Ransomware to jedno z tych zagrożeń, których firmy szczególnie nie powinny lekceważyć.
Atak może rozpocząć się od pozornie niewinnego załącznika w wiadomości e-mail, kliknięcia w fałszywy link, wykorzystania niezałatanej podatności albo przejęcia konta użytkownika. W krótkim czasie problem z jednym komputerem może przerodzić się w poważny incydent obejmujący kolejne urządzenia, serwery i dane firmy.
Co gorsza, skutki ataku ransomware nie kończą się na samym usunięciu złośliwego programu. Firma może stracić dostęp do dokumentów, systemów księgowych, baz danych czy wspólnych zasobów sieciowych, a przestój może kosztować znacznie więcej niż sama licencja antywirusowa.
Jak więc zabezpieczyć firmową sieć przed ransomware?
Najważniejsza zasada brzmi:
Nie wystarczy chronić komputerów. Trzeba zabezpieczyć cały łańcuch: użytkowników, urządzenia, konta, serwery, pocztę, aplikacje, podatności i przede wszystkim dane.
Czym jest ransomware i dlaczego jest tak groźny dla firmy?
Ransomware to rodzaj złośliwego oprogramowania, którego celem jest między innymi zablokowanie dostępu do danych lub ich zaszyfrowanie, a następnie wymuszenie zapłaty okupu. Dla użytkownika domowego może to oznaczać utratę zdjęć czy dokumentów. W firmie konsekwencje mogą być znacznie poważniejsze.
Wyobraźmy sobie sytuację, w której pracownicy rano nie mogą otworzyć:
- dokumentów znajdujących się na serwerze,
- plików księgowych,
- baz danych,
- dokumentacji klientów,
- projektów,
- wspólnych katalogów,
- systemów wykorzystywanych do codziennej pracy.
Jeżeli jednocześnie problem dotknie serwera i kopii zapasowych, firma może znaleźć się w sytuacji, w której nie jest w stanie normalnie pracować. Dlatego ochrona przed ransomware powinna być traktowana jako element całej strategii bezpieczeństwa, a nie jako pojedyncza funkcja programu antywirusowego.
Jak ransomware dostaje się do firmowej sieci?
Nie istnieje jeden uniwersalny sposób przeprowadzenia ataku. Cyberprzestępcy wykorzystują między innymi:
Phishing
Pracownik otrzymuje wiadomość wyglądającą jak wiadomość od kontrahenta, banku, kuriera czy innej znanej firmy. Kliknięcie w link może prowadzić do fałszywej strony logowania albo rozpocząć pobieranie złośliwego pliku.
Złośliwe załączniki
Dokument lub archiwum może zawierać kod prowadzący do infekcji. Problem polega na tym, że wiadomość może wyglądać bardzo wiarygodnie.
Skradzione hasła
Jeżeli napastnik zdobędzie dane logowania użytkownika, nie zawsze musi wykorzystywać klasycznego wirusa. Może próbować zalogować się do usług firmowych przy użyciu prawdziwych danych.
Niezałatane podatności
Nieaktualny system operacyjny, serwer, aplikacja czy urządzenie sieciowe może zawierać lukę bezpieczeństwa, którą można wykorzystać do uzyskania dostępu.
Zdalny dostęp
VPN, zdalne pulpity i inne mechanizmy dostępu do infrastruktury firmy są bardzo użyteczne, ale źle zabezpieczone mogą zwiększać powierzchnię ataku.
Dlatego zabezpieczenie firmowej sieci zaczyna się dużo wcześniej niż w momencie wykrycia ransomware.
Czy sam antywirus wystarczy do ochrony firmy przed ransomware?
Nie. Dobry program ochronny jest jednym z podstawowych elementów zabezpieczenia, ale nie powinien być jedynym zabezpieczeniem. Współczesna ochrona biznesowa powinna działać wielowarstwowo.
