وقتی فایل‌ها قفل می‌شوند و پیام باج‌خواهی روی صفحه می‌آید، معمولاً ماجرا از مدت‌ها قبل شروع شده است. مهاجم پیش از رمزگذاری، وقتی در شبکه حضور داشته، حساب‌های مهم را پیدا کرده، سراغ پشتیبان‌ها رفته و گاهی داده‌ها را از سازمان بیرون برده است. خبر خوب این است که هر کدام از این مراحل فرصتی برای دیده شدن و متوقف شدن است. در این مطلب مسیرهای رایج نفوذ، روند گسترش حمله و لایه‌هایی که باید جلوی آن‌ها را بگیرند به زبان ساده مرور می‌شود.
مهاجم از کجا وارد می‌شود؟
راهنمای #StopRansomware که CISA و FBI با همکاری NSA و MS-ISAC منتشر کرده، توصیه‌های پیشگیرانه را بر اساس مسیر ورود مهاجم دسته‌بندی می‌کند: آسیب‌پذیری سرویس‌های متصل به اینترنت، اعتبارنامه‌های لورفته و فیشینگ. مرکز امنیت اینترنتی (CIS) هم یادآوری می‌کند که گروه‌های باج‌افزاری ابزارشان را مدام عوض می‌کنند، اما راه‌های ورودشان تا حد زیادی ثابت می‌ماند. یعنی بستن همین درها هنوز یکی از بهترین سرمایه‌گذاری‌های امنیتی است.
فیشینگ و فریب کارکنان
رایج‌ترین سناریو هنوز یک ایمیل است: پیوستی که با باز شدنش کدی اجرا می‌شود یا لینکی به یک صفحه ورود جعلی. گاهی هم مهاجم زنگ می‌زند و خودش را از بخش پشتیبانی فنی معرفی می‌کند، تا کارمند یک نرم‌افزار دسترسی از راه دور نصب کند یا کد تأیید ورود را بگوید. هدف این مرحله معمولاً اجرای باج‌افزار نیست، فقط گرفتن یک جای پا در شبکه است.
سرقت رمز عبور و حساب‌های بی‌محافظ
نام کاربری و رمز معتبر ارزان‌ترین کلید ورود است. رمزهای تکراری، اطلاعاتی که بدافزارها از دستگاه کارمندان می‌دزدند و حساب‌های VPN یا دسکتاپ از راه دور که احراز هویت چندمرحله‌ای ندارند، بدون هیچ ضعف فنی در سیستم، مهاجم را داخل می‌آورند. بدتر اینکه چنین ورودی در گزارش‌ها شبیه کار یک کاربر عادی دیده می‌شود.
سرویس‌هایی که وصله نشده‌اند
VPN، فایروال، سرور ایمیل و دسترسی از راه دور از بیرون قابل دیدن‌اند. CIS به‌طور مشخص از سرویس‌هایی مثل RDP و VPN نام می‌برد که در معرض اینترنت‌اند و درست محافظت نشده‌اند. وقتی برای ضعف یکی از این دستگاه‌ها وصله منتشر می‌شود، فاصله بین انتشار وصله و نصب آن در سازمان همان فرصتی است که مهاجم منتظرش است. پیمانکاران و شرکت‌های ارائه‌دهنده خدمات فناوری هم، چون گاهی دسترسی وسیعی دارند و کمتر زیر نظرند، مسیر دیگری برای ورود هستند.
بعد از ورود چه اتفاقی می‌افتد؟
دسترسی اولیه معمولاً فقط یک لپ‌تاپ یا یک سرور محدود است. مهاجم اول می‌فهمد در چه شبکه‌ای است: چه کاربرانی هستند، چه سرورهایی وجود دارد و مدیران کجا وارد می‌شوند. بعد دنبال حساب‌هایی با دسترسی بالا می‌گردد، چون با آن‌ها می‌تواند از یک سیستم به سیستم بعدی برود. اگر شبکه تفکیک نشده باشد، این حرکت کار سختی نیست.
در مرحله بعد، پشتیبان‌ها هدف قرار می‌گیرند. مهاجم نسخه‌های پشتیبان را پاک یا رمز می‌کند تا راه برگشت بسته شود. در بسیاری از حمله‌ها پیش از رمزگذاری، داده‌های حساس هم کپی می‌شوند و بعداً تهدید به انتشار آن‌ها، فشار دوم بر سازمان است. در پایان، رمزگذاری به‌صورت هم‌زمان روی ده‌ها یا صدها دستگاه اجرا می‌شود، معمولاً شب یا آخر هفته، وقتی کسی پای سیستم‌ها نیست. نتیجه این است که دفاعی که فقط روی لحظه رمزشدن فایل‌ها حساب کند، دیر می‌رسد. نمایه مدیریت ریسک باج‌افزار NIST هم بر شناسایی رخداد پیش از اجرای باج‌افزار تأکید دارد.
چطور جلوی این روند را بگیریم؟
هیچ ابزار یا کنترلی به‌تنهایی کافی نیست. ایده دفاع چندلایه این است که اگر مهاجم از یک مانع گذشت، مانع بعدی هنوز سر راهش باشد و تیم امنیت وقت واکنش داشته باشد.
