Situācija
Privāta klīnika Viļņā, Lietuvā: 150 darbinieku, trīs atrašanās vietas, laboratorija un sava pacientu informācijas sistēma. Serveri atradās klīnikas telpās, rezerves kopijas tika rakstītas NAS ierīcē tajā pašā tīklā, bet pretvīrusu programma bija standarta produkts bez centrālās konsoles.
Kādā piektdienas vakarā administrators pamanīja, ka pacientu kartes reģistratūras datorā vairs neatveras. Naktī izspiedējvīruss bija sašifrējis failu serveri, pacientu sistēmas datubāzi un, kas sāpīgākais, NAS ar rezerves kopijām, jo tā bija pieslēgta kā parasts tīkla disks. Nedēļu klīnika strādāja uz papīra: reģistrācija pa tālruni, analīžu rezultāti izdrukāti laboratorijā, daži pieņemšanas laiki atcelti. Dati tika atjaunoti no vecākas, neregulāri veidotas rezerves kopijas ārējā diskā un no pacientu sistēmas ražotāja ikmēneša kopijas. Daļu šīs nedēļas ierakstu atjaunot neizdevās.
Klīnikas direktors sazinājās ar mums divas nedēļas pēc incidenta. Uzdevums bija skaidrs: nodrošināt, lai tas nekad vairs neatkārtotos, un, ja tomēr notiek, lai atjaunošana aizņemtu stundas, nevis nedēļu.
Kas bija nepieciešams
- Rezerves kopijas, kurām uzbrucējs nevar piekļūt pat ar administratora tiesībām tīklā.
- Atjaunošanas laiks, kas nepārtrauktu pacientu pieņemšanu ilgāk par vienu dienu.
- Regulāri atjaunošanas testi ar rakstiskiem pārskatiem, ko pieprasīja arī klīnikas datu aizsardzības speciālists.
- Galapunktu aizsardzība, kas apstādina šifrēšanu, nevis tikai ziņo par to.
- Risinājums, ko uztur ārēja komanda, jo klīnikai nav sava IT administratora.
Ko mēs darījām
1. nedēļa: vides sakopšana pēc incidenta
Vispirms pārliecinājāmies, ka ļaunprātīgās programmatūras vairs nav: pārbūvējām failu serveri, nomainījām visas administratīvās paroles, atslēdzām novecojušos protokolus un nodalījām serveru tīklu no darba stacijām. Tas bija būtiski, jo nav jēgas veidot rezerves kopijas videi, kurā joprojām var būt uzbrucēja piekļuve.
2.–3. nedēļa: Veeam un nemaināmas rezerves kopijas
Ieviesām Veeam rezerves kopēšanu pēc 3-2-1 principa: kopija lokālajā krātuvē ātrai atjaunošanai, kopija MDP CLOUD datu centrā Lietuvā un papildu kopija Amazon datu centrā Vācijā. Galvenā atšķirība no iepriekšējās kārtības ir nemaināma rezerves kopija: repozitorijs no klīnikas tīkla nav redzams, kopijas noteiktā glabāšanas periodā nevar mainīt, un tās nevar dzēst vai pārrakstīt pat Veeam administrators. Arī lokālais repozitorijs ir izolēts: ar to sazinās tikai rezerves kopēšanas serveris, nevis darba stacijas.
Pacientu sistēmas datubāzei iestatījām rezerves kopēšanu katru stundu, bet failiem un e-pastam – katru dienu. Glabāšanas periodus saskaņojām ar klīnikas ierakstu glabāšanas prasībām. Mūsu komanda uzrauga rezerves kopēšanas stāvokli: neizdevies uzdevums vai nesakritusi kontrolsumma tajā pašā dienā kļūst par palīdzības dienesta pieteikumu, bet klīnikas vadība katru nedēļu saņem īsu pārskatu par to, cik rezerves kopiju izveidotas un cik vietas atlicis.
Visgrūtākā daļa bija pacientu informācijas sistēma: tās ražotājs pieprasīja datubāzi kopēt tikai ar saviem rīkiem. Vienojāmies par dubultu shēmu. Ražotāja rezerves kopija paliek, un Veeam papildus kopē visu serveri, lai atjaunošanas laikā sistēma nebūtu jāinstalē un jākonfigurē no jauna.
4. nedēļa: EDR aizsardzība
Visos datoros un serveros ieviesām Bitdefender GravityZone ar EDR un aizsardzību pret izspiedējvīrusiem, kas aptur masveida šifrēšanu un atgriež skartos failus iepriekšējā stāvoklī. Mūsu komanda uzrauga konsoli; aizdomīga darbība tiek eskalēta klīnikas atbildīgajai personai.
5. nedēļa: atjaunošanas tests
Pirmais pilnais atjaunošanas tests: no nemaināmas rezerves kopijas atjaunojām pacientu sistēmas serveri un failu serveri izolētā vidē MDP CLOUD mākonī. Tas aizņēma 6 stundas, lielāko daļu laika pavadot datubāzes pārbaudei kopā ar sistēmas ražotāju. Pārskatu parakstīja klīnikas direktors un datu aizsardzības speciālists.
Rezultāts
Atjaunošanas laiks samazinājās no nedēļas līdz 6 stundām, un tas tika izmērīts testa laikā, nevis novērtēts plānā. Rezerves kopiju skaits, kas pieejamas no klīnikas tīkla, tagad ir nulle. Atjaunošanas testi notiek katru mēnesi mazākā apjomā (atsevišķi faili, viens serveris), bet pilna atjaunošana tiek atkārtota reizi pusgadā.
Klīnikai tagad ir audita pārskats par katru testu: datums, atjaunotās sistēmas, ilgums, radušās problēmas. Šos pārskatus pieprasīja gan datu aizsardzības speciālists, gan apdrošinātājs, kad tika atjaunota kiberapdrošināšanas polise. Pirmajos sešos mēnešos EDR konsole divreiz apturēja aizdomīgu darbību darbinieku datoros, abas reizes inficētu e-pasta pielikumu dēļ, un neviens gadījums neaizsniedza serverus.
„Agrāk domājām, ka mums ir rezerves kopijas. Tagad zinām, ka sešu stundu laikā atkal pieņemsim pacientus.”
Ko mēs ieteiktu līdzīgā situācijā
- Rezerves kopija, ko redzat kā tīkla disku, nav aizsardzība pret izspiedējvīrusiem. Vismaz vienai kopijai jābūt nemaināmai un nepieejamai no tīkla.
- Atjaunošanas laiku nosakiet pēc uzņēmējdarbības vajadzībām: cik stundu varat strādāt bez sistēmas. No tā izriet rezerves kopēšanas biežums un krātuves izkārtojums.
- Atjaunošanu pārbaudiet regulāri un rakstiet pārskatus. Rezerves kopija bez testa ir tikai pieņēmums.
- Pēc incidenta vispirms sakopiet vidi un tikai tad pārnesiet rezerves kopijas, citādi nokopēsiet arī uzbrucēja piekļuvi.
