Програма-вимагач: як підготуватися і що робити під час атаки

Для чого і кому

Коли бухгалтерія не відкриває файли, а на сервері лежить записка з вимогою викупу, це програма-вимагач (ransomware): атакувальники шифрують дані й просять плату за доступ, а за описом NIST можуть ще й викрасти інформацію. Microsoft збирає на окремій сторінці матеріали про підготовку плану відновлення та про дії під час інциденту.

Інструкція стосується будь-якої компанії, де є файловий сервер, бухгалтерська база, 1С/BAS або хмарна пошта з документами. Для 10–250 людей це майже кожен офіс. Вона не замінює розслідування інциденту фахівцями й не розрахована на великі корпорації з власним центром безпеки. Домашні пристрої співробітників тут теж не розглядаємо.

Реальні наслідки для бізнесу в Україні зазвичай прості й неприємні: зупиняється облік і виставлення рахунків, не відкривається база 1С, менеджери не бачать замовлень. Додається ризик витоку договорів і листування, бо шифрування буває лише частиною атаки. Ситуацію ускладнюють відключення світла: відновлювати системи доводиться на інфраструктурі, яка й без того працює з перебоями. Усе це керовані ризики, якщо підготовка зроблена заздалегідь.

Профіль NIST IR 8374 вийшов у лютому 2022 року й спирається на Cybersecurity Framework 1.1. На сторінці NIST зазначено, що 11 червня 2026 його відкликано й замінено редакцією IR 8374 Rev. 1, тому для детальної звірки відкрийте актуальну версію. Наші кроки спираються на п'ять напрямів, які названо в описі профілю: визначити, захистити, виявити, відреагувати, відновити.

Що знадобиться

Для першого проходу вистачить 2–3 годин адміністратора й одного керівника, який може ухвалювати рішення про простій. Потрібен перелік систем із власниками: сервери, бази, пошта, спільні папки, основні програми. Потрібен також доступ до сховища резервних копій і вільне місце або тимчасовий сервер, куди можна розгортати відновлення для перевірки.

Окремо підготуйте контакти: адміністратор, керівник, підрядники, провайдер, ті, хто має доступ до копій. Надрукуйте їх або збережіть поза основною мережею. Якщо сервер із документами зашифровано, електронний список там уже недоступний.

Якщо немає свого адміністратора

Налаштувати копії з регулярною перевіркою відновлення допоможе резервне копіювання й відновлення. За підозрілою активністю в мережі стежать базовий захист і моніторинг: автоматичний моніторинг 24/7, реакція за умовами договору.

Якщо у вашій компанії немає людини, яка стежить за перевіркою копій і тривогами від систем захисту, ці задачі можна передати команді TakeIT.

Кроки

1. Складіть перелік критичних систем і допустимий простій. Запишіть для кожної системи, скільки годин без неї компанія витримає і хто за неї відповідає. Перевірка: керівник підписав або письмово підтвердив цей перелік, а порядок відновлення в ньому однозначний.
2. Налаштуйте копії так, щоб атакувальник не міг до них дістатися. Потрібна хоча б одна копія поза основною мережею: офлайн, у сховищі з незмінністю даних або під окремим обліковим записом. Перевірка: адміністратор домену не може видалити або змінити цю копію зі звичайного робочого сеансу.
3. Закрийте типові шляхи входу. Увімкніть багатофакторну автентифікацію для пошти та віддаленого доступу, відокремте адміністраторські акаунти від щоденних, не відкривайте RDP напряму в інтернет. Перевірка: перелік зовнішніх входів складений, на кожному є другий фактор або він закритий.
4. Обмежте можливу шкоду. Розділіть мережу хоча б на сегменти «користувачі», «сервери», «гості й пристрої», зніміть зайві права на спільні папки. Перевірка: з робочого комп'ютера бухгалтера не видно адміністративних ресурсів серверів, а доступ до чужих папок обмежений.
5. Напишіть короткий план реагування на одну-дві сторінки. Для основи візьміть шаблон із розділу Microsoft про playbook реагування на програму-вимагач і підгоніть його під свої системи та людей. Перевірка: хтось, хто плану не писав, за 10 хвилин знаходить у ньому, кому дзвонити першому і що вимикати.
6. Під час атаки спершу ізолюйте. Відключіть уражені комп'ютери й сервери від мережі та Wi-Fi, не форматуйте їх і не перевстановлюйте систему, щоб зберегти сліди. Зафіксуйте час, текст вимоги та імена файлів. Перевірка: ведеться журнал дій з часом, а список ізольованих пристроїв збігається з тим, що реально відключено.
7. Відновлюйте у чистому середовищі за пріоритетами з кроку 1. Спочатку змініть паролі й ключі доступу, що могли потрапити до зловмисників, потім піднімайте системи з копій, які створені до першої ознаки зараження. Перевірка: відновлена система запускається в ізольованому сегменті, дані відкриваються, у журналах немає нових підозрілих входів.

Що робити першим

Сьогодні: переконайтеся, що є хоча б одна копія, яку не можна видалити зі звичайного адмінського сеансу, і закрийте RDP, відкритий в інтернет. Цього тижня: складіть перелік систем, увімкніть другий фактор на пошті й віддаленому доступі, надрукуйте контакти. При плановому оновленні інфраструктури: сегментація мережі, окремі адмінські акаунти, письмовий план реагування й перше навчання.

Як перевірити результат

Найчесніша перевірка одна: відновити одну критичну систему з копії на окремий сервер і порахувати, скільки це зайняло. Якщо вийшло довше, ніж ви записали як допустимий простій, значить, або копії потрібно робити частіше, або відновлення треба спрощувати. Робіть цей тест принаймні раз на квартал і після будь-яких серйозних змін у системі.

Друга перевірка: навчання на 30–60 хвилин. Керівник описує сценарій («у понеділок зранку не відкривається файловий сервер»), а адміністратор і ще двоє співробітників проходять план крок за кроком. Ви одразу побачите, де бракує контактів, паролів чи прав.

Третя: ще раз пройдіться за п'ятьма функціями з профілю NIST. Чи знаємо, що маємо? Чи захищені входи? Чи побачимо підозрілу активність? Чи є план дій? Чи вміємо відновлюватися? Для кожної функції вистачить однієї відповіді «так, і ось доказ».

Типові помилки

Найчастіша помилка: копії лежать на тому ж сервері або в мережевій папці, доступній із того самого облікового запису. Якщо зловмисник отримав адміністраторські права, він бачить і копії. Друга: копії робляться, але відновлення ніхто не пробував, і про непрацюючий архів дізнаються в день аварії.

Третя помилка: план зберігається лише на файловому сервері, який саме зашифровано. Четверта: систему відновлюють з копії, не змінивши паролі й не закривши дірку, через яку зайшли, і атака повторюється. П'ята: рішення про викуп ухвалюють під тиском за кілька годин, хоча технічного плану відновлення немає. Такий вибір краще обговорити заздалегідь і не будувати на ньому план.

Ще одна слабка ланка: комп'ютери без оновлень, про які давно забули. Якщо у вас лишилися старі машини, перегляньте що робити з Windows 10 без оновлень і вирішіть, які з них оновити, замінити або відокремити від основної мережі.

Висновок

Атаку програми-вимагача не завжди вдається зупинити, але масштаб збитків значною мірою визначається тим, що зроблено до неї: копії поза зоною досяжності, закриті входи й записаний порядок дій. Почніть із копії, яку не можна видалити, і з тестового відновлення, а решту кроків розкладіть за пріоритетами з цієї інструкції.