باج‌افزار برای یک شرکت فقط «ویروس» نیست؛ یعنی توقف کامل کار. سرور مالی قفل می‌شود، فایل‌ها باز نمی‌شوند، صدور فاکتور و پرداخت حقوق متوقف می‌شود و گاهی اطلاعات مشتریان هم پیش از رمزگذاری از شبکه خارج شده است. خبر خوب این است که بیشتر حمله‌ها از چند مسیر تکراری وارد می‌شوند و با اقدامات نسبتاً ساده می‌شود جلوی بخش بزرگی از آن‌ها را گرفت.
باج‌افزار چطور کار می‌کند؟
حمله‌های امروزی معمولاً چند مرحله دارند و رمزگذاری فایل‌ها آخرین مرحله است:
- ورود: از طریق ریموت دسکتاپ باز روی اینترنت، رمز لو رفته VPN یا ایمیل، پیوست آلوده یا آسیب‌پذیری وصله‌نشده در فایروال و سرورها.
- گسترش: مهاجم با سرقت رمزها، دسترسی‌اش را تا حساب‌های مدیر و سرورهای اصلی بالا می‌برد.
- از کار انداختن بکاپ: بکاپ‌های در دسترس پاک یا رمزگذاری می‌شوند تا راه بازگشتی نماند.
- سرقت و رمزگذاری: اطلاعات خارج و سپس فایل‌ها و ماشین‌های مجازی رمزگذاری می‌شوند.
هر اقدام پیشگیرانه باید دست‌کم یکی از این مراحل را سخت‌تر کند.
درهای ورودی را ببندید
- ریموت دسکتاپ را مستقیم روی اینترنت باز نگذارید. دسترسی از راه دور فقط از طریق VPN یا درگاه امن انجام شود.
- ورود دومرحله‌ای را برای VPN، ایمیل و همه پنل‌هایی که از اینترنت در دسترس‌اند فعال کنید.
- تجهیزات مرزی را اول به‌روز کنید: آسیب‌پذیری‌های فایروال، VPN و سرورهای در معرض اینترنت از هدف‌های اصلی مهاجمان‌اند.
- پیوست‌های خطرناک را فیلتر کنید: فایل‌های اجرایی و فایل‌های فشرده رمزدار را در ایمیل مسدود کنید و ماکروهای فایل‌های Office دریافتی از اینترنت را با Group Policy غیرفعال نگه دارید.
جلوی گسترش در شبکه را بگیرید
اگر مهاجم وارد یک رایانه شد، نباید بتواند به‌راحتی به همه‌جا برسد:
- کاربران عادی روی رایانه‌شان دسترسی مدیر نداشته باشند.
- رمز مدیر محلی هر رایانه یکتا باشد؛ Windows LAPS این کار را خودکار می‌کند.
- حساب‌های Domain Admin محدود باشند و فقط روی سرورها و کنترل‌کننده‌های دامین استفاده شوند، نه روی رایانه کاربران.
- شبکه بخش‌بندی شود تا رایانه‌های کاربران فقط به پورت‌های لازم سرورها دسترسی داشته باشند.
- اشتراک فایل بین رایانه‌های کاربران با فایروال ویندوز بسته شود؛ رایانه‌ها معمولاً نیازی ندارند به پورت SMB یکدیگر وصل شوند.
- پروتکل قدیمی
SMBv1را در همه سیستم‌ها خاموش کنید.
بکاپ را دور از دسترس نگه دارید
هدف مهاجم این است که شما راهی جز پرداخت نداشته باشید. دست‌کم یک نسخه بکاپ باید غیرقابل‌تغییر (Immutable) یا آفلاین باشد، سرور بکاپ عضو دامین نباشد و رمز جداگانه داشته باشد. بازیابی را هم به‌صورت دوره‌ای تست کنید؛ بکاپی که بازیابی‌اش امتحان نشده، در روز بحران قابل اتکا نیست.
بکاپ تنها راه نجات بعد از رمزگذاری است، اما اگر اطلاعات پیش از آن سرقت شده باشد، بکاپ این بخش از آسیب را جبران نمی‌کند. به همین دلیل پیشگیری و بکاپ هر دو لازم‌اند.
نشانه‌ها را زود ببینید
بیشتر حمله‌ها چند روز یا حتی چند هفته پیش از رمزگذاری نشانه دارند: ورودهای ناموفق مکرر، ساخته شدن حساب مدیر جدید، اجرای ابزارهای مدیریتی در ساعات غیرعادی یا غیرفعال شدن آنتی‌ویروس. یک ابزار حفاظتی با قابلیت EDR و بررسی منظم هشدارها و لاگ‌ها، فرصت می‌دهد حمله پیش از مرحله آخر متوقف شود.
اشتباهات رایج
- اتکا به آنتی‌ویروس به‌تنهایی و نادیده گرفتن دسترسی‌ها و به‌روزرسانی‌ها
- بکاپ روی NAS که با همان حساب‌های دامین در دسترس است
- حساب مدیر مشترک با رمز ثابت که همه کارشناسان و پیمانکاران آن را می‌دانند
- نبود آموزش کارکنان برای شناسایی ایمیل‌های جعلی
چک‌لیست
- هیچ RDP یا پنل مدیریتی مستقیم روی اینترنت باز نیست.
- VPN و ایمیل ورود دومرحله‌ای دارند.
- فایروال، VPN و سرورها به‌روز هستند.
- کاربران دسترسی مدیر محلی ندارند و رمز مدیر محلی یکتاست.
- دست‌کم یک نسخه بکاپ آفلاین یا غیرقابل‌تغییر وجود دارد و بازیابی تست شده است.
- هشدارهای امنیتی هر روز بررسی می‌شوند.
- کارکنان درباره ایمیل‌های فیشینگ آموزش دیده‌اند.
کارشناسان ITPlus724 می‌توانند شبکه شما را از نظر این موارد ارزیابی کنند و نقاط ضعف را به ترتیب اولویت برطرف کنند.