Ochrona przed ransomware Zielona Góra

Co musi wrócić, żeby po ataku wyjechała pierwsza paleta

Rozmowa o odtwarzaniu zaczyna się zwykle od serwera plików i od poczty, bo to widać. W zakładzie ta lista jest za krótka i przekonuje się o tym każdy, kto odtwarzał środowisko naprawdę.

Serwer stoi, dokumenty są, ludzie mają dostęp do poczty i nadal nic nie wyjeżdża z magazynu. Brakuje programu, który wgrywa się do maszyny montażowej. Brakuje parametrów procesu, trzymanych w aplikacji producenta linii bez żadnego eksportu. Brakuje etykiet, bo drukarka pracuje na szablonach z komputera, który też był zaszyfrowany. Brakuje licencji, przypisanej do klucza sprzętowego, którego zapasu nikt nie zamówił.

Dlatego pierwsza praca w tej usłudze nie dotyczy kopii, tylko spisu. Pytamy prosto: czego zabraknie, żeby nie dało się wyprodukować i wysłać. Odpowiedzi zbieramy od utrzymania, od planowania i od magazynu, bo dział IT ich po prostu nie zna.

Czego zwykle nie ma w kopii, choć wszyscy zakładają, że jest

Co trzeba odzyskać	Gdzie zwykle leży	Co z tym robimy
Programy maszyn i wsady	na stacji przy linii albo u operatora	eksport do repozytorium, wersjonowany po każdej zmianie
Parametry i receptury procesu	w aplikacji producenta, bez eksportu	zadanie eksportujące wpięte w harmonogram kopii
Licencje na kluczu sprzętowym	w szufladzie, bez zapasu i bez spisu	rejestr kluczy z kontaktem do producenta w planie
Repozytoria kodu i obrazy środowisk	wyłącznie u dostawcy chmurowego	kopia poza kontem, do którego prowadzi firmowe hasło
Konfiguracje zapory i przełączników	tylko w pamięci urządzeń	zrzut po każdej zmianie, trzymany osobno od danych
Klucze i certyfikaty podpisujące	na stacji administratora	przeniesienie do magazynu sekretów wraz z kopią

Wiersz ostatni bywa najdroższy w skutkach, choć dotyczy kilku plików. Firma, która podpisuje własne oprogramowanie albo dokumenty, po utracie kluczy nie wraca do pracy przez odtworzenie, tylko przez procedurę u wydawcy, a ta ma swój własny kalendarz.

Jak ustalamy kolejność powrotu razem z planem produkcji

Kolejność to decyzja biznesowa udająca techniczną. Zespół informatyczny odtwarza zwykle od tego, co jest najprostsze, bo w dniu zdarzenia daje to poczucie postępu. Firma potrzebuje odwrotnie: najpierw tego, bez czego stoi.

Ustalamy to na spokojnie, przy jednym stole, i zapisujemy w postaci listy z numerami. Przy każdej pozycji notujemy, ile godzin wstecz wolno się cofnąć, czyli ile pracy jesteście gotowi wprowadzić drugi raz ręcznie. Ta jedna liczba decyduje o częstotliwości kopiowania i bywa różna dla każdego systemu: dla zamówień inna niż dla poczty, dla systemu nadzoru inna niż dla dokumentów kadrowych.

Efektem jest kartka, którą da się wykonać bez nas. To ważne, bo pierwsze godziny są zwykle godzinami Waszych ludzi, nie naszymi.

Kto zaczyna działać, skoro nie mieszkamy w mieście

Piszemy to wprost, żeby nie było nieporozumienia po podpisaniu umowy. Biuro przy Objazdowej 35A jest naszym drugim biurem w województwie i nie ma tam ani magazynu części, ani inżynierów pod telefonem. Nie obiecujemy więc, że ktoś zapuka do Was pół godziny po zdarzeniu.

Zamiast tego przygotowujemy dwie rzeczy. Pierwsza to karta pierwszych kroków dla Waszego zespołu: kogo zawiadomić, co odłączyć od sieci i, co ważniejsze, czego nie wyłączać, bo wyłączenie maszyny kasuje ślady potrzebne do ustalenia drogi wejścia. Druga to zdalne prowadzenie sprawy w godzinach pracy helpdesku, z dostępem do konsoli, kopii i urządzeń brzegowych, czyli tam, gdzie i tak odbywa się większość odtwarzania.

Wizyta na miejscu wchodzi wtedy, gdy trzeba dotknąć sprzętu, i jest planowana, a nie natychmiastowa. Systemy monitorujemy bez przerwy, gotowość człowieka poza godzinami pracy helpdesku jest osobno płatną usługą.

Po co odtwarzać co kwartał, skoro plan jest napisany

Bo plan opisuje stan sprzed kwartału. W międzyczasie doszedł nowy system, zmieniło się hasło, ktoś przeniósł dane na inny wolumin, a producent aplikacji wypuścił wersję, która nie startuje na starym systemie.

Próbne odtworzenie prowadzimy obok produkcji, na osobnym środowisku, i kończymy je jedną liczbą: ile czasu minęło od decyzji do momentu, w którym użytkownik zalogował się do odtworzonego systemu. Ta liczba jest jedyną uczciwą odpowiedzią na pytanie zarządu, jak długo firma postoi, i zwykle w pierwszym kwartale jest gorsza, niż ktokolwiek zakładał, a po trzecim przestaje zaskakiwać.

Wynik zapisujemy razem z listą rzeczy, które ćwiczenie wywróciło. Ta lista jest właściwym produktem testu, bardziej niż sam fakt, że dane wróciły.

Na co nie damy Wam gwarancji

Nie gwarantujemy, że żaden atak się nie powiedzie. Gwarantujemy, że macie z czego wrócić, wiecie w jakiej kolejności i znacie czas z pomiaru, a nie z założenia. Nie prowadzimy negocjacji z atakującymi i nie pośredniczymy w płatnościach, bo zapłata nie zwraca skradzionej kopii danych i nie gwarantuje działającego klucza.

Warstwę wykrywania na komputerach opisuje ochrona stacji roboczych i serwerów, pełną strategię kopii z podziałem na nośniki backup i disaster recovery, a wymagania regulacyjne dla ciągłości działania rozpisuje NIS 2 dla firm.

Treść sprawdzona i zaktualizowana: 31 lipca 2026