Pirmdienas rīts, septiņi. Par IT atbildīgais cilvēks ierodas birojā, jo kopš pieciem neviena no sistēmām nedarbojas. Serveru ekrānos redzams teksts ar saiti un termiņu. Pirmā doma ir mierīga: mums ir rezerves kopijas, mēs atjaunosim. Viņš atver rezerves kopiju serveri un redz, ka kopēšanas uzdevumi ir izdzēsti un krātuve ir tukša. Mākoņkrātuve, uz kuru kopijas tika augšupielādētas, arī ir tukša. Pēdējā darbspējīgā kopija ir ārējais disks, ko kāds pirms gada aiznesa uz seifu.
Šis scenārijs nav izdomāts, un tas atkārtojas ar nelielām variācijām. Visbiežāk uzņēmumam rezerves kopijas tiešām bija. Tās vienkārši bija sasniedzamas no tā paša tīkla, ar tiem pašiem piekļuves datiem, kurus uzbrucējs jau bija pārņēmis.
Šajā rakstā parādām, kā šāds uzbrukums norit patiesībā, kāpēc rezerves kopiju serveris ir viens no pirmajiem tā mērķiem un kā darbojas rezerves kopijas, ja uzbrucējs tās ne redz, ne var izdzēst.
Uzbrukums nav viens fails, tās ir nedēļu ilgs darbs
Lielākā daļa iedomājas izspiedējvīrusu kā e-pastu ar pielikumu, ko kāds atver, pēc tam viss tiek sašifrēts. Pirms desmit gadiem tā tiešām bija. Šodien tas ir uzbrukuma pēdējais un īsākais solis. Tam priekšā iet vairāki citi, un tos veic cilvēki, nevis programma.
Sākotnējā piekļuve
Uzbrucējs iekļūst tīklā vienā no vairākiem veidiem: pikšķerēšanas e-pasts, kas piespiež kādu atdot paroli, nopludināta parole, ko darbinieks izmantoja arī personīgajās vietnēs, neielāpēta VPN vai attālās darbvirsmas iekārta vai piegādātājs, kuram ir piekļuve jūsu sistēmām. Šajā brīdī vēl nekas nav sašifrēts, un neviens neko nepamana.
Izlūkošana
Dienām vai nedēļām uzbrucējs klusi izpēta. Kādi serveri pastāv, kur ir domēna kontrolleris, kur glabājas faili, kāda rezerves kopēšanas sistēma tiek izmantota un kur tā raksta. Rezerves kopiju serveri ir viegli atpazīt: pēc nosaukuma, pēc tajā uzstādītās programmatūras un pēc lielās datu plūsmas, kas uz to plūst katru nakti.
Piekļuves datu pārņemšana
Mērķis ir domēna administratora tiesības. Tās bieži iegūt ir vieglāk, nekā šķiet: administrators pieteicās darbinieka datorā, lai novērstu problēmu, un atstāja pieteikšanās marķieri, vai arī viena un tā pati parole der gan rezerves kopiju serverim, gan mākoņkrātuvei. Ar administratora tiesībām uzbrucējam ir viss, kas ir jūsu IT.
Rezerves kopiju iznīcināšana
Tikai tagad sākas daļa, ko uzņēmums nepamana līdz pirmdienas rītam. Tiek dzēsti kopēšanas uzdevumi un pašas rezerves kopijas. NAS, kas pievienots kā tīkla disks, tiek formatēts vai sašifrēts kopā ar visu pārējo. Mākoņkrātuvē, kuru rezerves kopiju serveris sasniedz ar savu kontu, objekti tiek dzēsti, jo tas pats konts, kas var rakstīt, parasti var arī dzēst. Dažkārt kopijas atstāj vēl uz dažām dienām, lai izspiedējvīruss sašifrētu arī tās, bet rezultāts ir tāds pats.
Šifrēšana
Pēdējais solis tiek palaists, kad kopiju vairs nav un uzņēmums ir vismazāk gatavs reaģēt: piektdienas vakarā, naktī pirms svētkiem, atvaļinājumu sezonā. Daļa datu bieži tiek iepriekš nokopēta ārā, lai uzbrucējs varētu draudēt tos publicēt, ja izpirkuma maksa netiek samaksāta. Pati šifrēšana aizņem stundas, nevis dienas, tāpēc, kad to pamana, apturēt vairs nav iespējams.
Kāpēc rezerves kopiju serveris jūsu tīklā ir mērķis
Uzbrucēja loģika ir vienkārša: uzņēmums ar darbspējīgām rezerves kopijām nemaksā. Tāpēc kopijas tiek iznīcinātas vispirms. Rezerves kopiju serveris, kas ir domēna dalībnieks, redzams tīklā, tiek pārvaldīts ar tiem pašiem administratora piekļuves datiem un raksta krātuvē, no kuras var arī dzēst, nav aizsardzība pret uzbrukumu. Tā ir uzbrukuma daļa.
Tipiskas nepilnības, ko redzam, veicot IT drošības auditus:
- Rezerves kopiju serveris ir pievienots domēnam, tāpēc domēna administrators automātiski ir arī rezerves kopiju administrators.
