Безопасность для начинающих 10. Шифровальщик и план реагирования

В понедельник в 8:10 звонит бухгалтер: файлы на общем диске не открываются, а в каждой папке лежит текст с требованием денег. Через десять минут звонят ещё трое. Вы отвечаете за ИТ, и следующие часы решат, потеряет организация день, неделю или данные. Придумывать план в этот момент поздно.

Первые шаги пользователя и первой линии поддержки разобраны в Поддержка 10. Здесь взгляд ответственного за ИТ и руководителя: как подготовиться заранее, что делать в первые часы и как восстановиться, не вернув заражение. Мы разберём цикл реагирования по NIST, подготовим «папку на случай аварии», пройдём первые часы по чек-листам CISA и NCSC, восстановим системы и проведём разбор.

Что нужно знать заранее

• Безопасность для начинающих 02, 03 и 04: MFA, обновления и защита рабочих станций уже стоят на пути шифровальщика.
• Безопасность для начинающих 05: сегментация, благодаря которой сеть можно отключать по частям.
• Безопасность для начинающих 06: права администраторов, которыми пользуется и злоумышленник.
• Безопасность для начинающих 07: журналы и единое время.
• Поддержка пользователей 10: действия пользователя и первой линии.
• Резервное копирование: правило 3-2-1 и Windows Server с нуля 11: копии и восстановление контроллера домена.

Событие (event) по NIST — любое наблюдаемое явление с участием вычислительных активов: платформ, сетей, служб, облаков (пример автора: вход пользователя, установка обновления). Инцидент — происшествие, которое без законных полномочий реально или неизбежно ставит под угрозу целостность, конфиденциальность или доступность информации или системы либо нарушает закон и политики безопасности или неизбежно грозит их нарушить. Не каждое событие — инцидент: для вывода нужен анализ. Шифровальщик (ransomware) — вредоносная программа, шифрующая файлы так, что они и системы, зависящие от них, перестают работать; за расшифровку требуют выкуп. Двойное вымогательство — когда злоумышленники ещё и крадут данные и угрожают их опубликовать. План реагирования (IRP, incident response plan) — документ: кто что делает при инциденте.

Жизненный цикл по NIST SP 800-61 Rev. 3

NIST SP 800-61 Rev. 3 вышла в апреле 2025 года и заменила версию 2012 года. Прежняя модель шла по кругу: подготовка, обнаружение и анализ, сдерживание, искоренение и восстановление, действия после. Новая привязана к Cybersecurity Framework (CSF) 2.0 и опирается на шесть его функций:

Govern, Identify и Protect — подготовка: это не часть самого реагирования, а более широкое управление рисками, которое его поддерживает. Detect, Respond и Recover — собственно реагирование. Улучшения (категория Improvement в Identify) идут непрерывно: выводы не нужно откладывать до конца восстановления. Документ напоминает, что сегодня инциденты случаются часто, а восстановление нередко занимает недели или месяцы; организация вправе выбрать модель, которая ей подходит. Rev. 3 прямо отказывается быть пошаговой инструкцией, потому что детали быстро устаревают, поэтому дальше мы опираемся на прикладные руководства CISA и NCSC.

Подготовка: что должно лежать «на полке»

1. Роли и полномочия. Кто объявляет инцидент и руководит им (стоит рассмотреть назначение руководителя каждого инцидента), кто вправе отключать и выключать системы (это элемент политики реагирования), кто говорит с руководством и внешним миром. Для небольшой организации достаточно двух-трёх человек с заместителями.
2. Контакты и связь. В базовый план входят ключевые контакты (специалисты по реагированию, ИТ, руководство, юрист, пресс-служба, кадры, страховщик), в идеале по два способа связи и по два человека на роль, критерии эскалации и номер для срочной конференции. Предусмотрите запасные каналы связи на случай, если почта и телефония лежат вместе с сетью.
3. План лежит вне сети. Бумажный и офлайн-экземпляры плана, плейбуки, чек-листы и контакты на случай, когда доступа к компьютерам нет. План на зашифрованном файловом сервере не поможет.
4. Инвентарь и приоритеты. Знайте, какие данные и системы критичны и от чего зависят: по этому списку определяется порядок восстановления. Схема сети и документация хранятся в защищённом месте, часть копий — офлайн.
5. Копии вне досягаемости. Офлайн-копии в зашифрованном виде, отдельно от сети и не на постоянно подключённых носителях, с регулярной проверкой доступности и целостности. Подробности — в статье про 3-2-1; образы («golden images») критичных серверов сократят пересборку.
6. Журналы и время. Без них нечего расследовать (Безопасность 07). Для критичных систем CISA советует хранить журналы не менее года, если возможно; общий разговор о сроках — в той же статье.
7. Решения заранее. Как вы ответите на требование выкупа и угрозу публикации данных, какие у вас обязанности по уведомлению регуляторов (спросите юриста), какое короткое заявление («holding statement») вы дадите клиентам. Защита домена от подделки писем (SPF, DKIM и DMARC на примере) снижает фишинг от вашего имени. План утверждает руководитель, письменно.
8. Учения. Прогоните план: за какое время вы поднимете минимум устройств из образов, как пересоберёте серверы и виртуальную среду, что делать, если недоступны и локальные, и облачные копии. Практика автора: раз в год час «настольного» учения по сценарию «утром зашифрован файловый сервер» с записью выводов.