دیدن رفتار مشکوک روی سیستم‌ها
آنتی‌ویروس سنتی بیشتر فایلهای شناخته‌شده را بررسی می‌کند. راهکارهای EDR رفتار را هم زیر نظر دارند، مثلاً اجرای دستورهای غیرعادی، تلاش برای خواندن رمزهای ذخیره‌شده یا پاک‌شدن نسخه‌های پشتیبان سیستم. مزیت دیگر این است که تیم امنیت می‌تواند یک دستگاه آلوده را در چند ثانیه از شبکه جدا کند. اما این ابزارها بدون مجوز معتبر و به‌روزرسانی عملاً کارایی ندارند. پایان مجوز باید در تقویم امنیتی سازمان ثبت شود، نه اینکه روز انقضا کشف شود. برای کاربران محصولات کسپرسکی، تمدید لایسنس کسپرسکی پیش از پایان اعتبار همین‌طور موضوعی است.
کنترل دسترسی و احراز هویت چندمرحله‌ای
فعال‌کردن تأیید چندمرحله‌ای برای VPN، ایمیل و پنل‌های مدیریتی، در برابر رمزهای لورفته بسیار مؤثر است. در کنار آن، هر حساب فقط باید به چیزی دسترسی داشته باشد که برایش لازم است. حساب مدیر دامنه نباید برای کارهای روزمره استفاده شود. با این کار حتی اگر یک حساب سرقت شود، رسیدن مهاجم به قلب شبکه سخت‌تر و کندتر می‌شود.
جدا کردن بخش‌های شبکه
در شبکه‌ای که همه با همه ارتباط دارند، حرکت مهاجم آسان است. اگر کامپیوتر کاربران، سرورها و سامانه پشتیبان‌گیری در بخش‌های جدا باشند و بین‌شان فقط ارتباط ضروری مجاز باشد، آسیب هر رخداد محدود می‌ماند. مثال ساده این است که کاربر عادی هیچ‌وقت نیازی به اتصال مستقیم به سرور پشتیبان‌گیری ندارد.
پشتیبانی که از حمله جان سالم به در ببرد
نمایه NIST پیشنهاد می‌کند راهبرد پشتیبان‌گیری و بازیابی برنامه‌ریزی، اجرا و آزمایش شود و نسخه‌هایی امن و جدا از شبکه اصلی نگهداری شود. معیار ساده‌اش این است: اگر مهاجم حساب مدیر را هم گرفت، آیا پشتیبان‌ها سالم می‌مانند؟ نسخه آفلاین یا غیرقابل‌تغییر و دسترسی جداگانه به سامانه پشتیبان‌گیری کمک می‌کند. مهم‌تر از همه، باید حداقل گاهی یک سرویس حیاتی را واقعاً از پشتیبان برگرداند. پشتیبانی که هیچ‌وقت آزمایش نشده، فقط یک فرض است.
کسی که هشدارها را ببیند
همه این لایه‌ها وقتی کار می‌کنند که کسی به هشدارهایشان نگاه کند. ورودهای ناموفق پشت‌سرهم، ساخت حساب مدیر جدید، یا انتقال حجم غیرعادی داده به بیرون باید به یک نقطه برسد و مسئول رسیدگی‌اش معلوم باشد. تیم‌هایی که ظرفیت پایش شبانه‌روزی ندارند می‌توانند از خدمات کسپرسکی فارسی یا یک سرویس پایش مدیریت‌شده کمک بگیرند. در هر صورت، پیش از خرید ابزار باید روشن باشد چه کسی نیمه‌شب هشدار را می‌بیند.
اگر حمله شروع شد
در ساعت‌های اول، تصمیم‌ها باید از قبل نوشته شده باشند. راهنمای CISA اولین گام را جدا کردن سیستم‌های آلوده از شبکه می‌داند. بعد باید رمز حساب‌های درگیر و حساب‌های مدیریتی عوض شود، چون مهاجم احتمالاً آن‌ها را دارد، و وضعیت پشتیبان‌ها بررسی شود. مدیریت و مراجع ذی‌ربط هم طبق الزامات سازمان باید باخبر شوند.
آمادگی سازمان را چطور بسنجیم؟
چند پرسش ساده تصویر روشنی می‌دهد. چند درصد دستگاه‌ها محافظت فعال و به‌روز دارند؟ آیا همه دسترسی‌های از راه دور و حساب‌های مدیریتی تأیید چندمرحله‌ای دارند؟ وصله دستگاه‌های رو به اینترنت چقدر طول می‌کشد؟ آخرین بار کی یک سرویس حیاتی از پشتیبان برگردانده شد و چقدر زمان برد؟ اگر ساعت سه بامداد هشدار بخورد، چه کسی پاسخ می‌دهد؟ و آیا طرح پاسخ به رخداد با حضور مدیریت و فناوری اطلاعات تمرین شده است؟ اگر جواب یکی از این‌ها «فکر می‌کنم» است، همان‌جا نقطه شروع کار است.
جمع بندی
هیچ راهکاری جلوی همه حملات را نمی‌گیرد و هر ادعای خلاف این را باید با تردید خواند. هدف واقع‌بینانه این است که ورود سخت‌تر شود، حضور مهاجم زودتر دیده شود و اگر رمزگذاری اتفاق افتاد، سازمان بتواند بدون مذاکره به کار برگردد. برای ارزیابی وضعیت فعلی و تمرین سناریوی رخداد، سازمان‌ها می‌توانند از تجربه تیم‌های تخصصی مثل گروه آتنا هم کمک بگیرند.