მთავარი დასკვნა
გამოსასყიდის მომთხოვნი პროგრამებისთვის მზადყოფნას პროგრამის დაყენებაზე მეტი სჭირდება: განახლებული სისტემები, შეზღუდული ადმინისტრაციული პრივილეგიები, მომზადებული თანამშრომლები, ქსელის სეგმენტაცია და შემოწმებული აღდგენის ასლები ერთად უნდა მუშაობდეს.
რას აკეთებს გამოსასყიდის მომთხოვნი პროგრამა
გამოსასყიდის მომთხოვნი პროგრამა მონაცემებზე ან მოწყობილობაზე წვდომას ზღუდავს და აღსადგენად გადახდას ითხოვს. მას შეუძლია ფაილების დაშიფვრა ან მოწყობილობის დაბლოკვა; ზოგი შეტევა მონაცემებსაც იპარავს და გამჟღავნებით იმუქრება. ამას შეიძლება შეფერხება, აღდგენის ხარჯები და ნდობის დაკარგვა მოჰყვეს: მაგალითად, მიუწვდომელი პაციენტის ჩანაწერები ჯანდაცვის ორგანიზაციის უწყვეტობაზე შეიძლება მოქმედებდეს. გადახდა არც აღდგენას იძლევა გარანტიად და არც მოპარული ასლების წაშლას. პასუხისმგებელი გადაწყვეტილების მიმღებები ინციდენტის პროცედურებს მიჰყვებიან და შესაბამის რჩევას იღებენ.
გამოსასყიდის მომთხოვნი პროგრამების ისტორიის ეტაპები
გამოსასყიდის მომთხოვნი პროგრამების ისტორია ტექნიკებისა და დანაშაულებრივი ბიზნესმოდელების ცვლილებას აჩვენებს. RaaS‑ში მავნე პროგრამისა და ინფრასტრუქტურის მომწოდებლებსა და თავდამსხმელ პარტნიორებს როლებისა და შემოსავლების გაყოფა შეუძლიათ; სავალდებულო ჯაჭვი არ არსებობს. REvil პარტნიორული მოდელის ისტორიული მაგალითია.
1989 · AIDS Trojan
1989 წლის AIDS Trojan წვდომას ბლოკავდა და პანამაში კომპანიისთვის US$189‑ის გაგზავნას ითხოვდა. მისმა სუსტმა დაშიფვრამ უფასო აღდგენის ხელსაწყოები განაპირობა. ეს ადრეული მაგალითი თანამედროვე შეტევებისთვის აღდგენის პერსპექტივას არ განსაზღვრავს.
Gpcode და Archiveus
Gpcode და Archiveus ფაილებზე წვდომისთვის გადახდის მომთხოვნი მავნე პროგრამების ადრეული მაგალითებია. Gpcode‑ის ზოგი ვარიანტი RSA‑ს იყენებდა. მკვლევრებმა კონკრეტული ვარიანტებისთვის გაშიფვრის მეთოდები შექმნეს; აღდგენა ვარიანტსა და დაშიფვრის დანერგვაზე იყო დამოკიდებული.
2010-იანი წლების დასაწყისი · ციფრული გადახდები
ზოგმა ჯგუფმა კრიპტოვალუტის მიღება დაიწყო. მოთხოვნები წინასწარ გადახდილ სერვისებს, Western Union‑სა და სასაჩუქრე ბარათებსაც იყენებდა. გადახდის მეთოდები ჯგუფისა და კამპანიის მიხედვით იცვლებოდა; კრიპტოვალუტა კვალის მიდევნებას შეუძლებელს არ ხდის. ჩამკეტ მავნე პროგრამას ეკრანზე ან მოწყობილობაზე წვდომის უარყოფა ფაილების დაშიფვრის გარეშეც შეუძლია.
2017 · Petya/NotPetya
2017 წლის Petya/NotPetya მოვლენებმა განახლებებისა და აღდგენისთვის მზადების მნიშვნელობა გამოკვეთა. Europol‑ის იმდროინდელი Petya მითითებები განახლებების დაყენებას, სარეზერვო ასლების შენახვას, ინფიცირებული მოწყობილობების ქსელიდან გათიშვასა და ინციდენტების შეტყობინებას უსვამდა ხაზს.
