Защита от шифровальщиков: чек-лист для небольшой компании

Главная защита от шифровальщика — резервная копия, которую он не может достать: отключённая от сети или неизменяемая, проверенная восстановлением. Вторая по важности мера — закрыть типичные входы: открытый в интернет RDP, необновлённые серверы и сайты, вход без второго фактора, вложения в письмах. Эти пять мер закрывают большую часть реальных сценариев и доступны даже компании из десяти человек.

Как шифровальщик попадает в компанию

Понимание путей входа помогает расставить приоритеты. По руководству CISA #StopRansomware типичные пути такие:

Пять мер, с которых начать

1. Резервные копии, до которых не дотянуться

Многие шифровальщики сначала ищут и удаляют доступные резервные копии, потом шифруют данные. Копия на сетевом диске, подключённом к той же сети, часто погибает вместе с основными данными. Нужна хотя бы одна копия вне сети или с защитой от изменения, а также регулярная проверка восстановления. Как спрятать копию от атакующего, мы разбирали в статье о невидимых резервных копиях.

2. Закрыть RDP из интернета

Удалённый рабочий стол Windows, открытый напрямую в интернет, постоянно перебирают боты. CISA советует не выставлять RDP наружу, закрыть неиспользуемые порты, включить блокировку после неудачных попыток и второй фактор. Если удалённый доступ нужен, давайте его через VPN с MFA.

3. Обновления того, что смотрит в интернет

Сайт, почтовый сервер, VPN-шлюз и панель хостинга обновляйте в первую очередь. Атакующие сканируют интернет на известные уязвимости сразу после выхода патчей, поэтому ставьте критические обновления в течение суток.

4. Второй фактор везде, где можно

Почта, VPN, админка сайта, облачные хранилища, бухгалтерия. Украденный пароль без второго фактора бесполезен для атакующего.

5. Почта и вложения

Отключите макросы в офисных документах из почты, ограничьте опасные типы вложений и настройте DMARC для своего домена. Как настроить SPF, DKIM и DMARC, — в отдельной статье о защите почты компании.

Полный чек-лист

1. Есть копия важных данных вне основной сети или с защитой от изменения.
2. Восстановление из копии проверяли последние три месяца.
3. Известно, сколько данных компания может потерять и за сколько надо восстановиться.
4. RDP не открыт в интернет; удалённый доступ — через VPN с MFA.
5. Сайт, CMS и серверы обновляются по графику, критические патчи — в течение суток.
6. Второй фактор включён для почты, VPN, админок и облаков.
7. У администраторов отдельные учётки для админских задач.
8. Сотрудники работают без прав локального администратора.
9. Макросы в документах из почты отключены.
10. Для домена настроен DMARC.
11. Бухгалтерия и серверы отделены от общей сети.
12. Антивирус или EDR стоит на всех компьютерах и серверах и обновляется.
13. Доступ подрядчиков — отдельные учётки, которые можно быстро отключить.
14. Есть журнал входов, и кто-то его смотрит.
15. Есть план на случай атаки: кого звать, что отключать, как связываться без почты.

Сколько данных можно потерять и как часто делать копии, удобно посчитать в калькуляторе RPO и RTO.

Что делать с сайтом и сервером

Шифровальщики атакуют и серверы сайтов: шифруют файлы и базу данных и требуют выкуп. Для сайта важны те же меры: обновления CMS и плагинов, ограниченный доступ к серверу по ключам, отдельные копии вне хостинга. Если сайт держится на одном VPS и копии лежат на нём же, при атаке вы потеряете и сайт, и копии. Настройку защиты сервера можно заказать в рамках защиты сервера, а проверить сайт снаружи — бесплатным сканером на взлом.

Если атака уже случилась

Не перезагружайте и не выключайте всё подряд, отключите заражённые машины от сети, не платите выкуп сразу и не удаляйте следы. Порядок действий на первые сутки мы описали в статье «Шифровальщик в компании: что делать в первые 24 часа».