze­nia ser­we­rów RDP z In­ter­ne­tem.

In­ną często sto­so­wa­ną me­to­dą ata­ku jest roz­sy­ła­nie wia­do­mo­ści e-ma­il ma­jących na ce­lu wy­łu­dze­nie da­nych (phi­shing). Ka­żde­mu użyt­kow­ni­ko­wi pocz­ty zda­rzy­ło się otrzy­mać wia­do­mo­ść, która nie wy­gląda na au­ten­tycz­ną. Oczy­wi­ście ta­ki list na­le­ży od ra­zu ska­so­wać, jed­nak nie wszy­scy od­bior­cy re­agu­ją w tej sy­tu­acji we wła­ści­wy spo­sób. Na ryn­ku do­stęp­ne są po­pu­lar­ne na­rzędzia, ta­kie jak Go­phish i Kno­wBe4 , które po­ma­ga­ją w oce­nie ry­zy­ka za­gro­że­nia phi­shingiem. W po­łącze­niu ze szko­le­niem, dzi­ęki które­mu pra­cow­ni­cy na­uczą się roz­po­zna­wać po­dej­rza­ne wia­do­mo­ści i od­sy­ła­cze, na­rzędzia do sa­mo­dziel­nej oce­ny sta­no­wią sku­tecz­ną li­nię obro­ny przed ata­ka­mi.

Trze­ci istot­ny ob­szar ry­zy­ka to wy­ko­rzy­sty­wa­nie sła­bych punk­tów za­bez­pie­czeń. Ko­niecz­no­ść ak­tu­ali­za­cji sys­te­mów to sta­ły obo­wi­ązek wszyst­kich in­for­ma­ty­ków, ale obec­nie na­bie­ra on szcze­gól­ne­go zna­cze­nia. Za­da­nie to nie wy­da­je się wpraw­dzie zbyt am­bit­ne, jed­nak przed­si­ębior­stwo mo­że szyb­ko prze­ko­nać się o je­go istot­no­ści, kie­dy wy­stąpi atak wy­ko­rzy­stu­jący zna­ną lu­kę w za­bez­pie­cze­niach, którą da­ło­by się zli­kwi­do­wać po za­sto­so­wa­niu po­praw­ki. War­to pa­mi­ętać o in­sta­lo­wa­niu bie­żących ak­tu­ali­za­cji new­ral­gicz­nych ka­te­go­rii za­so­bów in­for­ma­tycz­nych, czy­li sys­te­mów ope­ra­cyj­nych, apli­ka­cji, baz da­nych i opro­gra­mo­wa­nia wbu­do­wa­ne­go urządzeń. Wie­le od­mian ata­ków ty­pu ran­som­wa­re, w tym Wan­na­Cry i Pe­tya, opie­ra swo­je dzia­ła­nie na wcze­śniej wy­kry­tych lu­kach w za­bez­pie­cze­niach, które zosta­ły już ja­kiś czas te­mu usu­ni­ęte.

Wdro­że­nie roz­wi­ązań i środ­ki na­praw­cze

Na­wet or­ga­ni­za­cje, które sto­su­ją spraw­dzo­ne pro­ce­du­ry za­po­bie­ga­nia za­gro­że­niom ty­pu ran­som­wa­re, na­ra­żo­ne są na pew­ne ry­zy­ko. Edu­ka­cja użyt­kow­ni­ków jest bar­dzo istot­nym kro­kiem, jed­nak przed­si­ębior­stwo mu­si przy­go­to­wać się ta­kże na naj­gor­szy sce­na­riusz. Kie­row­ni­cy dzia­łów in­for­ma­tycz­nych i bi­zne­so­wych mu­szą pa­mi­ętać o jed­nej spra­wie: ko­niecz­na jest pa­mi­ęć ma­so­wa na ko­pie za­pa­so­we, odz­na­cza­jąca się mak­sy­mal­ną od­por­no­ścią.

Fir­ma Ve­eam za­le­ca za­sto­so­wa­nie re­gu­ły 3–2-1 opi­su­jącej ogól­ną stra­te­gię za­rządza­nia da­ny­mi. Re­gu­ła 3–2-1 za­le­ca two­rze­nie co naj­mniej trzech ko­pii wa­żnych da­nych na co naj­mniej dwóch ro­dza­jach no­śni­ków i prze­cho­wy­wa­nie co naj­mniej jed­nej z tych ko­pii w in­nej lo­ka­li­za­cji. Re­gu­ła nie wy­mu­sza sto­so­wa­nia kon­kret­nych ty­pów sprzętu i jest na ty­le ela­stycz­na, że po­zwa­la ob­słu­żyć nie­mal ka­żdy sce­na­riusz awa­rii.

