Программа-вымогатель: как подготовиться и что делать во время атаки

Зачем и для кого

Когда бухгалтерия не открывает файлы, а на сервере лежит записка с требованием выкупа, это программа-вымогатель (ransomware): атакующие шифруют данные и требуют плату за доступ, а по описанию NIST могут ещё и похитить информацию. Microsoft собирает на отдельной странице материалы о подготовке плана восстановления и о действиях во время инцидента.

Инструкция подходит любой компании, где есть файловый сервер, бухгалтерская база, 1С/BAS или облачная корпоративная почта с документами. Для 10–250 человек это почти каждый офис. Она не заменяет расследование инцидента специалистами и не рассчитана на крупные корпорации с собственным центром безопасности. Домашние устройства сотрудников здесь тоже не рассматриваем.

Реальные последствия для бизнеса в Украине обычно простые и неприятные: останавливаются учёт и выставление счетов, не открывается база 1С, менеджеры не видят заказов. Добавляется риск утечки договоров и переписки, ведь шифрование бывает лишь частью атаки. Ситуацию усложняют отключения света: восстанавливать системы приходится на инфраструктуре, которая и без того работает с перебоями. Всё это управляемые риски, если подготовка сделана заранее.

Профиль NIST IR 8374 вышел в феврале 2022 года и опирается на Cybersecurity Framework 1.1. На странице NIST указано, что 11 июня 2026 года он отозван и заменён редакцией IR 8374 Rev. 1, поэтому для детальной сверки откройте актуальную версию. Наши шаги опираются на пять направлений, названных в описании профиля: определить, защитить, обнаружить, отреагировать, восстановить.

Что понадобится

Для первого прохода хватит 2–3 часов администратора и одного руководителя, который может принимать решение о простое. Нужен перечень систем с владельцами: серверы (в том числе сервер для 1С), базы, почта, общие папки, основные программы. Нужен также доступ к хранилищу резервных копий и свободное место или временный сервер, куда можно разворачивать восстановление для проверки.

Отдельно подготовьте контакты: администратор, руководитель, подрядчики, провайдер, те, у кого есть доступ к копиям. Распечатайте их или сохраните вне основной сети. Если сервер с документами зашифрован, электронный список там уже недоступен.

Если нет своего администратора

Настроить копии с регулярной проверкой восстановления поможет резервное копирование и восстановление. За подозрительной активностью в сети следят базовая защита и мониторинг: автоматический мониторинг 24/7, реакция по условиям договора.

Если в вашей компании нет человека, который следит за проверкой копий и тревогами от систем защиты, эти задачи можно передать команде TakeIT в рамках IT-аутсорсинга.

Шаги

1. Составьте перечень критичных систем и допустимый простой. Запишите для каждой системы, сколько часов без неё компания выдержит и кто за неё отвечает. Проверка: руководитель подписал или письменно подтвердил этот перечень, а порядок восстановления в нём однозначный.
2. Настройте копии так, чтобы атакующий не мог до них добраться. Нужна хотя бы одна копия вне основной сети: офлайн, в хранилище с неизменяемостью данных или под отдельной учётной записью. Проверка: администратор домена не может удалить или изменить эту копию из обычного рабочего сеанса.
3. Закройте типичные пути входа. Включите многофакторную аутентификацию для почты и удалённого доступа, отделите администраторские аккаунты от повседневных, не открывайте RDP напрямую в интернет. Проверка: список внешних входов составлен, на каждом есть второй фактор или он закрыт.
4. Ограничьте возможный ущерб. Разделите сеть хотя бы на сегменты «пользователи», «серверы», «гости и устройства», снимите лишние права на общие папки. Проверка: с рабочего компьютера бухгалтера не видны административные ресурсы серверов, а доступ к чужим папкам ограничен.
5. Напишите короткий план реагирования на одну-две страницы. За основу возьмите шаблон из раздела Microsoft о playbook реагирования на программу-вымогатель и подгоните его под свои системы и людей. Проверка: человек, который план не писал, за 10 минут находит в нём, кому звонить первым и что отключать.
6. Во время атаки сначала изолируйте. Отключите пострадавшие компьютеры и серверы от сети и Wi-Fi, не форматируйте их и не переустанавливайте систему, чтобы сохранить следы. Зафиксируйте время, текст требования и имена файлов. Проверка: ведётся журнал действий с временем, а список изолированных устройств совпадает с тем, что реально отключено.
7. Восстанавливайте в чистой среде по приоритетам из шага 1. Сначала смените пароли и ключи доступа, которые могли попасть к злоумышленникам, затем поднимайте системы из копий, созданных до первого признака заражения. Проверка: восстановленная система запускается в изолированном сегменте, данные открываются, в журналах нет новых подозрительных входов.

Что делать первым

Сегодня: убедитесь, что есть хотя бы одна копия, которую нельзя удалить из обычного админского сеанса, и закройте RDP, открытый в интернет. На этой неделе: составьте перечень систем, включите второй фактор на почте и удалённом доступе, распечатайте контакты. При плановом обновлении инфраструктуры: сегментация сети, отдельные админские аккаунты, письменный план реагирования и первое учение.

Как проверить результат

Самая честная проверка одна: восстановить одну критичную систему из копии на отдельный сервер и посчитать, сколько это заняло. Если получилось дольше, чем вы записали как допустимый простой, значит, либо копии нужно делать чаще, либо восстановление нужно упрощать. Делайте этот тест как минимум раз в квартал и после любых серьёзных изменений в системе.

Вторая проверка: учение на 30–60 минут. Руководитель описывает сценарий («в понедельник утром не открывается файловый сервер»), а администратор и ещё двое сотрудников проходят план шаг за шагом. Вы сразу увидите, где не хватает контактов, паролей или прав.

Третья: ещё раз пройдитесь по пяти функциям из профиля NIST. Знаем ли мы, что у нас есть? Защищены ли входы? Заметим ли подозрительную активность? Есть ли план действий? Умеем ли восстанавливаться? Для каждой функции хватит одного ответа «да, и вот доказательство».

Типичные ошибки

Самая частая ошибка: копии лежат на том же сервере или в сетевой папке, доступной из той же учётной записи. Если злоумышленник получил администраторские права, он видит и копии. Вторая: копии делаются, но восстановление никто не пробовал, и о нерабочем архиве узнают в день аварии.

Третья ошибка: план хранится только на файловом сервере, который как раз зашифрован. Четвёртая: систему восстанавливают из копии, не сменив пароли и не закрыв брешь, через которую зашли, и атака повторяется. Пятая: решение о выкупе принимают под давлением за несколько часов, хотя технического плана восстановления нет. Такой выбор лучше обсудить заранее и не строить на нём план.

Ещё одно слабое звено: компьютеры без обновлений, о которых давно забыли. Если у вас остались старые машины, посмотрите, что делать с Windows 10 без обновлений, и решите, какие из них обновить, заменить или отделить от основной сети.

Вывод

Атаку программы-вымогателя не всегда удаётся остановить, но масштаб ущерба во многом определяется тем, что сделано до неё: копии вне зоны досягаемости, закрытые входы и записанный порядок действий. Начните с копии, которую нельзя удалить, и с тестового восстановления, а остальные шаги разложите по приоритетам из этой инструкции.