Часть пути закрыта мерами из предыдущих статей: MFA против украденных паролей (Безопасность 02), патчи на периметре (Безопасность 03), правило ASR «Use advanced protection against ransomware» и Controlled folder access (Безопасность 04; подробности и откат — там).

Первые часы: порядок действий

Основа — чек-лист CISA и страницы NCSC; где позиции различаются, названы оба источника. В чек-листе шаги пронумерованы, и первые три нужно проходить по порядку: изоляция, питание (выключать, только если отключить от сети нельзя), триаж. Инциденты не обрабатывают «в порядке очереди»: приоритет определяют по критичности активов, влиянию и возможности восстановления.

Шаг 0. Объявите инцидент и откройте журнал. Назначьте руководителя и ответственного за записи. Единый журнал: что и когда обнаружено, какие решения принял кто и почему, какие действия согласованы и в каком состоянии; время записывайте единообразно. Бумажный журнал допустим; доступ к записям ограничьте, в них бывают чувствительные сведения. Шаблон — ниже.

Шаг 1. Изолируйте.

• По CISA: определите затронутые системы и немедленно изолируйте их. Если затронуто несколько систем или подсетей, отключите сеть на уровне коммутатора, начиная с критичных; если сразу нельзя, выньте сетевой кабель или отключите Wi-Fi. Для облака сделайте снимок томов.
• NCSC: отключите заражённые устройства от всех сетей, проводных, беспроводных и мобильных; в очень тяжёлом случае рассмотрите отключение Wi-Fi, ключевых сетевых соединений (включая коммутаторы) и выход в интернет.
• Связывайтесь по телефону, а не по почте: злоумышленник мог получить доступ к переписке и, заметив реакцию, закрепиться глубже или запустить шифрование шире, пока сеть не отключена.
• Практика автора: прежде чем отключать сегмент, определите, как сохраните доступ к консолям управления, гипервизору и копиям (отдельная сеть управления, Безопасность 05); отключайте по сегментам.

Шаг 2. Питание. Источники отличаются:

Вывод по умолчанию (практика автора): отключайте от сети, не выключайте; выключение допустимо, когда отключить нельзя и распространение продолжается. Решает назначенный руководитель.

Шаг 3. Триаж. Выясните, какие системы затронуты и какие критичны: восстановление идёт по заранее составленному списку. Отметьте незатронутые системы, чтобы не тратить на них время.

Шаг 4. Журналы и признаки. Изучите журналы антивируса, средств обнаружения и сети: шифрование может быть последним звеном более ранней компрометации. Что искать: новые учётные записи в Active Directory и повышение прав, необычные входы через VPN, действия, мешающие копиям и теневым копиям (вызовы vssadmin.exe и wbadmin.exe), неожиданное ПО удалённого управления, признаки вывода данных наружу. Проверьте и затронутые системы, и другие возможные цели.

Шаг 5. Сохраните улики. Если сдержать угрозу сразу не получается, снимите образ системы и дамп памяти с образцов затронутых устройств и соберите журналы, особенно то, что легко потерять: память, журналы безопасности Windows, буферы журналов межсетевого экрана. Для специалистов и правоохранительных органов сохраните образцы зашифрованных файлов, копию записки (CISA просит файл с запиской не удалять: иначе расшифровка может оказаться невозможной), журналы, названия найденного вредоносного ПО и переписку с вымогателями. Собранные данные считаются доказательствами. Как сохранить журнал безопасности Windows, показано в Windows Server 12. Практика автора: сфотографируйте экран, очистку устройств начинайте после копирования улик.

Шаг 6. Сообщите. Руководство, юриста и страховщика. Правоохранительные органы и регуляторов уведомляют по критериям плана и с одобрения руководства; закон может требовать уведомления об утечке данных. В США это CISA, ФБР, IC3 и Секретная служба, в Великобритании — NCSC (report.ncsc.gov.uk). Для вашей страны это ответственные службы, которых вы нашли заранее.

