Ochrona przed ransomware Gorzów Wielkopolski

Dlaczego kopia na sąsiedniej półce nie jest drugą kopią

Układ, który zastajemy w gorzowskich firmach najczęściej, wygląda tak: serwer w niewielkim pomieszczeniu obok biura, a pod nim albo obok niego dysk sieciowy, na który co noc idą kopie. Wszystko w jednej sieci, wszystko dostępne z tego samego konta administratora, wszystko za jednymi drzwiami.

Taki zestaw radzi sobie z awarią dysku i z pracownikiem, który skasował plik. Nie radzi sobie z dwoma zdarzeniami, które faktycznie kończą się przestojem liczonym w dniach. Pierwsze to szyfrowanie, przy którym atakujący najpierw kasuje zadania i repozytoria kopii, bo bez tego cała jego operacja nie ma sensu. Drugie jest bardziej prozaiczne: zalanie, pożar albo kradzież, po których z pomieszczenia znika i serwer, i kopia.

Dlatego pierwsza praca w tej usłudze polega na wyprowadzeniu jednej kopii poza sieć i poza budynek, a druga na sprawdzeniu, że da się z niej wrócić.

Trzy sposoby na drugą kopię i co znaczą w praktyce

Rozwiązanie	Co daje	Na co uważać
Przestrzeń obiektowa u operatora	blokada zapisu, brak zależności od Waszego budynku	powrót ograniczony przepustowością łącza
Druga lokalizacja Waszej firmy	szybkie odtworzenie po sieci między oddziałami	to musi być inna sieć, nie inny pokój
Nośnik wymieniany i wywożony	pełna izolacja, koszt tylko po stronie dysków	działa wyłącznie wtedy, gdy ktoś naprawdę go wymienia

Trzeci wariant przewracał się w każdej firmie, w której wdrożono go bez przypisania obowiązku konkretnej osobie. Dysk zostaje w szufladzie przy serwerze, bo w czwartek nikt nie miał czasu, a potem już nikt o tym nie pamięta. Jeśli wybieramy ten wariant, wymianę wpinamy w plan wizyt serwisowych, a nie w dobrą wolę.

Co pokazuje ćwiczenie odtworzenia, gdy ktoś jest na miejscu

Test robimy obok produkcji, na osobnym środowisku, i kończymy go jedną liczbą: ile czasu minęło od decyzji do momentu, w którym użytkownik zalogował się do odtworzonego systemu.

Prawie zawsze wychodzą przy tym trzy rzeczy, których nie ma w żadnym planie. Brak kopii konfiguracji urządzenia brzegowego, przez co po odtworzeniu serwerów i tak nikt nie wchodzi do sieci. Hasło do konsoli zapisane w pliku, który leży na zaszyfrowanym dysku. Aplikacja licencjonowana na adres sprzętowy starego serwera, wymagająca kontaktu z producentem, który odpowiada w ciągu dwóch dni roboczych.

Obecność inżyniera przy tym ćwiczeniu ma znaczenie, bo część z tych rzeczy wymaga dostępu do sprzętu: wpięcia się do urządzenia, podłączenia nośnika, uruchomienia maszyny, która nie odpowiada po sieci. Do firm w mieście i w sąsiednich gminach dojeżdżamy w kilkanaście minut, więc taki test nie wymaga planowania na miesiąc do przodu.

Co dzieje się w pierwszych godzinach incydentu

Kolejność jest stała i wypracowana. Odcinamy zainfekowane maszyny od sieci, żeby zatrzymać rozejście się szyfrowania. Zabezpieczamy ślady, bo bez nich ustalenie drogi wejścia jest zgadywaniem. Ustalamy punkt czasowy sprzed infekcji i sprawdzamy, która kopia jest po nim nietknięta. Dopiero potem zaczynamy odtwarzanie, zawsze od systemu, bez którego firma nie może pracować, a nie od tego, który jest najłatwiejszy.

Równolegle szukamy luki. Odtworzenie środowiska bez zamknięcia drogi wejścia kończy się powtórką w ciągu kilku dni i to jest scenariusz, który obsługiwaliśmy częściej, niż byśmy chcieli.

Osobną decyzją jest komunikacja. Kontrahenci zwykle orientują się szybciej, niż firma zdąży cokolwiek ustalić, bo przestają dostawać faktury i potwierdzenia wysyłek. Warto mieć wcześniej przygotowaną krótką informację, kto ją wysyła i pod jakim numerem odbiera telefony w tym czasie, zamiast pisać ją w dniu, w którym połowa systemów nie działa.

Ile kosztuje tydzień postoju w Waszej branży

Nie podajemy tu kwot, bo każdy zakład liczy je inaczej, ale rachunek warto zrobić przed rozmową o budżecie. W hurtowni pierwszą pozycją jest brak fakturowania i wysyłek, w produkcji zatrzymana zmiana i kary umowne za opóźnione dostawy, w biurze rachunkowym terminy, których nie da się przesunąć, bo są ustawowe, a w przychodni rejestracja prowadzona na papierze.

Dzienny obrót razy liczba dni przestoju to jedna liczba. Miesięczny koszt ochrony to druga. Zestawienie ich obok siebie przekonuje zarząd skuteczniej niż opis technologii, której i tak nikt poza działem IT nie ogląda.

Czego nie obiecujemy

Nie obiecujemy, że atak się nie uda, bo takiej obietnicy nie da się dotrzymać. Nie obiecujemy też reakcji człowieka o każdej porze w ramach abonamentu: systemy monitorujemy całą dobę, ale decyzje podejmuje inżynier w godzinach pracy helpdesku, a gotowość nocna i weekendowa jest osobną, płatną usługą.

Warstwę wykrywania na komputerach opisuje ochrona stacji roboczych i serwerów, pełną strategię kopii z podziałem na nośniki backup i disaster recovery, a stan wyjściowy ustala audyt bezpieczeństwa IT.

Treść sprawdzona i zaktualizowana: 31 lipca 2026