Moodul 1 · 1.3
Lunavara ja väljapressimine
Moodul 1: Miks oled just sina sihtmärk · Lugemisaeg: 10 minutit
Õpieesmärk: Pärast seda õppetundi oskad selgitada, kuidas lunavara ettevõttesse jõuab, mis on topeltväljapressimine ja millised meetmed piiravad kahju.
Põhimõisted: lunavara, krüpteerimine, topeltväljapressimine, esmane juurdepääs, külgliikumine, lunaraha, dekrüpteerija (No More Ransom)
Mis on lunavara
Lunavara on pahatahtlik tarkvara, mis muudab su failid või süsteemid kasutuskõlbmatuks ja nõuab seejärel lunaraha. Sõna tuleb inglise keelest: ransom tähendab lunaraha. Tavaliselt tehakse seda krüpteerimise abil: tarkvara teisendab su failid loetamatuks andmeteks, mille võtit omab ainult ründaja. Failid on endiselt näha, sageli kummalise laiendiga, kuid sa ei saa neid enam avada. Ekraanile või igasse kausta ilmub teade: maksa mõne päeva jooksul, muidu on kõik kadunud.
Krüpteerimine ise ei ole midagi kurjakuulutavat. See on sama tehnoloogia, mis kaitseb su sülearvutit varguse korral (õppetund 5.2) ja mis kaitseb su ühendust veebilehega. Erinevus on selles, kellel on võti. Head krüpteeringut ei saa murda. Seetõttu ei ole "lihtsalt dekrüpteerime ära" peaaegu kunagi võimalik, välja arvatud juhul, kui lunavara loojad on teinud vea.
Madalmaade NCSC andmetel ei kahjusta lunavara ainult faile, vaid ka süsteeme ja varukoopiaid. Viimane on selle õppetunni kõige olulisem punkt.
Kuidas see sisse pääseb
Lunavararünnak ei ole üks hetk, vaid rida samme. See algab esmasest juurdepääsust: esimene jalg ukse vahel. Kõige levinumad teed:
| Juurdepääsutee | Kuidas see käib | Mis selle peatab |
|---|---|---|
| Andmepüük manuse või lingiga | Töötaja avab "arve" või "saatelehe", mis käivitab pahatahtliku tarkvara | Teadlikkus (õppetund 9.2), uuendused, piiratud õigused |
| Varastatud sisselogimisandmed | Lekkinud parool töötab veebipostis, VPN-is või kaugjuhtimises | Unikaalsed paroolid, kaheastmeline autentimine (moodul 2) |
| Tuntud nõrkus internetiga ühendatud süsteemis | Vananenud VPN-server, tulemüür, NAS või veebileht avalikult teadaoleva nõrkusega | Kiire uuendamine (õppetund 5.1), mitte asjatult avatud hoidmine |
| Avatud kaugjuhtimine | Arvuti kaugjuhtimise programm, mis on kättesaadav kogu internetist | Ainult turvalise ühenduse kaudu, koos 2FA-ga |
| Tarnija | IT-ettevõtte või tarnija tarkvara kuritarvitatakse | Kokkulepped ja minimaalsed õigused (moodul 7) |
Pärast esmast juurdepääsu ootab ründaja sageli. Ta vaatab ringi, otsib administraatorikontosid ja liigub arvutist arvutisse. Seda nimetatakse külgliikumiseks. Ta otsib eelkõige kahte asja: kus asuvad olulised andmed ja kus asuvad varukoopiad. Alles siis, kui ta on mõlemad leidnud, lööb ta, sageli öösel või nädalavahetusel, kui keegi seda ei märka.
Miks ühendatud varukoopia ei aita
Paljudel väikeettevõtetel on varukoopia: väline kõvaketas, mis on alati arvuti külge ühendatud, või võrgudraiv (NAS), kuhu iga öö tehakse koopia. See on parem kui mitte midagi kõvaketta rikke korral. Lunavara vastu see tihti ei aita.
Põhjus on lihtne. Lunavara krüpteerib kõik, millele nakatunud arvuti või ülevõetud konto ligi pääseb. Kui varukettas on arvuti külge ühendatud, pääseb lunavara sinna ligi. Kui varukoopia asub võrgudraivil, kuhu logid sisse sama kontoga, pääseb lunavara ka sinna ligi. Ründaja, kes on rahulikult ringi vaadanud, kustutab mõnikord isegi teadlikult varukoopiad enne krüpteerimist.
