Ochrona przed ransomware Bydgoszcz

Dlaczego powrót trwa dłużej w firmie, która nie ma spisu

Rachunek za atak dzieli się na dwie części. Pierwsza jest krótka i dotyczy samego zdarzenia. Druga liczy się w godzinach postoju i to ona decyduje o skali strat, bo obejmuje niewysłane dostawy, wstrzymaną produkcję i pracę ludzi, którzy nie mają czym pracować.

Ta druga część rośnie najbardziej tam, gdzie nikt nie opisał środowiska. Odtwarzanie zaczyna się wtedy od ustalania, co w ogóle istniało: ile maszyn wirtualnych pracowało, gdzie stała baza systemu produkcyjnego, na czym działał serwer plików, jakie były adresy i zależności. Każda z tych odpowiedzi kosztuje godziny, a w firmie z dwudziestoletnią historią bywa ich kilkadziesiąt.

Co wydłuża odtworzenie, etap po etapie

Etap powrotu	Gdy istnieje spis i plan	Gdy trzeba go odtwarzać z pamięci
Ustalenie zakresu szkody	lista systemów pod ręką	pytania do ludzi, którzy właśnie stoją
Wybór punktu przywracania	znany harmonogram kopii	sprawdzanie, co w ogóle było kopiowane
Kolejność odtwarzania	zapisana wcześniej	ustalana w trakcie, zwykle błędnie
Konfiguracja sieci i adresów	udokumentowana	odtwarzana metodą prób
Uruchomienie systemu produkcyjnego	znany kontakt do dostawcy	szukanie umowy i osoby kontaktowej
Potwierdzenie poprawności danych	wskazany użytkownik na liście	zgadywanie, kto to sprawdzi
Powrót stanowisk pracy	obraz systemu i lista aplikacji	instalacja od zera, komputer po komputerze

Różnica między kolumnami to zwykle nie procenty, tylko wielokrotność. Dlatego w tej usłudze pierwszym produktem jest dokument, a nie dysk, i dlatego zaczynamy od spisu, zanim ruszymy cokolwiek w konfiguracji kopii.

Która lista decyduje o kolejności powrotu

Nie lista techniczna, tylko lista z produkcji i ze sprzedaży. Pytamy, co musi działać, żeby zmiana ruszyła, żeby towar wyjechał z bramy i żeby dało się wystawić dokument sprzedaży. Odpowiedzi układają się zwykle w tej samej kolejności: system produkcyjny albo magazynowy, serwer plików z dokumentacją techniczną, poczta, a dopiero potem reszta.

Zapisujemy tę kolejność razem z osobą, która potwierdzi poprawność danych po każdym kroku. Bez wskazanego człowieka odtworzony system stoi i czeka, aż ktoś się odważy powiedzieć, że można na nim pracować, a to potrafi kosztować pół dnia w sytuacji, w której pół dnia znaczy najwięcej.

Jak wygląda repozytorium, którego nie skasuje przejęte konto

Typowy scenariusz nie zaczyna się od szyfrowania. Zaczyna się od przejęcia konta z uprawnieniami, od rozejrzenia się i od skasowania kopii, bo bez tego ofiara ma wybór. Dopiero potem uruchamiane jest szyfrowanie.

Dlatego repozytorium ustawiamy tak, żeby przejęte konto niczego nie zmieniło. Blokada zapisu na zadany okres, osobne poświadczenia spoza domeny, brak możliwości logowania do niego z codziennego konta administratora oraz drugi egzemplarz trzymany poza budynkiem zakładu. Pracujemy na Veeam albo Proxmox Backup Server, w zależności od tego, na czym stoi środowisko, i nie zmieniamy narzędzia, jeśli obecne robi swoje.

Do tego dokładamy utrudnienia po stronie wejścia: wejścia firm serwisowych otwierane na czas zgłoszenia, konta administracyjne bez skrzynki pocztowej i wyłączone makra z internetu na stanowiskach biurowych.

Po co mierzyć powrót, skoro kopie się wykonują

Bo wykonywanie kopii i możliwość powrotu to dwie różne rzeczy, a mylenie ich kosztuje najwięcej w najgorszym momencie. Raz na kwartał odtwarzamy wskazany system na osobnym środowisku, mierzymy czas i zapisujemy przeszkody.

Z takich prób wychodzą zawsze te same rodziny problemów. Kopia obejmowała pliki bazy, ale nie jej ustawień. Brakowało licencji, bez której program nie wstaje na innym sprzęcie. Nikt nie wiedział, że system produkcyjny wymaga kontaktu z serwerem licencji dostawcy. Odtworzenie było szybkie, ale sprawdzenie danych zajęło trzy godziny, bo nie było wiadomo, kto ma je potwierdzić.

Żaden z tych problemów nie ujawni się w raporcie z kopii, w którym wszystko świeci na zielono.

Co dzieje się w pierwszych godzinach zdarzenia

Odcinamy zasięg: izolujemy stacje, wyłączamy wejścia zdalne, odłączamy repozytorium kopii od sieci produkcyjnej. Potem ustalamy zakres i punkt przywracania, uruchamiamy odtwarzanie według zapisanej kolejności i informujemy osoby, które muszą wiedzieć: zarząd, utrzymanie ruchu, obsługę klienta.

Jeżeli firma podlega obowiązkowi zgłoszenia, uruchamiamy równolegle procedurę opisaną w projekcie zgodności, bo terminy biegną od wykrycia, a nie od zakończenia odtwarzania. Zapisujemy przy tym przebieg zdarzenia na bieżąco, ponieważ po trzech dniach nikt nie odtworzy z pamięci, o której godzinie co zrobił.

Czego w tej usłudze nie obiecujemy

Nie obiecujemy, że atak się nie uda, bo takiej obietnicy nie da się dotrzymać. W Waszym imieniu nie rozmawiamy z osobami stojącymi za atakiem i nie obsługujemy żadnych płatności na ich rzecz. Zabezpieczaniem materiału dowodowego dla sądu i biegłych też się nie zajmujemy, bo wymaga to innego warsztatu niż odtwarzanie środowiska.

Nie sprzedajemy też całodobowej reakcji człowieka w kwocie miesięcznej. Monitoring pracuje bez przerwy, decyzje zapadają w godzinach pracy helpdesku, a gotowość poza nimi jest osobną, płatną usługą ustalaną wcześniej.

Stan wyjściowy pokazuje audyt bezpieczeństwa IT, warstwę na komputerach prowadzi ochrona stacji roboczych i serwerów, a całość pod jedną umową bezpieczeństwo IT dla firm. Pierwszą próbę odtworzenia umówimy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026