Пострадали и рабочие системы, и резервные копии
Компания обратилась в АВАНГАРД с сообщением: «Не работает ничего». При первичном разборе выяснилось, что зашифрованы виртуальные серверы и резервные копии, недоступны почта и файловые ресурсы. Масштаб инцидента выходил далеко за пределы отдельных рабочих станций.
Наличие средств защиты не обеспечило изоляцию управляющих систем и копий от общего инцидента. В работе требовалось учитывать не только зашифрованные файлы, но и компрометацию инфраструктуры управления.
Что увеличивало масштаб последствий
При обследовании обнаружили несколько связанных проблем. Они создавали условия для широкого доступа внутри инфраструктуры; это не означает, что для каждой из них установлен отдельный способ использования злоумышленниками.
Пароли в Excel на рабочем столе
У администратора был файл с паролями. Компрометация рабочего места создавала риск раскрытия доступов к другим системам.
VNC-скрипты на общем диске
В общедоступном ресурсе находились средства подключения к компьютерам. Контур администрирования не был обособлен.
Права выдавались хаотично
Не было выстроенной политики безопасности и последовательного разграничения доступа по ролям.
Сеть без сегментации
Рабочие устройства, видеонаблюдение и телефония находились в одном широковещательном домене. Межплощадочные туннели расширяли доступную инфраструктуру.
В компании использовался Kaspersky, а сервер управления был включён в домен. Компрометация доменных полномочий создавала риск для управления защитой. В рекомендациях Kaspersky для защиты важных систем предусмотрено исключение сервера администрирования из домена; это рекомендация с условиями применения, а не универсальный запрет.
Рекомендации Kaspersky по развёртыванию →Сначала — данные, без которых предприятие не могло работать
Нашей команде удалось частично расшифровать данные. В приоритете были самые критичные файлы и базы данных: без них продолжение работы предприятия было невозможно.
Из-за ограниченного времени на полноценное восстановление остальных систем совместно с заказчиком приняли решение пересоздать инфраструктуру. Возвращать прежнюю архитектуру с теми же доступами и связностью не стали.
Сохранить самое важное
Частичная расшифровка критичных файлов и баз для продолжения работы.
Пересоздать инфраструктуру
Новые сервисы, Active Directory, политики и схема взаимодействия систем.
Изменить условия доступа
Разделение администрирования, сегментация и ролевая модель.
Новая инфраструктура: полномочия и сети разделены
Инфраструктуру пересобрали с учётом рекомендаций Microsoft по разделению привилегированного доступа. Применили подход Tier: разделили доступы администраторов и политики для пользователей и администрирования. Это разделение полномочий дополнили сетевой сегментацией.
Управление оборудованием выделено. Взаимодействие сегментов и доступ к ресурсам пересобраны.
- Создали новый Active Directory и новую модель прав.
- Разделили сеть на подсети и VLAN, выделили management VLAN.
- Пересобрали взаимодействие гипервизоров и систем хранения.
- Настроили ролевой доступ к почте, интернету, телефонии и внутренним ресурсам.
- Использовали NGFW и пересмотрели настройки антивирусной защиты.
Tier описывает границы административных полномочий, а VLAN — сетевые границы. Microsoft рассматривает AD DS Tier Model в составе более широкой модели Enterprise Access Model. Документация Microsoft →
Копии рассчитали под бизнес, а не только под объём дисков
Создали новое хранилище резервных копий, соответствующее нагрузке и объёму данных. Требования RTO и RPO определили и согласовали с бизнесом при проектировании системы.
Как долго бизнес может ждать?
Целевой срок возвращения сервиса в работу после нарушения.
До какого момента нужно восстановиться?
Допустимая потеря данных во времени, влияющая на частоту копирования.
К основной системе добавили дополнительное хранилище с принципом WORM — Write Once, Read Many. Его задача — сохранять защищённые копии, которые нельзя свободно перезаписать обычными операциями.
Защита WORM зависит от реализации, режима блокировки и срока хранения. Она не заменяет контроль доступа, проверку восстановления и защиту самого хранилища. Физическое отключение носителя — отдельный способ изоляции, а не обязательное свойство WORM.
Как устроены режимы WORM: пример документации производителя →Предприятие снова получило рабочие сервисы
После пересборки запустили практически все сервисы компании. Критичные файлы и базы данных удалось вернуть; остальные системы разворачивали заново.
Результатом стала работоспособная инфраструктура с новым разграничением прав, сетевой архитектурой и системой резервного копирования. Восстановление критичных данных и пересоздание сервисов позволили вернуть предприятию инструменты для продолжения работы.
Что важно проверить в своей инфраструктуре
Этот инцидент показывает, почему резервное копирование нужно рассматривать вместе с доступами, сетью и планом восстановления. Ниже — практики для проверки собственной системы, а не перечень дополнительных работ, заявленных в этом проекте.
Изолировать пострадавшие системы, сохранить доступные свидетельства и определить безопасную среду для восстановления.
Пересмотреть скомпрометированные учётные данные и способы доступа. Проверить среду перед возвращением сервисов в эксплуатацию.
Разные административные и повседневные учётные записи; границы полномочий и разрешённых подключений.
Разделение доступа к рабочим данным и хранилищам, защищённые версии и изолированный контур восстановления.
История копий помогает выбирать состояние данных; последняя копия не всегда подходит для восстановления после инцидента.
Проверять целостность и запуск выбранных сервисов, измерять время и сравнивать результат с целями бизнеса.
Наблюдать за созданием копий, ошибками и доступностью материалов, необходимых для восстановления.
Очередность сервисов, зависимости, ответственные и защищённо доступные инструкции для аварийной ситуации.
Реагирование на шифровальщик: Microsoft Incident Response. Планирование, контроль и испытания копий: рекомендации NIST для MSP. Разделение административного доступа: Microsoft.
Есть копии.
Есть ли путь обратно к работе?
Поможем оценить доступы, состав копирования, защиту хранилищ и порядок восстановления критичных сервисов.