Ochrona przed ransomware

Którędy ransomware wchodzi do firmy

Cztery drogi odpowiadają za większość zdarzeń, które obsługujemy. Pierwsza to pulpit zdalny wystawiony wprost do internetu, zwykle postawiony na czas pracy z domu i nigdy nie zdjęty. Druga to konto z samym hasłem, przejęte po wycieku z zupełnie innego serwisu. Trzecia to załącznik albo link w wiadomości, po którym na stacji ląduje program pobierający resztę. Czwarta to dostawca: zdalny dostęp firmy serwisującej system magazynowy, z hasłem współdzielonym przez cały ich zespół.

Wspólne dla wszystkich czterech jest to, że nie wymagają żadnej wyrafinowanej techniki. Wymagają cierpliwości i skanowania internetu, co dzieje się automatycznie, dwadzieścia cztery godziny na dobę, bez związku z tym, jak duża jest Wasza firma.

Co dzieje się między wejściem a szyfrowaniem

Szyfrowanie jest ostatnim krokiem, nie pierwszym. Między jednym a drugim mija zwykle od kilku dni do kilku tygodni, i to jest czas, w którym da się cokolwiek zrobić.

Faza	Co robi atakujący	Co ma go zatrzymać
Wejście	logowanie skradzionym hasłem, uruchomienie pliku	drugi składnik, reguły ograniczania powierzchni ataku
Rozpoznanie	spis kont, udziałów, serwerów, kopii	ograniczenie uprawnień zwykłego konta
Podniesienie uprawnień	przejęcie konta administratora domeny	osobne konta administracyjne, unikalne hasła lokalne
Rozejście się po sieci	zdalne uruchamianie na kolejnych maszynach	podział sieci na segmenty, kontrola ruchu wewnętrznego
Kasowanie kopii	usunięcie zadań i repozytoriów kopii	blokada zapisu, osobne poświadczenia do repozytorium
Wyprowadzenie danych	kopiowanie plików na zewnątrz	kontrola ruchu wychodzącego, alert o dużym transferze
Szyfrowanie	uruchomienie w piątek po godzinach	wykrycie masowej zmiany plików, izolacja maszyny

Kolejność w tej tabeli tłumaczy, dlaczego zaczynamy od repozytorium kopii. Atakujący też zna tę listę i kasowanie kopii wykonuje przed szyfrowaniem, świadomie, bo bez tego cała operacja nie ma dla niego sensu.

Dlaczego kopia na tym samym serwerze nie jest kopią

Najczęstszy układ, jaki zastajemy: dysk sieciowy w serwerowni, na nim katalog z kopiami, dostępny z konta administratora. Taki zestaw chroni przed awarią dysku i przed skasowaniem pliku przez pracownika. Przed ransomware nie chroni w ogóle, bo to samo konto, którym atakujący uruchamia szyfrowanie, ma prawo zapisu do katalogu z kopiami.

Rozwiązaniem jest oddzielenie uprawnień i czasu. Repozytorium przyjmuje zapis, ale przez ustalony okres nie pozwala niczego zmienić ani skasować, także administratorowi. W praktyce robimy to na Veeam z utwardzonym repozytorium Linux, na Proxmox Backup Server z ochroną migawek albo na przestrzeni obiektowej z blokadą obiektów. Wybór zależy od tego, co już macie, nie od tego, co akurat sprzedajemy.

Co ćwiczenie odtworzenia mówi, a plan nie mówi

Plan odtworzenia napisany w dokumencie zakłada, że hasła są aktualne, obraz maszyny daje się uruchomić, a licencja systemu przejdzie aktywację po zmianie sprzętu. Ćwiczenie sprawdza to naprawdę i zwykle wychodzi z niego lista trzech rzeczy, o których nikt nie pomyślał: brak kopii konfiguracji urządzenia brzegowego, hasło do konsoli w pliku na zaszyfrowanym dysku, aplikacja przypisana do adresu MAC starego serwera.

Test robimy na osobnym środowisku, bez dotykania produkcji, i kończymy go liczbą: ile czasu minęło od decyzji do zalogowania się użytkownika do odtworzonego systemu. Ta liczba jest jedynym uczciwym punktem odniesienia, kiedy zarząd pyta, jak długo firma postoi.

Ile kosztuje tydzień bez systemów

Skutek	Firma handlowa, 15 osób	Produkcja, 60 osób
Przestój sprzedaży	brak fakturowania i wysyłek	zatrzymanie linii i planowania
Praca zespołu	ręczne obejścia, nadgodziny	przestój zmiany, praca na papierze
Odtworzenie	dwa dni robocze przy ćwiczonym planie	do tygodnia przy wielu systemach
Skutki uboczne	utrata zaufania klientów	kary umowne za opóźnienia dostaw

Nie podajemy tu kwot, bo każda firma liczy je inaczej. Warto natomiast policzyć własne: dzienny obrót razy liczba dni przestoju to punkt wyjścia, do którego przykłada się miesięczny koszt ochrony. Ta prosta operacja przekonuje zarząd skuteczniej niż opis technologii.

Czego nie obiecujemy

Nie obiecujemy, że atak się nie uda. Każdy, kto to obiecuje, sprzedaje coś innego niż bezpieczeństwo. Obiecujemy, że po udanym ataku macie z czego wrócić i wiecie, ile ten powrót zajmie, bo zmierzyliśmy to wcześniej. Nie prowadzimy też negocjacji z atakującymi ani nie pośredniczymy w płatnościach okupu.

Warstwę wykrywania na stacjach opisuje ochrona stacji roboczych i serwerów, drogę wejścia przez skrzynkę zamyka ochrona poczty, a pełna strategia kopii z podziałem na nośniki to backup i disaster recovery.

Treść sprawdzona i zaktualizowana: 30 lipca 2026