ESET w swoich rozwiązaniach biznesowych wykorzystuje między innymi ochronę stacji roboczych, mechanizmy przeciwdziałające ransomware, ochronę przed phishingiem, ochronę sieciową, sandboxing w chmurze, kontrolę urządzeń oraz – zależnie od wybranego pakietu – bardziej zaawansowane mechanizmy wykrywania i reagowania. To ważna różnica. Antywirus odpowiada za ochronę urządzenia, ale bezpieczeństwo firmy powinno obejmować znacznie więcej niż pojedynczy komputer.
1. Zabezpiecz wszystkie komputery i serwery
Pierwszym krokiem jest oczywiście odpowiednia ochrona urządzeń. Dotyczy to:
- komputerów pracowników,
- laptopów,
- serwerów plików,
- serwerów aplikacyjnych,
- maszyn wirtualnych,
- urządzeń mobilnych,
- innych urządzeń mających dostęp do firmowych zasobów.
W przypadku firmy warto również zadbać o centralne zarządzanie ochroną. Zamiast instalować program osobno na każdym komputerze i później sprawdzać ręcznie, czy wszystko działa, administrator powinien mieć możliwość obserwowania stanu całej infrastruktury z jednego miejsca.
Taką funkcję zapewnia platforma ESET PROTECT. Pozwala ona centralnie zarządzać chronionymi urządzeniami i monitorować stan zabezpieczeń całej organizacji.
2. Zadbaj o ochronę przed phishingiem
W wielu przypadkach ransomware nie zaczyna się od „włamania do serwera”. Zaczyna się od człowieka.
Pracownik może otrzymać wiadomość:
„Faktura za ostatni miesiąc”
albo:
„Pilna wiadomość od zarządu”
albo:
„Twoje konto zostanie zablokowane”.
Wiadomość może prowadzić do strony przygotowanej w celu wyłudzenia danych albo zawierać złośliwy załącznik. Dlatego ochrona przed ransomware powinna obejmować również pocztę elektroniczną i mechanizmy antyphishingowe. W rozwiązaniach ESET dla firm ochrona przed phishingiem stanowi jeden z elementów wielowarstwowego podejścia do bezpieczeństwa.
3. Aktualizuj systemy i aplikacje
To jeden z najbardziej niedocenianych elementów bezpieczeństwa. Jeżeli producent systemu lub aplikacji publikuje poprawkę bezpieczeństwa, nie należy traktować jej jako opcjonalnego dodatku. Aktualizacja może usuwać podatność, która potencjalnie umożliwia atakującemu wykonanie kodu lub uzyskanie dostępu do systemu. W firmie problem jest większy niż w przypadku pojedynczego komputera. Administrator musi wiedzieć:
- jakie urządzenia znajdują się w sieci,
- jakie systemy są na nich zainstalowane,
- jakie aplikacje są wykorzystywane,
- które elementy są nieaktualne,
- które podatności wymagają pilnej reakcji.
Dlatego samo hasło „pracownicy mają aktualizować Windows” nie jest jeszcze zarządzaniem podatnościami.
4. Ogranicz uprawnienia użytkowników
Jeżeli zwykły użytkownik nie potrzebuje uprawnień administratora, nie powinien ich posiadać. To prosta zasada, ale bardzo ważna. Im większe uprawnienia ma przejęte konto, tym większe możliwości może otrzymać napastnik. Warto więc stosować zasadę:
Użytkownik powinien mieć tylko takie uprawnienia, jakie są mu rzeczywiście potrzebne do pracy.
Dotyczy to między innymi:
- komputerów,
- serwerów,
- folderów sieciowych,
- aplikacji,
- usług chmurowych,
- kont administracyjnych.
Szczególnie ważne jest oddzielenie zwykłych kont użytkowników od kont administratorów.
5. Włącz uwierzytelnianie wieloskładnikowe
Samo hasło coraz częściej nie wystarcza. Jeżeli hasło użytkownika zostanie wykradzione, napastnik może próbować wykorzystać je do uzyskania dostępu do firmowych systemów. MFA dodaje kolejną warstwę zabezpieczenia. Nawet jeżeli ktoś pozna hasło, nadal może potrzebować dodatkowego potwierdzenia tożsamości.
