მთავარი დასკვნა
ინციდენტი მხოლოდ გამოსასყიდის წერილით არ დაახარისხოთ. რეაგირების გუნდთან დაადგინეთ, რომელი მონაცემები დაშიფრეს ან მოიპარეს, დაზიანდა თუ არა ანგარიშები და სისტემები და მოიცავს თუ არა მუქარა გამოქვეყნებას, მესამე მხარეებზე ზეწოლას ან სერვისის შეფერხებას.
ძირითადი ტიპები და გადაფარული კატეგორიები
გამოსასყიდის მომთხოვნი პროგრამა ხშირად ფაილებს დაშიფვრით მიუწვდომელს ხდის ან მოწყობილობაზე წვდომას ბლოკავს. ზოგი ინციდენტი ზეწოლის ცალკე წყაროდ მონაცემთა ქურდობას ამატებს. კატეგორიები შეიძლება გადაიფაროს: „მობილური“ სამიზნე პლატფორმას აღწერს, სერვისის მოდელი კი — დამნაშავეთა შორის სამუშაოს განაწილებას.
ფაილების დამშიფრავები
ფაილების დამშიფრავმა შეიძლება მოწყობილობასა და ხელმისაწვდომ ქსელურ საერთო საქაღალდეებში ფაილები დაშიფროს, შემდეგ გაშიფვრისთვის ან წვდომის აღდგენისთვის გადახდა მოითხოვოს. შეიძლება სიმეტრიული და ასიმეტრიული კრიპტოგრაფია გაერთიანდეს; ეს უბრალოდ პაროლით ჩაკეტვა არ არის.
მოწყობილობისა და ეკრანის ჩამკეტები
ჩამკეტმა შეიძლება ეკრანზე, ანგარიშზე ან მოწყობილობაზე წვდომა უარყოს და გადახდა მოითხოვოს. ფაილები აუცილებლად დაშიფრული არ არის. გამოძალვითი ჩაკეტვა ჩვეულებრივი ანგარიშის დაბლოკვისგან გამიჯნეთ და დაადგინეთ, რომელ წვდომაზე იყო უარი.
Doxware და leakware
Leakware‑ის ან doxware‑ის დროს დამნაშავეები მოპარული მგრძნობიარე მონაცემების გამოქვეყნებით ან გაზიარებით შეიძლება იმუქრებოდნენ. დაშიფვრის გარეშეც ამას შეიძლება ცალკე გამოკვლევა, დარღვევის შეფასება და მოქმედი შეტყობინების პროცედურების გადახედვა სჭირდებოდეს.
მობილური გამოსასყიდის მომთხოვნი პროგრამა
მობილურმა გამოსასყიდის მომთხოვნმა პროგრამამ მონაცემებზე ან ანგარიშზე წვდომა შეიძლება შეზღუდოს ან ეკრანი დაბლოკოს. შესაძლებლობები მობილური ოპერაციული სისტემისა და აპლიკაციის უფლებების მიხედვით იცვლება; ყველა ტელეფონზე ერთნაირ ქცევას ნუ ივარაუდებთ. ანგარიშებისთვის, ავთენტიფიკაციის აპლიკაციებისა და სამუშაო მონაცემებისთვის ცალკე აღდგენა დაგეგმეთ.
ოჯახი, მიწოდება, ბიზნესმოდელი და გავლენა
„უფაილო“, „მობილური“ და „RaaS“ კლასიფიკაციის სხვადასხვა დონეს აღნიშნავს. ზუსტი აღწერა ცალკე განსაზღვრავს მონაწილე პროგრამას, წვდომის მიღების გზას, დამნაშავეთა თანამშრომლობასა და მსხვერპლზე ზეწოლისთვის გამოყენებულ მუქარას.
მიწოდებისა და შესრულების გზა
წვდომა შეიძლება ფიშინგით, მავნე საიტით ან ჩამოტვირთვით, მოპარული ავტორიზაციის მონაცემებით, ღია RDP‑ით ან ექსპლუატირებადი მოწყვლადობით მიიღონ. ღია RDP წვდომის რისკია და არა ავტომატურად ექსპლუატირებადი ხარვეზი. PowerShell‑ის მსგავს ლეგიტიმურ ხელსაწყოებს მავნე კოდის მეხსიერებაში გაშვება, მაგრამ ფაილზე დაფუძნებული დატვირთვების გაშვებაც შეუძლია; მხოლოდ PowerShell‑ის გამოყენება შეტევას უფაილოდ არ აქცევს.