2019 წლიდან · REvil და სერვისის მოდელები
REvil 2019 წელს გამოჩნდა და Ransomware-as-a-Service მოდელს იყენებდა. მავნე პროგრამისა და ინფრასტრუქტურის მომწოდებლები ამარაგებდნენ პარტნიორებს, რომლებიც შეტევებს ახორციელებდნენ. ეს განაწილება განვითარებასა და პლატფორმის ოპერირებას შეტევების განხორციელების სამუშაოსგან მიჯნავდა.
2021 · საერთაშორისო რეაგირება
2021 წლის 13–14 ოქტომბერს 30‑ზე მეტი ქვეყნისა და ევროკავშირის წარმომადგენლები Counter-Ransomware Initiative შეხვედრას შეუერთდნენ თანამშრომლობის, მდგრადობისა და გამოსასყიდის მომთხოვნი პროგრამების შეფერხების განსახილველად. მოვლენა კოორდინირებული რეაგირების როლს აჩვენებს.
გაიგეთ წვდომის გზები და რისკფაქტორები
შეტევა შეიძლება ფიშინგით, არასანდო ჩამოტვირთვით, მოპარული ავტორიზაციის მონაცემებით, დაუპატჩავი პროგრამით ან ინტერნეტიდან ხელმისაწვდომი სისტემით დაიწყოს. ძველი მოწყობილობა დაუცველობას ზრდის, როცა მხარდაჭერის ან პატჩების გარეშეა; მხოლოდ ასაკი დაუცველობას არ ამტკიცებს. შეუმოწმებელმა სარეზერვო ასლებმა და მოუმზადებელმა გუნდმა აღდგენა შეიძლება გაართულოს. ანგარიშები, ელფოსტა, ღია სერვისები და მომწოდებლის კავშირები ცალკე გადახედეთ.
აღდგენადი სარეზერვო ასლები
კრიტიკული მონაცემების სარეზერვო ასლები რეგულარულად შექმენით. ქსელისგან განცალკევებული ასლი და უცვლელი საცავი სხვადასხვა რისკს პასუხობს და ყველა გარემოში ურთიერთჩანაცვლებადი არ არის. სიხშირე და შენახვის ვადა მონაცემთა ასატანი დანაკარგის, გათიშვის დროისა და მოქმედი მოთხოვნების მიხედვით განსაზღვრეთ. აღდგენისას შეამოწმეთ ფაილები, ანგარიშები, აპლიკაციები და დამოკიდებულებები და ასლის სისუფთავე ცალკე გადაამოწმეთ; მხოლოდ ფაილის გახსნა ამას არ ამტკიცებს.
მართეთ წვდომა, განახლებები და მომხმარებლის მზადყოფნა
ოპერაციულ სისტემებს, ბრაუზერებს, აპლიკაციებსა და მოწყობილობის ჩაშენებულ პროგრამას პატჩები დროულად დაუყენეთ. შეზღუდეთ ადმინისტრაციული პრივილეგიების ყოველდღიური გამოყენება, როლის მიხედვით გამოიყენეთ მრავალფაქტორიანი ავთენტიფიკაცია და მინიმალური პრივილეგიები და გამოუყენებელი ანგარიშები გათიშეთ. თანამშრომლებს ასწავლეთ საეჭვო შეტყობინებების გადამოწმება, მოულოდნელი ფაილების თავიდან აცილება და ინციდენტების სწრაფად შეტყობინება. კრიტიკული სისტემების გარშემო ქსელები დაყავით, რათა ერთ მოწყობილობაზე პრობლემა სხვა არეებში მარტივად ვერ გავრცელდეს.
