התאוששות מכופרה: צ'קליסט לשעה, ליום ולשבוע הראשונים

מה עושים אחרי מתקפת כופרה? התאוששות מכופרה נעשית בשלושה שלבים, ובסדר קבוע: קודם בולמים את ההתפשטות ומנתקים מהרשת את המחשבים שנפגעו, אחר כך מבררים מה נפגע ואיך התוקף נכנס, ורק בסוף משחזרים מעותק נקי אל סביבה נקייה. הטעות היקרה ביותר היא לקפוץ ישר לשחזור. מי שמשחזר לפני שסגר את הפרצה מחזיר את המידע אל תוך אותה מתקפה.

הצ'קליסט שלפניכם מחולק לשעה הראשונה, ליום הראשון ולשבוע הראשון, ומסתיים ברשימת הכנות שכדאי לעשות עוד היום. הוא נכתב לבעלי עסקים ולמנהלי משרד, והוא הנחיה מעשית ולא ייעוץ משפטי. רקע על המתקפה עצמה יש במדריך מה זה כופרה ואיך מגנים על העסק.

לפני הכול: ארבעה כללים

ברגע שמגלים מסך עם דרישת כופר, הלחץ דוחף לפעולות שמזיקות. ארבעה כללים שומרים עליכם מהן.

1. מנתקים, לא מכבים ולא מפרמטים. מחשב שנותק מהרשת כבר אינו מדביק אחרים. מחשב שכובה, או שהדיסק שלו נמחק, איבד מידע שהיה עוזר להבין מה קרה.
2. לא מחברים גיבוי לסביבה נגועה. דיסק גיבוי שחובר למחשב נגוע עלול להיות מוצפן בעצמו.
3. מתקשרים בערוץ אחר. אם התוקף נמצא ברשת, ייתכן שהוא קורא גם את הדוא"ל. מתאמים בטלפון או בקבוצת הודעות שאינה תלויה במערכות המשרד.
4. מתעדים הכול. מה ראיתם, מתי, באיזה מחשב ומה עשיתם. התיעוד ישמש את אנשי המקצוע, את חברת הביטוח ואת הפקת הלקחים.

השעה הראשונה: לבלום

המטרה בשעה הזאת היא אחת: שהנזק יפסיק לגדול. לא מנסים עדיין להבין הכול, ובוודאי לא לשחזר.

• מנתקים את המחשבים שנפגעו. שולפים את כבל הרשת ומכבים את החיבור האלחוטי. משאירים את המחשב דולק.
• עוצרים את ההתפשטות. מנתקים כונני רשת משותפים ומשהים סנכרון קבצים לענן, כדי שקבצים מוצפנים לא ידרסו את העותקים התקינים. אם לא ברור עד היכן זה הגיע, מנתקים את המשרד כולו מהאינטרנט.
• מגינים על הגיבויים. מוודאים שאף עותק גיבוי אינו מחובר לרשת שנפגעה, ושמדיניות השמירה לא תמחק בימים הקרובים גרסאות ישנות ונקיות.
• ממנים אחראי אחד. אדם אחד מרכז את ההחלטות ואת התקשורת. בלי אחראי, כל אחד מנסה לתקן לבד.
• מזעיקים את אנשי המקצוע. איש המחשוב, ספק ה-IT וספק האבטחה, אם יש. מי שמכיר את הסביבה חוסך זמן רב.
• מצלמים ומתעדים. צילום של הודעת הכופר, שמות הקבצים שהשתנו, והשעה שבה הבחינו בבעיה לראשונה.
• מנחים את העובדים. לא לפתוח קבצים, לא להתחבר מרחוק ולא לנסות לתקן. מי שראה משהו חריג מדווח לאחראי.

דבר אחד על דרישת הכופר עצמה: תשלום אינו מבטיח שהמידע יחזור. לכן הצ'קליסט הזה בנוי כולו על שחזור מגיבוי.