გამოსასყიდის მომთხოვნი პროგრამა სერვისის სახით (RaaS)
RaaS დანაშაულებრივი სერვისის მოდელია: მავნე პროგრამისა და ინფრასტრუქტურის მომწოდებლები შეიძლება თავდამსხმელი პარტნიორებისგან ცალკე იყვნენ, როლები და შემოსავლები კი შეთანხმებით ნაწილდებოდეს. ის ფაილის ტიპი ან შეტევის ტექნიკური მეთოდი არ არის.
დაშიფვრა ან მონაცემთა ქურდობა
დაშიფვრა ფაილებსა და სისტემებზე წვდომას აფერხებს. ქურდობა გამჟღავნების მუქარით დაშიფვრის გარეშეც შეიძლება მოხდეს; მას ავტომატურად ფაილების დამშიფრავი გამოსასყიდის შეტევა არ უწოდოთ. მხოლოდ მოთხოვნის ტექსტზე დაყრდნობის ნაცვლად დადასტურებული მექანიზმი და მონაცემთა მოძრაობა ცალკე აღრიცხეთ.
შეტევის ტიპური მიმდევრობა
ყველა ინციდენტი ერთსა და იმავე მიმდევრობას არ მიჰყვება. პირველადი წვდომის შემდეგ თავდამსხმელმა შეიძლება ანგარიშები, ქსელური კავშირები და ფაილები შეამოწმოს, მონაცემები მოიპაროს, სისტემებსა და სარეზერვო ასლებს დაუმიზნოს, შემდეგ დაშიფროს ან მსხვერპლს დაემუქროს. ამ ეტაპების ჩანაწერები ქრონოლოგიის აღდგენასა და მასშტაბის დადგენას ეხმარება.
პირველადი წვდომა
შეიძლება მონაწილეობდეს ფიშინგის ბმული ან დანართი, მავნე საიტი, მოპარული ავტორიზაციის მონაცემი, ღია სერვისი ან სხვა წვდომის გზა. ცალკე შეამოწმეთ RDP‑ის დაცვა ორგანიზაციის დისტანციური წვდომის პოლიტიკის მიხედვით.
აღმოჩენა და ანგარიშის კომპრომეტაცია
წვდომის შემდეგ დამნაშავეებმა შეიძლება მომხმარებლები, მოწყობილობები, საერთო საქაღალდეები, ქსელური კავშირები და უსაფრთხოების ხელსაწყოები შეამოწმონ. საეჭვო ანგარიშები და პროცესები სხვა მოწყობილობების მოვლენებს შეაჯერეთ.
ფაილების აღმოჩენა და მონაცემთა გატანა
თავდამსხმელმა შეიძლება მნიშვნელოვანი საქაღალდეები და ქსელური რესურსები მოძებნოს, შემდეგ მონაცემები დაარქივოს და სისტემიდან გაიტანოს. ამ ეტაპზე დაშიფვრა შეიძლება არ მოხდეს; უსაფრთხოების, იურიდიულმა და კონფიდენციალურობის გუნდებმა მონაცემთა დაცვისა და შეტყობინების საჭიროებები ერთად უნდა შეაფასონ.
დაშიფვრა, ჩაკეტვა და მოთხოვნა
ფაილები შეიძლება დაშიფრდეს, ეკრანი ან მოწყობილობა ჩაიკეტოს და გამოსასყიდის წერილი დარჩეს. თუ მოთხოვნა მოპარული მონაცემების გამოქვეყნებით, პარტნიორთა ინფორმირებით ან სერვისის შეფერხებითაც იმუქრება, რეაგირების გეგმაში ზეწოლის თითოეული ფორმა აღრიცხეთ.
რას ნიშნავს ორმაგი და სამმაგი გამოძალვა?
