Əsas fikir
Ransomware hadisəsinə hazırlıq yalnız proqram quraşdırmaqdan ibarət deyil: yenilənmiş sistemlər, məhdud inzibati hüquqlar, işçilərin hazırlığı, şəbəkə seqmentasiyası və sınaqdan keçirilmiş bərpa nüsxələri birlikdə işləməlidir.
Ransomware nə edir?
Ransomware məlumatlara və ya cihaza girişi məhdudlaşdırıb ödəniş tələb edən zərərli proqramdır. O, faylları şifrələyə və ya cihazı kilidləyə bilər; bəzi hücumlarda məlumat oğurluğu və açıqlama hədəsi də olur. Xidmət dayanması, bərpa xərcləri və etimad itkisi yarana bilər: məsələn, pasiyent məlumatlarının əlçatmazlığı səhiyyə təşkilatının işinin davamlılığına təsir edə bilər. Ödəniş məlumatın bərpasına və oğurlanmış nüsxələrin silinməsinə zəmanət vermir. Məsul şəxslər qərarı insident prosedurları və uyğun məsləhət əsasında verir.
Tarixdə əsas mərhələlər
Ransomware tarixi həm texniki üsulların, həm də cinayət modellərinin dəyişdiyini göstərir. Ransomware-as-a-Service (RaaS) modelində proqram və infrastrukturu təmin edənlər və hücumu həyata keçirən tərəfdaşlar rolları və gəliri bölüşə bilərlər; bütün qruplar eyni zəncirlə işləmir. REvil tarixi tərəfdaşlıq modelinə nümunədir.
1989 · AIDS Trojan
1989-cu ildə AIDS Trojan girişi məhdudlaşdırır və Panamadakı şirkətə 189 ABŞ dolları göndərilməsini tələb edirdi. Zəif şifrələmə səbəbindən pulsuz bərpa alətləri yaradılmışdı. Bu erkən nümunəni müasir hücumların bərpa şərtlərinə bərabər tutmayın.
Gpcode və Archiveus
Gpcode və Archiveus fayllara girişi məhdudlaşdıraraq ödəniş tələb edən erkən zərərli proqram nümunələridir. Bəzi Gpcode variantları RSA şifrələməsindən istifadə edirdi. Tədqiqatçılar müəyyən variantların təsir etdiyi fayllar üçün şifri açma üsulları hazırladılar; bərpa imkanları konkret variantdan və onun tətbiq etdiyi şifrələmədən asılı idi.
2010-cu illərin əvvəli · rəqəmsal ödənişlər
Bəzi qruplar kriptovalyuta ilə ödəniş qəbul etməyə başladı. Tələblərdə əvvəlcədən ödənmiş xidmətlər, Western Union və hədiyyə kartları da istifadə olunurdu. Ödəniş üsulları qrup və kampaniyaya görə dəyişirdi; kriptovalyuta izlənməni mümkünsüz etmir. Bloklayıcı proqramlar faylları şifrələmədən ekrana və ya cihaza girişi məhdudlaşdıra bilər.
2017 · Petya/NotPetya
2017-ci il Petya/NotPetya hadisələri yeniləmələrin və bərpaya hazırlığın əhəmiyyətini göstərdi. Avropolun həmin dövrdə yayımladığı Petya tövsiyələri yeniləmələri quraşdırmağı, ehtiyat nüsxələr saxlamağı, yoluxmuş cihazları şəbəkədən ayırmağı və hadisəni bildirməyi vurğulayırdı.
2019-cu ildən · REvil və xidmət modeli
2019-cu ildə ortaya çıxan REvil Ransomware-as-a-Service modelinin nümunəsi idi. Proqram və infrastrukturu təmin edənlərlə hücumları həyata keçirən tərəfdaşların rolları ayrılırdı; bu əmək bölgüsü proqram təminatını hazırlayanların hər hücumu özlərinin aparmasını tələb etmirdi.
2021 · beynəlxalq əks-tədbirlər
2021-ci il oktyabrın 13–14-də 30-dan çox ölkə və Avropa İttifaqının nümayəndələri ransomware-ə qarşı əməkdaşlıq, dayanıqlılıq və hücumların pozulmasını müzakirə etmək üçün beynəlxalq Counter-Ransomware Initiative görüşündə iştirak etdilər. Bu, koordinasiyalı cavabın əhəmiyyətini göstərir.
Giriş yollarını və risk amillərini anlayın
Ransomware fişinq məktubu, etibarsız yükləmə, oğurlanmış hesab, yenilənməmiş zəif proqram və ya internetə açıq sistemdən başlaya bilər. Köhnə cihaz dəstəksiz və ya yenilənməmiş qaldıqda riski artıra bilər; yaşı təkbaşına zəiflik sübutu deyil. Yoxlanmamış ehtiyat nüsxələri və hazırlıqsız komanda təsiri artıra bilər. Hesabları, poçtu, açıq sistemləri və təchizatçı bağlantılarını ayrıca yoxlayın.
