Защита от шифровальщиков на предприятии: как не потерять серверы, 1С и бэкапы

Защита от вирусов на предприятии сегодня - это прежде всего защита от шифровальщиков: программ-вымогателей, которые шифруют файлы и базы и требуют выкуп. Останавливают их шесть вещей: VPN вместо открытого RDP, вход с вторым фактором, обновления на периметре, работа пользователей без прав администратора, запрет запуска неизвестных программ и резервная копия, до которой злоумышленник не дотянется. Антивирус тоже нужен, но в одиночку он эту задачу не решает.

Ниже о том, как атака устроена, что закрывать сначала, как уберечь 1С и бэкапы и что делать, если сервер уже зашифрован. Текст рассчитан на малый и средний бизнес: одного-двух админов, несколько серверов и офисную сеть.

Как шифровальщик попадает в сеть компании

Атака на компанию редко выглядит как письмо, открыв которое, бухгалтер сразу теряет всё. Злоумышленник входит, несколько часов или дней осматривается, получает права администратора домена, удаляет резервные копии и теневые копии Windows (обычной системной утилитой vssadmin) и только потом запускает шифрование. Чаще всего ночью или в выходные.

Отсюда главный вывод: у вас есть время поймать атаку между входом и шифрованием, и есть что закрыть заранее. Обычных входов всего несколько.

Почему одного антивируса мало

Антивирус хорошо ловит то, что уже известно. Свежую сборку шифровальщика он может не узнать, а человек с правами администратора способен отключить защиту сам: при ручной атаке так обычно и делают. Значительную часть работы злоумышленник выполняет штатными средствами Windows, и в них антивирусу нечего находить.

Поэтому антивирус на всех рабочих станциях и серверах (Kaspersky, Dr.Web и другие) остаётся обязательным слоем, причём с паролем на отключение настроек и централизованной консолью, где видно, кто отключён. Но планировать защиту надо так, будто он однажды промолчит. Когда серверов и рабочих мест много, к нему добавляют EDR: систему, которая записывает действия на узле и замечает подозрительную последовательность, даже когда файл ничем не примечателен. Для офиса на 20 человек это обычно избыточно.

Меры, которые останавливают атаку

Порядок ниже примерно соответствует отдаче на потраченное время, и почти всё здесь бесплатно:

1. Закройте RDP снаружи. Проверьте с внешнего адреса, какие порты открыты. Удалённая работа идёт через VPN или шлюз удалённых рабочих столов. Подробно настройка описана в статье о том, как защитить удалённый сервер Windows.
2. Включите второй фактор на VPN, почте и всех административных входах. Украденный пароль тогда перестаёт быть ключом.
3. Разделите учётки. Администратор домена не работает под этой учёткой на рабочей станции и не читает с неё почту. Для повседневной работы у него обычная запись, а локальные пароли администраторов на компьютерах разные (это умеет бесплатный Windows LAPS).
4. Уберите у пользователей права локального администратора. Часть программ начнёт жаловаться. С этим проще разобраться один раз, чем откатывать весь офис.
5. Обновляйте периметр раньше остального. VPN-шлюз, почтовый сервер и всё остальное, что смотрит в интернет, получают обновления быстрее, чем внутренние серверы.
6. Разделите сеть. Серверы, рабочие станции и сеть управления (iLO, iDRAC, IPMI) живут в разных VLAN с правилами между ними. Одна заражённая машина тогда не видит всего подряд.
7. Настройте блокировку и смотрите журналы. Блокировка учётки после неудачных попыток входа и уведомление при массовых ошибках. Сотни неудачных входов за ночь обычно первый сигнал, и его легко заметить, если журналы кто-то смотрит.

Запрет запуска неизвестных программ

Белый список запуска ломает массовый сценарий: файл из письма или папки загрузок просто не стартует. В Windows для этого есть три механизма, и в старых инструкциях обычно описан устаревший.

Начинать проще всего с запрета запуска из мест, куда пользователь сам может что-то положить: профиль, временные папки, загрузки, сетевые папки и флешки. Сначала включите режим только аудита на неделю-две и посмотрите журнал: так вы увидите, что сломается, раньше сотрудников.

У AppLocker есть одна особенность, на которой часто спотыкаются: без службы Application Identity политика применена, но ничего не блокирует. Через оснастку «Службы» перевести её в автозапуск нельзя, поле неактивно. Это делается командой sc.exe config appidsvc start=auto или шаблоном безопасности в той же групповой политике.

В Astra Linux Special Edition похожую задачу решает замкнутая программная среда: неподписанное доверенным ключом не запускается.

Резервные копии, которые шифровальщик не достанет

Всё, что выше, снижает вероятность атаки. Копия решает, сколько она будет стоить. Старое правило 3-2-1 (три копии, два типа носителей, одна вне площадки) в ответ на шифровальщиков расширили до 3-2-1-1-0: плюс одна копия неизменяемая или отключённая от сети, плюс ноль ошибок при проверке восстановления.

Чтобы этого не случилось:

• Выведите сервер копий из домена, дайте ему отдельные учётные данные и закройте доступ к нему из пользовательской сети.
• Держите одну копию там, куда нельзя записать с рабочего сервера: объектное хранилище с блокировкой удаления (Object Lock есть у российских облачных провайдеров), лента или диск, который физически отключён и лежит в сейфе.
• NAS с постоянно подключённой общей папкой копией не считается: шифровальщик пройдёт по ней как по обычному диску.
• Проверяйте восстановление. Раз в квартал поднимите сервер и базу из копии на отдельной машине и замерьте время. Сколько данных и времени вы можете позволить себе потерять, поможет посчитать материал про RPO и RTO простыми словами.

