Ransomware залишається серйозною загрозою для компаній незалежно від їхнього розміру. Успішна атака може зашифрувати корпоративні файли, заблокувати доступ до робочих станцій і серверів, порушити роботу критичних систем або призвести до витоку конфіденційної інформації.
Тому захист від ransomware не варто зводити лише до встановлення антивірусу. Ефективна стратегія має поєднувати актуальні засоби захисту кінцевих точок, контроль доступу, багатофакторну автентифікацію, сегментацію мережі, резервне копіювання, навчання користувачів та підготовлений план реагування на інциденти.
Що таке ransomware
Ransomware — це шкідливе програмне забезпечення, яке блокує доступ до систем або шифрує файли, після чого зловмисники вимагають викуп.
Але сучасні атаки не завжди обмежуються шифруванням. Поширеною стала модель подвійного вимагання — double extortion: перед шифруванням зловмисники викрадають корпоративні дані, а потім погрожують їх оприлюднити або продати, якщо компанія не виконає вимоги.
Початковий доступ до інфраструктури може бути отриманий через фішинг, шкідливі посилання, викрадені облікові дані, вразливе або застаріле програмне забезпечення та недостатньо захищені сервіси віддаленого доступу.
Після проникнення зловмисник може намагатися отримати додаткові права, знайти важливі системи та дані, поширитися мережею і лише після цього запустити шифрування. Саме тому захист має працювати на різних етапах атаки, а не тільки в момент запуску ransomware.
Чому ransomware стало доступнішим для кіберзлочинців
Однією з причин поширення таких атак є модель Ransomware-as-a-Service — RaaS.
Вона нагадує модель SaaS, але використовується у злочинних цілях. Розробники або оператори створюють ransomware та відповідну інфраструктуру, а інші учасники — affiliates — використовують ці інструменти для проведення атак. Винагорода може розподілятися між оператором і виконавцем атаки.
У результаті для проведення ransomware-кампаній уже не обов’язково самостійно створювати складне шкідливе програмне забезпечення.
Для бізнесу це ще один аргумент на користь багаторівневого захисту: компанія має бути готовою не до однієї конкретної ransomware-родини, а до різних технік проникнення та поширення атаки.
Скільки бізнесу може коштувати ransomware-атака
Наслідки ransomware не обмежуються можливою сумою викупу.
Для компанії значно важливішими можуть виявитися:
- простій співробітників і бізнес-систем;
- недоступність серверів та корпоративних даних;
- витрати на відновлення IT-інфраструктури;
- залучення зовнішніх спеціалістів;
- розслідування інциденту;
- можливі юридичні та регуляторні дії;
- відновлення нормальної роботи бізнесу.
Тому під час оцінки доцільності захисту варто враховувати не лише вартість ліцензій, а й потенційну вартість зупинки критичних бізнес-процесів.
Для внутрішньої оцінки компанія може використовувати просту модель:
вартість простою + витрати на персонал + відновлення IT + зовнішні спеціалісти + інші витрати, пов’язані з інцидентом.
Це не універсальний калькулятор вартості ransomware-атаки, але він допомагає оцінити бізнес-ризик і порівняти його з витратами на превентивний захист.
Стратегія захисту: Prevention, Detection та Response
Ефективний захист від ransomware складається з кількох рівнів.
Prevention — зменшити ймовірність проникнення
Перший рівень — максимально скоротити кількість шляхів, якими зловмисник може потрапити до корпоративної інфраструктури.
Для цього варто поєднувати:
- багаторівневий endpoint-захист;
- своєчасне оновлення операційних систем і програм;
- багатофакторну автентифікацію;
- принцип найменших привілеїв;
- сегментацію мережі;
- обмеження непотрібного віддаленого доступу;
- захист електронної пошти;
- регулярне навчання працівників;
- аудит безпеки та підготовлений план реагування на інциденти.
Особливо важливо контролювати адміністративні права та сервіси віддаленого доступу. Наприклад, RDP варто дозволяти лише там, де він справді потрібен для роботи.
Detection — виявити атаку якомога раніше
Другий рівень — виявлення підозрілої поведінки.
Сучасний endpoint-захист може аналізувати не лише відомі сигнатури шкідливого ПЗ, а й поведінку процесів та аномальні дії в системі.
Для складніших інфраструктур можуть використовуватися EDR або XDR, які допомагають аналізувати активність, розслідувати інциденти та реагувати на них.
При цьому важливо враховувати редакцію продукту: EDR та XDR не слід вважати автоматично включеними до базової GravityZone Business Security. Доступність таких можливостей залежить від конкретного продукту та ліцензії GravityZone.
Response and Recovery — локалізувати атаку і відновитися
Якщо інцидент уже стався, головне завдання — не дозволити йому поширюватися далі.
Потрібно ізолювати уражені системи, визначити масштаб інциденту, перевірити джерело компрометації та лише після усунення загрози переходити до відновлення.
Системи слід відновлювати з чистих резервних копій і лише після того, як команда переконалася, що ransomware та пов’язані механізми компрометації усунені.
Резервні копії: правило 3-2-1
Резервне копіювання залишається одним із ключових елементів ransomware recovery.
Базове правило 3-2-1 передбачає:
- мати три копії важливих даних;
- використовувати два різні типи носіїв або сховищ;
- одну копію зберігати окремо від основної інфраструктури.
