Ochrona przed ransomware Wrocław

Atak na firmę w chmurze zaczyna się od konta, nie od komputera

W klasycznym scenariuszu ransomware wchodzi na stację roboczą i rozchodzi się po zasobach sieciowych. W firmie, która nie ma własnej serwerowni, kolejność bywa inna: najpierw wyciek poświadczeń, potem logowanie do panelu dostawcy chmury, a dopiero na końcu zniszczenie danych. Szyfrowanie w ogóle nie jest wtedy potrzebne, wystarczy przycisk usuwania.

To zmienia priorytety. Ochrona urządzenia nadal ma sens, ale najwyższą wartość ma oddzielenie kopii od tożsamości, która zarządza produkcją. Jedno konto z pełnymi uprawnieniami do wszystkiego jest w takim środowisku pojedynczym punktem awarii i tak je traktujemy.

Kopia u tego samego dostawcy i pod tym samym kontem

Migawki maszyn wirtualnych są wygodne i szybkie, więc bywają jedyną kopią. Problem polega na tym, że leżą obok danych, w tym samym panelu i pod tą samą rolą. Wystarczy, że atakujący dostanie się do konta, żeby przestały istnieć.

Dlatego układ, który wdrażamy, wygląda tak: kopia lokalna do szybkiego powrotu, kopia w repozytorium z blokadą zapisu i osobnymi poświadczeniami oraz jeden egzemplarz poza dostawcą, u którego stoi produkcja. Retencji z blokadą nie skróci nikt, łącznie z nami, i to jest cecha, a nie niedogodność.

Co musi wrócić, żeby usługa znów działała

Warstwa	Skąd wraca	Uwaga z ćwiczeń
Baza danych	kopia z blokadą zapisu, punkt sprzed infekcji	najdłuższy krok, zależy od rozmiaru i od łącza
Konfiguracja środowiska	repozytorium z opisem infrastruktury	jeśli nie jest wersjonowana, odtwarza się z pamięci
Sekrety i klucze	sejf haseł, poza odtwarzanym środowiskiem	trzymane wewnątrz środowiska znikają razem z nim
Integracje zewnętrzne	ponowna autoryzacja u dostawców	wymaga kontaktu z ludźmi, nie tylko przywrócenia plików
Pliki użytkowników	kopia usługi chmurowej	domyślna retencja bywa krótsza, niż wszyscy zakładają
Poczta	kopia skrzynek albo retencja usługi	odzyskanie pojedynczej skrzynki bywa dłuższe niż całej
Stacje robocze	ponowne wdrożenie z profilu	szybciej postawić od nowa niż czyścić

Trzeci wiersz jest tym, który wywraca odtworzenia. Sekrety przechowywane wewnątrz środowiska, które właśnie odtwarzacie, są niedostępne dokładnie wtedy, gdy są potrzebne. Ten jeden szczegół potrafi zamienić cztery godziny w dwa dni.

Jak wygląda ćwiczenie powrotu

Wybieramy element z planu, odtwarzamy go do osobnego środowiska i mierzymy czas od decyzji do momentu, w którym da się z niego korzystać. Zapisujemy, co poszło inaczej niż w opisie, i poprawiamy plan, a nie opowieść o planie.

Ćwiczenie robi zwykle trzy rzeczy naraz. Pokazuje, że kopia jest kompletna. Weryfikuje, czy osoby wskazane w planie mają potrzebne uprawnienia. Daje realną liczbę godzin, którą można pokazać zarządowi zamiast deklaracji.

Co dzieje się w pierwszych godzinach

Odcinamy zaatakowane zasoby, unieważniamy sesje i poświadczenia kont administracyjnych, zabezpieczamy zapisy zdarzeń i ustalamy punkt czasowy sprzed infekcji. Dopiero potem zaczynamy odtwarzanie, w kolejności z planu.

Równolegle szukamy drogi wejścia. Powrót środowiska bez zamknięcia luki kończy się powtórką w ciągu kilku dni, a druga próba trafia zwykle na firmę, która zdążyła już zużyć zapas energii i cierpliwości.

Czego nie obiecujemy

Nie obiecujemy, że atak się nie uda, bo zakładamy, że jedna próba się powiedzie, i to założenie napędza całe wdrożenie. Nie prowadzimy negocjacji z atakującym. Nie odpowiadamy za komunikację prawną firmy.

Warstwę na urządzeniach opisuje ochrona stacji roboczych i serwerów, drogę wejścia przez skrzynkę ochrona poczty, a stan wyjściowy audyt bezpieczeństwa IT. Plan powrotu ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 31 lipca 2026