Персональные данные в копии остаются персональными данными, поэтому внешнюю копию российской компании логично держать у провайдера с хранением в России.

Шифровальщик и 1С

В малом бизнесе база 1С часто дороже всего остального, и атаковать её удобно. Файловая база - это один файл 1Cv8.1CD в общей папке. Если у пользователя есть на него права записи, заражённый компьютер этого пользователя может зашифровать его по сети. Переход на клиент-серверный вариант с SQL убирает файл из общей папки, но не отменяет остального: сервер СУБД и его копии злоумышленник тоже будет искать.

Что делать:

• Закройте доступ к файлам базы всем, кроме службы, которая с ними работает. Пользователи терминального сервера не должны видеть папку с базой как обычную сетевую папку.
• Копии SQL складывайте не на тот же сервер и не на тот же диск, а выгрузки .dt и дампы регулярно уносите в неизменяемое хранилище.
• Не открывайте порты 1С и СУБД наружу. Если есть удалённые сотрудники, им нужен VPN или терминальный сервер за шлюзом.

Настройка копий самой базы описана в статье про резервное копирование 1С.

Первый час после атаки

Если шифрование уже началось, порядок действий важнее скорости. Заранее распечатайте этот список и храните его не на сервере.

1. Отключите заражённые машины от сети: кабель, порт на коммутаторе или виртуальная сеть. Выключать стоит только если отключить от сети нельзя, потому что после выключения пропадают данные в памяти, которые могут помочь расследованию.
2. Отключите от сети резервные копии и проверьте их с заведомо чистой машины. До этого ничего не восстанавливайте.
3. Заблокируйте учётки, которые могли быть украдены, и поменяйте пароли администраторов, включая служебные. Делайте это с чистого компьютера.
4. Сохраните записку с требованием, несколько зашифрованных файлов и журналы. Они нужны, чтобы определить семейство шифровальщика и найти точку входа.
5. Проверьте, есть ли дешифратор: у вашего антивирусного вендора и на сайте проекта No More Ransom. Для многих свежих семейств его нет, но проверка занимает минуты.
6. Найдите, как злоумышленник вошёл, и закройте вход. Восстанавливать систему, не закрыв его, значит подготовить вторую атаку.
7. Восстанавливайте на чистой установке, а не поверх заражённой системы, начиная с того, без чего компания сегодня не работает.

Теперь про обязанности. Если есть признаки, что персональные данные выгрузили или к ним получили доступ, оператор по статье 21 152-ФЗ в течение 24 часов уведомляет Роскомнадзор, а в течение 72 часов сообщает результаты расследования. Штрафы по статье 13.11 КоАП за утечку начинаются от 3-5 млн рублей для юрлиц. Подпадает ли под обязанность само шифрование без выгрузки, зависит от обстоятельств, поэтому этот вопрос сразу передайте юристу. О вымогательстве стоит сообщить и в полицию: такое заявление часто требует страховая компания.

Когда хватит минимума

Офису на 5-15 человек с одним сервером и подрядчиком-админом не нужны EDR и отдельный специалист по безопасности. Здесь хватает короткого списка, который выполняется за пару дней:

• наружу открыт только VPN со вторым фактором;
• у сотрудников нет прав администратора, на компьютерах стоит антивирус;
• одна копия лежит на сервере или NAS, вторая на отключаемом диске или в облаке с блокировкой удаления;
• раз в квартал кто-то реально восстанавливает базу 1С из копии.

Есть и обратная граница: если компания попадает под требования к КИИ, государственным системам или обрабатывает большие объёмы персональных данных, этого списка мало. Там действуют приказы ФСТЭК и нужны средства защиты с сертификатом. Общие меры защиты описаны в статье о том, как организовать защиту данных.

Частые вопросы

Можно ли расшифровать файлы без ключа? Иногда. Если в шифровальщике нашли ошибку или изъяли ключи, у вендоров антивирусов и на No More Ransom есть бесплатный дешифратор. Для свежих семейств его чаще всего нет, поэтому основной путь - восстановление из копии.

Стоит ли платить выкуп? Гарантий нет: ключа могут не прислать, дешифратор может работать медленно или повреждать файлы, а данные, выгруженные до шифрования, всё равно могут опубликовать. Платёж также подтверждает, что вы платёжеспособная цель. Решение принимает руководство вместе с юристом, а не админ в панике, и только после проверки копий.

Защищает ли облако? Само по себе нет. Синхронизируемая папка синхронизирует и зашифрованные файлы. Помогает хранение версий и блокировка удаления, если они включены и у злоумышленника нет доступа к учётке с правом их отключить.

Спасёт ли RAID? Нет. RAID защищает от отказа диска, а зашифрованные файлы он честно запишет на все диски массива.

Шифруют ли Linux-серверы? Да, в том числе гипервизоры: есть сборки под ESXi и Linux. Отсутствие Windows от атаки не защищает, меры те же: закрытый SSH, ключи вместо паролей, копии вне хоста. Основные принципы описаны в материале о том, как защитить систему на Linux.