ორმაგი გამოძალვა დაშიფვრას მონაცემთა ქურდობასა და მოპარული ინფორმაციის გამჟღავნების მუქარას უთავსებს. სამმაგი გამოძალვა ზოგ შემთხვევას ეწოდება, რომელიც პარტნიორებზე, მომხმარებლებზე ან სხვა მესამე მხარეებზე ზეწოლას ან სერვისის შეფერხების მუქარას ამატებს. გამოყენება განსხვავდება, ამიტომ ინციდენტის ჩანაწერებმა კონკრეტული დაკვირვებული მუქარები უნდა მიუთითოს.
ზეწოლის პირველი ფორმა: წვდომის დაკარგვა
დაშიფრულმა ფაილებმა ან დაბლოკილმა მოწყობილობამ მუშაობა შეიძლება შეწყვიტოს. დაზიანებული სისტემების იზოლაციისა და მასშტაბის დასადგენად ორგანიზაციის ინციდენტის გეგმას მიჰყევით.
ზეწოლის მეორე ფორმა: მონაცემთა გამჟღავნება
მოპარული მონაცემების გამოქვეყნების მუქარას დაშიფვრის მიუხედავად შეიძლება ცალკე კონფიდენციალურობისა და სამართლებრივი შეფასება დასჭირდეს. ორგანიზაციის პასუხისმგებელმა გუნდებმა უნდა განსაზღვრონ მოქმედი შეტყობინებები.
დამატებითი ზეწოლა: მესამე მხარეები და სერვისები
პარტნიორებთან ან მომხმარებლებთან დაკავშირების ან სერვისის შეფერხების მუქარამ ზეწოლა შეიძლება გააძლიეროს. მხოლოდ მუქარა მონაცემთა ქურდობას არ ამტკიცებს. გადახედეთ მესამე მხარეებთან კომუნიკაციასა და სერვისის უწყვეტობის გეგმებს და დაკვირვებული მუქარები ცალკე აღრიცხეთ.
ხშირად დასმული კითხვები
შეტევის მექანიზმის, წვდომის გზისა და მუქარების ცალ-ცალკე გამოკვლევა გუნდებს რეაგირების დაგეგმვაში ეხმარება.
არის დაშინების პროგრამა გამოსასყიდის მომთხოვნი პროგრამა?
დაშინების პროგრამა ყალბი გაფრთხილებებით გადახდას, დაყენებას ან დისტანციური წვდომის მინიჭებას აიძულებს. მხოლოდ ყალბი გაფრთხილება გამოსასყიდის მომთხოვნ პროგრამას არ ამტკიცებს; დაკავშირებულმა დატვირთვამ ფაილები შეიძლება დაშიფროს ან მოწყობილობა დაბლოკოს და კლასიფიკაცია შეცვალოს.
შეიძლება ინციდენტი გამოსასყიდის მომთხოვნ პროგრამას დაშიფვრის გარეშე მოიცავდეს?
დიახ. ჩამკეტმა გამოსასყიდის მომთხოვნმა პროგრამამ ფაილების დაშიფვრის გარეშე მოწყობილობაზე წვდომისთვის გადახდა შეიძლება მოითხოვოს. მხოლოდ ქურდობაზე დაფუძნებული გამოძალვაც დაშიფვრის გარეშე ხდება, თუმცა ავტომატურად გამოსასყიდის მომთხოვნი პროგრამის შეტევა არ არის. წვდომის ჩაკეტვა, დაშიფვრა და მონაცემთა ქურდობა ცალ-ცალკე აღრიცხეთ.
ხდის კრიპტოვალუტა თავდამსხმელს მიუკვლეველს?
არა. გადახდის მეთოდი თავდამსხმელის ვინაობასა თუ მდებარეობას არ ამტკიცებს და კვალის მიდევნებას შეუძლებელს არ ხდის. იურიდიულმა, უსაფრთხოებისა და ხელმძღვანელობის გუნდებმა გადახდის გადაწყვეტილებები ორგანიზაციის გეგმისა და შესაბამისი რჩევის მიხედვით უნდა მიიღონ.
ერთია ფაილის დაშიფვრა და მოწყობილობის ჩაკეტვა?
არა. დაშიფვრამ ფაილი გასაღების გარეშე შეიძლება წაუკითხავი გახადოს; ჩამკეტი ეკრანზე, ანგარიშზე ან მოწყობილობაზე წვდომას ბლოკავს. დაადგინეთ დაზიანებული ობიექტი, რადგან აღდგენის ვარიანტები შეიძლება განსხვავდებოდეს.