Ochrona przed ransomware Lublin

Czego nie da się zatrzymać, gdy przestają odpowiadać systemy?

W zakładzie z jedną halą decyzja bywa prosta i brzmi, że dziś nie uruchamiamy produkcji. W firmie przewozowej ta decyzja nie istnieje, bo w chwili zdarzenia kilkadziesiąt pojazdów jest w drodze, część stoi pod załadunkiem, a kilku kierowców czeka na dyspozycję przy granicy. Zatrzymanie floty kosztuje więcej niż jakikolwiek okup i nie jest odwracalne jednym telefonem.

Pojazdy jadą dalej, bo silnik i tachograf pracują niezależnie od Waszej serwerowni. Zatrzymuje się wszystko wokół nich. Wymiana zleceń, awizacja u odbiorcy, wystawianie i przyjmowanie dokumentów przewozowych, podgląd lokalizacji, rozliczenie paliwa oraz potwierdzenie dostawy. Kierowca stoi pod rampą i czeka na numer zlecenia, którego nikt nie potrafi mu podać.

Z tej obserwacji wynika cała konstrukcja usługi. Nie zaczynamy jej od pytania, ile godzin zajmie odtworzenie serwerów, tylko od pytania, czym pracuje dyspozytornia przez pierwszą dobę, zanim cokolwiek wróci.

Czym pracuje dyspozytornia, dopóki systemy milczą?

Zestaw danych na te godziny przygotowujemy wcześniej i odświeżamy automatycznie poza środowiskiem produkcyjnym, w postaci, którą da się otworzyć na dowolnym komputerze bez dostępu do sieci firmowej.

• Wykaz pojazdów z numerami rejestracyjnymi, przypisanymi kierowcami i telefonami.
• Lista otwartych zleceń z miejscem załadunku, rozładunku i osobą kontaktową po stronie odbiorcy.
• Kontakty do stałych zleceniodawców i do przewoźników podwykonawczych, poza książką adresową systemu pocztowego.
• Wzory dokumentów przewozowych możliwe do wypełnienia ręcznie i zasada, kto je podpisuje.
• Numery do serwisów, ubezpieczyciela oraz do osoby decyzyjnej razem z zastępstwem.
• Instrukcja na jedną stronę, opisująca kolejność telefonów przez pierwszą godzinę.

Bez tego kompletu pierwsza godzina schodzi na szukaniu numeru do przewoźnika w skrzynce pocztowej, czyli w jednym z systemów, które właśnie przestały odpowiadać. Ta jedna kartka bywa skuteczniejsza niż szybsze łącze kupione po zdarzeniu.

Kto może skasować Waszą kopię, zanim zacznie się szyfrowanie?

Typowy przebieg nie zaczyna się od szyfrowania. Zaczyna się od przejęcia konta z uprawnieniami, potem idzie rozpoznanie sieci, a dopiero na końcu usunięcie kopii i uruchomienie szyfrowania. Ten przedostatni krok jest wykonywany dlatego, że bez niego ofiara ma wybór i nie ma powodu rozmawiać.

Rodzaj kopii	Kto ją widzi z przejętego konta	Odporność na wymuszenie
Udział sieciowy na serwerze plików	każdy administrator domeny	żadna, kasowana pierwsza
Dysk zewnętrzny podpięty na stałe	serwer, do którego jest podłączony	znikoma
Dysk odpinany ręcznie w piątek	nikt, dopóki jest odpięty	dobra, ale luka obejmuje cały tydzień
Repozytorium z blokadą zapisu na okres	nikt, blokady nie zdejmie nawet właściciel	wysoka
Kopia replikowana do centrum danych	tylko konto spoza domeny	wysoka, dochodzi odporność na zdarzenie fizyczne
Kopia w chmurze z tym samym logowaniem	ten, kto przejął konto	znikoma, bywa mylona z bezpieczną

Ostatni wiersz jest najczęstszym nieporozumieniem. Dane leżące w chmurze pod tym samym kontem, którym loguje się administrator, nie są chronione przed przejęciem tego konta, choć są chronione przed pożarem serwerowni.

