© 1995-2021 Компания «Инфосистемы Джет»
Как защититься от вируса-шифровальщика на уровне инфраструктуры
Вычислительные комплексы

Можно ли защититься от вирусных атак не только с помощью антивируса и других инструментов ИБ? Почему вирусы-шифровальщики стали одной из главных угроз для бизнеса? Как опознать атаку и минимизировать урон? Что такое стратегия «3-2-1»?

Вычислительные комплексы Обзор

Как настроить инфраструктуру, чтобы защититься от вирусов-шифровальщиков

16.09.2021

Посетителей: 252

Просмотров: 237

Время просмотра: 3.2 мин.

Можно ли защититься от вирусных атак не только с помощью антивируса и других инструментов ИБ?

 

Почему вирусы-шифровальщики стали одной из главных угроз для бизнеса?

 

Как опознать атаку и минимизировать урон?

 

Что такое стратегия «3-2-1»?

 

Вирус на 40 млн долларов

 

По данным Group-IB, в прошлом году количество атак с использованием вирусов-шифровальщиков выросло более чем на 150%. В среднем атакованная компания теперь останавливается на 18 суток, а сумма выкупа выросла до 170 000 долл. Почему произошел такой резкий скачок? Если коротко — из-за коронавируса. 

 

С началом пандемии многие компании стали пересматривать стратегию цифровой трансформации — понадобились новые сервисы, в первую очередь для организации удаленной работы. Бизнес перестроился в короткие сроки, но системы безопасности не были готовы к такому резкому переходу. Инвестиции в сферу ИБ в прошлом году начали отставать от общих темпов цифровизации. В результате компании просто не успевают закрывать уязвимости, и число кибератак растет.

 

Существеннее всего с точки зрения ИБ отстают системы резервного копирования. Например, американская CNA в марте 2021 г. стала жертвой хакеров-вымогателей и заплатила выкуп в размере 40 млн долл. за восстановление доступа к данным и сетям (изначально хакеры вообще требовали 60 млн). Пришлось платить, потому что зашифрованная информация стоила дороже.

 

Кроме того, бизнес активнее пользуется облачными решениями, поскольку это самые простые и доступные платформы для запуска приложений и хранения информации. При этом далеко не все принимают нужные меры по организации отказоустойчивости cloud-сервисов. В итоге системы ИБ перестают соответствовать уровню сложности информационных сред. 

 

Так, в конце прошлого года Wakefield Research провела по заказу Veritas Technologies глобальный опрос 2700 ИТ-руководителей и специалистов в 21 стране. В России примерно 4 респондента из 10 заявили, что их компания хотя бы раз подверглась атаке программ-вымогателей. В среднем отечественные компании используют около 11 облачных сервисов (IaaS, PaaS и SaaS), при этом степень защиты их бизнеса не соответствует сложности ИТ-инфраструктуры. На эту проблему указали 62% респондентов.

 

Оптимальная архитектура на раз-два-три 

 

Как правило, атаки вирусов-шифровальщиков строятся по одному алгоритму. Сначала идет фишинг: пользователь кликает по вредоносной ссылке, открывает зараженный файл — и злоумышленники проникают в сеть компании. Далее вирус сканирует систему, ищет уязвимости и использует их, чтобы получить доступ к привилегированным аккаунтам и попасть в другие системы. Сразу после этого шифровальщик начинает стремительно распространяться по сети, шифруя все возможные данные. Система либо уходит в перезагрузку, либо сразу показывает окно-предупреждение: данные зашифрованы, нужно заплатить выкуп (как правило, через биткоины).

 

 

Как работает шифровальщик

 

  1. Первичное заражение
  2. Поиск уязвимостей
  3. Захват привилегированных аккаунтов
  4. Распространение по сети и шифровка данных
  5. Требование выкупа

 

 

Таким образом, если вирус прошел защиту периметра и антивирус не смог его заблокировать, данные оказываются под угрозой. Можно ли защититься от этого сценария, построив архитектуру таким образом, чтобы последствия атаки были минимальными? Многие вендоры стали работать в этом направлении, а мы постарались собрать лучший опыт и делимся им с вами.

 

Какую архитектуру мы рекомендуем как оптимальную?

 

Во-первых, у вас должна быть установлена СРК корпоративного уровня, которая переносит копии данных с продуктивных серверов и систем хранения на резервные, причем копий может быть несколько. Ведь понятно, что если СУБД складывает свои копии рядом с продуктивными данными на одном сервере, то риск потери обеих копий очень велик, особенно если сервер находится под управлением MS Windows и система работает через скрипты без централизованного оповещения и мониторинга состояния копий. Правильно настроенная логика резервного копирования также очень важный компонент этой линии защиты. При наличии двух и более площадок должна быть предусмотрена защита от различных сценариев потери или порчи данных на каждой из них.

 

Во-вторых, сама СРК должна быть защищена от влияния шифровальщиков. Какие именно подходы используют вендоры, мы расскажем чуть ниже.

