Шифровальщик в офисе: что спасает данные, когда всё уже зашифровано
Что делать, если шифровальщик зашифровал файлы в офисе, и как подготовиться заранее: изолированные копии, сегментация сети, права, обновления, план восстановления.
Понедельник, утро. Сотрудники включают компьютеры: документы не открываются, у всех файлов странное расширение, на рабочем столе текстовый файл с требованием заплатить за ключ. Зашифрованы общие папки на сервере, база 1С и внешний диск с резервными копиями, который был подключён к серверу. В пятницу вечером кто-то открыл вложение из письма «от налоговой».
В такой ситуации данные спасает только копия, до которой шифровальщик не дотянулся. Всё остальное, включая выкуп, лотерея. Ниже что делать, если это уже случилось, и как подготовиться, пока всё работает.
Если это уже случилось
Шаг 1
Отключите от сети
Выдерните сетевые кабели и выключите Wi-Fi на заражённых компьютерах и сервере. Шифрование может продолжаться.
Шаг 2
Не выключайте и не переустанавливайте сразу
Сохраните состояние для анализа: иногда по нему находят способ расшифровки или путь заражения.
Шаг 3
Проверьте копии
Какие копии не были подключены к сети в момент атаки: удалённое хранилище, отключённый диск, копия только для чтения.
Шаг 4
Найдите источник
Пока не ясно, как вирус попал внутрь, восстановленная система может быть заражена снова.
Шаг 5
Восстанавливайте на чистое
Систему переустанавливают, затем возвращают данные из проверенной копии.
Шаг 6
Смените пароли
Все учётные записи, особенно администраторские: шифровальщики часто сначала крадут пароли.
Оплата выкупа не гарантирует расшифровку и не убирает доступ злоумышленника. Надёжный путь назад один: изолированная копия.
Почему обычные копии не спасают
| Где копия | Что с ней будет |
|---|---|
| На том же сервере | Зашифрована вместе с данными |
| Внешний диск, всегда подключённый | Зашифрован вместе с данными |
| Сетевое хранилище с общим доступом | Зашифровано, если доступ был у заражённого компьютера |
| Облачная папка с синхронизацией | Зашифрованные файлы синхронизируются поверх нормальных |
| Удалённое хранилище, куда пишет только сервис копий | Уцелела |
| Копия с запретом изменения на срок хранения | Уцелела |
Как подготовиться
- Изолированная копия. Хотя бы одна копия недоступна с рабочих компьютеров и сервера для изменения и удаления. Это главное правило.
- Правило 3-2-1. Три копии, два вида хранения, одна вне офиса.
- Тестовое восстановление. Знать заранее, сколько часов займёт возврат данных.
- Сегментация сети. Заражённый компьютер не видит всю сеть.
- Права по минимуму. Сотрудник видит только нужные папки и не работает под администратором.
- Обновления и закрытые порты. Шифровальщики часто входят через открытый удалённый доступ и старые уязвимости.
- Мониторинг. Резкий рост изменённых файлов и отказ заданий копирования видны сразу.
Пример: восстановление за день
Условная компания с подготовленной схемой: ночные копии уходят на удалённое хранилище, куда пишет только сервис копирования, восстановление проверялось месяц назад и заняло около четырёх часов. После атаки компьютеры отключили, нашли заражённое письмо, переустановили сервер и вернули данные за прошлую ночь. Потеряли один рабочий день вместо всех данных. Настройка резервного копирования стоит от 5 000 ₽.
Сколько стоит
| Позиция | Цена | Что входит |
|---|---|---|
| Настройка резервного копирования | от 5 000 ₽ | Расписание, хранение, проверка копий |
| Тестовое восстановление | по расчёту | Разворачивание копии на отдельном контуре с замером времени |
| Офисная сеть с сегментами | по расчёту | Изоляция рабочих мест, серверов, гостей |
| Мониторинг Zabbix | от 15 000 ₽ | Контроль серверов, копий и дисков |
Сколько копий нужно и где их хранить, разобрано в статье «Правило 3-2-1». Про проверку восстановления в материале «Резервные копии», про изоляцию в сети в статье «Сеть офиса без хаоса».
Как мы делаем
Проверяем, где сейчас лежат копии и достанет ли до них шифровальщик, настраиваем изолированное хранилище и ротацию, проводим тестовое восстановление с замером времени и записываем план действий при атаке. Подробности на странице резервных копий, расчёт в калькуляторе.
Частые вопросы
Поможет ли антивирус?
Снижает риск, но новые варианты шифровальщиков антивирус может не знать. Копия нужна в любом случае.
Можно ли расшифровать файлы без выкупа?
Иногда для конкретного вируса существует расшифровщик. Рассчитывать на это нельзя.
Как часто проверять восстановление?
Раз в месяц для критичных данных и после каждого изменения схемы копирования.
Сколько данных мы потеряем?
Всё, что изменилось после последней изолированной копии. Поэтому частота копий выбирается заранее.
Коротко
- При атаке: отключить от сети, проверить уцелевшие копии, найти источник, восстановить на чистую систему.
- Копии на том же сервере, подключённом диске и в синхронизируемой папке шифруются вместе с данными.
- Спасает изолированная копия, проверенная восстановлением, плюс сегменты сети и минимальные права.
- Настройка резервного копирования от 5 000 ₽.
Следующий шаг: проверьте свою схему копий через калькулятор или посмотрите все услуги на rktsocial.com.