Шифрлағыштардан қорғау: серверлер мен жұмыс орындары үшін шаралар
Шифрлағыштардан қорғау: серверлер мен жұмыс станциялары үшін практикалық жоспар — hardening, құқықтарды бөлу, сақтық көшірмелерді оқшаулау және әрекет ету қадамдары.
Шифрлағыш шынайы өмірде не істейді және неге бұл маңызды
Шифрлағыш — бұл файлдарды қолжетімсіз етіп тез өзгертетін зиянды бағдарлама: файлдар жаңа кеңейтім алады, папкалар ашылмай қалады және экранда төлем талап ететін жазба шығады. Компания үшін бұл көбіне тоқтау, мерзімдерді орындамау және стресс деген сөз. Сондықтан қорғау — жай ғана «антивирусты орнату» емес, бұл басқарылатын тәуекел.
Көбінесе шабуыл қарапайым жолдардан басталады: фишинг хаттағы қоса файл, қашықтан қолжетудің ұрланған паролі (мысалы, RDP), ашық сервисдегі осалдықты пайдалану немесе зараженная флэшка. Кейін зиянкес желіде бекітіліп, құқықтарын көтеріп, ең ауыр нысандарға жетуге тырысады.
Жұмыс орындары да, серверлер де зардап шегеді, себебі олар ортақ есептік жазбалармен, желілік дискілермен және әкімшілік құқықтармен байланысты. Қызметкердің зақымдалған ноутбугы бірнеше минут ішінде ортақ файл ресурсын шифрлап, содан кейін серверлерге — дерекқорлар, виртуалды дискілер немесе архивтерге — жұғуы мүмкін.
Көбіне қауіпке тап болатындар — ортақ папкалар мен желілік дискілер, базалар (мысалы, 1С және салалық жүйелер), виртуалды машиналардың сақтаулары, сату, заң бөлімі және кадрлар құжаттары. Ерекше қауіп — егер сақтық көшірмелер желіде кәдімгі шара ретінде қолжетімді болса.
Үш нәрсеге дайын болыңыз: процестердің мәжбүрлі тоқтауы, төлем талаптары арқылы қысым және ұзақ қалпына келтіру. Тіпті деректер қалпына келтірілсе де сенім, есеп беру және бедел мәселелері қалады. Осы сценарийді ерте ойша өткізу арқылы зиянды шектеуге болатын нақты шараларды таңдау оңайырақ болады.
Қайдан бастау: жылдам аудит және екі аптадағы басымдықтар
Шаралар әсер етуі үшін жаңа бағдарламалық жасақтаманы сатып алудан бастамаңыз — алдымен не бар екенін және қандай деректер критикалық екенін анықтаңыз. Екі аптадағы міндет — «жаппай шифрлаудың» ең жиі себептерін жою және негізгі ережелерді бекіту.
Қысқа инвентаризация жасаңыз: серверлер мен жұмыс орындары, олардың рөлдері (файл сервері, 1С, пошта, домен контроллері, терминалдық сервер) және компанияның «ертеңгі күні» жұмысын жалғастыру үшін не қажет. Қарапайым тізім жеткілікті, бірақ жүйе иесі мен байланыс деректері болуы тиіс.
Содан кейін «деректер картасын» жасаңыз: маңызды файлдар қайда сақталады (ортақ папкалар, желілік дискілер, бұлт, жергілікті каталогтар), оларды кім және қалай пайдаланады. Көбінесе бір ортақ ресурс «бәріне жазу» үшін ашық болып шығады — сол жерде ең үлкен зиян болады.
Алдағы 2 аптада назарды мына қарапайым нәрселерге аударыңыз:
- ОС және ПО жаңартулары бойынша бірыңғай саясат. Қолданушылар «қандай да болсын» жаңартуды орната алмайды.
- Минимальді сегментация: пайдаланушылар, серверлер, әкімшілік жұмыс орындары, бэкапы — әрқайсысының бөлек рұқсаттары және мүмкін болса бөлек желілері.
- Есептік жазбалар мен құқықтар: ортақ есептерді және тым кең құқықтарды шағын критикалық ресурстардан алып тастау.