 

Ну и в-третьих, архитектура должна быть готова к максимально быстрому восстановлению больших объемов данных. Ведь если у вас было несколько сотен терабайт или пара петабайт, даже при наличии защищенного ПО, которое сохранило ваши данные в другом месте, при использовании архитектуры «старого типа» потребуется несколько дней, чтоб их восстановить. Недавние кейсы американских нефтяных компаний этому прекрасное подтверждение. 

Как организовать защиту 

 

Построение защиты через организацию правильной архитектуры должно дополняться применением классических ИБ-средств.

Комплексный подход строится на 3 ключевых принципах: 

 

  • предотвращение;
  • обнаружение;
  • восстановление.

 

К предотвращению заражения относятся мероприятия по своевременному обновлению всего ПО и отслеживанию новых угроз. Например, для своего ПО компания Veritas выпускает оповещения по найденным уязвимостям и выкладывает эти дайджесты на своем сайте. Помимо этого, рекомендуется использовать многофакторную аутентификацию, управление паролями с учетом рисков, разграничение доступа к системам на основе ролей и другие методы защиты оборудования и ПО. Часть этих средств может применяться и в СРК, поэтому мы в своих проектах привлекаем к этим работам и специалистов ИБ, и экспертов по резервному копированию. Без совместной работы защита может оказаться недостаточно эффективной.

 

Сейчас все чаще происходят кибератаки, цель которых — исключительно СРК. Например, для хищения резервной копии важной базы или целенаправленной порчи резервных копий, чтобы исключить возможность восстановления и нанести финансовый урон. Чтобы защититься от таких действий, мы рекомендуем использовать контроль доступа пользователей и ролевой контроль. Так скомпрометированный аккаунт не сможет удалить бэкапы или повредить систему резервного копирования. Но даже не заходя в СРК, вирус может начать шифровать данные на уровне файловой системы. Для этого в СРК некоторых производителей (например, Veritas) добавлены дополнительные средства защиты: изменения в файловой системе могут быть реализованы только процессами самого ПО резервного копирования. 

 

Как мы упоминали выше, правильно настроенная логика создания и хранения резервных копий — один из важнейших компонентов комплексной защиты. Лучшие практики резервного копирования рекомендуют следовать принципу «3-2-1»: как минимум три копии данных в двух разных местах, при этом одна из них за пределами офиса и без доступа к интернету. Копии, которые находятся в офлайне, принято обозначать «воздушным зазором» (AirGap). При обнаружении программы-вымогателя важно проверить резервные данные и убедиться в том, что они не содержат вредоносных программ, прежде чем приступать к полномасштабному восстановлению.

Российский бизнес и шифровальщики

 

  • 35% респондентов из опроса Wakefield Research, столкнувшихся с атаками программ-вымогателей, заявили, что их компания полностью или частично заплатила выкуп.
  • 15% респондентов отметили, что их компания следует рекомендуемой практике «3-2-1» : три копии данных, в том числе одна вне офиса и без доступа в интернет. 
  • 22% заявили, что у их компании есть три или более копии данных в одном месте.
  • 63% предприятий не применяют практику «3-2-1».

Построение архитектуры для защиты информации с использованием Veritas NetBackup и NetBackup Appliances

 

Описанную выше стратегию защиты (предотвращение / обнаружение / восстановление) можно рассмотреть на примере продуктов Veritas, в которых она последовательно реализована с использованием нескольких технологий.

 

Предотвращение

 

Первое: необходимо построить опорную инфраструктуру СРК и восстановления данных, устойчивую к воздействию шифровальщиков. Это последний бастион — только она сможет восстановить информацию в случае атаки. 

 

Для продуктов Veritas предпочтительнее серверная инфраструктура на базе ОС Linux, так как она менее подвержена воздействию вирусов, а в NetBackup Appliances используется ее специально подготовленная, более защищенная версия. По статистике, Linux менее подвержен заражениям: более 80% атак направлены на Windows, поскольку эта система распространена на endpoint. Строя систему на Linux, вы фактически отсекаете 80% угроз. 

 

Другие технологии для этапа предотвращения — это набор механизмов Identity and Access Management: многофакторная аутентификация, шифрование, модель доступа RBAC (группировка пользователей с учетом их специфики). Эти инструменты позволят более гибко управлять сохраненными данными и не потерять их в случае атаки.

 

Обнаружение

 

Найти шифровальщиков можно, в том числе во время резервного копирования. Например, если у вас на 100% вырастает количество файлов между бэкапами, меняется объем бэкапа или резко падает уровень оптимизации резервных копий, вполне возможно, система заражена. 

 

Подобные аномальные активности могут быть зафиксированы с помощью Veritas NetBackup и Veritas Enterprise Data Services Platform (например, Aptare & DataInsight). Заказчик может счесть эти признаки ложноположительными, но у него будет дополнительный шанс обнаружить проникновение вируса раньше, чем он успеет распространиться более широко.

 

Восстановление

 

Когда не сработали меры по предотвращению атаки и не удалось вовремя обнаружить вирус, остается последний рубеж — восстановление данных. Если ваша СРК не может восстановить работоспособность ИТ-систем, значит, она построена неправильно. 