Dlatego repozytorium ustawiamy z blokadą zapisu na zadany okres i z osobnymi poświadczeniami, bez możliwości zalogowania się codziennym kontem administratora. Narzędziem bywa Veeam albo Proxmox Backup Server, w zależności od tego, na czym stoi środowisko. Działającego rozwiązania nie wymieniamy tylko po to, żeby nazywało się inaczej.

Co wraca jako pierwsze, gdy pojazdy są już w trasie?

Kolejność powrotu ustalamy z dyspozytornią i z zarządem, nigdy sami, bo to decyzja biznesowa udająca techniczną. W firmie przewozowej wygląda ona inaczej niż w zakładzie i zwykle zaskakuje osoby spodziewające się poczty na pierwszym miejscu.

Pierwszy wraca zwykle system, który pozwala wystawić i przyjąć zlecenie, drugi podgląd lokalizacji pojazdów, trzeci obieg dokumentów przewozowych, czwarty rozliczenia i kadry, a poczta bywa dopiero za nimi. Zapisujemy dwa warianty tej kolejności, osobno dla szczytu i dla okresu spokojniejszego, bo w tygodniu przedświątecznym waga poszczególnych systemów przesuwa się wyraźnie.

Raz na kwartał odtwarzamy wskazany system na osobnym środowisku i zapisujemy zmierzony czas razem z przeszkodami. Liczba z takiej próby jest jedyną, którą warto podawać zleceniodawcy i ubezpieczycielowi. Deklaracja bez próby ma wartość obietnicy.

Co robimy z groźbą ujawnienia stawek i warunków umów?

Druga część wymuszenia dotyczy dziś częściej danych niż samego szyfrowania, a w firmie przewozowej uderza dokładnie tam, gdzie boli. Publikacja cennika, warunków umowy z dużym zleceniodawcą albo listy podwykonawców działa niezależnie od tego, czy kopie zadziałały bez zarzutu, i potrafi kosztować kontrakt.

Po fakcie nie ma tu żadnego ruchu technicznego i nie budujemy złudzeń. Przed faktem robimy trzy rzeczy. Zawężamy krąg osób mających dostęp do warunków handlowych i oddzielamy go od dostępu do danych operacyjnych, bo dyspozytor potrzebuje tras, a nie stawek. Włączamy rejestrowanie kopiowania plików z tych zasobów, z okresem przechowywania liczonym w miesiącach. Spisujemy listę osób i kontrahentów, którzy mają zostać powiadomieni, żeby nie zaczynać od ustalania, kto do kogo dzwoni.

Warstwę na komputerach prowadzi ochrona stacji roboczych i serwerów, najczęstszą drogę wejścia zamyka ochrona poczty, a obowiązki zgłoszeniowe rozpisuje NIS 2.

Czego w tej usłudze nie obiecujemy?

Nie obiecujemy, że atak się nie powiedzie, bo cała konstrukcja stoi na założeniu odwrotnym. Nie prowadzimy rozmów z osobami stojącymi za wymuszeniem i nie pośredniczymy w żadnej płatności na ich rzecz.

Nie zabezpieczamy materiału dowodowego dla sądu i biegłych, bo to inny warsztat i inne uprawnienia. Jeżeli sprawa ma trafić do postępowania, mówimy o tym na początku i wskazujemy, czego nie wolno ruszać.

Nie sprzedajemy też całodobowej decyzji człowieka w kwocie miesięcznej. Monitoring i blokowanie rozpoznanych zagrożeń działają bez przerwy, natomiast ocena sytuacji należy do inżyniera w dni robocze od 8:00 do 18:00, a dyżur poza tymi godzinami kupuje się osobno. Właśnie dlatego plan pracy przy odciętych systemach piszemy w formie, którą nocna zmiana uruchomi bez naszego telefonu. Pierwszą próbę odtworzenia umówimy przez kontakt albo w biurze przy Kresowej 6.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026