صبح که کارکنان می‌رسند، پسوند فایل‌ها عوض شده و روی صفحه‌ها یک یادداشت باج دیده می‌شود. در این لحظه، تصمیم‌های عجولانه مثل فرمت کردن سرورها، اجرای ابزارهای ناشناس رمزگشایی یا وصل کردن هارد بکاپ می‌تواند خسارت را چند برابر کند. برنامه‌ای که از قبل نوشته شده، تفاوت میان چند روز توقف و چند هفته بحران است.
پیش از بحران: برنامه را همین حالا بنویسید
- فهرست تماس اضطراری: مدیر IT، مدیرعامل، مشاور حقوقی و پیمانکار امنیت و شبکه.
- فهرست سیستم‌های حیاتی و ترتیب بازیابی آن‌ها.
- نسخه چاپی یا آفلاین از برنامه، نقشه شبکه و رمزهای اضطراری؛ چون ممکن است سرورها و ایمیل در دسترس نباشند.
- یک کانال ارتباطی جایگزین، مثلاً تماس تلفنی یا گروه پیام‌رسان، برای وقتی ایمیل شرکت از کار افتاده یا قابل اعتماد نیست.
ساعت اول: مهار
- دستگاه‌های آلوده را از شبکه جدا کنید. کابل شبکه را بکشید، وای‌فای را قطع کنید و در صورت لزوم ارتباط اینترنت و تونل‌های VPN شعب را در فایروال ببندید تا آلودگی گسترش پیدا نکند.
- عجولانه خاموش و پاک نکنید. تا جای ممکن دستگاه‌ها را روشن اما جدا از شبکه نگه دارید؛ اطلاعات موجود در حافظه برای بررسی حمله ارزشمند است. اگر جداسازی ممکن نیست و رمزگذاری ادامه دارد، خاموش کردن گزینه بعدی است.
- بکاپ‌ها را نجات دهید. ارتباط ذخیره‌سازهای بکاپ با شبکه را قطع کنید و هیچ دیسک بکاپی را به سیستم آلوده وصل نکنید.
- شواهد را ثبت کنید. از یادداشت باج، پسوند فایل‌ها و پیام‌های خطا عکس بگیرید و زمان مشاهده را یادداشت کنید.
- دسترسی‌ها را از یک دستگاه سالم ببندید. حساب‌های مشکوک را غیرفعال و رمز حساب‌های مدیر را عوض کنید.
هر کاری که در این مرحله انجام می‌دهید، با زمان دقیق یادداشت کنید. این گزارش برای تیم بررسی، مراجع قانونی و جلوگیری از تکرار حمله ضروری است.
ارزیابی دامنه حمله
پس از مهار، باید روشن شود چه چیزی آسیب دیده است: کدام سرورها، رایانه‌ها و میزبان‌های مجازی‌سازی درگیرند، بکاپ‌ها سالم مانده‌اند یا نه و آیا نشانه‌ای از خروج اطلاعات وجود دارد. نوع باج‌افزار را معمولاً از متن یادداشت و پسوند فایل‌ها می‌شود شناخت. برای برخی خانواده‌های باج‌افزار ابزار رمزگشایی معتبر منتشر شده، اما آن را فقط از منابع رسمی و با نظر متخصص اجرا کنید.
ارتباطات و تصمیم‌های مدیریتی
مدیریت باید زود در جریان قرار بگیرد، چون تصمیم‌های مهم در سطح کسب‌وکار گرفته می‌شود: چه زمانی و چطور به کارکنان، مشتریان و شرکا اطلاع داده شود و موضوع چگونه به مراجع ذی‌صلاح، مانند پلیس فتا، گزارش شود. درباره پرداخت باج، این یک تصمیم تجاری و حقوقی است که نباید عجولانه گرفته شود؛ پرداخت هیچ تضمینی برای بازگشت اطلاعات یا منتشر نشدن آن‌ها ندارد و حتماً باید با حضور متخصصان امنیت، مشاور حقوقی و مراجع مربوط بررسی شود.
بازیابی: پاک‌سازی پیش از بازگشت
- راه ورود را پیدا کنید و ببندید. اگر علت ورود، مثلاً RDP باز یا رمز لو رفته، برطرف نشود، حمله تکرار می‌شود.
- سیستم‌ها را از نو بسازید یا از بکاپ سالم برگردانید، نه اینکه فقط فایل‌های آلوده را پاک کنید.
- تاریخ بکاپ را بررسی کنید. مهاجم ممکن است مدتی پیش از رمزگذاری در شبکه بوده باشد؛ بکاپ را پیش از اتصال به شبکه، در محیط جدا بازیابی و بررسی کنید.
- به ترتیب اولویت برگردید: معمولاً اول زیرساخت، یعنی دامین و DNS، بعد سرورهای مالی و عملیاتی و در آخر بقیه سیستم‌ها.
- همه رمزها را عوض کنید؛ از حساب‌های کاربران تا حساب‌های سرویس و تجهیزات شبکه.
پس از حادثه
وقتی کار به روال عادی برگشت، حادثه را مرور کنید: حمله از کجا شروع شد، چه چیزی درست کار کرد و چه تغییری لازم است. پایش شبکه را هم تا چند هفته دقیق‌تر نگه دارید تا هر نشانه‌ای از بازگشت مهاجم دیده شود.
چک‌لیست
- برنامه واکنش، فهرست تماس و نسخه آفلاین آن آماده است.
- همه می‌دانند اولین قدم، جدا کردن دستگاه از شبکه است.
- بکاپ آفلاین یا غیرقابل‌تغییر وجود دارد.
- مسئول تصمیم‌گیری و اطلاع‌رسانی مشخص است.
- ترتیب بازیابی سیستم‌ها از قبل تعیین شده است.
اگر می‌خواهید پیش از بحران برنامه واکنش آماده داشته باشید یا با حادثه‌ای روبه‌رو شده‌اید، کارشناسان ITPlus724 می‌توانند در تدوین برنامه، مهار و بازیابی همراه شما باشند.