MFA jest szczególnie istotne w przypadku:
- kont administratorów,
- VPN,
- poczty,
- usług chmurowych,
- systemów zawierających dane firmy,
- zdalnego dostępu.
6. Zabezpiecz serwery i zasoby sieciowe
W firmie komputer pracownika jest często tylko jednym z elementów całej infrastruktury. Ransomware może być szczególnie niebezpieczne wtedy, gdy uzyska dostęp do wspólnych zasobów. Dlatego ochrona powinna obejmować również:
- serwery plików,
- serwery aplikacji,
- maszyny wirtualne,
- zasoby współdzielone,
- urządzenia mobilne,
- środowiska chmurowe.
Platforma ESET PROTECT obejmuje moduły ochrony stacji roboczych, serwerów, urządzeń mobilnych oraz wybranych środowisk chmurowych, zależnie od wariantu rozwiązania.
7. Nie pozwalaj na podłączanie dowolnych urządzeń USB
Pamięć USB może wyglądać niewinnie. W firmie może jednak stanowić dodatkowy wektor ataku. Dlatego w zależności od potrzeb organizacji warto kontrolować możliwość korzystania z:
- pamięci USB,
- zewnętrznych dysków,
- innych urządzeń wymiennych.
W rozwiązaniach ESET PROTECT dostępna jest funkcja kontroli dostępu do urządzeń, która pozwala ograniczać możliwość korzystania z nieautoryzowanych urządzeń wymiennych. Nie chodzi oczywiście o całkowity zakaz używania USB w każdej firmie. Chodzi o to, aby administrator miał możliwość określenia, co może zostać podłączone do firmowego komputera.
8. Wykorzystaj sandboxing w chmurze
Nie wszystkie zagrożenia są znane z góry. Problem pojawia się szczególnie wtedy, gdy użytkownik otrzymuje nowy, wcześniej nieznany plik. Właśnie tutaj przydatny może być sandboxing. Podejrzany obiekt może zostać poddany dodatkowej analizie w odizolowanym środowisku.
ESET LiveGuard Advanced wykorzystuje analizę w chmurze do badania podejrzanych próbek i ochrony przed zagrożeniami, które mogą być trudniejsze do wykrycia tradycyjnymi metodami. ESET wskazuje sandboxing w chmurze jako jeden z elementów ochrony przed ransomware i zagrożeniami typu zero-day w wyższych wariantach ESET PROTECT.
9. Rozważ EDR/XDR w większej firmie
Klasyczna ochrona antywirusowa koncentruje się przede wszystkim na zapobieganiu zagrożeniom. W większych organizacjach może być potrzebna również możliwość dokładniejszego analizowania tego, co wydarzyło się w sieci. Tutaj pojawiają się rozwiązania EDR i XDR. Pozwalają one między innymi analizować zdarzenia, wykrywać podejrzane zachowania i wspierać administratorów w reagowaniu na incydenty.
W platformie ESET PROTECT funkcje Extended Detection & Response są dostępne w wyższych wariantach, między innymi ESET PROTECT Enterprise i Elite. To rozwiązanie szczególnie interesujące dla organizacji, które mają:
- większą liczbę urządzeń,
- własny dział IT,
- zespół bezpieczeństwa,
- wymagania dotyczące monitorowania incydentów,
- potrzebę threat huntingu,
- rozbudowaną infrastrukturę.
10. Pamiętaj o zasadzie najmniejszych uprawnień
Samo zabezpieczenie komputerów nie wystarczy, jeżeli każdy użytkownik ma dostęp do wszystkiego. Warto przeanalizować:
- kto ma dostęp do folderów sieciowych,
- kto może instalować oprogramowanie,
- kto może zmieniać konfigurację komputerów,
- kto ma dostęp do serwerów,
- kto posiada uprawnienia administratora,
- kto może wykonywać operacje na kopiach zapasowych.
Szczególnie ważne jest zabezpieczenie kont administratorów. Przejęcie konta z wysokimi uprawnieniami może znacząco zwiększyć skalę incydentu.
