Pirmadienio rytas, septinta valanda. IT atsakingas atvažiuoja į biurą, nes nuo penktos neveikia nė viena sistema. Serverių ekranuose – tekstas su nuoroda ir terminu. Pirma mintis rami: turime kopijas, atkursime. Atidaro kopijų serverį – kopijų užduotys ištrintos, saugykla tuščia. Debesies kaupykla, į kurią kopijos buvo keliamos, taip pat tuščia. Paskutinė veikianti kopija – išorinis diskas, kurį kažkas prieš metus išsivežė į seifą.
Šis scenarijus nėra išgalvotas, jis kartojasi su mažais skirtumais. Dažniausiai įmonė kopijas turėjo. Jos tiesiog buvo pasiekiamos iš to paties tinklo, tomis pačiomis prieigomis, kurias užpuolikas jau buvo perėmęs.
Šiame straipsnyje parodysime, kaip tokia ataka vyksta iš tikrųjų, kodėl kopijų serveris yra vienas pirmųjų jos taikinių ir kaip veikia kopijos, kurių užpuolikas nemato ir negali ištrinti.
Ataka nėra vienas failas, tai kelių savaičių darbas
Išpirkos virusas, kaip jį įsivaizduoja dauguma, – tai laiškas su priedu, kurį kas nors atidaro, ir viskas užsišifruoja. Prieš dešimt metų taip ir buvo. Šiandien tai paskutinis, trumpiausias atakos žingsnis. Prieš jį eina keli kiti, ir juos atlieka ne programa, o žmonės.
Pradinė prieiga
Užpuolikas patenka į tinklą per vieną iš kelių kelių: sukčiavimo laišką, kuriuo išviliojamas slaptažodis, nutekėjusį slaptažodį, kurį darbuotojas naudojo ir asmeninėse svetainėse, neatnaujintą VPN ar nuotolinio darbalaukio įrangą arba per tiekėją, turintį prieigą prie jūsų sistemų. Šiuo metu dar niekas nešifruojama ir niekas nieko nepastebi.
Žvalgyba
Kelias dienas ar savaites užpuolikas tyliai tyrinėja. Kokie serveriai yra, kur domeno valdiklis, kur laikomi failai, kokia kopijų sistema naudojama ir kur ji rašo. Kopijų serveris atpažįstamas lengvai – pagal pavadinimą, pagal įdiegtą programą, pagal tai, kad į jį kas naktį eina didelis duomenų srautas.
Prieigų perėmimas
Tikslas – domeno administratoriaus teisės. Jos dažnai gaunamos paprasčiau, nei atrodo: administratorius prisijungęs prie darbuotojo kompiuterio išsprendė problemą ir paliko ten savo prisijungimo žymę, arba tas pats slaptažodis tinka ir kopijų serveriui, ir debesies saugyklai. Turėdamas administratoriaus teises, užpuolikas turi viską, ką turi jūsų IT.
Kopijų naikinimas
Tik dabar prasideda tai, ko įmonė nepastebi iki pirmadienio ryto. Ištrinamos kopijų užduotys ir pačios kopijos. NAS, prijungtas kaip tinklo diskas, suformatuojamas arba užšifruojamas kartu su visais kitais. Debesies saugykloje, kurią kopijų serveris pasiekia savo paskyra, ištrinami objektai – ta pati paskyra, kuri gali rašyti, dažniausiai gali ir trinti. Kai kada kopijos paliekamos dar kelioms dienoms, kad virusas užšifruotų ir jas, bet rezultatas tas pats.
Šifravimas
Paskutinis žingsnis paleidžiamas tuomet, kai kopijų nebėra, o įmonė mažiausiai pasiruošusi reaguoti: penktadienio vakarą, naktį prieš šventes, per atostogų sezoną. Dalis duomenų prieš tai dažnai dar ir nukopijuojama, kad būtų galima grasinti paskelbimu, jei išpirka nebus sumokėta. Pats šifravimas trunka valandas, ne dienas, todėl jį pastebėjus sustabdyti jau būna vėlu.
Kodėl kopijų serveris tinkle yra taikinys
Užpuoliko logika paprasta: įmonė, turinti veikiančias kopijas, nemoka. Todėl kopijos naikinamos pirmiausia. Kopijų serveris, kuris yra domeno narys, matomas tinkle, valdomas tomis pačiomis administratoriaus prieigomis ir rašo į saugyklą, kurią pats gali ištrinti, yra ne apsauga nuo atakos, o jos dalis.
Tipinės spragos, kurias matome atlikdami IT saugumo auditus:
- Kopijų serveris įtrauktas į domeną, todėl domeno administratorius automatiškai yra ir kopijų administratorius.