Шаг 7. Сдерживание. Найдите системы и учётные записи (в том числе почтовые), через которые попали в сеть, и закройте то, что может служить для дальнейшего доступа: VPN, серверы удалённого доступа, единый вход, публичные ресурсы. Если обычные меры сдерживания недоступны, снимите образы (шаг 5). По паролям источники различаются: NCSC включает сброс учётных данных, особенно администраторов, но просит проверить, что вы не заблокируете себе системы для восстановления; CISA ставит полный сброс после очистки и пересборки среды. Практика автора: подготовьте порядок сброса заранее и выполняйте его с заведомо чистого устройства.

Шаг 8. Выкуп. CISA и соавторы руководства не рекомендуют платить: выплата не гарантирует ни расшифровки, ни прекращения компрометации, ни того, что данные не утекут; платежи могут создавать риски санкций (CISA отсылает к рекомендациям Минфина США). NCSC и правоохранительные органы Великобритании не поощряют, не одобряют и не оправдывают выплату: доступа к данным она не гарантирует, компьютер остаётся заражённым, деньги получают преступники, а жертву чаще атакуют повторно. Платёж может оказаться и незаконным, если получатель находится под санкциями; в вашей стране это вопрос к юристу. Иногда вредоносная программа лишь изображает шифровальщик, а данные уничтожает, и после выплаты файлы не возвращаются.

Перед любым решением, по отдельному руководству, стоит проверить другие варианты: копии и ключи расшифровки, которые бесплатно выдают правоохранительные органы. Обещанию удалить украденные данные верить нельзя, а выплата не снимает обязанностей перед регуляторами. Окончательное решение остаётся за пострадавшим; практика автора: это решение руководства с юристом и специалистами, а не администратора. Спросите правоохранительные органы о существующих расшифровщиках: для части семейств исследователи нашли ошибки шифрования. Проект No More Ransom, созданный полицией Нидерландов, Европолом и двумя компаниями, собирает такие средства; общий совет проекта — не платить выкуп.

Внешняя помощь. Специалисты по реагированию (штатные, по контракту или привлекаемые по необходимости) — обычная часть процесса. NCSC советует привлечь аккредитованного специалиста и расследовать до восстановления: торопливое восстановление до понимания инцидента существенно повышает риск. Для малой организации это договор или контакт, найденный заранее.

Восстановление

• Сначала причина, потом восстановление. Если не уверены, что атакующий выдворен, восстановление несёт риск повторного инцидента; перед пересборкой из копий найдите «предшествующее» вредоносное ПО.
• Пересборка вместо «чистки». Безопасно сотрите заражённые устройства, переустановите ОС и пересобирайте системы по приоритету критичных служб, по возможности из готовых образов. Восстановление — это возврат из чистых копий, пересборка, замена скомпрометированных файлов, установка обновлений, смена паролей и ужесточение защиты.
• Копии проверяйте до использования. Проверьте их на признаки компрометации и повреждения; подключайте только к заведомо чистым устройствам и восстанавливайте, лишь когда уверены и в копии, и в устройстве. Исходите из того, что копии могли атаковать и что они могут не содержать систем идентификации.
• Порядок. Критичные службы по вашему списку. Практика автора: в изолированной чистой сети сначала доверенная идентификация (контроллеры домена и DNS: Windows Server 11; при подозрении на компрометацию AD см. там раздел про восстановление леса), затем сеть и доступ администраторов, файловый сервер и почта, приложения, рабочие станции. NCSC называет доверенный источник идентификации критической зависимостью восстановления и определяет «минимально жизнеспособные операции» как нижний уровень, на котором организация может безопасно работать: вернитесь к нему первым. У временных обходных решений должен быть срок пересмотра, иначе они станут постоянными.
• Чистая сеть. Не заразите чистое снова: если для восстановления создана отдельная сеть (например, VLAN), включайте в неё только чистые системы. Устройства подключают к чистой сети для установки и обновления ОС и ПО, затем запускают антивирус, переподключают к сети и следят за трафиком и результатами проверок.
• Пароли и ключи. После очистки и пересборки сбросьте пароли затронутых систем и учётных записей и, при необходимости, обновите ключи шифрования.
• Конец инцидента. Его объявляет назначенный специалист по заранее заданным критериям; итогом служит отчёт: что произошло, какие действия предприняты, какие уроки.

После: разбор и обновление плана

Разбор «lessons learned» к концу восстановления: что произошло, что сделано, насколько это сработало, мнения всех участников; итог — отчёт. Выводы фиксируют, чтобы уточнить политики, планы и процедуры. NCSC предлагает структурное упражнение: что произошло, какие допущения не подтвердились, что в планах и структурах мешало действовать; выводы должны влиять на планы, инвестиции и устойчивость, а план нужно обновить так, чтобы такое не повторилось тем же путём. Практика автора: разбирайте процессы и допущения, а не ищите виноватых; результат — список изменений с владельцем и сроком, обновлённые контакты и повторное учение. Признаками компрометации стоит поделиться с отраслевым центром обмена информацией.