11. Zabezpiecz Microsoft 365 i inne usługi chmurowe
Dzisiaj dane firmy nie znajdują się już wyłącznie na lokalnym serwerze. Coraz więcej organizacji korzysta z:
- Microsoft 365,
- poczty w chmurze,
- SharePoint,
- OneDrive,
- Google Workspace,
- innych aplikacji SaaS.
Dlatego strategia bezpieczeństwa musi uwzględniać również dane przechowywane poza lokalną siecią.
ESET PROTECT obejmuje również ochronę aplikacji chmurowych, w tym Microsoft 365 i Google Workspace, zależnie od wybranego wariantu i modułów.
12. Wykonuj kopie zapasowe – ale rób je dobrze
I tutaj dochodzimy do jednego z najważniejszych punktów. Można mieć świetny antywirus, można mieć EDR, można mieć MFA, można regularnie aktualizować wszystkie komputery. A mimo to firma powinna mieć sprawdzone kopie zapasowe.
Dlaczego? Bo żadna ochrona nie daje podstaw do założenia, że incydent jest niemożliwy. Jeżeli ransomware zaszyfruje dane, dobrze przygotowana kopia zapasowa może pozwolić na ich odtworzenie bez płacenia okupu.
Jeszcze ważniejsze jest to, aby kopia zapasowa nie była łatwo dostępna dla tego samego konta lub systemu, który może zostać przejęty podczas ataku. Dlatego warto stosować zasadę:
3-2-1.
Czyli:
- 3 kopie danych,
- na 2 różnych rodzajach nośników,
- 1 kopia poza głównym środowiskiem.
13. Sprawdzaj, czy backup rzeczywiście działa
To punkt, o którym wiele firm przypomina sobie dopiero po awarii. Komunikat:
„Kopia zapasowa wykonana pomyślnie”
nie oznacza jeszcze:
„W razie potrzeby odzyskamy wszystkie dane”.
Kopie zapasowe należy okresowo testować. Warto sprawdzić:
- czy można odtworzyć pojedynczy plik,
- czy można odtworzyć cały katalog,
- czy można odtworzyć serwer,
- ile czasu zajmuje odzyskanie danych,
- czy kopie są dostępne po awarii głównego systemu,
- czy konto administratora backupu jest odpowiednio zabezpieczone.
Backup, którego nigdy nie testowano, jest trochę jak gaśnica, której nikt nigdy nie sprawdził. Może zadziałać. Ale lepiej wiedzieć to wcześniej.
14. Zadbaj o ochronę kopii zapasowych przed ransomware
Samo wykonywanie backupu nie wystarczy. Jeżeli ransomware uzyska dostęp do systemu tworzącego kopie zapasowe, może próbować zaatakować również backup. Dlatego warto zadbać o:
- oddzielne konta administracyjne,
- ograniczenie dostępu,
- odpowiednie uprawnienia,
- kopie offline lub logicznie odseparowane,
- dodatkową kopię poza główną infrastrukturą,
- regularne testowanie odtwarzania.
To właśnie dlatego zasada 3-2-1 jest tak ważna.
15. Przygotuj firmę na sytuację, w której ochrona nie zadziała
To może brzmieć pesymistycznie, ale jest jednym z najważniejszych elementów bezpieczeństwa. Dobrze zabezpieczona firma nie zakłada:
„Nas ransomware nigdy nie zaatakuje”.
Zakłada raczej:
„Robimy wszystko, aby atak był jak najmniej prawdopodobny, ale jesteśmy przygotowani również na jego wystąpienie”.
To ogromna różnica. Dlatego warto mieć przygotowany plan:
- Kto odpowiada za bezpieczeństwo?
- Kto może odłączyć urządzenie od sieci?
- Kto ma dostęp do backupu?
- Kto kontaktuje się z administratorem?
- Kto podejmuje decyzję o wyłączeniu systemów?
- Jak odtworzyć najważniejsze usługi?
- Jak poinformować pracowników?
- Jak zabezpieczyć dowody i informacje o incydencie?
W przypadku poważnego ataku liczy się nie tylko technologia, ale również czas reakcji.
