Главная мысль
Подготовка к атаке программы-вымогателя не сводится к одному инструменту. Объедините план реагирования, актуальный антивирус, устранение уязвимостей, ограниченные права доступа и пригодные резервные копии. Поведенческий анализ и изоляция могут дополнить защиту. Даже при наличии копий очистка и восстановление заражённых систем могут потребовать времени.
Подготовьте план реагирования и восстановления до атаки
Заранее определите ключевые системы и ответственных, чтобы во время атаки программы-вымогателя не тратить время на распределение задач. План должен помогать команде действовать без догадок. Подготовка охватывает и ограничение последствий, и возвращение к работе.
Определите критически важные системы
Перечислите программы и инфраструктуру, без которых организация не может работать. Оцените защиту их данных и возможность вернуть эти системы в рабочее состояние.
Распределите действия и ответственность
Запишите, какие действия нужны при атаке и кто их выполняет. Распределение ответственности снижает риск пропустить важный шаг в условиях неопределённости.
Свяжите план с возможностями восстановления
Рассматривайте восстановление вместе с действующими мерами защиты и состоянием данных. Не считайте срок возврата к работе заранее гарантированным.
Используйте антивирус и поддерживайте его актуальность
Не каждая атака использует новое сложное вредоносное ПО. Старые варианты продолжают распространяться, поэтому установка и обновление антивируса остаются базовыми мерами. Проверка по сигнатурам помогает обнаруживать уже известные образцы.
Поведенческий анализ оценивает действия программы и может помочь выявить изменённые варианты, которые не совпадают с прежними сигнатурами. Антивирус — одна часть защиты; вместе с ним нужны обновления систем, ограничение доступа и резервные копии.
Устраните слабые места в инфраструктуре
Злоумышленники могут использовать уже существующие уязвимости программ и инфраструктуры. Усиление защиты требует постоянной работы с обновлениями, уязвимостями и правами доступа.
Обновления и уязвимости
Свяжите поиск уязвимостей с их устранением. Актуальные обновления и исправление выявленных слабых мест сокращают возможности для атаки.
Все подключённые компоненты
Учитывайте IoT-устройства, сетевое оборудование и службы наряду с компьютерами и серверами. Слабозащищённый компонент может стать точкой перехода к другим системам.
Только необходимый доступ
Применяйте принцип минимальных привилегий к критически важным ресурсам. Если учётные данные похищены, ограниченные права могут уменьшить масштаб ущерба.
Подготовьте резервные копии к восстановлению
Актуальные пригодные резервные копии дают основу для очистки заражённых систем и их восстановления в безопасном состоянии. Эта возможность зависит от регулярного копирования всех важных данных. Восстановление тоже занимает время: наличие копии не гарантирует немедленного возвращения к работе.
Охватите важные данные
Важные для организации данные могут находиться и на серверах, и на компьютерах сотрудников. Включите нужные для работы файлы на этих устройствах в резервное копирование.
Создавайте копии регулярно
Копируйте важные данные регулярно и достаточно часто. Централизованное сохранение копий с рабочих устройств помогает включить эти данные в общий план восстановления.
Учтите работу по восстановлению систем
Резервная копия не отменяет очистку и восстановление заражённой машины. Учитывайте время на эти работы и не обещайте быстрый результат заранее.
Проверяйте поведение программ и ограничивайте опасные действия
Одного происхождения программы или её подписи может быть недостаточно для оценки безопасности. Поведенческий анализ учитывает состояние среды при запуске и действия программы. Искусственный интеллект и машинное обучение относятся к методам, которые помогают такой оценке.
Изоляция и виртуализация направлены на ограничение влияния непроверенной программы на основную систему. Рассматривайте их вместе с планом реагирования, антивирусом, защитой инфраструктуры и резервными копиями. Дополнительная технология не заменяет эти базовые меры.