היום הראשון: להבין מה קרה

אחרי שההתפשטות נעצרה, עוברים לאיסוף תמונת מצב. בלי תמונה כזאת אי אפשר לדעת מאיפה בטוח לשחזר.

מיפוי היקף הפגיעה

• אילו מחשבים ושרתים הוצפנו, ואילו נראים תקינים.
• אילו חשבונות משתמשים שימשו את התוקף.
• מתי התחילה הפעילות החשודה. זה חשוב, כי החדירה קודמת בדרך כלל להצפנה.
• איך התוקף נכנס: הודעת פישינג, גישה מרחוק שהייתה חשופה, סיסמה שנגנבה או תוכנה שלא עודכנה.
• האם יש סימנים לכך שמידע הועתק החוצה לפני ההצפנה.

מערכת EDR מקצרת מאוד את השלב הזה, כי היא מציגה את שרשרת המתקפה: מאיפה נכנסה, אילו תהליכים הפעילה ובאילו קבצים נגעה. בלי מערכת כזאת נשענים על יומני המערכת ועל ניסיון של איש מקצוע.

בדיקת הגיבויים

• האם הגיבויים קיימים ונגישים, או שגם הם נפגעו.
• מהי נקודת הזמן האחרונה שקודמת לחדירה, ולא רק להצפנה.
• האם אפשר לשחזר ממנה בפועל. בודקים על קובץ אחד או על מכונה אחת, בסביבה מבודדת.

החלפת סיסמאות

מחליפים סיסמאות רק ממחשב שידוע שהוא נקי. מתחילים בחשבונות המנהל, ממשיכים לחשבונות של שירותים ושל דוא"ל, ומסיימים בכל המשתמשים. מנתקים חיבורים פעילים, ומפעילים אימות דו-שלבי בכל מקום שעוד לא הופעל.

דיווח למי שצריך לדעת

• להנהלה ולעובדים: מה קרה, מה אסור לעשות ומתי יהיה עדכון נוסף.
• לחברת הביטוח, אם יש לעסק כיסוי לאירועי סייבר. מודיעים מוקדם, ופועלים לפי מה שכתוב בפוליסה.
• ליועץ משפטי. השאלה אם חלה עליכם חובת דיווח, ולמי, היא שאלה משפטית. מעבירים אותה לעורך דין כבר ביום הראשון, ולא מכריעים בה לבד.
• ללקוחות ולספקים שמושפעים, בתיאום עם היועץ המשפטי.

סדר השחזור

לא משחזרים הכול בבת אחת. קובעים אילו מערכות חוזרות ראשונות, לפי מה שהעסק צריך כדי לתפקד. מי שכבר הגדיר יעדי התאוששות יודע את הסדר מראש, ועל כך הרחבנו במדריך RPO ו-RTO בפשטות. בינתיים מפעילים מצב עבודה זמני: טלפונים, טפסים ידניים, ומה שאפשר לעשות בלי המערכות.

השבוע הראשון: לשחזר ולחזור לעבוד

1. בונים סביבה נקייה. מחשב או שרת שנפגע מותקן מחדש או משוחזר במלואו מנקודת זמן שקודמת לחדירה. לא מנקים מחשב נגוע וממשיכים לעבוד עליו.
2. סוגרים את הפרצה לפני שמתחברים. מתקינים את העדכון החסר, סוגרים את הגישה מרחוק שהייתה חשופה ומבטלים חשבונות מיותרים. רק אז מחזירים את המחשב לרשת.
3. משחזרים לפי הסדר שנקבע. קודם המערכות שהעסק תלוי בהן, ואחריהן השאר.
4. סורקים את מה ששוחזר. מוודאים שהתוכנה הזדונית לא חזרה יחד עם המידע.
5. מחזירים בהדרגה ומנטרים. מחברים קבוצה קטנה של משתמשים, עוקבים אחרי התראות, ורק אחר כך מרחיבים. בימים האלה שמים לב לכל סימן חריג.
6. משלימים את מה שחסר. מידע שנוצר אחרי נקודת הגיבוי משוחזר ידנית מניירת, מדוא"ל או מלקוחות.
7. מחזירים את הגיבוי לפעולה. מוודאים שהגיבויים רצים שוב על הסביבה הנקייה.
8. מפיקים לקחים. בסוף השבוע יושבים עם כל המעורבים: איך זה התחיל, מה עבד, מה התעכב ומה משנים. כותבים את המסקנות וקובעים מי מבצע כל אחת ועד מתי.

