Kā atgūties no izspiedējvīrusa ar rezerves kopijām

Kāpēc parastas kopijas nepalīdz

Izspiedējvīrusa uzbrukumā pirms šifrēšanas uzbrucējs var pārvietoties pa tīklu, iegūt plašākas piekļuves tiesības un meklēt rezerves kopijas – tīkla mapes, NAS, momentuzņēmumus un mākoņa krātuves. Ja iegūtās tiesības ļauj kopijas mainīt vai dzēst, tās var iznīcināt vai nošifrēt kopā ar oriģinālu.

Uzbrucēji var mērķēt arī uz rezerves kopijām, lai apgrūtinātu atjaunošanu. Vienlaikus nozagtu datu publicēšanas draudi saglabājas arī tad, ja kopijas ir labas. Pārbaudi gan kopiju aktualitāti un atjaunojamību, gan piekļuves nošķiršanu un aizsardzību pret dzēšanu.

Ko rāda dati

Sophos 2026. gada izspiedējvīrusu pētījumā, kurā aptaujāti uzņēmumi 17 valstīs, 66 % organizāciju, kurām dati tika nošifrēti, tos atguva no rezerves kopijām – salīdzinājumā ar 54 % gadu iepriekš. Izpirkumu samaksāja 48 %, kas ir zemākais rādītājs pēdējos trīs gados, un tikai 2 % neatguva datus nemaz.

Izmaksu puse skaidro, kāpēc sagatavošanās atmaksājas: vidējās atkopšanas izmaksas bez izpirkuma bija 1 700 200 USD, par 11 % vairāk nekā iepriekšējā gadā. Mediānā prasītā izpirkuma summa bija 698 000 USD, bet faktiski samaksātā – 769 000 USD. Rezerves kopija neietekmē uzbrukuma faktu, bet tieši ietekmē to, kurā no šīm pozīcijām nauda tiek tērēta.

Kas tiešām aizsargā

• Bezsaistes kopija – atvienots disks vai lente, ko ļaunatūra fiziski nesasniedz. Vienkāršākais un joprojām viens no drošākajiem risinājumiem.
• Nemaināma (immutable) kopija – krātuve, kurā datus noteiktu laiku nevar mainīt vai dzēst pat ar administratora tiesībām.
• Versijas ar aizsargātu dzēšanu – iespēja atgriezties pie stāvokļa pirms šifrēšanas, arī ja dzēšana tika izpildīta.
• Atdalītas tiesības – rezerves sistēmai atsevišķi konti un atsevišķa autentifikācija, ko upura piekļuve neapdraud.
• Kopiju integritātes pārbaude – kontrolsummas, kas atklāj bojātu vai daļēju kopiju, pirms tā ir vajadzīga.
• Uzraudzība pār kopiju sistēmu – neplānots dzēšanas darbs vai neveiksmīga kopija ir agrīna uzbrukuma pazīme.

Šos pasākumus kombinē atbilstoši riskiem. Pārbaudi, vai vismaz viena izmantojama kopija saglabātos arī tad, ja uzbrucējs pārņemtu darba vides administratora kontu. Pamatprincipu, uz kura tas viss balstās, skaidrojam ceļvedī par 3-2-1 principu.

Atkopšana solis pa solim

1. Saskaņo ierobežošanu un saglabā pierādījumus. Iesaisti incidenta vadītāju. Tīkla izolēšana var mazināt izplatīšanos; izvērtē ietekmi uz kritiskiem pakalpojumiem. Neizslēdz vai nerestartē automātiski, jo pazūd operatīvās atmiņas dati. Nepieciešamos lēmumus pieņem un dokumentē atbilstoši situācijai.
2. Nodali rezerves kopijas. Nekavējoties pārliecinies, ka kopiju sistēma nav sasniedzama no skartās vides.
3. Novērtē apjomu. Kuras sistēmas skartas, kuri dati nozagti, kad sākās uzbrukums.
4. Nosaki tīro atjaunošanas punktu. Tas ir brīdis pirms uzbrucēja iekļūšanas, ne pirms šifrēšanas – starp tiem var būt nedēļas.
5. Sagatavo tīru vidi. Atjauno pārinstalētās vai jaunās sistēmās, ne virsū inficētajām.
6. Atjauno prioritārā secībā. Vispirms tas, bez kā uzņēmums nestrādā, tad pārējais.
7. Pārbaudi atjaunotos datus. Atver failus, palaid pārbaudes vaicājumus, salīdzini ierakstu skaitu.
8. Nomaini visas paroles un atslēgas pirms atgriešanās darbā, ieskaitot servisa kontus.
9. Novērs cēloni. Ja ieejas punkts paliek atvērts, saglabājas atkārtota uzbrukuma risks.

