Atak ransomware w firmie -
co robić w pierwszych godzinach?

Atak ransomware to jeden z najpoważniejszych incydentów bezpieczeństwa, jakie mogą spotkać firmę. Zaszyfrowane dane, niedostępne systemy i żądanie okupu potrafią sparaliżować działalność na wiele dni. W takiej sytuacji liczy się czas, ale równie ważne jest unikanie pochopnych decyzji.

1. Natychmiast odizoluj zainfekowane systemy

Najważniejszym celem w pierwszych minutach jest zatrzymanie dalszego rozprzestrzeniania się ataku. Ransomware przemieszcza się błyskawicznie - przez udziały sieciowe, zmapowane dyski, a w bardziej zaawansowanych wariantach również przez połączenia RDP i protokoły administracyjne.

• › Odłącz zainfekowane komputery i serwery od sieci (fizycznie lub przez wyłączenie portu na switchu)
• › Wyłącz aktywne połączenia VPN dla zainfekowanych hostów
• › Ogranicz komunikację pomiędzy segmentami sieci na poziomie firewalla
• › Wstrzymaj dostęp do współdzielonych zasobów plikowych (NAS, udziały SMB/CIFS)

Nie należy automatycznie wyłączać wszystkich urządzeń. W wielu przypadkach aktywne procesy, logi w pamięci i zawartość RAM mogą być istotne podczas późniejszej analizy powłamaniowej (forensics). Wyłączenie maszyny przed zebraniem danych ulotnych bezpowrotnie niszczy część materiału dowodowego.

2. Oceń skalę incydentu

Przed rozpoczęciem odtwarzania systemów trzeba ustalić faktyczny zasięg ataku. Działanie bez tej wiedzy to prosta droga do ponownego zaszyfrowania dopiero co odtworzonych maszyn.

Coraz częściej ransomware nie ogranicza się do szyfrowania danych. Wiele grup przestępczych wcześniej kopiuje dane i grozi ich publikacją (tzw. double extortion). Oznacza to, że nawet posiadanie dobrego backupu nie eliminuje całkowicie problemu, jeśli doszło do wycieku danych osobowych lub tajemnic przedsiębiorstwa.

3. Zaangażuj specjalistów i zgłoś incydent

Przy poważniejszych incydentach warto jak najszybciej zaangażować specjalistów od reagowania na incydenty bezpieczeństwa (Incident Response). Samodzielne działanie bez odpowiedniej wiedzy często pogarsza sytuację - przez przypadkowe niszczenie dowodów, niepełną izolację lub przedwczesne przywracanie.

W zależności od sytuacji konieczne może być:

• › Zgłoszenie do CERT Polska (cert.pl) - szczególnie przy atakach na infrastrukturę krytyczną lub usługi publiczne
• › Zawiadomienie Policji - incydent ransomware to przestępstwo z art. 267 i 268a Kodeksu Karnego
• › Kontakt z ubezpieczycielem - jeżeli firma posiada cyberubezpieczenie, należy jak najszybciej zgłosić szkodę
• › Analiza obowiązków RODO - jeśli istnieje ryzyko naruszenia danych osobowych, może być wymagane zgłoszenie do UODO w ciągu 72 godzin

4. Nie przywracaj od razu systemów z backupu

To jeden z najczęstszych i najkosztowniejszych błędów po ataku ransomware. Przywrócenie serwerów bez wcześniejszego usunięcia przyczyny ataku może doprowadzić do ponownego zaszyfrowania całego środowiska - tym razem razem z właśnie odtworzonymi danymi.

Przed uruchomieniem procesu odtwarzania należy koniecznie ustalić:

• › W jaki sposób napastnik uzyskał pierwotny dostęp do środowiska
• › Czy w środowisku Active Directory lub na serwerach nie pozostały dodatkowe konta administracyjne
• › Czy nie zainstalowano mechanizmów trwałego dostępu (backdoor, zaplanowane zadania, usługi systemowe)
• › Jak długo napastnik przebywał w sieci przed uruchomieniem szyfrowania

Dopiero po potwierdzeniu, że środowisko jest czyste lub po odbudowaniu go od podstaw w izolowanej sieci, można rozpocząć właściwy proces przywracania danych.

5. Sprawdź możliwości odzyskania danych

Najlepszym scenariuszem jest posiadanie aktualnych, testowanych i fizycznie odizolowanych kopii zapasowych (zgodnych z zasadą 3-2-1). Jeśli backupy są dostępne, nadal wymagają weryfikacji przed użyciem.