מי עושה מה: טבלת אחריות

מתי	הצעד	מי מבצע	מי מחליט
שעה ראשונה	ניתוק המחשבים שנפגעו מהרשת	כל עובד שמזהה, לפי הנחיה	האחראי על האירוע
שעה ראשונה	ניתוק כונני רשת, סנכרון ואינטרנט	איש המחשוב או ספק ה-IT	האחראי על האירוע
שעה ראשונה	הגנה על עותקי הגיבוי	איש המחשוב או ספק הגיבוי	איש המחשוב
יום ראשון	מיפוי ההיקף ואיתור נקודת הכניסה	ספק האבטחה או איש המחשוב	האחראי על האירוע
יום ראשון	החלפת סיסמאות ממחשב נקי	איש המחשוב, ואחריו כל העובדים	איש המחשוב
יום ראשון	הודעה לביטוח ופנייה ליועץ משפטי	ההנהלה	ההנהלה
יום ראשון	קביעת סדר השחזור	איש המחשוב מציע	ההנהלה
שבוע ראשון	התקנה נקייה, סגירת הפרצה ושחזור	איש המחשוב וספק הגיבוי	איש המחשוב
שבוע ראשון	בדיקת המידע ששוחזר	העובדים שמכירים כל מערכת	מנהלי הצוותים
שבוע ראשון	הפקת לקחים ותוכנית תיקון	כל המעורבים	ההנהלה

איך גיבוי והתאוששות מאסון מקצרים את הדרך

ההבדל בין עסק שחוזר לעבוד בתוך זמן קצר לבין עסק שנאבק שבועות נקבע לפני המתקפה, ולא בזמן שלה.

• עותק שהתוקף לא הגיע אליו. גיבוי שנשמר מחוץ לרשת, מוצפן, ונעול מפני מחיקה. למה זה קריטי הסברנו במדריך גיבוי immutable מפני כופרה.
• נקודות זמן. היסטוריית גרסאות מאפשרת לחזור אל לפני החדירה, ולא רק אל לפני ההצפנה.
• שחזור של מכונה שלמה. בגיבוי ענן של Acronis אפשר לשחזר מערכת הפעלה, תוכנות, הגדרות ומידע בפעולה אחת, גם לחומרה אחרת, במקום להתקין הכול מחדש ולהעתיק קבצים.
• המשך עבודה בזמן השיקום. בהתאוששות מאסון בענן העותק של השרת מופעל בענן Acronis מנקודת זמן שקודמת למתקפה. העובדים מתחברים אליו בחיבור מאובטח, ואת הסביבה הראשית משקמים ברקע.
• אבטחה וגיבוי באותה מערכת. כשאותו סוכן גם מגן וגם מגבה, אפשר לבודד מכשיר מרחוק, לראות את שרשרת המתקפה ולשחזר מאותו מסך. הגיבויים עצמם נסרקים, כדי שהאיום לא יחזור עם השחזור.