Для підвищення стійкості може використовуватися і розширений підхід 3-2-1-1-0. Він додає ще одну вимогу — мати незмінну або ізольовану копію, яку зловмисник не зможе зашифрувати чи видалити, а також регулярно перевіряти працездатність резервних копій і процесу відновлення.
Важливо: резервне копіювання не замінює endpoint-захист. Це окремий рівень стратегії, який допомагає відновитися, якщо інші захисні механізми не змогли повністю зупинити атаку.
Як Bitdefender GravityZone допомагає захищатися від ransomware
Bitdefender GravityZone використовує багаторівневий підхід до endpoint-безпеки, що включає технології запобігання, виявлення та реагування на загрози.
У GravityZone Business Security доступні, зокрема, Ransomware Mitigation, Network Attack Defense, Risk Management та централізоване керування політиками захисту. GravityZone також використовує машинне навчання та поведінковий аналіз для виявлення загроз.
Ransomware Mitigation
Одна з ключових технологій Bitdefender для протидії ransomware — Ransomware Mitigation.
Вона відстежує аномальні спроби шифрування файлів. Коли система визначає підозрілу операцію шифрування, GravityZone може створити тимчасову резервну копію цільового файлу, заблокувати шкідливий процес і відновити файли після атаки.
Bitdefender окремо зазначає, що цей механізм не покладається на Windows Volume Shadow Copy, оскільки ransomware може намагатися видаляти такі копії.
Ransomware Mitigation підтримується для Windows workstations і Windows servers та має відповідні технічні залежності від компонентів GravityZone.
Важливо також розуміти обмеження механізму. Резервні копії, створені Ransomware Mitigation для recovery, доступні обмежений період часу. Тому Ransomware Mitigation не потрібно розглядати як заміну повноцінній корпоративній системі резервного копіювання.
Network Attack Defense
Network Attack Defense аналізує вхідний, вихідний і lateral network traffic та допомагає захищатися від мережевих атак, зокрема brute-force атак, port scanning, викрадення паролів і несанкціонованого lateral movement.
Цей рівень допомагає виявляти та блокувати частину мережевої активності ще до того, як вона призведе до масштабнішого інциденту.
Risk Management
Risk Management допомагає знаходити фактори, які збільшують поверхню атаки: небезпечні налаштування систем, програмного забезпечення та ризикову поведінку користувачів.
Мета такого підходу — не лише реагувати на вже запущену атаку, а й заздалегідь зменшувати кількість слабких місць, якими може скористатися зловмисник.
EDR, XDR та ізоляція endpoint
Для компаній, яким потрібні розширені можливості розслідування та реагування, у портфелі GravityZone є рішення з EDR та XDR.
Набір функцій залежить від конкретної редакції та ліцензії, тому під час вибору рішення не варто автоматично переносити можливості Business Security Enterprise, EDR Cloud або GravityZone Defense XDR на базову GravityZone Business Security.
У відповідних конфігураціях GravityZone також доступна дія Isolate endpoint. Вона дозволяє обмежити комунікацію пристрою з мережею для стримування потенційно шкідливої активності та lateral movement.
Конкретну доступність функції необхідно перевіряти для використовуваної ліцензії, операційної системи та конфігурації модулів.
Що робити, якщо ransomware вже виявлено
1. Ізолюйте уражені пристрої
Відключіть скомпрометовані системи від мережі та інших пристроїв, щоб обмежити поширення ransomware.
2. Визначте масштаб інциденту
Перевірте, які робочі станції, сервери, облікові записи та дані могли бути скомпрометовані.
3. Збережіть інформацію для розслідування
Не поспішайте видаляти дані або перевстановлювати системи до того, як буде зібрана необхідна інформація про інцидент.
4. Перевірте облікові записи
Скомпрометовані credentials необхідно змінити, а зайві адміністративні права — прибрати.
5. Визначте джерело атаки
Перед відновленням потрібно зрозуміти, як зловмисник проник у систему і чи залишився в інфраструктурі.
6. Перевірте резервні копії
Використовуйте для recovery лише перевірені копії, які не були скомпрометовані.
7. Відновлюйте системи лише після усунення загрози
Перед поверненням систем у production необхідно переконатися, що ransomware та пов’язані механізми компрометації видалені.
8. Проведіть post-incident review
Після відновлення потрібно усунути виявлені слабкі місця, переглянути політики доступу, сегментацію, оновлення та план реагування.
Чи достатньо одного антивірусу для захисту від ransomware
Ні. Endpoint-захист є важливою частиною ransomware defense, але ефективна стратегія має бути багаторівневою.
Вона повинна поєднувати технологічний захист із:
- MFA;
- принципом найменших привілеїв;
- сегментацією мережі;
- контролем віддаленого доступу;
- оновленнями;
- захистом електронної пошти;
- резервним копіюванням;
- навчанням співробітників;
- планом реагування на інциденти.
Bitdefender GravityZone може бути одним із ключових технологічних рівнів цієї стратегії. При цьому конкретний набір можливостей — від базового endpoint protection та Ransomware Mitigation до EDR, XDR та інших функцій — потрібно підбирати відповідно до інфраструктури компанії, необхідного рівня контролю та використовуваної ліцензії.
Потрібно підібрати Bitdefender GravityZone для захисту від ransomware?
Фахівці Bitdefender допоможуть визначити вимоги до захисту, підібрати відповідну редакцію GravityZone та розрахувати необхідне ліцензування.
Залишити заявку на консультацію →