Шаблоны (практика автора)

Журнал инцидента — таблица, которую можно держать на бумаге; время пишите в одном формате и одном часовом поясе.

Состояние на ноябрь 2026 года (проверьте актуальность). NIST SP 800-61 Rev. 3 (апрель 2025 года) заменила Rev. 2 (август 2012 года). Руководство CISA использовано в версии 3.0 (2023 год; на странице указан сентябрь, в PDF октябрь). NCSC: страница «Mitigating malware and ransomware attacks» имеет версию 3.0; страницы о восстановлении из коллекции «Disruptive cyber attacks» опубликованы 28 июля и пересмотрены 1 октября 2026 года и написаны для организаций, у которых отказ критичных систем означает серьёзный сбой; для малой организации это набор идей в меньшем масштабе. Контакты органов в источниках относятся к США и Великобритании. Описание проекта No More Ransom взято с его страницы «О проекте»: набор средств расшифровки меняется.

Типичные ошибки и недоразумения

• План существует только на файловом сервере. Когда он зашифрован, плана нет: нужны бумажный и офлайн-экземпляры и контакты вне сети.
• Копии подключены постоянно и ни разу не восстанавливались. Шифровальщики ищут копии; проверка восстановления нужна заранее.
• «Вылечили» компьютер антивирусом и вернули в сеть. Шифрование могло быть последним звеном давней компрометации; нужна причина, а пересборка надёжнее чистки.
• Выключили всё подряд. Память с уликами потеряна; или, наоборот, оставили в сети «понаблюдать».
• Сбросили пароли из той же сети или заблокировали себя. Выполняйте сброс с чистого устройства и не отрезайте системы для восстановления.
• Восстановили копию без проверки в прежнюю сеть. Шифрование повторяется.
• Заплатили «чтобы быстрее». Гарантий нет, а решение принимает руководство с юристом.
• Нет журнала и критериев закрытия. Решения не восстановить, разбор невозможен.

Проверьте себя

1. Чем событие отличается от инцидента по NIST? Событие — любое наблюдаемое явление; инцидент — происшествие, ставящее под угрозу целостность, конфиденциальность или доступность либо нарушающее закон и политики, причём для вывода нужен анализ.
2. Какие функции CSF 2.0 образуют подготовку, а какие реагирование в Rev. 3? Подготовка: Govern, Identify, Protect. Реагирование: Detect, Respond, Recover. Улучшение идёт непрерывно.
3. Каковы первые три шага чек-листа CISA и что она говорит о выключении питания? Изолировать затронутые системы; выключить питание, только если отключить от сети нельзя (выключение уничтожает память с уликами); провести триаж.
4. Почему нельзя просто восстановить данные из копии и вернуть систему в сеть? Причина могла не быть найдена, а копия — заражена; копии проверяют, системы пересобирают и возвращают в чистую сеть.
5. Кто принимает решение о выкупе и что об этом говорит NCSC? Руководство с юристом и специалистами; NCSC не поощряет и не одобряет выплату, она не гарантирует доступ к данным.

Что дальше

• Поддержка пользователей 10 — действия пользователя и первой линии, фишинг и восстановление файлов.
• Резервное копирование: правило 3-2-1 — копии, которые переживут шифровальщик.
• Windows Server с нуля 11 — восстановление сервера и контроллера домена.
• Безопасность для начинающих 07 — журналы, которые понадобятся при расследовании.

Источники

• NIST SP 800-61 Rev. 3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management — события и инциденты, шесть функций CSF 2.0, отличия от Rev. 2, роли, журнал, улики, восстановление, разбор
• CISA: #StopRansomware Guide — подготовка, чек-лист реагирования, изоляция и питание, улики, восстановление
• CISA: #StopRansomware Guide, PDF версии 3.0 — нумерация шагов чек-листа, позиция по выкупу, перечень сведений для передачи, запрет удалять файл с запиской
• NCSC: Mitigating malware and ransomware attacks — копии, подготовка к инциденту, учения, позиция по выкупу
• NCSC: Ransomware attack — действия организации, сброс учётных данных, восстановление
• NCSC: Guidance for organisations considering payment in ransomware incidents — что проверить до выплаты, санкции, обязанности перед регуляторами
• NCSC: Recovering from a highly disruptive cyber attack, 1. Immediate activities — отключение или выключение, центральный журнал, внешняя помощь
• NCSC: Recovering from a highly disruptive cyber attack, 2. Recovery and ongoing investigations — идентификация, копии, минимально жизнеспособные операции, обходные решения
• NCSC: Recovering from a highly disruptive cyber attack, 3. Rebuild — разбор по итогам инцидента
• NCSC Incident management: Plan, Your cyber incident response processes — состав базового плана, контакты, запись действий, запасные каналы связи
• No More Ransom: About the project — кто стоит за проектом и в чём его цель