- Негізгі журналдар: кірулер, құқықтардың өзгерісі, файлдармен жаппай әрекеттер.
- Жауапты тұлғалар: кім жаңартуларды орнатады, кім журналдарды қарайды, кім жабуға шешім қабылдайды.
Практикалық мысал: бухгалтерия ортақ дискіні пайдаланады, ал ИТ‑админ «барлығына әмірші» есептік жазбамен сол жерге кіреді. Егер бухгалтердің ПК‑сы жұқтырса, зиянкес максималды қолжетімділік алады. Екі апта әдетте осы қауіптен шығуға жеткілікті: құқықтарды тарылту, әкімшілік пен пайдаланушылық жұмыс орнын бөліп алу, барлық құрылғыларда жаңартуларды орнату.
Серверлерді hardening жасау: минималды жиынтық
Серверлер зиянкес үшін мақсаты өздері емес, олардың арқасында ортақ папкаларға, бэкаптарға, есептік жазбаларға және доменге өту ыңғайлы болғандықтан тартымды. Негізгі қағида — жұмысқа қажет болған нәрсені ғана қалдыру және қалғанын жабу.
«Қажетсізді алып тастаудан» бастаңыз: қажетсіз қызметтер мен ролдерді өшіріңіз, хосттағы және брандмауэрдағы пайдаланылмайтын порттарды жабыңыз, қонақтық шары мен анонимді қолжетімділікті алып тастаңыз. Ескі протоколдардан (мысалы, SMBv1) бас тарту және әкімшілік интерфейстерге пайдаланушы сегменттерінен тікелей қолжетімділікті тоқтату жиі тез нәтиже береді.
Әрі қарай — жаңартуларды кестеге енгізу. «Кейін бірде» емес, ОС пен негізгі ПО үшін бекітілген жаңарту терезелерін орнатыңыз (қашықтан қатынау, веб‑сервистер, VPN, басқару агенттері). Шифрлағыштар жиі бұрын жабылған осалдықтарды ғана пайдаланады, себебі олар патчтар орнатылмаған жүйелерде қалады.
Үшінші бөлім — қорғау құралдарын қорғау. Антивирустың/EDR‑дің өшірілуіне қарсы қорғауды (tamper protection) қосыңыз, қауіпсіздік қызметтерін тоқтату құқықтарын шектеңіз және олардың өшіру әрекеттері туралы хабарландыру орнатыңыз.
Бастапқы әсер беретін конфигурациялар минимумы:
- Скрипттерді шектеу: PowerShell/WSH үшін қатаң саясаттар, уақытша қалталардан іске қосуды тыйым салу;
- Макростар қатерін азайту: интернеттен келген макростарға тыйым салу, тек қолтаңбалы макростарға ғана рұқсат беру қажет жерде;
- Құпиясөздер мен кіруді күшейту: ұзын талаптар, бірнеше сәтсіз әрекеттен кейін блоктау;
- Қашықтан қатынауды қорғау: админдер үшін MFA, RDP‑ні мекенжайлар/топтар бойынша шектеу, бөлек админ есептік жазбалар;
- «Ортақ» құқықтарды алып тастаңыз: сервистік аккаунттарға тек қажетті рұқсаттар беріледі.
Мысал: «Обмен» атты ортақ папкасы бар файл серверінде қонақтық қолжетімділік және кең жазу құқықтары болса, бір жұқтырған ПК бәрін тез шифрлайды. Қонақтық шары жойылған, құқықтар бөлінген және скрипттерге тыйым салынса, шабуыл көбіне тек бір жұмыс станциясына шектеледі.
Жұмыс орындарын hardening: жұқтыру мүмкіндігін шектеу
Жұмыс орны — әдетте кіріс нүктесі: қоса файл, «шот» архивінде, жалған кіру беті немесе кездейсоқ орнатылған «кодек». ПК‑да зиянды кодтың орнығуын және іске қосылуын қиындататын негізгі шектеулер маңызды.