Ta „jed­na” ko­pia wska­za­na w stra­te­gii 3–2-1 mu­si odz­na­czać się szcze­gól­ną od­por­no­ścią. Ozna­cza to, że po­win­na być od­izo­lo­wa­na fi­zycz­nie, odłączo­na od sie­ci lub nie­mo­dy­fi­ko­wal­na. Ist­nie­ją różne ty­py no­śni­ków, na których mo­żna za­pi­sać ta­ką ko­pię da­nych w wy­jąt­ko­wo bez­piecz­ny spo­sób. Obej­mu­je to pa­mi­ęci ta­śmo­we, nie­zmie­nial­ne ko­pie w usłu­dze S3 lub obiek­to­wej pa­mi­ęci ma­so­wej zgod­nej z S3, no­śni­ki od­izo­lo­wa­ne fi­zycz­nie i odłączo­ne od sie­ci, a ta­kże opro­gra­mo­wa­nie do two­rze­nia ko­pii za­pa­so­wych i odzy­ski­wa­nia da­nych po awa­rii dzia­ła­jące w mo­de­lu „ja­ko usłu­ga”.

Mi­mo pro­wa­dzo­nych szko­leń i wdra­ża­nia różnych tech­nik przed­si­ębior­stwa mu­szą być przy­go­to­wa­ne na pro­wa­dze­nie dzia­łań na­praw­czych w przy­pad­ku sku­tecz­ne­go ata­ku. Po­de­jście Ve­eam opie­ra się na pro­stej za­sa­dzie: nie na­le­ży pła­cić oku­pu. Je­dy­ną opcją jest od­two­rze­nie da­nych. Po­nad­to przed­si­ębior­stwo mu­si mieć opra­co­wa­ny plan re­ago­wa­nia w mo­men­cie wy­kry­cia za­gro­że­nia. W pierw­szej ko­lej­no­ści na­le­ży skon­tak­to­wać się ze wspar­ciem tech­nicz­nym. Klien­ci fir­my Ve­eam ma­ją do­stęp do spe­cjal­ne­go ze­spo­łu sto­su­jące­go kon­kret­ne pro­ce­du­ry i go­to­we­go udzie­lić po­mo­cy w prze­jściu pro­ce­su odzy­ski­wa­nia da­nych w in­cy­den­tach zwi­ąza­nych z ata­ka­mi ran­som­wa­re. Nie wol­no na­ra­żać ko­pii za­pa­so­wych na za­gro­że­nia, po­nie­waż ma­ją klu­czo­we zna­cze­nie pod­czas przy­wra­ca­nia spraw­no­ści śro­do­wi­ska.

Nie­za­le­żnie od ro­dza­ju ka­ta­stro­fy jed­nym z pierw­szych pro­ble­mów, ja­kie na­le­ży roz­wi­ązać, jest kwe­stia za­pew­nie­nia ko­mu­ni­ka­cji. Mu­si ist­nieć plan okre­śla­jący spo­so­by kon­tak­tu z od­po­wied­ni­mi oso­ba­mi bez wy­ko­rzy­sta­nia sie­ci. Obej­mu­je to na przy­kład gru­py od­bior­ców wia­do­mo­ści tek­sto­wych, od­po­wied­nie nu­me­ry te­le­fo­nów i in­ne me­cha­ni­zmy ko­mu­ni­ka­cji w ra­mach roz­sze­rzo­ne­go ze­spo­łu. W ksi­ążce ad­re­so­wej po­win­ni zna­le­źć się ta­kże we­wnętrz­ni lub ze­wnętrz­ni eks­per­ci ds. bez­pie­cze­ństwa, re­ago­wa­nia na in­cy­den­ty i za­rządza­nia to­żsa­mo­ścią.

