Szkolenie: Ransomware bez paniki – jak przygotować firmę, przetrwać atak i odzyskać dane

Czym jest ransomware i jak ewoluował

Model RaaS (Ransomware-as-a-Service): twórcy oprogramowania, afilianci i brokerzy dostępu

Typowy przebieg ataku: wejście do sieci, utrzymanie dostępu i ruch boczny, często przejęcie Active Directory, kradzież danych, a następnie – w części kampanii – szyfrowanie środowiska

Czas przebywania napastnika w sieci i szybkie przekazywanie dostępu między grupami przestępczymi

Podwójne i potrójne wymuszenie: publikacja danych oraz dodatkowe formy presji, np. ataki DDoS lub kontakt z klientami ofiary; a także ataki bez szyfrowania, oparte wyłącznie na kradzieży danych

Dlaczego ransomware jest zagrożeniem biznesowym, a nie tylko technicznym

Podatne urządzenia brzegowe: VPN, zapory sieciowe i bramy dostępowe

Przejęte konta i poświadczenia, słabe hasła, brak lub słabe MFA

Wystawione do internetu usługi zdalnego dostępu, w tym RDP

Phishing i złośliwe załączniki, także phishing głosowy (vishing)

Brokerzy dostępu (initial access brokers), którzy sprzedają gotowy dostęp grupom ransomware

Dostęp przez dostawców i partnerów

Jak ocenić, które z tych dróg są otwarte w Waszej organizacji

Ocena gotowości organizacji

Identyfikacja systemów krytycznych i zależności biznesowych

Procedura reagowania na ransomware i wcześniej określone uprawnienia decyzyjne

Komunikacja awaryjna poza zaatakowaną infrastrukturą (out-of-band): alternatywny kanał łączności i lista kontaktów dostępna offline

Rola ćwiczeń i testów bezpieczeństwa

Od zasady 3-2-1 do rozszerzonego modelu 3-2-1-1-0: jedna kopia niezmienialna (immutable) lub offline oraz zero błędów w testach odtwarzania

Dlaczego napastnicy atakują backup przed szyfrowaniem danych produkcyjnych

Serwery backupu poza domeną produkcyjną, osobne konta i poświadczenia, ochrona konsoli zarządzającej

Kopie niezmienialne i offline w praktyce

Kopie konfiguracji i usług katalogowych (stan systemu kontrolerów domeny)

Testowanie procesu odtwarzania i mierzenie czasu odtworzenia

Najczęstsze błędy w backupach

Rozpoznanie sytuacji: czy szyfrowanie nadal trwa i które systemy są objęte atakiem

Izolacja zainfekowanych urządzeń przez odłączenie od sieci (port przełącznika, kabel, Wi-Fi); wyłączenie zasilania niszczy dane ulotne z pamięci operacyjnej, dlatego jest ostatecznością, gdy odłączenie od sieci nie jest możliwe

Skoordynowana izolacja i łączność poza zaatakowaną siecią, tak aby napastnik nie zorientował się zbyt wcześnie, że został wykryty

Ochrona systemów krytycznych i repozytoriów kopii zapasowych

Zabezpieczenie dowodów ulotnych, w tym pamięci operacyjnej

Decyzje, których nie należy podejmować pochopnie: wyłączanie zasilania, restart i formatowanie serwerów, kontakt z napastnikiem bez ustaleń

Zespół kryzysowy i rola zarządu w incydencie trwającym dni lub tygodnie (zmiany, odpoczynek, przekazywanie obowiązków)

Podejmowanie decyzji przy ograniczonej wiedzy, pod presją czasu i pod presją napastnika

Praca w trybie awaryjnym: procesy biznesowe bez systemów IT

Ustalanie priorytetów biznesowych na czas odbudowy

Brak gwarancji, że napastnik dostarczy działający dekryptor lub że skradzione dane nie wyciekną i nie zostaną sprzedane

Ryzyko prawne płatności: sankcje (UE, USA) oraz inne właściwe przepisy; każda decyzja o płatności wymaga oceny prawnej, w tym weryfikacji odbiorcy płatności i obowiązujących reżimów sankcyjnych

Stanowisko CERT Polska i Policji oraz możliwość skorzystania z dekryptorów z projektu No More Ransom, o ile dla danej rodziny ransomware istnieje działające narzędzie

Aktualne kierunki zmian regulacyjnych dotyczących raportowania żądań i płatności okupu – omawiane według stanu prawnego na dzień szkolenia

Cyberubezpieczenie: wymagania polisy, obowiązek zgłoszenia ubezpieczycielowi, zakres i wyłączenia ochrony

Rola ubezpieczyciela, wskazanych przez niego zespołów reagowania i wyspecjalizowanych negocjatorów

Czy odłączać systemy i czy korzystać z pomocy zewnętrznej

Jak oceniać ryzyko dalszego działania i przygotować decyzje dla zarządu

Identyfikacja punktu wejścia

Ocena zakresu kompromitacji, w tym przejęcia Active Directory

Analiza aktywności napastnika i ustalenie, jakie dane zostały skradzione

Zabezpieczenie logów i śladów

Współpraca z ekspertami zewnętrznymi

Konflikt między zabezpieczeniem dowodów a szybkim odtworzeniem działania: jak o nim decydować

Priorytety odtwarzania systemów i usług krytycznych

Odtwarzanie Active Directory po przejęciu: reset haseł kont uprzywilejowanych, dwukrotny reset hasła krbtgt (z zachowaniem wymaganego odstępu między resetami), odbudowa kontrolerów domeny

Sprawdzanie kopii zapasowych pod kątem mechanizmów utrwalenia napastnika, aby nie przywrócić środowiska razem z nim

Odtwarzanie w czystym, odseparowanym środowisku i weryfikacja bezpieczeństwa przed włączeniem do produkcji

Monitorowanie środowiska po odtworzeniu

Jeden atak, kilka obowiązków: zgłoszenia do różnych organów liczone od różnych momentów

NIS2 (w Polsce ustawa o KSC): wczesne ostrzeżenie w ciągu 24 godzin od wykrycia incydentu poważnego, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca od zgłoszenia; aktualny stan wdrożenia i okresy przejściowe według stanu na dzień szkolenia

RODO: zgłoszenie naruszenia do Prezesa UODO w ciągu 72 godzin od stwierdzenia naruszenia oraz zawiadomienie osób, których dane dotyczą, gdy ryzyko jest wysokie; przy kradzieży danych podczas ataku jest to ocena, którą trzeba przeprowadzić od razu

DORA dla sektora finansowego: wstępne zgłoszenie poważnego incydentu związanego z ICT w ciągu 4 godzin od zaklasyfikowania go jako poważny i nie później niż w ciągu 24 godzin od momentu, w którym podmiot dowiedział się o incydencie

Zawiadomienie organów ścigania (Policja, CBZC): jakie informacje przekazać i dlaczego warto to zrobić wcześnie

Komunikacja wewnętrzna podczas kryzysu i kontakt z klientami oraz partnerami, także po publikacji skradzionych danych

Współpraca z dostawcami oraz z zespołami CSIRT i podmiotami wspierającymi

Symulacja ataku ransomware w organizacji, od pierwszego alarmu do odbudowy

Analiza komunikatów i pierwszych objawów infekcji

Podejmowanie decyzji przez uczestników, w tym decyzja o okupie

Dylemat: zabezpieczyć dowody czy szybko odtworzyć działanie

Przygotowanie planu pierwszych działań i planu komunikacji awaryjnej

Omówienie błędów i dobrych praktyk