Бірінші ереже: қарапайым пайдаланушы жергілікті әкімші болмауы тиіс. Қызметкер драйвер орната алса және жүйелік параметрлерді өзгерте алса, сол құқықтарды шифрлағыш та алады. Сирек тапсырмалар үшін бөлек әкімші есептік жазбаны немесе уақытша құқықты өтініш арқылы пайдаланыңыз.
Екінші қадам — бағдарламаларды орнатуды шектеу. Көп компанияда қарапайым тәсіл: стандартты қосымшалар мен қолтаңбаланған жаңартулар рұқсат етіледі, қалғандары тек мақұлданғаннан кейін. Бұл кездейсоқ орнатулар санын күрт азайтады.
Офис пен поштаға бөлек назар аударыңыз. Ең жиі жолдар — макростар мен қоса файлдар. Пайдалы минимум:
- Макростар әдепкі бойынша өшірілген; іске қосу — тек сенімді құжаттар үшін.
- Интернеттен келген қоса файлдар қорғалған режимде ашылады, архивтер мен орындалатын файлдар блокталуы мүмкін.
- Браузер мен офис пакеті автоматты түрде жаңартылсын.
- Ноутбуктерде толық диск шифрлануы қосылған және кіру күрделі парольмен, мүмкін болса MFA‑мен қорғалған.
- Есептік жазбалар күдікті кірулер мен пароль күру жағдайында блокталу саясатына байлансын.
Простой мысал: қызметкер қоса файлды ашты, зиянкес «қызмет» орнатып, тарала бастады. Егер әкімші құқықтары жоқ болса және белгісіз файлдарды іске қосудың алдын алу болса, шабуыл көбіне сол ПК‑да тоқтайды, ортақ папкаларға жете алмайды.
Құқықтарды бөлу: шифрлағыштың таралуына жол бермеу
Шифрлағыш көбіне қарапайым пайдаланушы құқықтарынан бастайды, сосын құқықтарды арттыруға тырысады: паролдерді ұрлайды, ортақ папкаларға кіріп, серверлерге жетеді. Құқықтарды бөлу — ең тиімді шаралардың бірі: жұқтыруды болдырмау кепілдігін бермесе де, зиянның ауқымын қатты азайтады.
Қарапайым қағида: әр адамға күнделікті жұмыс үшін қажет нәрсеге ғана қолжетімділік беріңіз. Егер бухгалтерге айына бір рет есеп папкасына кіру керек болса, оған толық файл ресурсына рұқсат беру себеп емес.
Әкімшілерге бөлек тақырып: екі есептік жазба болуы керек — біреуі әдеттегі (пошта, браузер, құжаттар), екіншісі әкімшілік (тек әкімшілік жұмыстары үшін). Әкімшілік есептік жазбамен әдеттегі ПК‑ға кіруге болмайды. Жиі кездесетін тізбек: админ жұқтырған ПК‑ға кіріп, содан кейін зиянкес домендегі кілттерді алады.
Файлдар мен ортақ папкалардағы құқықтарды ретке келтіру: Everyone және кең топтарды алып тастаңыз, анық рөлдерді (оқу, өзгерту) және иелерді қалдырыңыз. Алдын ала критикалық папкаларды белгілеп, жазу құқығын тек шектеулі топқа ғана беру пайдалы.
Қадам бойынша бастау үшін:
- Бөлек админ шоттарды енгізіңіз және оларды күнделікті жұмысқа қолдануға тыйым салыңыз.
- Админдардың жұмыс станцияларында интерактивті кіруді шектеңіз, қажет болмаса.
- Ортақ папкалардағы құқықтарды қайта қарап, «кең» рұқсаттарды алып тастаңыз.
- ПК‑ларда жергілікті әкімші құқықтарын шектеңіз.
- Мүмкін жерде VPN, пошта, әкімшілік панельдер үшін MFA қосыңыз.
Егер сырттан жүйелік интегратор немесе ішкі ИБ командасы бар болса, ережелерді қысқа регламентпен бекітіп, пилот топта тексеріп көріңіз.
FAQ
Шифрлағыш не істейді және бизнеске неге қатты зиян келтіреді?