Nie­zbęd­ne jest rów­nież skon­tak­to­wa­nie się z oso­ba­mi od­po­wie­dzial­ny­mi za pod­jęcie de­cy­zji. Przed wy­stąpie­niem ja­kich­kol­wiek in­cy­den­tów przed­si­ębior­stwo mu­si okre­ślić, kto po­dej­mu­je de­cy­zje o od­twa­rza­niu lub prze­łącza­niu awa­ryj­nym. Po pod­jęciu de­cy­zji o od­twa­rza­niu da­nych ko­niecz­ne jest wy­ko­na­nie do­dat­ko­wych kon­tro­li bez­pie­cze­ństwa, za­nim zo­sta­nie przy­wróco­ne dzia­ła­nie sys­te­mów. Na­le­ży ta­kże usta­lić, czy naj­lep­szym spo­so­bem dzia­ła­nia będzie od­two­rze­nie ca­łej ma­szy­ny wir­tu­al­nej, czy też sku­tecz­niej­sze oka­że się od­twa­rza­nie na po­zio­mie pli­ków. Pro­ces od­twa­rza­nia rów­nież mu­si być zre­ali­zo­wa­ny w bez­piecz­ny spo­sób, tj. na­le­ży uru­cho­mić pe­łne ska­no­wa­nie an­ty­wi­ru­so­we i funk­cje po­szu­ki­wa­nia szko­dli­we­go opro­gra­mo­wa­nia oraz wymu­sić zmia­nę ha­seł użyt­kow­ni­ków po przy­wróce­niu sys­te­mów.

Za­gro­że­nie ata­ka­mi ty­pu ran­som­wa­re jest ca­łkiem re­al­ne, jed­nak dzi­ęki od­po­wied­nie­mu przy­go­to­wa­niu przed­si­ębior­stwa są w sta­nie zwi­ęk­szyć od­por­no­ść na in­cy­den­ty i ogra­ni­czyć ry­zy­ko utra­ty da­nych, strat fi­nan­so­wych i po­gor­sze­nia re­pu­ta­cji. Klu­czo­we jest za­sto­so­wa­nie po­de­jścia wie­lo­war­stwo­we­go. War­to prze­szko­lić per­so­nel in­for­ma­tycz­ny i po­zo­sta­łych pra­cow­ni­ków, aby zmi­ni­ma­li­zo­wać ry­zy­ko i zwi­ęk­szyć sku­tecz­no­ść dzia­łań pre­wen­cyj­nych. Na­le­ży jed­nak rów­nież wdro­żyć roz­wi­ąza­nia, które za­pew­nią bez­pie­cze­ństwo da­nych i uła­twią two­rze­nie ko­pii za­pa­so­wych. Trze­ba ta­kże przy­go­to­wać się na dzia­ła­nia na­praw­cze w sys­te­mach prze­twa­rza­nia da­nych po­dej­mo­wa­ne wó­wczas, gdy me­cha­ni­zmy za­bez­pie­czeń sto­so­wa­ne na pierw­szych li­niach obro­ny oka­żą się nie­wy­star­cza­jące. Dzia­ła­nia ta­kie mo­żna zre­ali­zo­wać dzi­ęki funk­cjom two­rze­nia i od­twa­rza­nia pe­łnych ko­pii za­pa­so­wych oraz odzy­ski­wa­nia po awa­rii.

Na pod­sta­wie in­for­ma­cji fir­my Ve­eam
Obraz mo­ha­med Has­san z  Pi­xa­bay

• Prze­czy­taj też: W cza­sie świ­ąt wy­da­li­śmy 1,1 mi­liar­da USD. Nie­ste­ty, klien­ci zwrócą aż 30% za­ku­pio­nych to­wa­rów
• Prze­czy­taj też: Wy­ni­ki no­wej an­kie­ty po­ka­zu­ją, że mniej niż po­ło­wa Po­la­ków re­cy­klin­gu­je opa­ko­wa­nia po da­niach ty­pu fast fo­od
• Prze­czy­taj też: Wiel­ka Or­kie­stra Świ­ątecz­nej Po­mo­cy w tym ro­ku za­gra na… dru­kar­kach Ep­son
• Prze­czy­taj też: No­we ba­da­nie kwe­stio­nu­je ko­rzy­ści kli­ma­tycz­ne wy­ni­ka­jące z uży­wa­nia pa­pie­ru po­cho­dzące­go z re­cy­klin­gu
• Prze­czy­taj też: Car­bon Di­sc­lo­su­re Pro­ject do­ce­nia ini­cja­ty­wy śro­do­wi­sko­we Ca­non
• Prze­czy­taj też: W 2021 r. ry­nek dru­ku będą na­pędzać per­so­na­li­zo­wa­ne wy­dru­ki, de­ko­ra­cje wnętrz i di­gi­ta­li­za­cja do­ku­men­tów
• Prze­czy­taj też: Eko­lo­gia w biu­rze
• Prze­czy­taj też: Ek­sper­ci Ca­non Pol­ska – 2020 rok to re­wo­lu­cja w wie­lu ob­sza­rach po­li­gra­fii
• Prze­czy­taj też: Naj­gor­sze ha­sła na świe­cie, których ni­gdy nie po­win­no się uży­wać
• Prze­czy­taj też: G DATA IT Se­cu­ri­ty Trends 2021