Poniedziałek rano, godzina siódma. Osoba odpowiedzialna za IT przyjeżdża do biura, bo od piątej nie działa żaden system. Na ekranach serwerów widać tekst z linkiem i terminem. Pierwsza myśl jest spokojna: mamy kopie zapasowe, przywrócimy. Otwiera serwer backupu i widzi usunięte zadania kopii oraz puste repozytorium. Magazyn w chmurze, do którego wysyłano kopie, jest również pusty. Ostatnią działającą kopią jest dysk zewnętrzny, który ktoś rok temu zaniósł do sejfu.
Ten scenariusz nie jest zmyślony i powtarza się z drobnymi wariacjami. Najczęściej firma miała kopie zapasowe. Były po prostu dostępne z tej samej sieci, na tych samych poświadczeniach, które atakujący już przejął.
W tym artykule pokazujemy, jak naprawdę przebiega taki atak, dlaczego serwer backupu jest jednym z jego pierwszych celów i jak działają kopie zapasowe, gdy atakujący nie może ich ani zobaczyć, ani usunąć.
Atak to nie jeden plik, to tygodnie pracy
Większość ludzi wyobraża sobie ransomware jako e-mail z załącznikiem, który ktoś otwiera, po czym wszystko zostaje zaszyfrowane. Dziesięć lat temu tak było. Dziś to ostatni i najkrótszy etap ataku. Poprzedza go kilka innych, a prowadzą je ludzie, nie program.
Wstępny dostęp
Atakujący dostaje się do sieci jedną z kilku dróg: phishingowy e-mail wyłudzający hasło, wyciekłe hasło, którego pracownik używał także na prywatnych stronach, niezałatane urządzenie VPN lub pulpitu zdalnego albo dostawca, który ma dostęp do Twoich systemów. Na tym etapie nic nie jest jeszcze zaszyfrowane i nikt niczego nie zauważa.
Rozpoznanie
Przez dni lub tygodnie atakujący cicho bada środowisko. Jakie istnieją serwery, gdzie jest kontroler domeny, gdzie przechowywane są pliki, jakiego systemu kopii zapasowych używa się i gdzie zapisuje. Serwer backupu łatwo rozpoznać: po nazwie, po zainstalowanym oprogramowaniu i po dużym strumieniu danych, który płynie do niego każdej nocy.
Przejęcie poświadczeń
Celem są uprawnienia administratora domeny. Często zdobywa się je łatwiej, niż się wydaje: administrator zalogował się na komputerze pracownika, żeby naprawić problem, i zostawił po sobie token logowania, albo to samo hasło działa zarówno na serwerze backupu, jak i w magazynie w chmurze. Z uprawnieniami administratora atakujący ma wszystko, co ma Twoje IT.
Niszczenie kopii zapasowych
Dopiero teraz zaczyna się część, której firma nie zauważa do poniedziałkowego poranka. Zadania kopii i same kopie zostają usunięte. NAS zamontowany jako dysk sieciowy jest formatowany lub szyfrowany razem ze wszystkim innym. W magazynie w chmurze, do którego serwer backupu loguje się własnym kontem, obiekty są usuwane, bo to samo konto, które może zapisywać, zwykle może też usuwać. Czasem kopie zostawia się na kilka dni, żeby ransomware zaszyfrował także je, ale wynik jest ten sam.
Szyfrowanie
Ostatni krok uruchamia się, gdy kopii już nie ma, a firma jest najmniej przygotowana do reakcji: piątkowy wieczór, noc przed świętem, sezon urlopowy. Część danych często kopiuje się wcześniej, żeby atakujący mógł grozić ich opublikowaniem, jeśli okup nie zostanie zapłacony. Samo szyfrowanie trwa godziny, nie dni, więc gdy się je zauważy, jest już za późno, żeby je zatrzymać.
Dlaczego serwer backupu w Twojej sieci jest celem
Logika atakującego jest prosta: firma z działającymi kopiami zapasowymi nie płaci. Dlatego kopie niszczy się w pierwszej kolejności. Serwer backupu, który jest członkiem domeny, widoczny w sieci, zarządzany tymi samymi poświadczeniami administratora i zapisujący do magazynu, z którego może też usuwać, nie jest obroną przed atakiem. Jest jego częścią.
Typowe luki, które widzimy podczas audytów bezpieczeństwa IT:
- Serwer backupu jest dołączony do domeny, więc administrator domeny jest automatycznie także administratorem backupu.
- Repozytorium kopii jest zamontowane jako folder udostępniony, dostępny z komputerów pracowników.