- Kopijų saugykla prijungta kaip bendrinamas aplankas, pasiekiamas iš darbuotojų kompiuterių.
- Debesies saugyklos prieigos raktas saugomas kopijų serveryje ir leidžia ne tik rašyti, bet ir trinti.
- Nėra nekeičiamumo – bet kurią kopiją galima ištrinti tą pačią akimirką.
- Vienas žmogus gali sunaikinti visas kopijas vienas, be niekieno patvirtinimo.
Nė viena iš šių spragų nėra kopijų programos trūkumas. Tai architektūros klausimas: kopijos suprojektuotos taip, lyg vienintelė grėsmė būtų sugedęs diskas, o ne žmogus, turintis jūsų administratoriaus slaptažodį. Būtent todėl kopijų ataskaitos su žalia varnele apie atsparumą išpirkos virusui nieko nesako.
Kaip veikia iš tinklo nematomos ir nekeičiamos kopijos
Slaptosios kopijos atsako į kiekvieną iš šių spragų. Principas remiasi dviem savybėmis.
Nematomos iš tinklo
Kopijų saugykla nėra jūsų tinklo dalis. Ji neturi adreso, kurį būtų galima rasti žvalgybos metu, nėra domeno narė, nepriima jungčių iš jūsų serverių. Duomenys į ją patenka vienpusiu kanalu: jūsų pusė gali tik išsiųsti, bet negali nei peržiūrėti, nei pakeisti, nei ištrinti to, kas jau išsiųsta. Užpuolikas, perėmęs visą jūsų tinklą, mato tik tai, kad kažkas kažkur siunčiama.
Nekeičiamos nustatytą laiką
Saugykloje kiekviena kopija užrakinama nustatytam terminui. Per tą laiką jos negali ištrinti nei jūsų administratorius, nei jūsų IT tiekėjas, nei mes vienašališkai. Trynimo komanda tiesiog atmetama saugyklos lygmeniu, ne programoje, kurios nustatymus būtų galima pakeisti. Terminas parenkamas ilgesnis nei laikas, per kurį įmonė tikrai pastebėtų įsilaužimą – mūsų praktikoje bent 30 dienų, dažnai daugiau.
Kas gali inicijuoti atkūrimą
Čia svarbiausias skirtumas nuo įprastų kopijų. Atkūrimą iš slaptųjų kopijų inicijuoja ne kopijų serveris ir ne domeno administratorius, o iš anksto įvardyti įgalioti jūsų atstovai per atskirą kanalą, nesusijusį su jūsų tinklu: tapatybė patvirtinama iš anksto sutartu būdu. Taip net visiškai perimtas tinklas negali būti panaudotas kopijoms pasiekti ar sunaikinti. Detaliau tai aprašyta slaptųjų rezervinių kopijų paslaugos puslapyje.
Kopijos išliko. Kur jas paleisti?
Antroji pirmadienio ryto problema, apie kurią pagalvojama rečiau: kopijos sveikos, bet serveriai užšifruoti, o tinklas nepatikimas, nes nežinoma, kur užpuolikas dar yra. Atkurti į tą patį tinklą negalima, kol jis neišvalytas, o tai užtrunka dienas.
Todėl slaptąsias kopijas sujungiame su PlanB infrastruktūros atstatymu: kopijos laikomos mūsų debesijoje, o greta – paruošta izoliuota aplinka, kurioje serveriai keliami iš kopijų ir įmonė dirba, kol jos infrastruktūra tiriama ir tvarkoma. Atkūrimo laikas tokiu atveju matuojamas valandomis, ne savaitėmis, ir nepriklauso nuo to, ar pavyks greitai išvalyti užkrėstą tinklą.
Nuo ko pradėti
- Patikrinkite, ar jūsų kopijų serveris yra domeno narys ir ar domeno administratorius gali ištrinti kopijas. Jei taip – tai pirmas dalykas, kurį reikia keisti.
- Perkelkite bent vieną kopijų egzempliorių į saugyklą, kurios iš jūsų tinklo nematyti ir kurioje kopijos užrakintos nustatytam terminui.
- Įvardykite du žmones, kurie gali inicijuoti atkūrimą, ir sutarkite, kaip jų tapatybė tikrinama ne per įmonės el. paštą ar tinklą.
- Nuspręskite, kur serveriai bus paleidžiami, jei jūsų tinklu kelias dienas negalima pasitikėti.
- Jei norite, kad kopijų ir prieigų būklę įvertintume kartu, susisiekite per kontaktų formą – pirmas pokalbis dažniausiai prasideda nuo klausimo, kas šiandien gali ištrinti jūsų kopijas.
