1. modulis · 1.3
Izspiedējvīrusi un izspiešana
1. modulis: Kāpēc Jūs esat mērķis · Lasīšanas laiks: 10 minūtes
Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet izskaidrot, kā izspiedējvīrusi iekļūst sistēmā, kas ir dubultā izspiešana un kādi pasākumi ierobežo kaitējumu.
Pamatjēdzieni: izspiedējvīruss, šifrēšana, dubultā izspiešana, sākotnējā piekļuve, laterāla kustība, izpirkuma maksa, dekriptors (No More Ransom)
Kas ir izspiedējvīruss
Izspiedējvīruss (ransomware) ir kaitīga programmatūra, kas padara Jūsu failus vai sistēmas nelietojamas un pēc tam pieprasa izpirkuma maksu. Vārds nāk no angļu valodas vārda ransom: izpirkuma maksa. Parasti tas notiek ar šifrēšanu: programmatūra pārveido Jūsu failus nelasāmos datos, un atslēga ir tikai uzbrucējam. Jūs joprojām redzat failus, bieži vien ar dīvainu paplašinājumu aiz tiem, bet Jūs vairs nevarat tos atvērt. Ekrānā vai katrā mapē parādās ziņojums: samaksājiet dažu dienu laikā, citādi viss ir zudis.
Pati šifrēšana nav nekas ļauns. Tā ir tā pati tehnoloģija, kas aizsargā Jūsu klēpjdatoru zādzības gadījumā (4. nodarbība 5.2) un kas nodrošina Jūsu savienojumu ar tīmekļa vietni. Atšķirība ir tajā, kam ir atslēga. Labu šifrēšanu nevar uzlauzt. Tāpēc "mēs vienkārši to atšifrēsim" gandrīz nekad nav iespējams, ja vien izspiedējvīrusa veidotāji nav pieļāvuši kļūdu.
Saskaņā ar Nīderlandes NCSC teikto, izspiedējvīrusi skar ne tikai failus, bet arī sistēmas un rezerves kopijas. Tas ir šīs nodarbības svarīgākais punkts.
Kā tas iekļūst
Izspiedējvīrusa uzbrukums nav viens mirklis, bet gan virkne soļu. Tas sākas ar sākotnējo piekļuvi: pirmo kāju durvju starpā. Visbiežāk sastopamie veidi:
| Piekļuves veids | Kā tas notiek | Kas to aptur |
|---|---|---|
| Pikšķerēšana ar pielikumu vai saiti | Darbinieks atver "rēķinu" vai "pavadzīmi", kas palaiž kaitīgu programmatūru | Izpratne (9. nodarbība 9.2), atjauninājumi, ierobežotas tiesības |
| Nozagti pieteikšanās dati | Noplūdusi parole darbojas tīmekļa e-pastā, VPN vai attālajā pārvaldībā | Unikālas paroles, divu faktoru autentifikācija (2. modulis) |
| Zināma ievainojamība sistēmā, kas savienota ar internetu | Novecojis VPN serveris, ugunsmūris, NAS vai tīmekļa vietne ar publiski zināmu ievainojamību | Ātra atjaunināšana (5. nodarbība 5.1), nevajadzīgi neatstāt atvērtu |
| Attālā pārvaldība, kas ir atvērta | Programma darbam pie datora no attāluma, pieejama no visa interneta | Tikai caur drošu savienojumu, ar 2FA |
| Piegādātājs | Tiek izmantots IT uzņēmums vai piegādātāja programmatūra | Vienošanās un minimālas tiesības (7. modulis) |
Pēc sākotnējās piekļuves uzbrucējs bieži gaida. Viņš apskatās apkārt, meklē administratora kontus un pārvietojas no datora uz datoru. To sauc par laterālu kustību. Viņš galvenokārt meklē divas lietas: kur atrodas svarīgie dati un kur atrodas rezerves kopijas. Tikai tad, kad viņš ir atradis abus, viņš uzbrūk, bieži vien naktī vai nedēļas nogalē, kad neviens to nepamana.
Kāpēc pievienota rezerves kopija nepalīdz
Daudziem maziem uzņēmumiem ir rezerves kopija: ārējais disks, kas vienmēr ir pievienots datoram, vai tīkla disks (NAS), uz kuru katru nakti tiek veikta kopija. Tas ir labāk nekā nekas, ja cieš cietais disks. Pret izspiedējvīrusiem tas bieži vien nepalīdz.
Iemesls ir vienkāršs. Izspiedējvīruss šifrē visu, kam var piekļūt inficētais dators vai pārņemtais konts. Ja rezerves kopijas disks ir pievienots datoram, izspiedējvīruss var tam piekļūt. Ja rezerves kopija atrodas tīkla diskā, kurā Jūs piesakāties ar to pašu kontu, izspiedējvīruss var tam piekļūt. Uzbrucējs, kurš mierīgi ir apskatījies apkārt, dažkārt pat apzināti dzēš rezerves kopijas pirms šifrēšanas.