- Klucz dostępu do magazynu w chmurze jest przechowywany na serwerze backupu i pozwala na usuwanie, a nie tylko zapis.
- Brak niezmienialności, więc każdą kopię można usunąć w dowolnej chwili.
- Jedna osoba może sama zniszczyć wszystkie kopie, bez zatwierdzenia przez kogokolwiek innego.
Żadna z tych luk nie jest wadą oprogramowania do kopii zapasowych. To problem architektury: kopie zaprojektowano tak, jakby jedynym zagrożeniem była awaria dysku, a nie człowiek znający Twoje hasło administratora. Dlatego raport z backupu z zielonym znaczkiem nic nie mówi o odporności na ransomware.
Jak działają niezmienialne kopie zapasowe, niewidoczne z sieci
Niezmienialne kopie zapasowe odpowiadają na każdą z tych luk. Zasada opiera się na dwóch właściwościach.
Niewidoczne z sieci
Magazyn kopii nie jest częścią Twojej sieci. Nie ma adresu, który dałoby się znaleźć podczas rozpoznania, nie jest członkiem domeny i nie przyjmuje połączeń z Twoich serwerów. Dane trafiają do niego jednokierunkowym kanałem: Twoja strona może tylko wysyłać, a nie może przeglądać, zmieniać ani usuwać tego, co już wysłała. Atakujący, który przejął całą Twoją sieć, widzi tylko, że coś jest gdzieś wysyłane.
Niezmienialne przez ustalony czas
W magazynie każda kopia jest zablokowana na określony okres. W tym czasie nie może jej usunąć Twój administrator, Twój dostawca IT ani my, działając sami. Polecenie usunięcia jest po prostu odrzucane na poziomie magazynu, a nie w aplikacji, której ustawienia można zmienić. Okres dobiera się dłuższy niż czas, w którym firma realnie zauważyłaby włamanie: w naszej praktyce co najmniej 30 dni, często więcej.
Kto może rozpocząć odtwarzanie
To kluczowa różnica w porównaniu ze zwykłymi kopiami. Odtwarzania z niezmienialnych kopii nie uruchamia serwer backupu ani administrator domeny, lecz upoważnieni przedstawiciele Twojej firmy, wskazani wcześniej, osobnym kanałem niezwiązanym z Twoją siecią. Ich tożsamość weryfikuje się w sposób uzgodniony z wyprzedzeniem. Dzięki temu nawet w pełni przejętą siecią nie da się dotrzeć do kopii ani ich zniszczyć. Szczegóły opisujemy na stronie usługi niezmienialna kopia zapasowa.
Kopie przetrwały. Gdzie je uruchomić?
Drugi problem tamtego poniedziałkowego poranka, o którym myśli się rzadziej: kopie są nienaruszone, ale serwery są zaszyfrowane, a sieci nie można ufać, bo nikt nie wie, gdzie jeszcze jest atakujący. Nie można odtwarzać do tej samej sieci, dopóki nie zostanie oczyszczona, a to trwa dni.
Dlatego łączymy niezmienialne kopie z odtwarzaniem infrastruktury PlanB: kopie przechowujemy w naszej chmurze, a obok znajduje się przygotowane, odizolowane środowisko, w którym serwery uruchamia się z kopii i firma pracuje dalej, podczas gdy jej własna infrastruktura jest badana i naprawiana. Czas odtwarzania liczy się wtedy w godzinach, a nie tygodniach, i nie zależy od tego, jak szybko uda się oczyścić zainfekowaną sieć.
Od czego zacząć
- Sprawdź, czy Twój serwer backupu jest członkiem domeny i czy administrator domeny może usuwać kopie. Jeśli tak, to pierwsza rzecz do zmiany.
- Przenieś co najmniej jedną kopię do magazynu, którego nie widać z Twojej sieci i w którym kopie są zablokowane na ustalony okres.
- Wskaż dwie osoby, które mogą rozpocząć odtwarzanie, i uzgodnij, jak weryfikuje się ich tożsamość bez używania firmowej poczty ani firmowej sieci.
- Zdecyduj, gdzie uruchomisz serwery, jeśli sieci nie będzie można ufać przez kilka dni.
- Jeśli chcesz, żebyśmy wspólnie z Tobą ocenili stan kopii zapasowych i uprawnień dostępu, napisz do nas przez formularz kontaktowy. Pierwsza rozmowa zwykle zaczyna się od jednego pytania: kto dziś może usunąć Twoje kopie?