Шифрлағыш компьютердегі және қолжетімді желілік ресурстардағы (ортақ папкалар, желілік дискілер) файлдарды шифрлап, кеңейтімдерін өзгертеді және жиі төлем талап ететін хабар қалдырады. Маңыздысы - ол сіздің құқықтарыңызды пайдаланады: егер пайдаланушыда ортақ ресурсқа жазу құқығы болса, зиянкестер сол ресурсты да шифрлайды.
Қайдан әдетте жұқтыру басталады?
Ең жиі жолдар: - фишингтік хаттағы қоса файл немесе сілтеме; - ұрланған қашықтан қатынау паролі (көбіне RDP/VPN); - ашық сервистегі осалдықты пайдалану; - ингалған USB-флэшка немесе белгісіз бағдарламаны орнату. Көбіне одан әрі желіде тұрақтап, құқықтарды көтеру әрекеттері басталады және серверлер мен бэкаптарға жетуге тырысады.
С чего начать за первые 1–2 недели, если времени мало?
Бастапқыда қысқа инвентаризация жасаңыз: қандай серверлер мен жұмыс орындары бар, олардың рөлі (файл сервер, 1С, пошта, домен контроллері, терминалдық сервер) және компанияға «ертең» жұмысын жалғастыру үшін не қажет. Бұл үшін жүйе иесі мен байланыс ақпараттары бар қарапайым тізім жеткілікті. Параллель «деректер картасын» жасаңыз: маңызды файлдар қайда орналасқан (ортақ папкалар, желілік дискілер, бұлт, жергілікті каталогтар), кім және қалай оларға қатынасады. Көп жағдайда бір ортақ ресурс «бәріне жазу» үшін ашық болады, және дәл сол жерде ең үлкен шығын пайда болады.
Какие настройки hardening серверов важнее всего?
Ең көп әсер беретін минимум: - қажетсіз қызметтер/ролдерді ажырату және пайдаланылмаған порттарды жабу; - қонақтық (guest) шары мен анонимді қолжетімділікті алып тастау, ескі протоколдардан (мысалы, SMBv1) бас тарту; - ОС пен негізгі ПО үшін бекітілген жаңарту терезелерін белгілеу; - қорғаныс құралдарының өшірілуіне қарсы қорғауды қосу және өшіру әрекеттері туралы хабарландырулар орнату; - әкімшілік интерфейстерге пайдаланушы желілерінен тікелей қолжетімділікті шектеу. Мақсаты — бір компрометацияланған ПК арқылы барлық файл ресурстары мен доменге «коридор» пайда болмайтындай ету.
Что на рабочих местах реально снижает шанс заражения?
Екі негізгі ереже: - пайдаланушылар жергілікті әкімші болмауға тиіс; - бағдарламаларды орнатуға шектеу қойылсын (рұқсат етілген қосымшалар және цифрлы қолтаңбасы бар жаңартулар ғана). Қосымша тиімді шаралар: - интернеттен келген макростарды өшіру және сенімді құжаттар үшін ғана рұқсат ету; - уақытша қалталардан және профильден файлдарды іске қосуды шектеу; - шолғыш пен офис пакетінің автоматты жаңартылуы; - ноутбуктерде толық диск шифрлануын қосу және кіруді күрделі парольмен немесе мүмкін болса MFA арқылы қорғау.
Как раздельные права помогают остановить массовое шифрование?
Принцип — қажеттілік бойынша қолжетімділік: - Everyone және кең топтарды жою; - рұқсаттарды (оқу/өңдеу) және деректер иелерін анықтау; - әкімшілік және әдеттегі есептік жазбаларды бөлу (әдеттегі — пошта/браузер, әкімші — тек әкімшілік); - әкімшілердің күнделікті жұмыста әкімші шотын қолданбауы. Сондай-ақ, админ шоттардың интерактивті кіруін шектеу және ортақ папкалардағы «кең» рұқсаттарды қайта қарау маңызды.
Как быстро улучшить сеть и удаленный доступ, чтобы атака не разошлась?