 

Технологии, позволяющие осуществить быстрое восстановление данных, — Instant Rollback, Continuous Data Protection, Instant Access (мгновенный доступ к ВМ из бэкап-копий), мгновенные снимки, Bare Metal Restore и Immutability. Например, Continuous Data Protection позволяет сократить допустимое время восстановления, а технологии Immutability гарантированно защищают СРК. Эти решения помогут быстрее восстановить данные после атаки, причем сделают это с минимальной потерей информации. При этом архитектуру для быстрого восстановления лучше готовить заранее, на этапе планирования правильной СРК. Расчеты должны включать в себя предполагаемый объем данных, пропускную способность интерфейсов, количество массивов (или использование гиперконвергенции в качестве приемника данных), а также учитывать степень критичности данных. Все это должно быть документировано, а в идеале — являться частью стратегии непрерывности бизнеса или плана по восстановлению (DRP, Disaster Recovery Plan).

 

Учитывая постоянно растущие объемы данных, нехватку скорости при использовании классических решений, а также не стоящие на месте технологии, мы начали предлагать заказчикам для данных уровня Business Critical и Mission Critical использовать резервирование на массивы с дисками SSD. Это позволяет как увеличить скорость резервирования и восстановления, так и обеспечить возможность запуска и комфортной работы резервных копий напрямую с таких массивов. Современное ПО резервного копирования умеет запускать без восстановления как виртуальные машины, так и СУБД. Широкое использование аппаратных снимков СХД также даст преимущество при атаке шифровальщиков. ПО резервного копирования позволит централизованно и практически моментально откатиться на незашифрованный снимок СХД, не тратя время на физическое копирование данных с одного массива на другой.

Многим российским компаниям необходимо сформировать планы восстановления после кибератак и выстроить трехступенчатую систему защиты, о которой мы говорили выше. Также важно регулярно отрабатывать действия по аварийному восстановлению данных — репетиции помогут быстро и безболезненно пережить настоящую атаку. Мы даем все необходимые инструменты, которые позволят автоматизировать этот процесс и постоянно проводить подобные проверки. Вопрос «Будет ли компания подвергаться атакам вирусов-шифровальщиков и вообще заражениям?» уже не стоит, гораздо актуальнее другой: «Когда это произойдет и насколько вы к этому готовы?». На 100% защититься от атак невозможно. Но правильно выстроенная инфраструктура и стратегия защиты помогут бизнесу пережить нападение и не платить вымогателям миллионы долларов. 

Уведомления об обновлении тем – в вашей почте

Open Source, или Немного дегтя в тарелке меда

Несмотря на довольно игривый эпиграф, говорить в этой статье мы будем о вполне серьезных и актуальных для сегодняшних ИТ вещах, а именно об открытых стандартах и свободном ПО

Распределенные центры обработки данных

Резервный вычислительный центр (РВЦ) — это одно из решений, направленных на обеспечение доступности данных и информационных служб в целом.

Кто на новенькое

На текущий момент о задаче управления инцидентами ИБ уже сказано очень много, и каждая крупная компания реализовала ее или сделала 1–2 подхода к построению этого процесса

Как компании подготовиться к внедрению Open Source ПО? Чек-лист

Плюсы и минусы ПО с открытым кодом? Check-up Open Source — оцените свои ИТ перед внедрением?

Когда стоит задуматься о Quality Assurance

Анализируя ситуацию на рынке ЦОД, мы можем констатировать, что услуга Quality Assurance реально востребована российским бизнесом последние 1–2 года.

Топливные ячейки (Fuel Cells)

Топливные ячейки как перспективная технология начали разрабатываться относительно давно (NASA заинтересовалось этим направлением в начале 1950-х гг.), однако лишь в последние годы они нашли свое непосредственное техническое воплощение

«Бояться новых подходов в ИТ — все равно что бояться дышать»: что такое Инфраструктура 3.0 и почему она неизбежно наступит

Какие технологии характерны для Инфраструктуры 3.0? За счет чего новый подход может быть выгоднее имеющейся инфраструктуры? Как хождение по граблям решает кадровый вопрос?

5000 слов о защите контейнеров

Функциональные ИБ-требования для защиты контейнеров. Как выбрать оптимальное решение? Перечень Enterprise и Open Source инструментов для защиты.

Сети от Huawei – быть или не быть

Оценка сетевых решений Huawei по результатам их тестирования

Спасибо!
Вы подписались на обновления наших статей
Предложить
авторский материал





    Спасибо!
    Вы подписались на обновления наших статей
    Подписаться
    на тему







      Спасибо!
      Вы подписались на обновления наших статей
      Оформить
      подписку на журнал







        Спасибо!
        Вы подписались на обновления наших статей
        Оформить
        подписку на новости







          Спасибо!
          Вы подписались на обновления наших статей
          Задать вопрос
          редактору








            Оставить заявку

            Мы всегда рады ответить на любые Ваши вопросы

            * Обязательные поля для заполнения

            Спасибо!

            Благодарим за обращение. Ваша заявка принята

            Наш специалист свяжется с Вами в течение рабочего дня