Восстановление после атаки занимает либо пару дней, либо пару недель. Каждый месяц к нам обращаются компании, которые только что столкнулись с шифровальщиком, и по итогам они очень чётко делятся на две группы. Не на большие и маленькие, не на тех, у кого был директор по безопасности, и тех, у кого его не было. Разница в другом. У одних был хоть какой-то план восстановления, у других не было никакого. План мог быть неидеальным и ни разу не отрабатываться. Достаточно того, что копии не лежали на том же сервере и не были зашифрованы вместе со всем остальным.
Почему без плана теряют 7-10 дней
По опыту 4sec, восстановление после кибератаки без подготовки обычно занимает 7-10 дней. Почти всё это время уходит не на техническую работу, а на хаос. Хорошо видно, как он устроен, на примере ООО «Три богатыря». Это вымышленная компания из серии постов в нашем Telegram-канале, но каждая её ошибка взята из реальной практики.
В понедельник утром бухгалтер не может открыть 1С. На экране требование выкупа. Штатный айтишник приезжает и делает то, что умеет. Перезагружает серверы, запускает антивирус, проверяет диски. Антивирус бодро сообщает, что угроза устранена. Вместе с угрозой уничтожены следы, по которым можно было понять, как вошли злоумышленники.
Потом выясняется, что последняя резервная копия сделана три месяца назад и зашифрована вместе с остальным. Директор находит по объявлению «мастера», платит 25 000 ₽ и через три дня получает отказ. Крупная ИБ-компания присылает коммерческое предложение на 4,6 млн ₽ со сроком 6-8 недель. Тем временем руководитель продаж обзванивает клиентов и обещает, что всё заработает «к обеду». Клиенты ждут день, потом неделю, а затем уходят к конкурентам.
Специалиста по реагированию находят на десятый день, по звонку школьному другу. Через сутки после его прихода учёт снова работает. Девять дней из десяти ушли на поиск людей, ошибки и ожидание.
Счёт ошибок
В этой истории простой обошёлся компании примерно в 7 млн ₽ упущенной выручки, ещё девять клиентов ушли к конкурентам. Большую часть этих потерь сократила бы одна страница с телефонами и порядком действий.
Из чего состоит план восстановления бизнеса
Хороший план помещается на нескольких страницах и понятен человеку, который видит его впервые. В нём шесть частей.
Критические процессы
Начните не с серверов, а с бизнеса. Перечислите процессы, без которых компания останавливается. Обычно это учёт и отгрузки, приём заказов, расчёты с клиентами, зарплата. Для каждого запишите, сколько он может простаивать без серьёзных потерь, сутки, три дня или неделю.
Порядок запуска
Системы зависят друг от друга. 1С не заработает без сервера, на котором она стоит, сервер без сети, пользователи без учётных записей. Запишите последовательность запуска, чтобы в день инцидента не выяснять её методом проб и ошибок.
Резервные копии
Для каждого критического процесса нужно знать, где лежит копия, как давно она сделана и сколько времени займёт восстановление. Копия должна храниться отдельно от основной сети и быть защищена от изменения. По данным Veeam, 96% атак шифровальщиков нацелены на резервные копии. Как сделать копию, до которой злоумышленник не доберётся, мы разобрали в статье про резервную копию, которую не зашифрует хакер.
Кто принимает решения
В день атаки нужен один человек, который решает. Он может отключить сеть, остановить работу офиса, вызвать подрядчика и потратить заранее согласованную сумму без совещания учредителей. Отдельно назначьте, кто говорит с клиентами и что именно им сообщают. Обещание «к обеду» стоит дороже честного «восстановимся за двое суток».
Контакты
Телефоны команды реагирования, ИТ-подрядчика, страховщика и юриста. Если компания обрабатывает персональные данные, добавьте порядок уведомления Роскомнадзора. Храните список на бумаге и в телефоне, потому что почта и файловый сервер могут быть недоступны.
Первые действия
Короткая инструкция для любого сотрудника, который первым увидит требование выкупа.
- Отключите заражённые компьютеры от сети, но не выключайте их.
- Не перезагружайте серверы и не запускайте антивирус.
- Сфотографируйте экран с требованием выкупа.
- Запишите время обнаружения и кто что открывал перед этим.
- Позвоните ответственному из плана.
План реагирования на инциденты и план восстановления
Эти два документа часто путают. План реагирования на инциденты отвечает на вопрос, как остановить атаку и сохранить следы. План восстановления отвечает на вопрос, как вернуть бизнес к работе. На практике они идут одновременно. Если сразу начать восстанавливать, не закрыв вход, злоумышленник вернётся. У одного нашего клиента так произошло три раза подряд, и только перед четвёртым он решил разобраться в причине.
Подробнее о первых часах после взлома читайте в статье о том, что делать, если взломали сервер.
Как проверить план до инцидента
План, который ни разу не проверяли, это предположение. Проверка занимает несколько часов в квартал.
- Восстановите копию на тестовый сервер. Засеките время. Если восстановление 1С заняло сутки вместо обещанного часа, вы узнали это вовремя.
- Проведите учение за столом. Соберите ответственных и пройдите сценарий «понедельник, 1С не открывается». Кто кому звонит, кто что решает, где лежат пароли.
- Обновите контакты. Люди увольняются, подрядчики меняются, телефоны устаревают.
- Сверьте список критических процессов. За год у компании могли появиться новый склад, интернет-магазин или сервис, о которых план ничего не знает.
Восстановление после атаки за 48 часов вместо недели
Разница между неделей и двумя сутками складывается из подготовки. Когда копии защищены, порядок запуска известен, а команда реагирования на связи, техническая работа идёт без пауз. В одном из наших кейсов у производителя химической отрасли были зашифрованы больше 50 серверов. Критический производственный контур запустили за 24 часа, инструменты атаки определили за 3 дня, все системы проверили за 7 дней.
Платформа 4sec делает такую подготовку частью сервиса. В тарифе Оптимум за 50 000 ₽ в месяц есть контроль периметра, защита серверов, облачные копии и восстановление за 48 часов. Если данные не удалось восстановить из копий сервиса за этот срок, действует финансовая гарантия на 1,5 млн ₽ от Ингосстраха.
Если атака уже случилась, а плана нет, звоните в Кибер.Спасатель. Дежурная команда работает круглосуточно, критические процессы восстанавливаем за 24 часа. Телефон 8 800 222 1337.