Желілерді бөліп, қатаң рұқсаттар қою арқылы зиянкес серверлер мен бэкаптарға тез жете алмайды. Практика: - қолданушылар және Wi‑Fi бір сегментте, серверлер мен әкімшілік қызметтер басқа сегментте болсын; - сегменттер арасында тек нақты қажет порттар мен қызметтерге рұқсат беріңіз; - әкімшілік үшін jump-сервер немесе бөлек әкімшілік контур құрыңыз (админдер пайдаланушы жұмыс станцияларынан тікелей серверге тікелемейтін болсын); - RDP тек VPN арқылы және нақты топтарға ғана ашық болсын, аудит жүргізілсін және IP‑тер бойынша ақ тізім қолданылса жақсы. Осылайша пайдаланушы ПК жұқтырған жағдайда зиянкес серверлерге оңай көшеді деп қорықпайсыз.
Как правильно изолировать бэкапы, чтобы их не зашифровали вместе со всем?
Негізгі қағида — бэкаптарды жұмыс деректерімен бірдей рұқсатпен қолжетімді етпеңіз. Практикалық минимум: - 3-2-1 қағидаты: бірнеше көшірме, түрлі сақтау типтері, бір көшірме доменнен/желіден тыс; - бэкап жүйесінің өз сервистік пайдаланушысы болсын (доментік админ құқықтарсыз), мүмкін болса MFA қосу; - иммутабелділік мүмкіндігін қолдану (WORM, immutable bucket, қорғалған снапшоттар) — бэкапты белгілі мерзімге өшіруге/жоюға болмайтын режим; - қалпына келтіру тексерістері: апта сайын таңдамалы файлдарды қалпына келтіру, ай сайын виртуалды машина/серверді оқшауланған ортада қалпына келтіру, тоқсан сайын критикалық қызметтерді «нөлден» тестілеу. Өйткені «backup successful» белгісі ғана жеткіліксіз — сіз шынайы түрде қалпына келтіруді растай алуыңыз керек.
Какие логи и события помогут заметить атаку раньше?
Неғұрлым ерте байқастыру үшін мына әрекеттерді қадағалаңыз: - көп рет сәтсіз аяқталған немесе белгісіз жерден кіру әрекеттері (түнгі уақытта, жаңа құрылғылардан); - админ топтарға қолданушыларды қосу және желілік ресурс рұқсаттарын өзгерту; - антивирус/EDR немесе жаңарту қызметтерін өшіруге әрекеттер; - ортақ шарларда файлдарды жаппай қайта атау немесе қайта жазу; - уақытша қалталар мен пайдаланушы профильдерінен белгісіз орындалатын файлдарды іске қосу. Хабарландырулар жалпы почтаға емес, нақты адамдарға жіберілуі тиіс, ал логтар бөлек жинақтау серверіне бағытталса, оларды тазалау қиынырақ болады.
Что делать в первые 4 часа, если шифрование уже началось?
1) Изоляция: күдікті ПК/сервердің желісін ажыратыңыз (кабель/Wi‑Fi), қуатты сөндірмеңіз, егер ешқандай қауіп жоқ болса. 2) Таралуын тоқтату: ортақ папкаларға уақытша қолжетімділікті жабу, маппингтерді алып тастау. 3) Есептік жазбаны бұғаттау: шифрлау жүргізіліп жатқан аккаунтты бұғаттап, паролін өзгертіңіз; егер бұл админ аккаунты болса, жағдай критикалық деп есептеледі. 4) Дәлелдерді сақтау: журналдар, процестер тізімі, белсенді қосылымдар, мүмкін болса диск образын немесе виртуалды машина снапшотын алу. 5) Бэкаптарды тексеру: олардың шынымен сақталғанын тексеріп, қалпына келтіру үшін уақыт нүктесін таңдау. 6) Қалпына келтіруді басымдық бойынша жүргізу: алдымен домен қызметтері, сосын критикалық файл ресурстар мен қызметтер, кейін жұмыс орындары. Қайта қосқанға дейін паролдерді жаңарту, рұқсаттарды тексеру және іске қосу бақылауын күшейту қажет.