Правило резервного копирования 3-2-1: как пережить шифровальщик и отказ оборудования
Резервные копии есть почти у всех — до того дня, когда их нужно восстановить. Простая проверенная модель, которая сохранит ваши данные.
Читать статьюАтака шифровальщика редко начинается с предупреждения. Обычно кто-то замечает странные расширения файлов, сервер не запускается или на экране появляется требование выкупа. То, что команда сделает в следующий час, часто решает, потеряет компания день или месяц.
Первые шаги
- Изолируйте, а не выключайте. Отключите затронутые компьютеры и серверы от сети (кабель, Wi-Fi, VPN). Выключение питания может уничтожить следы, важные для расследования.
- Защитите резервные копии. Отключите хранилище копий и закройте доступ к консоли резервного копирования, пока не убедитесь, что злоумышленник до неё не доберётся.
- Позвоните IT- и ИБ-команде и сообщите руководству. Договоритесь, кто принимает решения и кто общается с сотрудниками, клиентами и госорганами.
- Не связывайтесь со злоумышленниками и не платите, пока специалисты не оценили ситуацию.
- Записывайте всё: время, что увидели, какие системы затронуты, что сделали.
Дальнейшие шаги
- Выясните, как злоумышленник проник — VPN, удалённый рабочий стол, фишинговое письмо — и закройте этот путь до восстановления.
- Смените пароли, начиная с учётных записей администраторов и служебных.
- Восстановите системы из чистых резервных копий, начиная с самых важных.
- Несколько недель следите за повторной активностью.
Лучшее время написать план реагирования — до инцидента. Распечатайте его: во время атаки файловый сервер может быть зашифрован.
Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.
Частые вопросы
Платить ли выкуп?
Оплата не гарантирует возврат данных, может финансировать новые атаки и иметь юридические последствия. Решайте только после того, как специалисты оценят копии и варианты.
Выключать ли заражённые компьютеры?
Лучше отключить их от сети. Выключение может уничтожить следы в памяти; но если шифрование заметно распространяется и изолировать машину нельзя, выключить лучше, чем позволить продолжать.
Нужно ли сообщать об атаке шифровальщика?
В зависимости от затронутых данных, договоров и применимого законодательства может потребоваться уведомить госорганы, клиентов или партнёров. Привлеките юриста как можно раньше.
Как не допустить повторения?
Найдите и закройте точку проникновения, включите MFA, обновите системы, доступные из интернета, сегментируйте сеть и храните хотя бы одну неизменяемую или офлайн-копию.