Как защитить компанию от программ-вымогателей
Практика3 минРедакция Innovialabs
Коротко
Закройте основные входы — фишинг, открытый RDP и необновлённое ПО, — включите двухфакторную аутентификацию, ограничьте права, держите изолированные резервные копии, а при заражении сразу отключайте поражённые устройства от сети.
Короткий ответ
Программа-вымогатель (ransomware) шифрует файлы и серверы компании и требует выкуп за ключ. Часто злоумышленники ещё и копируют данные заранее и угрожают их опубликовать.
Защита строится в несколько слоёв:
- Закрыть входы: фишинг, удалённый доступ без защиты, необновлённые программы.
- Ограничить распространение: минимальные права, сегментация сети, отдельные учётные записи администраторов.
- Обеспечить восстановление: резервные копии, которые злоумышленник не сможет удалить или зашифровать.
- Иметь план на первые часы после заражения.
Как вымогатели попадают внутрь
| Путь | Как выглядит | Что помогает |
|---|---|---|
| Фишинг | Письмо со «счётом», «актом» или «резюме» во вложении или со ссылкой на поддельную страницу входа | Фильтрация почты, блокировка макросов, обучение сотрудников, 2FA |
| Открытый RDP и удалённый доступ | Подбор паролей к RDP, выставленному в интернет, или вход по украденному паролю VPN | RDP только через VPN, 2FA на VPN, лимиты попыток, отключение неиспользуемых доступов |
| Уязвимое ПО | Эксплуатация известных уязвимостей в VPN-шлюзах, почтовых серверах, CMS, плагинах | Регулярные обновления, прежде всего всего, что доступно из интернета |
| Украденные учётные данные | Пароль, утёкший с другого сайта, используется для входа в корпоративные сервисы | Уникальные пароли, менеджер паролей, 2FA |
| Нелицензионный софт | «Активаторы» и взломанные программы с вредоносной нагрузкой | Запрет установки ПО обычными пользователями |
Многослойная защита
Базовый минимум:
- 2FA на почте, VPN, облачных сервисах и панелях администрирования.
- Обновления ОС, браузеров, офисных пакетов и особенно сетевых устройств и серверов.
- Антивирус или EDR на всех компьютерах и серверах, с централизованным контролем.
- Нет прав администратора у обычных пользователей.
Следующий уровень:
- Разные учётные записи для повседневной работы и администрирования.
- Уникальные пароли локальных администраторов на каждом компьютере (в Windows для этого есть LAPS).
- Сегментация сети: бухгалтерия, серверы, гостевой Wi-Fi и камеры — в разных сегментах.
- Журналы событий собираются в одном месте и хранятся вне атакуемых серверов.
- Обучение сотрудников на реальных примерах писем и понятный способ сообщить о подозрительном.
Изолированные резервные копии
Современные вымогатели целенаправленно ищут и уничтожают бэкапы. Резервная копия защищает, только если она:
- Неизменяемая (хранилище с Object Lock или аналогом) или офлайн (диск, отключённый после копирования).
- Доступна под отдельной учётной записью, которой нет в домене и которая защищена 2FA.
- Сервер или NAS резервного копирования не входит в домен и недоступен для обычных компьютеров по сетевым папкам.
- Регулярно проверяется восстановлением — вы знаете, сколько времени займёт возврат к работе.
Первые часы после заражения
- Изолируйте: отключите заражённые компьютеры от сети (кабель, Wi-Fi). Не выключайте их без необходимости — в памяти могут остаться следы, полезные для расследования.
- Остановите распространение: отключите удалённый доступ, при необходимости — связь между сегментами и с облачными хранилищами.
- Соберите команду: руководство, IT, юрист; если есть договор с подрядчиком по информационной безопасности — вызывайте сразу.
- Сохраните улики: записка с требованием, примеры зашифрованных файлов, логи. Не удаляйте и не переустанавливайте системы до оценки.
- Проверьте резервные копии: целы ли они, когда сделаны последние чистые копии.
- Смените пароли с чистого устройства — прежде всего администраторов, почты и VPN.
- Восстанавливайтесь в чистую среду: сначала устраните точку входа, иначе заражение повторится.
- Сообщите в правоохранительные органы и, если затронуты персональные данные, оцените обязательства по закону.
Выкуп не гарантирует получения ключа и не гарантирует, что украденные данные не будут опубликованы. Для некоторых семейств вымогателей существуют бесплатные расшифровщики — их собирает проект No More Ransom.
Частые вопросы
Нет. Антивирус — один слой. Атаки часто начинаются со входа по украденному паролю, и дальше злоумышленник действует легитимными инструментами администратора. Нужны 2FA, обновления, ограничение прав и изолированные копии.