Tas pats attiecas uz sinhronizāciju. Mape, kas automātiski tiek sinhronizēta ar mākoni, sinhronizē arī šifrēto versiju. Dažkārt joprojām var atgriezties pie vecākas faila versijas, taču tas ir atkarīgs no pakalpojuma un no tā, cik ilgi tas saglabā versijas.
Rezerves kopijai, kas pārdzīvo izspiedējvīrusu, ir vismaz viena kopija, kurai uzbrucējs nevar piekļūt vai kuru nevar mainīt: disks, kas atsevišķi atrodas atvilktnē, vai rezerves kopija pie atsevišķas puses ar savu pieteikšanos, kuru Jūs neizmantojat darba datorā, vai krātuve, kas uz kādu laiku tehniski padara izmaiņas un dzēšanu neiespējamu. 6. modulī Jūs to soli pa solim sakārtosiet. Rezerves kopija, ko Jūsu mitināšanas pakalpojumu sniedzējs izveido atsevišķos serveros, atsevišķi no Jūsu pakotnes, jau ir attālināta kopija Jūsu tīmekļa vietnei un e-pastam. Tomēr pārbaudiet, cik ilgi tā tiek glabāta un kas to var dzēst.
Dubultā izspiešana
Agrāk laba rezerves kopija bija pilnīga atbilde uz izspiedējvīrusu: atjaunot un gatavs. Uzbrucēji ir pielāgojušies. Dubultās izspiešanas gadījumā viņi vispirms nozog Jūsu datu kopiju un tikai pēc tam tos šifrē. Tad ir divi draudi:
- Samaksājiet, citādi Jūs nesaņemsiet savus failus atpakaļ.
- Samaksājiet, citādi mēs publicēsim Jūsu datus: klientu failus, piedāvājumus, algu datus, e-pasta kastes.
Rezerves kopija palīdz pret pirmo draudu, bet ne pret otro. Arī Nīderlandes NCSC brīdina, ka uzbrucēji dažkārt draud publicēt nozagtos datus. Turklāt personas datu zādzība pati par sevi ir datu aizsardzības pārkāpums, par kuru jāziņo Datu valsts inspekcijai (DVI) (8. nodarbība 8.2), neatkarīgi no tā, vai Jūs maksājat.
Dažkārt uzbrucējs iet vēl tālāk un tieši sazinās ar Jūsu klientiem vai darījumu partneriem, paziņojot, ka viņu dati ir nolaupīti no Jums. Spiediens tad gulstas ne tikai uz Jums, bet arī uz Jūsu reputāciju.
Maksāt vai nē?
Valsts iestāžu un policijas ieteikums ir viennozīmīgs: labāk nemaksāt. No More Ransom, iniciatīva, kuras dibinātāju vidū ir Eiropols un Nīderlandes policija, to formulē šādi: izpirkuma maksas samaksa nesniedz nekādas garantijas. Ir labi iemesli:
- Jums nav garantijas, ka saņemsiet strādājošu atslēgu vai ka atšifrēšana izdosies.
- Jums nav garantijas, ka nozagtie dati pēc tam tiešām tiks dzēsti.
- Jūs apstiprināt, ka Jūsu uzņēmums maksā, un tas padara Jūs pievilcīgu nākamajam uzbrukumam.
- Jūs finansējat nākamos uzbrukumus citiem.
- Ceļš iekšā joprojām nav aizvērts. Bez izmeklēšanas tas var atkārtoties.
Nīderlandes NCSC atjaunošanu no rezerves kopijas sauc par visuzticamāko risinājumu. Ja tas neizdodas, pārbaudiet, vai pastāv dekriptors: bezmaksas programma, kas var atšifrēt noteiktas izspiedējvīrusu saimes failus, jo pētnieki ir atraduši kļūdu šajā saimē vai konfiscējuši atslēgas. No More Ransom (https://www.nomoreransom.org) apkopo šos dekriptorus un palīdz noteikt, kāds izspiedējvīruss Jums ir. Ne katrai saimei ir risinājums, bet pārbaudīt neko nemaksā.
Jebkurā gadījumā iesniedziet iesniegumu Valsts policijā (https://www.vp.gov.lv/) un pārbaudiet, vai Jums ir ziņošanas pienākums: Datu valsts inspekcijai (DVI), ja ir skarti personas dati, Nacionālajam kiberdrošības centram (NKC), ja uz Jums attiecas Nacionālais kiberdrošības likums (9. nodarbība 9.1), un dažkārt pasūtītājam saskaņā ar Jūsu līgumu.
Kas ierobežo kaitējumu
Jūs varat samazināt uzbrukuma risku un ierobežot kaitējumu, ja tas tomēr notiek. Pārskats, ar nodarbību, kurā to apgūsiet:
- Atjaunināšana, īpaši viss, kas savienots ar internetu: VPN, maršrutētājs, NAS, tīmekļa vietne (5. nodarbība 5.1).
- Divu faktoru autentifikācija e-pastam, attālajai pārvaldībai un visiem administratora kontiem (2. nodarbība 2.3 un 2.4).
- Minimālas tiesības: nedarboties ikdienā ar administratora kontu un neļaut visiem piekļūt visam (7. nodarbība 7.1).
