مقابله با باج‌افزار (Ransomware) فقط نصب آنتی‌ویروس نیست. یک فایل‌سرور، حساب مدیریتی یا مسیر دسترسی راه دور آسیب‌پذیر می‌تواند فعالیت شرکت را مختل کند. برنامه عملی باید سه بخش داشته باشد: کاهش احتمال نفوذ، محدودکردن گسترش آلودگی و بازگرداندن سرویس‌ها از نسخه سالم.
باج‌افزار چیست و چرا فقط فایل‌ها مهم نیستند؟
باج‌افزار ممکن است فایل‌ها یا دستگاه را قفل کند و برای بازکردن آن درخواست پول داشته باشد. در بعضی رخدادها، تهدید به انتشار اطلاعات نیز مطرح می‌شود. بنابراین مشاهده فایل رمز‌شده تنها بخش قابل‌دیدن حادثه است؛ وضعیت حساب‌ها، دسترسی‌ها و احتمال خروج اطلاعات هم باید ارزیابی شود.
اگر همین حالا نشانه آلودگی می‌بینید
با مسئول IT یا تیم پاسخ‌گویی هماهنگ شوید. دستگاه‌های مشکوک را از ارتباط شبکه جدا کنید تا احتمال گسترش کاهش یابد. راهنمای CISA نیز جداسازی سریع سیستم‌های آسیب‌دیده را توصیه می‌کند. اگر امکان قطع ارتباط وجود ندارد، تصمیم خاموش‌کردن باید با توجه به جلوگیری از گسترش و حفظ شواهد گرفته شود؛ خاموشی می‌تواند داده‌های حافظه را از بین ببرد.
زمان مشاهده علائم، دستگاه‌ها و سرویس‌های درگیر را ثبت کنید. پیام باج‌خواهی و نمونه‌های لازم را در مسیر امن نگه دارید. پیش از حذف فایل‌ها، نصب مجدد یا اجرای ابزارهای ناشناس، ارزیابی انجام شود. داده محرمانه را برای تشخیص در سرویس عمومی بارگذاری نکنید.
چک‌لیست پیشگیری برای شبکه شرکت
- فهرست دستگاه‌ها و سرویس‌های مهم را به‌روز نگه دارید و مسئول هر بخش را مشخص کنید.
- به‌روزرسانی سیستم‌عامل، برنامه‌ها و تجهیزات مرزی را با آزمون و برنامه اجرا کنید.
- برای حساب‌ها و دسترسی راه دور سازگار، احراز هویت چندمرحله‌ای در نظر بگیرید.
- دسترسی کاربران و مدیران را به دامنه نیاز محدود کنید و حساب مدیریتی را برای کار روزمره استفاده نکنید.
- حفاظت Endpoint، بررسی هشدارها و آموزش تشخیص پیام و فایل مشکوک را کنار هم قرار دهید.
- ارتباط بخش‌های شبکه و دسترسی به مخزن بکاپ را بررسی کنید تا همه دستگاه‌ها دسترسی یکسان نداشته باشند.
بکاپی که در زمان حادثه قابل استفاده باشد
نسخه پشتیبان باید مستقل از سرور اصلی و با دسترسی مناسب نگهداری شود. وجود فایل بکاپ کافی نیست؛ نتیجه بازیابی در محیط جدا و برای سرویس مشخص آزمایش شود. زمان اجرای آزمون، نسخه استفاده‌شده و نتیجه ثبت شوند. توصیه CISA بر نگهداری نسخه‌های آفلاین و رمزگذاری‌شده و آزمون منظم بازیابی تأکید دارد.
برای طراحی و نگهداری نسخه‌ها، خدمات راه‌اندازی Veeam Backup و برای ارزیابی عملی، تست بازیابی بکاپ شرکت‌ها را ببینید. انتخاب مخزن تغییرناپذیر، نگهداری خارج از محل و ظرفیت بازیابی باید با زیرساخت و مجوزهای محیط هماهنگ شود.
از مهار حادثه تا بازگشت کنترل‌شده
اولویت سرویس‌های کسب‌وکار مشخص شود: حسابداری، فایل‌سرور، سامانه فروش یا سرویس‌های هویتی ممکن است وابستگی‌های متفاوتی داشته باشند. بازیابی در محیط کنترل‌شده انجام شود و پیش از اتصال دوباره، مسیر نفوذ و دسترسی‌های مشکوک بررسی شوند. راه‌اندازی مجدد یک سرور بدون رفع علت می‌تواند به تکرار حادثه منجر شود.
در پایان، گزارش رخداد باید آنچه مشاهده شده، اقدام‌های انجام‌شده، محدوده بازیابی و موارد نامشخص را از هم جدا کند. ادعای پاک‌بودن همه شبکه بدون بررسی کافی، معیار تحویل مناسبی نیست.
آیا فایل‌های رمز‌شده حتماً برمی‌گردند؟
خیر. امکان بازیابی به نوع باج‌افزار، وضعیت داده و وجود نسخه سالم بستگی دارد. پروژه No More Ransom برای برخی گونه‌ها ابزار رمزگشایی معرفی می‌کند؛ برای همه گونه‌ها راه‌حل وجود ندارد. ابزار باید با گونه تشخیص‌داده‌شده سازگار باشد و روی نسخه کپی آزمایش شود. پرداخت باج نیز تضمینی برای بازگشت اطلاعات نیست.
خدمات مقابله با باج‌افزار در ITNC
دامنه خدمات پس از بررسی اولیه مشخص می‌شود: ارزیابی وضعیت دستگاه‌ها، مهار ارتباطات مشکوک، بررسی حفاظت Endpoint، طرح بازیابی و تقویت دسترسی‌ها. برای پیشگیری، خدمات امنیت شبکه و ESET و برای رسیدگی به رخداد، خدمات پاسخ‌گویی به باج‌افزار را بررسی کنید. خدمات حضوری در تهران و کرج و بررسی ریموت در سراسر ایران با هماهنگی ارائه می‌شود.
برای درخواست بررسی چه اطلاعاتی آماده کنیم؟
زمان شروع مشکل، تعداد تقریبی دستگاه‌ها، سرویس‌های متوقف‌شده، وضعیت بکاپ و اقدام‌های انجام‌شده را اعلام کنید. رمز حساب، کلید خصوصی یا اطلاعات محرمانه را در فرم عمومی نفرستید. درخواست بررسی امنیت و باج‌افزار مسیر شروع هماهنگی است.