Kā atgūties no izspiedējvīrusa ar rezerves kopijām

Kāpēc parastas kopijas nepalīdz

Mūsdienu izspiedējvīrusu uzbrukumos šifrēšana ir pēdējais solis, ne pirmais. Pirms tās uzbrucējs jau ir pārvietojies pa tīklu, ieguvis administratora tiesības un mērķtiecīgi meklējis rezerves kopiju sistēmu – tīkla mapes, NAS, momentuzņēmumus un mākoņa kopijas ar dzēšanas tiesībām. Kopija, kas ir pastāvīgi pieejama no darba vides, tiek iznīcināta vai nošifrēta kopā ar oriģinālu.

Tas nav negadījums, bet ekonomika: nešifrēta, pieejama kopija padara visu uzbrukumu bezvērtīgu, tāpēc kopiju sistēma ir viens no pirmajiem mērķiem. Praktiskais secinājums: kopijas vērtību nosaka nevis tās svaigums, bet tas, cik grūti tai piekļūt no uzlauztās vides.

Ko rāda dati

Sophos 2026. gada izspiedējvīrusu pētījumā, kurā aptaujāti uzņēmumi 17 valstīs, 66 % organizāciju, kurām dati tika nošifrēti, tos atguva no rezerves kopijām – salīdzinājumā ar 54 % gadu iepriekš. Izpirkumu samaksāja 48 %, kas ir zemākais rādītājs pēdējos trīs gados, un tikai 2 % neatguva datus nemaz.

Izmaksu puse skaidro, kāpēc sagatavošanās atmaksājas: vidējās atkopšanas izmaksas bez izpirkuma bija 1 700 200 USD, par 11 % vairāk nekā iepriekšējā gadā. Mediānā prasītā izpirkuma summa bija 698 000 USD, bet faktiski samaksātā – 769 000 USD. Rezerves kopija neietekmē uzbrukuma faktu, bet tieši ietekmē to, kurā no šīm pozīcijām nauda tiek tērēta.

Kas tiešām aizsargā

• Bezsaistes kopija – atvienots disks vai lente, ko ļaunatūra fiziski nesasniedz. Vienkāršākais un joprojām viens no drošākajiem risinājumiem.
• Nemaināma (immutable) kopija – krātuve, kurā datus noteiktu laiku nevar mainīt vai dzēst pat ar administratora tiesībām.
• Versijas ar aizsargātu dzēšanu – iespēja atgriezties pie stāvokļa pirms šifrēšanas, arī ja dzēšana tika izpildīta.
• Atdalītas tiesības – rezerves sistēmai atsevišķi konti un atsevišķa autentifikācija, ko upura piekļuve neapdraud.
• Kopiju integritātes pārbaude – kontrolsummas, kas atklāj bojātu vai daļēju kopiju, pirms tā ir vajadzīga.
• Uzraudzība pār kopiju sistēmu – neplānots dzēšanas darbs vai neveiksmīga kopija ir agrīna uzbrukuma pazīme.

Ja kaut viena no šīm sešām lietām trūkst, kopiju stratēģija joprojām var būt pareiza pret diska kļūmi, bet nepietiekama pret izspiedējvīrusu. Pamatprincipu, uz kura tas viss balstās, skaidrojam ceļvedī par 3-2-1 principu.

Atkopšana solis pa solim

1. Izolē, nevis izslēdz. Atvieno skartās sistēmas no tīkla, bet neizslēdz – izslēgšana iznīcina operatīvajā atmiņā esošos pierādījumus.
2. Nodalīt rezerves kopijas. Nekavējoties pārliecinies, ka kopiju sistēma nav sasniedzama no skartās vides.
3. Novērtē apjomu. Kuras sistēmas skartas, kuri dati nozagti, kad sākās uzbrukums.
4. Nosaki tīro atjaunošanas punktu. Tas ir brīdis pirms uzbrucēja iekļūšanas, ne pirms šifrēšanas – starp tiem var būt nedēļas.
5. Sagatavo tīru vidi. Atjauno pārinstalētās vai jaunās sistēmās, ne virsū inficētajām.
6. Atjauno prioritārā secībā. Vispirms tas, bez kā uzņēmums nestrādā, tad pārējais.
7. Pārbaudi atjaunotos datus. Atver failus, palaid pārbaudes vaicājumus, salīdzini ierakstu skaitu.
8. Nomaini visas paroles un atslēgas pirms atgriešanās darbā, ieskaitot servisa kontus.
9. Novērs cēloni. Ja ieejas punkts paliek atvērts, atkārtots uzbrukums seko dienās vai nedēļās.