Co zrobić, gdy podejrzewasz ransomware?
Jeżeli na komputerze pojawią się objawy mogące wskazywać na infekcję, nie należy po prostu czekać na rozwój sytuacji. W zależności od sytuacji warto przede wszystkim:
Odizolować podejrzane urządzenie
Celem jest ograniczenie możliwości dalszego rozprzestrzeniania się zagrożenia.
Nie usuwać pochopnie wszystkich śladów
Informacje o tym, co wydarzyło się na komputerze, mogą być przydatne podczas analizy incydentu.
Sprawdzić inne urządzenia
Jeżeli jeden komputer został zaatakowany, nie należy zakładać, że pozostałe są bezpieczne.
Zabezpieczyć konto użytkownika
Jeżeli istnieje podejrzenie przejęcia danych logowania, konieczna może być zmiana hasła oraz analiza aktywności konta.
Sprawdzić backup
To moment, w którym szczególnie ważna staje się możliwość odzyskania danych.
Rozważyć profesjonalną analizę incydentu
W przypadku poważnego ataku warto skorzystać z pomocy specjalistów, zamiast próbować samodzielnie „wyczyścić” całą infrastrukturę.
Czy ESET może zatrzymać ransomware?
ESET wykorzystuje wiele mechanizmów ochrony przed ransomware. W zależności od rozwiązania mogą to być między innymi:
- ochrona stacji roboczych,
- Ransomware Shield,
- ochrona sieci,
- Anti-Phishing,
- sandboxing w chmurze,
- analiza behawioralna,
- kontrola urządzeń,
- centralne zarządzanie,
- EDR/XDR,
- Ransomware Remediation.
ESET opisuje Ransomware Shield jako mechanizm mający blokować ransomware przed zaszyfrowaniem danych, natomiast Ransomware Remediation ma umożliwiać cofanie zmian poprzez przywracanie plików z bezpiecznych kopii.
Nie należy jednak traktować tego jako gwarancji, że żadna firma nigdy nie zostanie zaatakowana. Najlepszym podejściem jest połączenie prewencji, wykrywania, reagowania i możliwości odzyskania danych.
Jaki ESET wybrać do ochrony przed ransomware?
To zależy od wielkości firmy i jej potrzeb. Nie każda organizacja potrzebuje najbardziej rozbudowanego wariantu ESET PROTECT.
Mała firma
Dla niewielkiej organizacji najważniejsze mogą być:
- skuteczna ochrona komputerów,
- ochrona serwerów,
- centralne zarządzanie,
- ochrona urządzeń mobilnych,
- ochrona przed phishingiem i ransomware.
W takiej sytuacji warto przeanalizować ESET PROTECT Entry.
Firma potrzebująca dodatkowych warstw ochrony
Jeżeli organizacja potrzebuje między innymi sandboxingu w chmurze, szyfrowania dysków czy bardziej rozbudowanych mechanizmów ochrony, warto porównać ESET PROTECT Advanced i wyższe warianty.
Większa organizacja
W przypadku większych środowisk znaczenia nabierają:
- EDR/XDR,
- threat hunting,
- zaawansowane monitorowanie,
- analiza zdarzeń,
- reagowanie na incydenty.
Tutaj można rozważyć ESET PROTECT Enterprise lub ESET PROTECT Elite.
ESET PROTECT a ransomware – dlaczego centralne zarządzanie ma znaczenie?
Wyobraźmy sobie firmę posiadającą 40 komputerów. Jeżeli każdy komputer jest zabezpieczony niezależnie, administrator może mieć problem z odpowiedzią na podstawowe pytania:
- czy wszystkie urządzenia mają aktualną ochronę?
- czy na którymś komputerze wykryto zagrożenie?
- czy ktoś wyłączył ochronę?
- czy wszystkie urządzenia są aktualne?
- gdzie wystąpiło podejrzane zdarzenie?
- które komputery wymagają reakcji?
Centralna konsola pozwala spojrzeć na infrastrukturę jako całość. To właśnie jeden z powodów, dla których rozwiązania biznesowe różnią się od zwykłego antywirusa instalowanego na pojedynczym komputerze.