Bərpa oluna bilən ehtiyat nüsxələr
Kritik məlumatları müntəzəm köçürün. Müəyyən mühitdə şəbəkədən ayrı nüsxə və dəyişdirilməz saxlama fərqli riskləri azaldır; birini o birinin tam əvəzi saymayın. Tezliyi və saxlanma müddətini qəbul edilən məlumat itkisi, dayanma və uyğun tələblərə görə seçin. Sınaq bərpasında faylları, hesabları, tətbiqləri və asılılıqları yoxlayın, nüsxənin təmizliyini ayrıca təsdiqləyin; faylın açılması təkbaşına bunu sübut etmir.
Girişə, yeniləmələrə və insan faktoruna nəzarət
Əməliyyat sistemlərini, brauzerləri, proqramları və cihaz proqram təminatını vaxtında yeniləyin. Gündəlik iş üçün inzibatçı hüquqlarından istifadəni məhdudlaşdırın, çoxfaktorlu autentifikasiyanı və rol üzrə ən az səlahiyyəti tətbiq edin, istifadə edilməyən hesabları bağlayın. İşçilərə şübhəli məktubu yoxlamağı, gözlənilməyən faylı açmamağı və hadisəni gecikmədən kimə bildirməyi öyrədin. Şəbəkəni kritik sistemlərə görə seqmentləşdirin ki, bir cihazdakı problem digər sahələrə asan keçməsin.
Hadisə zamanı cavab ardıcıllığı
Plan insident rəhbərini, rolları, əlaqə kanallarını, sübutların saxlanmasını və bərpa meyarlarını müəyyən etməlidir. Şübhə yarananda dərhal məlumat verin və səlahiyyətli məhdudlaşdırmaya başlayın; təsir dairəsinin araşdırılması bütün cavab boyu davam edir. Bildiriş öhdəliklərinin qiymətləndirilməsini erkən başlayın. Addımların sırasını insident rəhbəri təhlükəsizlik, kritik xidmətlər və sübutların qorunmasına görə əlaqələndirir.
Bildirin və əhatəni müəyyən edin
Dərhal İT xidmətinə və insidentə cavab komandasına məlumat verin. Təsirlənmiş cihaz, hesab, məlumat və xidmətləri ilkin siyahıya alın; vaxtları və hadisə qeydlərini qoruyun, şübhəli cihazda lazımsız dəyişiklik etməyin. Təsir dairəsini araşdırma boyu yeniləyin.
Yayılmanı məhdudlaşdırın
İnsident rəhbərinin göstərişi ilə cihazı şəbəkədən ayırın və ya təsirlənmiş seqmenti məhdudlaşdırın. Kritik xidmətlərin təhlükəsizliyini və araşdırma üçün idarəetmə girişini nəzərə alın, uyğun sübutları qoruyun. Hesab oğurluğundan şübhələnirsinizsə, etibarlı cihazdan girişləri ləğv edin və parolları dəyişin.
Rəqəmsal sübutları qoruyun
Səlahiyyətli mütəxəssislər uyğun cihazların disk surətlərini, yaddaş məlumatlarını, təhlükəsizlik və şəbəkə jurnallarını toplayır. Cihazı söndürmək yaddaşdakı sübutları itirə bilər. Şəbəkədən ayırma mümkün deyilsə, insident rəhbəri yayılmanın qarşısını almaq üçün söndürməni qiymətləndirir və kritik xidmətlərin təhlükəsizliyini nəzərə alır.
Təmizləyin və bərpanı yoxlayın
İlkin giriş və davamlılıq səbəblərini aradan qaldırın, təmizləmə və ya yenidən quraşdırma ehtiyacını qiymətləndirin. Təmizliyi yoxlanmış ehtiyat nüsxə və ya təsdiqlənmiş sistem obrazı ilə təmiz mühitdə bərpa edin. Məlumat, tətbiq və xidmətləri yoxlayın, sonra sistemləri nəzarətli şəkildə yenidən qoşun.
Dərs çıxarın və bildirişləri tamamlayın
Xronologiyanı və tədbirləri sənədləşdirin, cavabın əvvəlində başlayan hüquqi və müqavilə bildirişlərinin qiymətləndirilməsini tamamlayın. Tələb olunan əlaqələri daxili prosedurla aparın. Ehtiyat nüsxə və cavab planındakı boşluqları aradan qaldırmaq üçün məsul şəxsləri və son tarixləri təyin edin.
Qatlı müdafiə və məşqlər
E-poçt və veb filtrləri, zərərli proqram əleyhinə vasitələr, müdaxilənin aşkarlanması, son nöqtə monitorinqi, identiklik nəzarətləri və ehtiyat nüsxələr fərqli riskləri azaldır. EDR şübhəli fəaliyyəti üzə çıxarıb araşdırma və təcrid üçün kontekst verə bilər, lakin bütün nəzarətləri əvəz etmir. Masaüstü məşqlə əlaqə, qərarvermə, cihazın təcridi və bərpa ssenarisini yoxlayın; məşqdən sonra məsul şəxs və son tarix təyin edin.