Cik ilgi tas aizņem

Kopumā 55 % atguvās nedēļas laikā un 83 % – mēneša laikā. Šie skaitļi ir noderīgi plānošanai: ja uzņēmuma finanses un klientu attiecības neiztur nedēļu bez sistēmām, tas ir arguments par labu ātrākai atjaunošanas infrastruktūrai, ne tikai par labu kopiju esamībai.

Ko sagatavot pirms incidenta

Atkopšana ir vienkārša tikai tad, ja lēmumi pieņemti iepriekš. Incidenta naktī neviens neizdomās jaunu procesu – tiks izmantots tas, kas jau pastāv. Praktiskais minimums ir īss un tā sagatavošana aizņem dažas stundas.

• Atjaunošanas prioritāšu saraksts. Kuras piecas sistēmas atjauno vispirms un kādā secībā, lai uzņēmums varētu strādāt.
• Kontaktu lapa ārpus sistēmām. IT partneris, banka, apdrošinātājs, juridiskais konsultants un uzraugošā iestāde – izdrukāti, jo e-pasts var nedarboties.
• Kopiju atrašanās un atslēgas. Kur fiziski atrodas bezsaistes nesējs un kur glabājas šifrēšanas atslēgas; abi ir vajadzīgi vienlaikus.
• Tīra vide atjaunošanai. Iepriekš zināms, uz kā atjaunos – rezerves aparatūra, mākoņa vide vai pārinstalācijas attēli.
• Lēmumu pieņēmēji. Kurš drīkst izlemt izslēgt sistēmas un kurš runā ar klientiem un medijiem.

Šo sarakstu ir vērts vienreiz gadā izspēlēt uz papīra ar visiem iesaistītajiem. Šādā mācībā atklājas nevis tehniskas, bet organizatoriskas nepilnības – piemēram, ka vienīgais cilvēks ar piekļuvi bezsaistes kopijai ir atvaļinājumā vai ka rezerves aparatūras vairs nav.

Kāpēc nemaksāt

Izpirkuma samaksa negarantē datu atgūšanu, finansē nākamos uzbrukumus un neaptur nozagto datu publiskošanu. Sophos dati rāda arī to, ka prasītā summa nav objektīvs lielums: 51 % maksātāju samaksāja mazāk, nekā sākotnēji prasīts.

Pirms jebkādas saziņas ar uzbrucēju ir vērts pārbaudīt, vai konkrētajam paveidam nav publiski pieejama atšifrētāja. Europol un partneru uzturētā No More Ransom iniciatīva uztur bezmaksas atšifrēšanas rīku repozitoriju un ir pieejama latviešu valodā.

Ziņošana un juridiskie termiņi

Ja uzņēmums ietilpst Nacionālās kiberdrošības likuma tvērumā un incidents atbilst nozīmīga kiberincidenta kritērijiem, likuma 34. pants nosaka agrīno brīdinājumu 24 stundu laikā un ziņojumu 72 stundu laikā kompetentajai kiberincidentu novēršanas institūcijai, bet galaziņojumu – mēneša laikā pēc tam. Šie termiņi rit paralēli atkopšanai, tāpēc atbildīgajam par ziņošanu jābūt nozīmētam iepriekš.

Ja nozagti personas dati, papildus jāvērtē arī paziņošanas pienākums datu aizsardzības jomā. Dubultās izspiešanas gadījumā šifrēšana un datu noplūde ir divi atsevišķi notikumi ar atsevišķām sekām, un tos nedrīkst apstrādāt kā vienu.

Biežākās kļūdas

• Atjaunošana virsū inficētajai sistēmai. Uzbrucēja piekļuve atgriežas kopā ar datiem.
• Vecākās kopijas dzēšana pirms pārbaudes. Tā var izrādīties vienīgā tīrā.
• Paroles nemainītas. Nozagti pieejas dati darbojas arī pēc atjaunošanas.
• Atkopšana bez prioritātēm. Bez saraksta, kas jāatjauno vispirms, komanda strādā pēc pieprasījuma skaļuma.
• Nav ziņots. Termiņi ir īsi, un to nokavēšana ir atsevišķa problēma papildus incidentam.