Najczęstsze błędy firm w ochronie przed ransomware
„Mamy antywirusa, więc jesteśmy bezpieczni”
Antywirus jest ważny, ale nie zastępuje backupu, MFA, aktualizacji, kontroli uprawnień i odpowiedniej konfiguracji infrastruktury.
„Backup robi się codziennie, więc problem mamy rozwiązany”
Nie, jeżeli backup można równie łatwo usunąć lub zaszyfrować.
„Pracownicy wiedzą, żeby nie klikać w podejrzane linki”
Szkolenie jest potrzebne, ale człowiek może się pomylić. Dlatego system powinien mieć również techniczne zabezpieczenia.
„Wszystkie konta mają takie same uprawnienia”
To niepotrzebnie zwiększa potencjalne skutki przejęcia konta.
„Aktualizacje robimy, kiedy jest czas”
Podatność pozostawiona bez poprawki może być dostępna dla atakującego znacznie dłużej, niż zakłada administrator.
„Jak coś się stanie, to będziemy reagować”
Bez przygotowanego planu reakcja podczas incydentu może być znacznie bardziej chaotyczna i kosztowna.
Checklista ochrony firmy przed ransomware
Jeżeli chcesz szybko ocenić podstawowy poziom zabezpieczeń firmy, odpowiedz na poniższe pytania:
- Czy wszystkie komputery są chronione?
- Czy chronione są również serwery?
- Czy ochrona jest centralnie zarządzana?
- Czy systemy i aplikacje są regularnie aktualizowane?
- Czy firma monitoruje podatności?
- Czy pracownicy są chronieni przed phishingiem?
- Czy konta administratorów są dodatkowo zabezpieczone?
- Czy używane jest MFA?
- Czy kontrolowane są urządzenia USB?
- Czy dane Microsoft 365 są odpowiednio chronione?
- Czy firma posiada backup 3-2-1?
- Czy kopie zapasowe są odseparowane od głównej infrastruktury?
- Czy backup jest regularnie testowany?
- Czy firma ma procedurę reagowania na incydent?
- Czy wiadomo, kto podejmuje decyzje w przypadku ataku?
- Czy większa infrastruktura jest monitorowana pod kątem podejrzanych zachowań?
Jeżeli na kilka pytań odpowiedź brzmi „nie”, warto potraktować to jako listę rzeczy do poprawienia.
Podsumowanie
Ochrona firmowej sieci przed ransomware nie polega na zainstalowaniu jednego programu i zapomnieniu o problemie.
Skuteczna strategia powinna łączyć kilka warstw:
ochrona urządzeń + poczta + aktualizacje + zarządzanie podatnościami + MFA + kontrola uprawnień + centralne zarządzanie + monitoring + backup + plan reagowania.
ESET może być jednym z kluczowych elementów takiego systemu, szczególnie w połączeniu z platformą ESET PROTECT i odpowiednio dobranymi modułami. W przypadku mniejszych firm podstawą może być centralnie zarządzana ochrona urządzeń. W większych organizacjach znaczenia nabierają kolejne warstwy – sandboxing, szyfrowanie, ochrona chmury, EDR/XDR, threat hunting czy bardziej zaawansowane mechanizmy reagowania. Ale nawet najlepsza ochrona nie powinna prowadzić do jednego niebezpiecznego założenia:
„Skoro mamy ESET, backup nie jest potrzebny”.
Jest dokładnie odwrotnie. Dobra ochrona ma przede wszystkim zapobiec incydentowi. Dobry backup ma pomóc firmie przetrwać sytuację, w której mimo wszystko do niego dojdzie. Dlatego bezpieczeństwo firmy warto budować warstwowo – tak, aby awaria jednego elementu nie oznaczała automatycznie utraty całego środowiska.
Kup ESET dla firmy
Jeżeli chcesz dobrać rozwiązanie ESET do wielkości firmy, liczby urządzeń i wymaganego poziomu ochrony, sprawdź dostępne warianty ESET PROTECT.