Sama kehtib sünkroonimise kohta. Kaust, mis sünkroonitakse automaatselt pilvega, sünkroonib ka krüpteeritud versiooni. Mõnikord saad siiski tagasi pöörduda faili vanema versiooni juurde, kuid see sõltub teenusest ja sellest, kui kaua ta versioone säilitab.
Varukoopial, mis lunavara üle elab, on vähemalt üks koopia, millele ründaja ei pääse ligi või mida ta ei saa muuta: ketas, mis lebab lahtiselt sahtlis, või varukoopia eraldi teenusepakkuja juures oma sisselogimisega, mida sa töökoha arvutis ei kasuta, või salvestusruum, kus muutmine ja kustutamine on teatud aja jooksul tehniliselt võimatu. Moodulis 6 seadistad selle samm-sammult. Varukoopia, mille su majutuspartner teeb eraldi serverites, su paketist eraldi, on su veebilehe ja e-posti jaoks juba eemalasuv koopia. Uuri siiski, kui kaua seda säilitatakse ja kes saab selle kustutada.
Topeltväljapressimine
Varem oli hea varukoopia täielik vastus lunavarale: taasta ja valmis. Ründajad on kohanenud. Topeltväljapressimise puhul varastavad nad esmalt koopia su andmetest ja alles seejärel krüpteerivad need. Siis on kaks ähvardust:
- Maksa, muidu ei saa sa oma faile tagasi.
- Maksa, muidu avaldame su andmed: kliendifailid, pakkumised, palgaandmed, postkastid.
Varukoopia aitab esimese vastu, kuid mitte teise vastu. Ka Madalmaade NCSC hoiatab, et ründajad ähvardavad mõnikord varastatud andmed avaldada. Lisaks on isikuandmete varastamine iseenesest andmeleke, millega kaasneb teavitamiskohustus Andmekaitse Inspektsioonile (AKI) (õppetund 8.2), sõltumata sellest, kas sa maksad või mitte.
Mõnikord läheb ründaja veelgi kaugemale ja pöördub otse su klientide või äripartnerite poole teatega, et nende andmed on sinult kätte saadud. Surve ei lasu siis ainult sinul, vaid ka su mainel.
Maksta või mitte?
Riigiasutuste ja politsei nõuanne on üheselt mõistetav: pigem mitte maksta. No More Ransom, muu hulgas Europoli ja Madalmaade politsei algatus, ütleb seda nii: lunaraha maksmine ei anna mingeid garantiisid. Selleks on head põhjused:
- Sul pole garantiid, et saad toimiva võtme või et dekrüpteerimine õnnestub.
- Sul pole garantiid, et varastatud andmed seejärel tõesti kustutatakse.
- Sa kinnitad, et su ettevõte maksab, ja see muudab su järgmise rünnaku jaoks atraktiivseks.
- Sa rahastad järgmisi rünnakuid teiste vastu.
- Sissepääsutee pole veel suletud. Ilma uurimiseta võib see uuesti juhtuda.
Madalmaade NCSC nimetab taastamist varukoopiast kõige usaldusväärsemaks lahenduseks. Kui see ei õnnestu, vaata, kas on olemas dekrüpteerija: tasuta programm, mis suudab dekrüpteerida teatud lunavara perekonna faile, kuna uurijad leidsid selles perekonnas vea või võtsid võtmed enda valdusesse. No More Ransom (https://www.nomoreransom.org) kogub neid dekrüpteerijaid ja aitab sul kindlaks teha, millise lunavaraga on tegu. Kaugeltki mitte iga perekonna jaoks ei ole lahendust, kuid vaatamine ei maksa midagi.
Igal juhul esita avaldus politseile ja uuri, kas sul on teavitamiskohustus: AKI-le, kui on puudutatud isikuandmeid, küberturvalisuse seaduse alusel riiklikule küberturvalisuse keskusele, kui sinu suhtes kehtib NIS2 ülevõtmiseks muudetud küberturvalisuse seadus (õppetund 9.1), ning mõnikord ka tellijale vastavalt sinu lepingule.
Mis piirab kahju
Sa saad vähendada rünnaku tõenäosust ja piirata kahju, kui see siiski juhtub. Ülevaade koos õppetunniga, kust seda õpid:
- Uuendamine, eriti kõik, mis on internetiga ühendatud: VPN, ruuter, NAS, veebileht (õppetund 5.1).
