Situacija
Privati klinika Vilniuje, 150 darbuotojų, trys padaliniai, laboratorija ir nuosava pacientų informacinė sistema. Serveriai stovėjo klinikos patalpose, rezervinės kopijos buvo daromos į tame pačiame tinkle esančią NAS saugyklą, o antivirusinė – standartinė, be centralizuotos konsolės.
Penktadienio vakarą administratorė pastebėjo, kad registratūros kompiuteryje nebeatsidaro pacientų kortelės. Per naktį išpirkos virusas užšifravo failų serverį, pacientų sistemos duomenų bazę ir – tai buvo skaudžiausia – NAS saugyklą su kopijomis, nes ji buvo prijungta kaip įprastas tinklo diskas. Klinika savaitę dirbo popieriuje: registracija telefonu, tyrimų rezultatai spausdinami laboratorijoje, dalis vizitų atšaukta. Duomenys atstatyti iš senesnės, nereguliariai darytos kopijos išoriniame diske ir iš pacientų sistemos tiekėjo mėnesinės kopijos. Dalies savaitės įrašų susigrąžinti nepavyko.
Klinikos direktorė kreipėsi į mus praėjus dviem savaitėms po incidento. Užduotis buvo aiški: kad tai niekada nepasikartotų, o jei pasikartotų – kad atkūrimas truktų valandas, ne savaitę.
Ko reikėjo
- Kopijų, kurių užpuolikas negali pasiekti net turėdamas administratoriaus teises tinkle.
- Atkūrimo laiko, kuris nesustabdytų pacientų priėmimo ilgiau nei vienai dienai.
- Reguliarių atkūrimo testų su protokolais – to paprašė ir klinikos duomenų apsaugos pareigūnas.
- Apsaugos galiniuose įrenginiuose, kuri sustabdo šifravimą, o ne tik praneša apie jį.
- Sprendimo, kurį prižiūrėtų išorinė komanda, nes klinika savo IT administratoriaus neturi.
Ką padarėme
1 savaitė: aplinkos tvarkymas po incidento
Pirmiausia įsitikinome, kad užkrato nebeliko: perdiegėme failų serverį, pakeitėme visus administracinius slaptažodžius, išjungėme pasenusius protokolus, atskyrėme serverių tinklą nuo darbo vietų. Tai buvo būtina, nes nėra prasmės daryti kopijų iš aplinkos, kurioje vis dar gali būti užpuoliko prieiga.
2–3 savaitė: Veeam ir slaptosios kopijos
Įdiegėme Veeam atsargines kopijas pagal 3-2-1 principą: kopija vietinėje saugykloje greitam atkūrimui, kopija MDP CLOUD duomenų centre Lietuvoje ir papildoma kopija Amazon duomenų centre Vokietijoje. Esminis skirtumas nuo ankstesnės schemos – slaptosios rezervinės kopijos: saugykla nematoma iš klinikos tinklo, kopijos nekeičiamos nustatytą laikotarpį, o ištrinti ar perrašyti jų negali net Veeam administratorius. Vietinė saugykla taip pat atskirta: su ja bendrauja tik kopijų serveris, ne darbo vietos.
Pacientų sistemos duomenų bazei nustatėme kopijas kas valandą, failams ir el. paštui – kasdien. Saugojimo terminai suderinti su klinikos dokumentų saugojimo reikalavimais. Kopijų būklę stebi mūsų komanda: nepavykusi užduotis ar nesutampantis kontrolinis kodas tą pačią dieną tampa helpdesk užklausa, o klinikos administracija kas savaitę gauna trumpą ataskaitą, kiek kopijų atlikta ir kiek vietos liko.
Sudėtingiausia buvo pacientų informacinė sistema: jos tiekėjas reikalavo, kad duomenų bazė būtų kopijuojama tik jo įrankiais. Sutarėme dvigubą schemą – tiekėjo kopija lieka, o Veeam papildomai kopijuoja visą serverį, kad atkūrimo metu nereikėtų iš naujo diegti ir konfigūruoti sistemos.
4 savaitė: EDR apsauga
Visuose kompiuteriuose ir serveriuose įdiegėme Bitdefender GravityZone su EDR funkcionalumu ir apsauga nuo išpirkos virusų, kuri sustabdo masinį šifravimą ir grąžina paveiktus failus. Konsolę stebi mūsų komanda; įtartina veikla eskaluojama klinikos atsakingam asmeniui.
5 savaitė: atkūrimo testas
Pirmasis pilnas atkūrimo testas: iš slaptosios kopijos atstatėme pacientų sistemos serverį ir failų serverį į izoliuotą aplinką MDP CLOUD debesyje. Užtruko 6 valandas, didžioji dalis laiko – duomenų bazės tikrinimas kartu su sistemos tiekėju. Protokolą pasirašė klinikos direktorė ir duomenų apsaugos pareigūnas.
Rezultatas
Atkūrimo laikas sumažėjo nuo savaitės iki 6 valandų, ir tai – išmatuota per testą, ne numatyta plane. Kopijų, pasiekiamų iš klinikos tinklo, neliko: nulis. Atkūrimo testai vyksta kas mėnesį – mažesnės apimties (atskiros bylos, vienas serveris), o pilnas atkūrimas kartojamas kas pusmetį.
Klinika dabar turi audito protokolus kiekvienam testui: data, atstatytos sistemos, trukmė, nesklandumai. Jų prašė ir duomenų apsaugos pareigūnas, ir draudikas, atnaujinant kibernetinio draudimo sutartį. Per pirmus šešis mėnesius EDR konsolė du kartus sustabdė įtartiną veiklą darbuotojų kompiuteriuose – abu kartus užkrėsti priedai el. pašte – ir nė vienas atvejis nepasiekė serverių.
„Anksčiau manėme, kad turime kopijas. Dabar žinome, kad per šešias valandas vėl priimsime pacientus.“
Ką patartume panašioje situacijoje
- Kopija, kurią matote kaip tinklo diską, nėra apsauga nuo išpirkos viruso. Bent viena kopija turi būti nekeičiama ir nepasiekiama iš tinklo.
- Atkūrimo laiką nustatykite pagal verslą: kiek valandų galite dirbti be sistemos. Nuo to priklauso kopijų dažnis ir saugyklų išdėstymas.
- Testuokite atkūrimą reguliariai ir rašykite protokolus. Kopija be testo – tik prielaida.
- Po incidento pirmiausia išvalykite aplinką ir tik tada perkelkite kopijas – kitaip nukopijuosite ir užpuoliko prieigą.