რეაგირების მიმდევრობა ინციდენტის დროს
გეგმამ უნდა დაასახელოს ინციდენტის ხელმძღვანელი, როლები, კომუნიკაცია, მტკიცებულებების დამუშავება და აღდგენის კრიტერიუმები. სწრაფად შეატყობინეთ და დაიწყეთ ნებადართული შეკავება, ხოლო მასშტაბის შეფასება მთელი რეაგირების განმავლობაში გააგრძელეთ. შეტყობინების საჭიროებების შეფასება ადრევე დაიწყეთ. ინციდენტის ხელმძღვანელი ქმედებებს უსაფრთხოების, კრიტიკული სერვისებისა და მტკიცებულებების შენარჩუნების მიხედვით ალაგებს.
შეატყობინეთ და დაადგინეთ მასშტაბი
IT‑სა და რეაგირების გუნდს სწრაფად შეატყობინეთ. დაიწყეთ დაზიანებული მოწყობილობების, ანგარიშების, მონაცემებისა და სერვისების ინვენტარი; შეინახეთ დროის ნიშნულები და მოვლენათა ჩანაწერები და საეჭვო მოწყობილობებზე არასაჭირო ცვლილებებს მოერიდეთ. გამოკვლევის გაგრძელებისას მასშტაბი განაახლეთ.
შეაკავეთ გავრცელება
ინციდენტის ხელმძღვანელის მითითებით გათიშეთ მოწყობილობა ან შეზღუდეთ დაზიანებული სეგმენტი. გაითვალისწინეთ კრიტიკული სერვისის უსაფრთხოება, გამოკვლევის წვდომა და შესაბამისი მტკიცებულებები. თუ ავტორიზაციის მონაცემები შეიძლება მოპარული იყოს, გააუქმეთ წვდომა და პაროლები სანდო მოწყობილობიდან შეცვალეთ.
შეინახეთ ციფრული მტკიცებულებები
უფლებამოსილი სპეციალისტები აგროვებენ შესაბამის სისტემურ იმიჯებს, მეხსიერების მონაცემებსა და უსაფრთხოებისა და ქსელის ჟურნალებს. გამორთვამ მეხსიერებაში მტკიცებულებები შეიძლება გაანადგუროს. თუ ქსელიდან გათიშვა შეუძლებელია, ინციდენტის ხელმძღვანელი გავრცელების შესაზღუდად გამორთვას განიხილავს, კრიტიკული სერვისის უსაფრთხოების გათვალისწინებით.
აღმოფხვერით და გადაამოწმეთ აღდგენა
აღმოფხვერით შესვლისა და მდგრადი დამკვიდრების მექანიზმები, შემდეგ შეაფასეთ გაწმენდა ან თავიდან აწყობა. სუფთა გარემოში აღადგინეთ გადამოწმებული სუფთა სარეზერვო ასლიდან ან დამტკიცებული იმიჯიდან. კონტროლირებად ხელახლა დაკავშირებამდე გადაამოწმეთ მონაცემები, აპლიკაციები და სერვისები.
გადახედეთ და დაასრულეთ შეტყობინებები
აღწერეთ ქრონოლოგია და ქმედებები, დაასრულეთ ადრე დაწყებული შეტყობინების საჭიროების შეფასება და შიდა პროცედურებით აუცილებელ მხარეებს დაუკავშირდით. სარეზერვო ასლებისა და რეაგირების გეგმის გაუმჯობესებებს პასუხისმგებელი პირები და ვადები მიუჩინეთ.
მრავალფენიანი დაცვა და სავარჯიშოები
ელფოსტისა და ვების ფილტრაცია, მავნე პროგრამების საწინააღმდეგო ხელსაწყოები, შეჭრის აღმოჩენა, ბოლო მოწყობილობების მონიტორინგი, იდენტობის კონტროლი და სარეზერვო ასლები სხვადასხვა რისკს ამცირებს. EDR‑ს შეუძლია საეჭვო აქტივობის გამოვლენა და გამოკვლევისა და იზოლაციის კონტექსტის მიწოდება, თუმცა ყველა კონტროლს ვერ ცვლის. ჩაატარეთ მაგიდის გარშემო სცენარული სავარჯიშო კომუნიკაციის, გადაწყვეტილებების, მოწყობილობის იზოლაციისა და აღდგენის დასაფარად, შემდეგ ხარვეზებს პასუხისმგებელი პირები და ვადები მიუჩინეთ.