- Kaheastmeline autentimine e-postile, kaugjuhtimisele ja kõigile administraatorikontodele (õppetund 2.3 ja 2.4).
- Minimaalsed õigused: mitte töötada igapäevaselt administraatorikontoga ja mitte lasta kõigil kõikjale ligi (õppetund 7.1).
- Varukoopia väljaspool ulatust su tavaliste kontode omast ja regulaarne testimine, kas taastamine töötab (moodul 6).
- Intsidendikaart, et kõik teaksid, mida teha: võrk välja, mitte lihtsalt kinni panna, helistada (õppetund 8.1 ja 8.3).
- Teadlikkus: kolleeg, kes kohe teatab, et ta avas kummalise manuse, annab sulle tundide eduseisu (õppetund 9.2).
Praktikas: nii see välja näeb
Näide, mis on koostatud sageli esinevate olukordade põhjal. Paigaldusettevõttel kaheteistkümne töötajaga oli VPN-server, et kodust failide juurde pääseda. Püsivara polnud poolteist aastat uuendatud. Tuntud nõrkuse kaudu pääses ründaja sisse, vaatas nädal aega ringi ja leidis võrgudraivi administraatorikonto. Ühel laupäeva öösel krüpteeriti arvutid, võrgudraiv ja selle külge ühendatud USB-ketas varukoopiaga. Alles jäid e-post ja veebileht, mis asusid majutuspartneri juures nende endi varukoopiaga, ning vana koopia raamatupidamisest kettal, mis oli raamatupidajal kodus. Sellega sai ettevõte mõne päeva pärast taas arveid esitada. Viimaste kuude pakkumised ja joonised olid kadunud.
Üks uuendus ja üks lahtine ketas sahtlis oleksid teinud vahe mõne päeva ja mõne kuu vahel.
Kokkuvõte
- Lunavara krüpteerib failid, süsteemid ja varukoopiad ning nõuab lunaraha; head krüpteeringut ei saa murda.
- Lunavara pääseb sisse andmepüügi, varastatud paroolide, uuendamata internetiga ühendatud süsteemide, kaugjuhtimise või tarnija kaudu; seejärel vaatab ründaja sageli esmalt ringi.
- Varukoopia, mis on arvuti külge ühendatud või kättesaadav sama kontoga, krüpteeritakse sageli kaasa.
- Topeltväljapressimise puhul varastatakse andmed esmalt; varukoopia ei aita siis avaldamise ähvarduse vastu ja see on andmeleke.
- Parem mitte maksta; taasta varukoopiast, vaata No More Ransomist dekrüpteerijat ja esita avaldus politseile.
Test
Ülesanne
Ülesanne D1.3: Mis saab, kui see juhtub täna öösel? Vaata oma ettevõtte jaoks üle, mida lunavara võiks täna öösel krüpteerida. Kirjuta üles, kus su varukoopiad asuvad, kas need on kättesaadavad tavalisest töökoha arvutist või tavalise kontoga, ja millised süsteemid on internetiga ühendatud. Vasta seejärel reflektsiooniküsimustele.
Ülesanne D1.3: Mis saab, kui see juhtub täna öösel?
Nii teed seda: (1) Tee nimekiri kõikidest kohtadest, kus olulised failid asuvad: arvutid, sülearvutid, võrgukettad, pilvesalvestus, e-post, raamatupidamine, veebileht. (2) Kirjuta iga koha juurde, kus asub varukoopia, ja kas see varukoopia on kättesaadav tavalisest tööarvutist või kontost, mida kasutad igapäevaselt. (3) Uuri, millised süsteemid on internetiga ühenduses ja väljastpoolt kättesaadavad (VPN, kaughaldus, NAS, ruuter, veebileht), ning millal neid viimati uuendati. (4) Uuri, kas on olemas vähemalt üks koopia, milleni lunavara ei ulatu (eraldi sahtlis või eraldi osapoole juures oma sisselogimisega). (5) Vaata ühekordselt lehelt https://www.nomoreransom.org, kuidas see leht töötab, et teaksid seda vajaduse korral kasutada.
Su linnukesed ja märkmed jäävad ainult sellesse brauserisse, me ei saada neid kuhugi. Kui oled sisse loginud, salvestame Minu kursustes ainult info, et tegid ülesande ära.
Lisalugemist
WebOké artiklites toodud sammud kehtivad WebOké keskkonna kohta; teiste pakkujate juures toimib see sarnaselt.