- Rezerves kopiju krātuve ir pievienota kā koplietojama mape, kas sasniedzama no darbinieku datoriem.
- Mākoņkrātuves piekļuves atslēga glabājas rezerves kopiju serverī un atļauj dzēst, ne tikai rakstīt.
- Nav nemainamības, tāpēc jebkuru kopiju var izdzēst jebkurā brīdī.
- Viens cilvēks viens pats var iznīcināt visas rezerves kopijas bez cita apstiprinājuma.
Neviena no šīm nepilnībām nav rezerves kopēšanas programmatūras defekts. Tā ir arhitektūras problēma: kopijas tika projektētas tā, it kā vienīgais drauds būtu bojāts disks, nevis cilvēks, kura rīcībā ir jūsu administratora parole. Tieši tāpēc rezerves kopēšanas atskaite ar zaļu ķeksīti neko nesaka par izturību pret izspiedējvīrusu.
Kā darbojas nemaināmas rezerves kopijas, kas nav redzamas no tīkla
Nemaināmas rezerves kopijas atbild uz katru no šīm nepilnībām. Princips balstās uz divām īpašībām.
Nav redzamas no tīkla
Rezerves kopiju krātuve nav jūsu tīkla daļa. Tai nav adreses, ko varētu atrast izlūkošanas laikā, tā nav domēna dalībniece un nepieņem savienojumus no jūsu serveriem. Dati tai nonāk pa vienvirziena kanālu: jūsu puse var tikai sūtīt, bet nevar skatīt, mainīt vai dzēst jau nosūtīto. Uzbrucējs, kas pārņēmis visu jūsu tīklu, redz tikai to, ka kaut kas tiek kaut kur sūtīts.
Nemaināmas noteiktu laiku
Krātuvē katra kopija ir bloķēta noteiktu laikposmu. Šajā laikā to nevar izdzēst ne jūsu administrators, ne jūsu IT pakalpojumu sniedzējs, ne mēs paši, darbojoties vieni. Dzēšanas komanda vienkārši tiek noraidīta krātuves līmenī, nevis lietojumprogrammā, kuras iestatījumus varētu mainīt. Laikposms tiek izvēlēts garāks par laiku, kurā uzņēmums reāli pamanītu ielaušanos: mūsu praksē vismaz 30 dienas, bieži vairāk.
Kas var sākt atjaunošanu
Tā ir būtiskā atšķirība no parastajām rezerves kopijām. Atjaunošanu no nemaināmām kopijām sāk nevis rezerves kopiju serveris vai domēna administrators, bet jūsu uzņēmuma pilnvarotie pārstāvji, kas ir iepriekš nosaukti, pa atsevišķu kanālu, kas nav saistīts ar jūsu tīklu. Viņu identitāte tiek pārbaudīta iepriekš saskaņotā veidā. Tādējādi pat pilnībā kompromitētu tīklu nevar izmantot, lai piekļūtu kopijām vai tās iznīcinātu. Detalizēti tas aprakstīts nemaināmas rezerves kopijas pakalpojuma lapā.
Kopijas izdzīvoja. Kur tās palaist?
Otrā tā pirmdienas rīta problēma, par ko domā retāk: kopijas ir neskartas, bet serveri ir sašifrēti un tīklam nevar uzticēties, jo neviens nezina, kur vēl atrodas uzbrucējs. Atjaunot tajā pašā tīklā nevar, kamēr tas nav iztīrīts, un tas aizņem dienas.
Tāpēc nemaināmas rezerves kopijas apvienojam ar PlanB infrastruktūras atjaunošanu: kopijas tiek glabātas mūsu mākonī, un blakus ir sagatavota izolēta vide, kurā serveri tiek palaisti no kopijām un uzņēmums turpina strādāt, kamēr sava infrastruktūra tiek izmeklēta un labota. Atjaunošanas laiku tad mēra stundās, nevis nedēļās, un tas nav atkarīgs no tā, cik ātri var iztīrīt inficēto tīklu.
No kā sākt
- Pārbaudiet, vai jūsu rezerves kopiju serveris ir domēna dalībnieks un vai domēna administrators var dzēst kopijas. Ja jā, tā ir pirmā lieta, ko mainīt.
- Pārvietojiet vismaz vienu kopiju uz krātuvi, kas nav redzama no jūsu tīkla un kurā kopijas ir bloķētas noteiktu laiku.
- Nosauciet divus cilvēkus, kas var sākt atjaunošanu, un vienojieties, kā viņu identitāte tiek pārbaudīta, neizmantojot uzņēmuma e-pastu vai uzņēmuma tīklu.
- Izlemiet, kur serveri tiktu palaisti, ja jūsu tīklam nevarētu uzticēties vairākas dienas.
- Ja vēlaties, lai kopā ar jums novērtējam rezerves kopiju un piekļuves tiesību stāvokli, sazinieties ar mums, izmantojot kontaktu veidlapu. Pirmā saruna parasti sākas ar vienu jautājumu: kurš šodien var izdzēst jūsu rezerves kopijas?