- Rezerves kopija ārpus piekļuves no Jūsu parastajiem kontiem, un regulāri pārbaudīt, vai atjaunošana darbojas (6. modulis).
- Incidenta karte, lai visi zinātu, kas jādara: atvienot tīklu, nevienkārši izslēgt, piezvanīt (8. nodarbība 8.1 un 8.3).
- Izpratne: kolēģis, kurš uzreiz ziņo, ka atvēris dīvainu pielikumu, dod Jums stundu priekšrocību (9. nodarbība 9.2).
Praksē: tā tas izskatās
Piemērs, kas apkopots no situācijām, kas bieži sastopamas. Instalācijas uzņēmumam ar divpadsmit darbiniekiem bija VPN serveris, lai no mājām varētu piekļūt failiem. Programmaparatūra pusotru gadu nebija atjaunināta. Caur zināmu ievainojamību uzbrucējs iekļuva, nedēļu apskatījās apkārt un atrada tīkla diska administratora kontu. Sestdienas naktī tika šifrēti datori, tīkla disks un USB disks ar tam pievienoto rezerves kopiju. Kas palika: e-pasts un tīmekļa vietne, kas atradās pie mitināšanas pakalpojumu sniedzēja ar savu rezerves kopiju, un veca administrācijas kopija diskā, ko grāmatvedis glabāja mājās. Ar to uzņēmums pēc dažām dienām varēja atsākt rēķinu izrakstīšanu. Pēdējo mēnešu piedāvājumi un rasējumi bija zuduši.
Atjauninājums un viens atsevišķs disks atvilktnē būtu izveidojuši atšķirību starp dažām dienām un dažiem mēnešiem.
Kopsavilkums
- Izspiedējvīruss šifrē failus, sistēmas un rezerves kopijas un pieprasa izpirkuma maksu; labu šifrēšanu nevar uzlauzt.
- Izspiedējvīruss iekļūst caur pikšķerēšanu, nozagtām parolēm, neatjaunotām sistēmām, kas savienotas ar internetu, attālo pārvaldību vai piegādātāju; pēc tam uzbrucējs bieži vispirms apskatās apkārt.
- Rezerves kopija, kas pievienota datoram vai pieejama ar to pašu kontu, bieži tiek šifrēta arī.
- Dubultās izspiešanas gadījumā dati vispirms tiek nozagti; rezerves kopija tad nepalīdz pret draudiem tos publicēt, un tas ir datu aizsardzības pārkāpums.
- Labāk nemaksāt; atjaunojiet no rezerves kopijas, meklējiet dekriptoru vietnē No More Ransom un iesniedziet iesniegumu policijā.
Tests
Uzdevums
Uzdevums D1.3: Kas notiek, ja tas gadās šonakt? Izvērtējiet savam uzņēmumam, ko izspiedējvīruss varētu šifrēt šonakt. Pierakstiet, kur atrodas Jūsu rezerves kopijas, vai tās ir pieejamas no parasta darba datora vai ar parastu kontu, un kuras sistēmas ir savienotas ar internetu. Pēc tam atbildiet uz pārdomu jautājumiem.
Uzdevums D1.3: Kas notiek, ja tas gadās šonakt?
Rīkojieties šādi: (1) Izveidojiet sarakstu ar visām vietām, kur glabājas svarīgi faili: datori, klēpjdatori, tīkla diski, mākoņkrātuve, e-pasts, grāmatvedība, tīmekļa vietne. (2) Pierakstiet pie katras vietas, kur atrodas rezerves kopija un vai šī rezerves kopija ir pieejama no parasta darba datora vai ar kontu, ko izmantojat ikdienā. (3) Pārbaudiet, kuras sistēmas ir pieslēgtas internetam un pieejamas no ārpuses (VPN, attālā pārvaldība, NAS, maršrutētājs, tīmekļa vietne), un kad tās pēdējo reizi atjauninātas. (4) Pārbaudiet, vai ir vismaz viena kopija, kurai izspiedējvīruss nevar piekļūt (atsevišķi glabāta, piemēram, atvilktnē, vai pie atsevišķas puses ar savu pieteikšanos). (5) Reizi apskatiet https://www.nomoreransom.org/lv/index.html , lai zinātu, kā vietne darbojas, ja tas būs nepieciešams.
Jūsu atzīmes un piezīmes paliek tikai šajā pārlūkprogrammā; mēs tās nekur nesūtām. Ja esat pieteikušies, sadaļā Mani kursi saglabājam tikai to, ka uzdevums ir paveikts.
Lasiet vairāk
Soļi WebOké rakstos attiecas uz WebOké vidi; pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.
- WebOké rezerves kopijas: kā apskatīt, atjaunot vai lejupielādēt rezerves kopiju
- DirectAdmin rokasgrāmata 16.1: Kādas rezerves kopijas ir pieejamas WebOké
- Nīderlandes NCSC, Kas ir izspiedējvīruss: https://www.ncsc.nl/ransomware/wat-is-ransomware
- No More Ransom: https://www.nomoreransom.org/lv/index.html