Cik ilgi tas aizņem

Pilnas atkopšanās ilgums pēc izspiedējvīrusa uzbrukuma

Atkopšanās ilgums	Organizāciju daļa
Mazāk nekā diena	16 %
No vienas dienas līdz nedēļai	40 %
Vairāk nekā nedēļa, līdz mēnesim	27 %
1–3 mēneši	14 %
3–6 mēneši	3 %

Atsevišķi noapaļotās kategorijas summējot, var rasties viena procentpunkta atšķirība. Pētījuma kopsavilkumā 55 % atguvās nedēļas laikā un 83 % – mēneša laikā. Šie skaitļi ir noderīgi plānošanai: ja uzņēmuma finanses un klientu attiecības neiztur nedēļu bez sistēmām, tas ir arguments par labu ātrākai atjaunošanas infrastruktūrai, ne tikai par labu kopiju esamībai.

Ko sagatavot pirms incidenta

Atkopšana ir vienkārša tikai tad, ja lēmumi pieņemti iepriekš. Iepriekš saskaņots process palīdz pieņemt lēmumus arī tad, ja ierastās sistēmas nedarbojas. Sagatavošanas apjoms atkarīgs no infrastruktūras un esošās dokumentācijas.

• Atjaunošanas prioritāšu saraksts. Kuras piecas sistēmas atjauno vispirms un kādā secībā, lai uzņēmums varētu strādāt.
• Kontaktu lapa ārpus sistēmām. IT partneris, banka, apdrošinātājs, juridiskais konsultants un uzraugošā iestāde – izdrukāti, jo e-pasts var nedarboties.
• Kopiju atrašanās un atslēgas. Kur fiziski atrodas bezsaistes nesējs un kur glabājas šifrēšanas atslēgas; abi ir vajadzīgi vienlaikus.
• Tīra vide atjaunošanai. Iepriekš zināms, uz kā atjaunos – rezerves aparatūra, mākoņa vide vai pārinstalācijas attēli.
• Lēmumu pieņēmēji. Kurš drīkst izlemt izslēgt sistēmas un kurš runā ar klientiem un medijiem.

Šo sarakstu ir vērts vienreiz gadā izspēlēt uz papīra ar visiem iesaistītajiem. Šādā mācībā atklājas nevis tehniskas, bet organizatoriskas nepilnības – piemēram, ka vienīgais cilvēks ar piekļuvi bezsaistes kopijai ir atvaļinājumā vai ka rezerves aparatūras vairs nav.

Kāpēc nemaksāt

Izpirkuma samaksa negarantē datu atgūšanu, finansē nākamos uzbrukumus un neaptur nozagto datu publiskošanu. Sophos dati rāda arī to, ka prasītā summa nav objektīvs lielums: 51 % maksātāju samaksāja mazāk, nekā sākotnēji prasīts.

Pirms jebkādas saziņas ar uzbrucēju ir vērts pārbaudīt, vai konkrētajam paveidam nav publiski pieejama atšifrētāja. Europol un partneru uzturētā No More Ransom iniciatīva uztur bezmaksas atšifrēšanas rīku repozitoriju un ir pieejama latviešu valodā.

Ziņošana un juridiskie termiņi

Ja uzņēmums ietilpst Nacionālās kiberdrošības likuma tvērumā un incidents atbilst nozīmīga kiberincidenta kritērijiem, likuma 34. pants nosaka agrīno brīdinājumu 24 stundu laikā un ziņojumu 72 stundu laikā kompetentajai kiberincidentu novēršanas institūcijai, bet noslēguma ziņojumu – mēneša laikā pēc sākotnējā ziņojuma. Šie termiņi rit paralēli atkopšanai, tāpēc atbildīgajam par ziņošanu jābūt nozīmētam iepriekš.

Ja nozagti personas dati, papildus jāvērtē arī paziņošanas pienākums datu aizsardzības jomā. Vienā incidentā var būt gan šifrēšana, gan datu noplūde. Izvērtē abas sekas un katra piemērojamā tiesību akta ziņošanas pienākumus.

Biežākās kļūdas

• Atjaunošana virsū inficētajai sistēmai. Uzbrucēja piekļuve atgriežas kopā ar datiem.
• Vecākās kopijas dzēšana pirms pārbaudes. Tā var izrādīties vienīgā tīrā.
• Paroles nemainītas. Nozagti pieejas dati darbojas arī pēc atjaunošanas.
• Atkopšana bez prioritātēm. Bez saraksta, kas jāatjauno vispirms, komanda strādā pēc pieprasījuma skaļuma.
• Nav ziņots. Termiņi ir īsi, un to nokavēšana ir atsevišķa problēma papildus incidentam.

Nozīmīga incidenta ziņošanas termiņi Nacionālās kiberdrošības likuma subjektiem ir maksimālie termiņi – jāziņo nekavējoties pēc konstatēšanas. Uzticamības pakalpojumu sniedzējiem sākotnējais ziņojums jāiesniedz 24 stundās, nevis 72. Noslēguma ziņojums iesniedzams mēneša laikā pēc sākotnējā ziņojuma; ja incidents turpinās, piemēro progresa ziņojuma kārtību.