Рекомендации по защите компьютера от программ-шифровальщиков
Короткий документ для работников о самой быстрой угрозе: как выглядит начало заражения, что сделать в первые минуты и чего делать нельзя. Между «странно тормозит» и «зашифровано всё» проходит очень немного времени.
Зачем нужен документ
Программа-шифровальщик отличается от прочих угроз скоростью. Обычная вредоносная программа старается остаться незамеченной как можно дольше — тихо собирает пароли, копирует файлы, ждёт. Шифровальщик работает наоборот: он должен как можно быстрее сделать данные недоступными, потому что на этом строится требование выкупа.
Отсюда практическое следствие, ради которого документ и пишется. Между первыми признаками — компьютер необычно нагружен, файлы стали открываться с ошибками, у документов изменились расширения — и полным поражением сетевых папок проходит очень немного времени. В эти минуты рядом с машиной находится не администратор и не ответственный за безопасность, а обычный работник. Что он сделает, определяет масштаб ущерба сильнее, чем все настройки защиты.
Проблема в том, что естественная реакция человека здесь неверна. Заметив странное поведение, люди перезагружают компьютер: так решается большинство обычных проблем. При шифровании перезагрузка нередко запускает следующую стадию и уничтожает теневые копии, из которых можно было восстановить файлы. Нужное действие противоположно привычному, и без короткого документа, прочитанного заранее, человек до него не додумается.
Чем грозит отсутствие
За отсутствие рекомендаций отдельного наказания нет. Зато у этой угрозы есть особенность, которой нет у других: она не оставляет оператору возможности сказать, что он ничего не знал.
Как ещё называют этот документ
Что должно быть в документе
Документ короткий, поэтому каждый пункт должен выдерживать проверку вопросом: сможет ли человек это выполнить, глядя на экран с требованием выкупа.
Требования законодательства
Как связан с другими документами
Рекомендации закрывают тот отрезок времени, до которого не дотягивается ни один другой документ комплекта: несколько минут между заражением и его обнаружением ответственными людьми.
Когда обновлять документ
Документ короткий и меняется редко, но у него есть особенность: он бесполезен, если его не перечитывают. Поэтому обновление здесь — это не столько правка текста, сколько повторное доведение до людей.
Что спросит проверяющий
Этот документ проверяют не чтением, а разговором с работниками — и разрыв между написанным и известным виден сразу.
Разбор эксперта
Почти все документы комплекта работают на длинной дистанции: политика, перечни, приказы, журналы — их ценность накапливается годами. Этот документ живёт несколько минут, и в этом вся его особенность. Человек видит, что файлы перестали открываться, и делает то, что делал всегда в непонятной ситуации, — перезагружает машину. Разумно для зависшей программы и разрушительно здесь: процесс часто продолжает работу после перезапуска, а теневые копии, из которых можно было бы вытащить часть файлов, к этому моменту уже затёрты. Правильное действие — выдернуть сетевой кабель и оставить компьютер включённым — противоречит всему привычному опыту, поэтому его нужно прочитать заранее.
Второе, о чём я всегда спрашиваю, — где лежат резервные копии. Копии обычно делают, это дисциплина, к которой организации приходят рано. А вот хранят их часто в сетевой папке, подключённой к тому же серверу и доступной под той же учётной записью. Шифровальщик проходит по всем доступным путям, не разбирая, где рабочие данные, а где архив, — и организация обнаруживает, что резервная копия зашифрована вместе с оригиналом. Копия, до которой нельзя дотянуться из рабочей сети, стоит немногого, а меняет исход целиком.
Третье — про выкуп, и здесь позиция должна быть записана заранее, а не обсуждаться под давлением. Оплата не возвращает конфиденциальность: копия данных остаётся у того, кто их выгрузил, и никаких гарантий её удаления не существует. Оплата не отменяет обязанности уведомить регулятора. Оплата не отменяет ответственности за саму утечку. Единственное, что она иногда даёт, — ключ расшифровки, то есть решает ровно ту часть проблемы, которую закрывают нормальные резервные копии. Решение об этом в любом случае принимает руководство, и работник не должен даже вступать в переписку.
Держите документ в пределах двух страниц и начинайте с действий, а не с объяснений: отключить сеть, не выключать, позвонить по номеру. Ставьте в текст конкретные фамилии и телефоны, включая порядок для вечера и выходных, и проверяйте их при каждой смене ответственного. Обязательно добавьте фразу о том, что за ложную тревогу не наказывают, — без неё люди молчат, пока не станет очевидно, а это потерянные минуты. И отдельно проверьте у себя две технические вещи: изолированы ли резервные копии от рабочей сети и разворачивали ли вы их хоть раз.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Отключить компьютер от сети — вынуть кабель или выключить беспроводное соединение — и не выключать сам компьютер. Затем немедленно позвонить ответственному. Отключение от сети останавливает распространение на общие папки и другие машины, а включённое состояние сохраняет данные, полезные для разбора.
Перезагрузка нередко запускает следующую стадию работы программы и уничтожает теневые копии, из которых можно восстановить часть файлов. Кроме того, теряются сведения о том, что происходило, — а по ним потом определяют, какие данные ушли наружу.
Оплата не возвращает конфиденциальность: копия данных остаётся у злоумышленника, и гарантий её удаления нет. Она не отменяет ни обязанности уведомить Роскомнадзор, ни ответственности за утечку. Решение принимает руководство, работник в переговоры не вступает.
Как правило, да. Современные программы-вымогатели сначала выгружают данные и только потом шифруют, чтобы иметь второй рычаг давления. Поэтому событие квалифицируется как неправомерная передача данных, а не только как нарушение доступности.
Они спасут данные, но не снимут ответственности. Копии закрывают доступность: файлы можно восстановить и продолжить работу. Конфиденциальность они не восстанавливают — если данные успели выгрузить, утечка произошла независимо от того, как быстро вы подняли системы.
В течение двадцати четырёх часов с момента установления факта, а в течение семидесяти двух часов представляются результаты внутреннего расследования. Особенность этой угрозы в том, что момент установления факта очевиден и зафиксирован: требование выкупа на экране видели работники.
Не обязательно, но полезно. Памятка охватывает обращение с данными в целом, а здесь важна последовательность действий по одному сценарию, которую человек должен выполнить под стрессом. Смешивание общих правил с аварийной последовательностью снижает шансы, что нужные строки будут найдены вовремя.