Przed rozpoczęciem przywracania należy:

• › Zweryfikować integralność kopii zapasowych przez sprawdzenie sum kontrolnych lub testowe odtworzenie
• › Sprawdzić, czy kopie zapasowe nie zostały również zaszyfrowane lub usunięte przez ransomware
• › Wykonać testowe odtworzenie na odizolowanym środowisku, zanim przywróci się systemy produkcyjne
• › Ustalić, z jakiego punktu w czasie można bezpiecznie odtwarzać - kopie sprzed kilku dni mogą już zawierać zainfekowane pliki

W niektórych przypadkach możliwe jest odzyskanie danych bez płacenia okupu dzięki publicznie dostępnym narzędziom deszyfrującym. Warto sprawdzić projekt No More Ransom (nomoreransom.org), który gromadzi klucze deszyfrujące udostępnione przez organy ścigania po likwidacji grup przestępczych.

6. Zaplanuj komunikację kryzysową

Brak informacji zwykle powoduje większe szkody niż sam incydent. Plotki, spekulacje i nieskoordynowane komunikaty od różnych osób w firmie potęgują chaos i podważają zaufanie klientów.

Warto przygotować i skoordynować:

• › Komunikat dla pracowników - co się stało, co należy robić (lub czego nie robić), gdzie kierować pytania
• › Informacje dla klientów i partnerów - jeśli incydent wpływa na świadczone usługi lub bezpieczeństwo ich danych
• › Procedura kontaktu z mediami - jedna osoba odpowiedzialna za komunikację zewnętrzną, wyłącznie potwierdzone fakty
• › Dokumentacja incydentu - chronologiczny zapis działań, decyzji i ustaleń, niezbędny przy późniejszych postępowaniach

7. Odbuduj środowisko i usuń przyczynę ataku

Po opanowaniu sytuacji i przywróceniu kluczowych systemów należy przeprowadzić pełną analizę przyczyn incydentu (Root Cause Analysis). Bez tego krok odbudowy jest jedynie odroczeniem kolejnego ataku.

Najczęstsze wektory ataku ransomware w środowiskach firmowych:

• › Phishing - złośliwy załącznik lub link w wiadomości e-mail
• › Słabe lub skradzione hasła do RDP, VPN lub paneli administracyjnych
• › Nieaktualne systemy operacyjne i aplikacje z niezałatanymi podatnościami
• › Nieprawidłowo zabezpieczone usługi RDP lub VPN wystawione bezpośrednio na Internet
• › Brak segmentacji sieci, która umożliwia swobodne przemieszczanie się w środowisku

Po zakończeniu analizy warto wdrożyć dodatkowe zabezpieczenia zapobiegające kolejnemu incydentowi:

• › Uwierzytelnianie wieloskładnikowe (MFA) dla wszystkich dostępów zewnętrznych i kont uprzywilejowanych
• › Segmentacja sieci i zasada najmniejszych uprawnień (least privilege)
• › Monitoring zdarzeń i centralne logowanie (SIEM) z alertami w czasie rzeczywistym
• › Rozwiązania EDR/XDR na stacjach roboczych i serwerach
• › Kopie zapasowe zgodne z zasadą 3-2-1, przechowywane offline lub w niezmienialnej postaci (immutable backup)
• › Regularne testy odtwarzania danych z backupu, co najmniej raz na kwartał

Checklista - pierwsze 24 godziny po ataku ransomware

FAQ - atak ransomware w firmie

Podsumowanie

Atak ransomware nie musi oznaczać utraty firmy ani danych. Największe szanse na szybki powrót do normalnej pracy mają organizacje, które posiadają aktualne i testowane kopie zapasowe, udokumentowane procedury reagowania na incydenty oraz możliwość szybkiego wsparcia specjalistów. Szczegolowe informacje o tym jak unikac bledow w backupie, ktore czynia go bezuzytecznym, opisuje artykul o najczestszych bledach backup serwerow Linux.

Najlepszym momentem na przygotowanie planu działania jest czas przed incydentem. Gdy ransomware zaszyfruje dane, każda minuta zwłoki zwiększa koszty i utrudnia odzyskanie pełnej sprawności środowiska IT. Plan Disaster Recovery, regularne testy backupu i monitoring infrastruktury IT to inwestycje, które zwracają się w jednym incydencie.