מה כדאי להכין כבר היום

• רשימת טלפונים מודפסת: איש המחשוב, ספק הגיבוי, ספק האבטחה, סוכן הביטוח, עורך הדין והמנהלים.
• נוהל כתוב של עמוד אחד, שנמצא גם על נייר, כי ביום המתקפה המחשבים לא יהיו זמינים.
• אחראי לאירוע וממלא מקום, עם סמכות להחליט.
• רשימת מערכות לפי סדר שחזור.
• גיבוי שנבדק. שחזור ניסיוני אחת לתקופה, ולא רק דוח שהגיבוי רץ.
• עותק גיבוי שאינו ניתן למחיקה, ואימות דו-שלבי לקונסולת הגיבוי.
• אימות דו-שלבי לדוא"ל, לגישה מרחוק ולחשבונות המנהל.
• תרגול. פעם בשנה עוברים על הנוהל עם הצוות, אפילו סביב שולחן.

טעויות נפוצות אחרי מתקפה

• לשחזר לפני שמבינים איך התוקף נכנס. הוא ייכנס שוב באותה דרך.
• לשחזר מהגיבוי האחרון בלי לבדוק. ייתכן שהוא כבר מכיל את התוכנה הזדונית.
• להחליף סיסמאות ממחשב שלא נבדק. הסיסמה החדשה נחשפת מיד.
• להסתיר את האירוע מהעובדים. הם צריכים לדעת מה אסור לעשות, והם אלה שיזהו סימנים נוספים.
• לחזור לשגרה בלי הפקת לקחים. עסק שלא שינה דבר נשאר חשוף בדיוק כמו קודם.

שאלות נפוצות

מה הדבר הראשון שעושים כשמגלים כופרה?

מנתקים את המחשב שנפגע מהרשת, בכבל ובחיבור האלחוטי, ומודיעים מיד לאחראי ולאיש המחשוב. לא מכבים את המחשב ולא מנסים לתקן לבד. כל השאר בא אחרי שההתפשטות נעצרה.

האם לכבות את המחשב שהוצפן?

עדיף לנתק אותו מהרשת ולהשאיר אותו דולק עד שאיש מקצוע בודק אותו. כיבוי מוחק מידע שנמצא בזיכרון ועשוי לעזור בבירור. אם אין שום דרך לנתק את המחשב מהרשת, כיבוי עדיף על המשך ההתפשטות.

האם תשלום הכופר מחזיר את הקבצים?

תשלום אינו מבטיח שהמידע יחזור. זו הסיבה שההיערכות כולה נשענת על גיבוי שאפשר לשחזר ממנו בלי תלות בתוקף.

איך יודעים שהגיבוי נקי?

בוחרים נקודת זמן שקודמת לסימן הראשון של החדירה, משחזרים אותה בסביבה מבודדת וסורקים אותה לפני שמחזירים אותה לשימוש. מערכת גיבוי שסורקת את הגיבויים לאיתור תוכנות זדוניות מקצרת את הבדיקה.

כמה זמן נמשכת התאוששות ממתקפת כופרה?

זה תלוי בהיקף הפגיעה, במצב הגיבויים ובמידת ההיערכות. עסק עם גיבוי בדוק, סדר שחזור כתוב ואחראי ברור חוזר לעבוד מהר בהרבה מעסק שמגלה את כל אלה תוך כדי האירוע.

למי צריך לדווח על המתקפה?

בתוך העסק: להנהלה ולעובדים. מחוץ לו: לחברת הביטוח, אם יש כיסוי מתאים, וליועץ משפטי. הוא שיקבע אם חלה עליכם חובת דיווח נוספת, למי ומתי, לפי סוג העסק והמידע שנפגע.

רוצים להיות מוכנים לפני המתקפה הבאה?

הדרך הקצרה ביותר להתאושש היא לזהות את המתקפה מוקדם ולהחזיק עותק נקי. בהגנת הסייבר של Acronis אותו סוכן מזהה ניסיון הצפנה, עוצר אותו ומשחזר את הקבצים שנפגעו, וגם מגבה. אמפייר אייאל, משווק מורשה של Acronis, תתאים לכם את שכבות ההגנה, בניהול שלנו או בניהול עצמי.