Mitä kiristysohjelma on? Suojautumiskeinot
Kerromme, miten kiristysohjelmat leviävät, mitä tiedostojen salauksen jälkeen on tehtävä ensimmäisten tuntien aikana ja miten suojaudutaan, erityisesti varmuuskopioinnilla.
Aurora YazılımToimitustiimi
6 min lukuaika
Kiristysohjelma (ransomware) on haittaohjelma, joka salaa tietokoneiden ja palvelimien tiedostot käyttökelvottomiksi ja vaatii maksua datan palauttamisesta. Se leviää yleensä kalasteluviestien, päivittämättömien järjestelmien ja internetiin avattujen etätyöpöytäyhteyksien kautta. Paras suoja on offline-tilassa oleva ja muuttumaton varmuuskopio sekä säännölliset päivitykset.
Miten kiristyshyökkäys etenee?
Tulet aamulla toimistolle: tiedostojen päätteet ovat muuttuneet, mikään ei aukea ja työpöydällä on viesti, jossa vaaditaan maksamaan kryptovaluutalla tietyn ajan kuluessa datasi palauttamisesta. Tämä on kiristyshyökkäyksen viimeinen vaihe; hyökkääjä on yleensä päässyt järjestelmään päiviä tai jopa viikkoja aiemmin.
Nykyaikaiset kiristysohjelmaryhmät eivät tyydy pelkkään salaamiseen. Ne kopioivat arkaluonteiset tiedot ennen salausta ja uhkaavat julkaista ne, jos maksua ei suoriteta. Tätä kutsutaan kaksinkertaiseksi kiristykseksi, ja sen tarkoitus on painostaa jopa varmuuskopiosta palautuvia yrityksiä.
Hyökkäysten kohteena eivät ole vain suuret yritykset. Pienistä ja keskisuurista yrityksistä tulee automaattisissa skannauksissa helppo kohde, koska niiden turvatoimet ovat heikommat. Ei ole väliä, onko kyse tilitoimistosta, klinikasta, hotellista vai tuotantopajasta; jokainen, jolla on dataa, on mahdollinen kohde.
Miten kiristysohjelma leviää?
Kiristysohjelmat tulevat sisään muutamasta tutusta ovesta. Näiden ovien tunteminen näyttää, mihin toimenpiteet kannattaa kohdistaa.
| Leviämistapa | Miten se tapahtuu? | Keskeinen toimenpide |
|---|---|---|
| Kalasteluviesti | Lasku- tai rahtiviestiksi naamioitu liite tai linkki | Työntekijöiden koulutus, sähköpostisuodatin |
| Etätyöpöytä (RDP) | Internetiin avattu, heikon salasanan suojaama etäyhteys | Suoran pääsyn sulkeminen, VPN ja kaksivaiheinen tunnistautuminen |
| Päivittämätön ohjelmisto | VPN, palvelin tai sovellus, jossa on tunnettu haavoittuvuus | Säännölliset päivitykset |
| Varastettu salasana | Tietovuodosta saadut tunnukset | Yksilölliset salasanat, kaksivaiheinen tunnistautuminen |
| Piraattiohjelmistot ja väärennetyt lataukset | Lisensoimaton ohjelma tai väärennetty päivitys | Ohjelmistoja vain viralliselta lähteeltä |
Hyökkäystä edeltävät varoitusmerkit
Ennen salaamisen aloittamista hyökkääjät liikkuvat verkossa, nostavat oikeuksiaan ja yrittävät löytää varmuuskopiot. Tämä valmisteluvaihe jättää usein havaittavia jälkiä. Näiden jälkien nopea huomaaminen antaa mahdollisuuden pysäyttää hyökkäys ennen salauksen alkua.
Kun havaitset jonkin alla olevista merkeistä, älä pidä sitä tavallisena häiriönä vaan tutki asiaa tietohallinnostasi vastaavan kanssa. Erityisesti työajan ulkopuolella tapahtuvaa epätavallista toimintaa on pidettävä vakavana.
- Uusi tuntematon ylläpitäjätili tai käyttäjät, joiden oikeudet ovat muuttuneet
- Yöaikaan tehdyt etätyöpöytäkirjautumiset
- Tietoturvaohjelmiston itsestään tapahtuva poistuminen käytöstä
- Varmuuskopiointitehtävien poistaminen tai toistuvat epäonnistumiset
- Epätavallisen suuri tiedonsiirto verkosta ulos ja hidastuvat palvelimet
Tiedostot on salattu: ensimmäiset toimet
Kun näet “tiedostot on salattu” -viestin, ensimmäisinä tunteina tehdyt toimet ratkaisevat vahingon laajuuden. Paniikissa tietokoneen alustaminen tai heti maksaminen on usein huonoin vaihtoehto.
- Eristä vaikuttuneet laitteet verkosta: irrota verkkokaapeli, sulje Wi-Fi; kysy asiantuntijalta ennen kuin sammutat laitteen
- Irrota heti liitetyt ulkoiset levyt ja verkkojaot
- Ota kuva lunnasviestistä ja näytöstä, äläkä poista yhtään tiedostoa
- Ilmoita asiasta tietohallinnostasi vastaavalle tai tukea antavalle yritykselle
- Vaihda ylläpitäjätilien ja kriittisten järjestelmien salasanat puhtaalta laitteelta
- Tarkista varmuuskopioiden tila; erota varmuuskopiojärjestelmä hyökkääjän pääsystä
- Jos henkilötietoja on vaikuttunut, arvioi lakisääteiset ilmoitusvelvollisuutesi juristisi kanssa
Pitäisikö lunnaat maksaa?
Turvallisuusviranomaisten yleinen suositus on, että lunnaita ei makseta. Maksaminen ei takaa datan palauttamista; purkutyökalu ei välttämättä toimi, data voidaan silti julkaista ja yritys voidaan merkitä seuraavaa hyökkäystä varten “maksaneeksi”.
Maksupäätös on raskas päätös, joka on tehtävä arvioimalla yhdessä liiketoiminnan jatkuvuutta, oikeudellisia velvoitteita ja varmuuskopioiden tilaa. Älä tee tätä päätöstä yksin; keskustele juristisi ja tietoturvapoikkeamien hallintaan perehtyneiden asiantuntijoiden kanssa.
Joillekin kiristysohjelmaperheille on julkaistu ilmaisia purkutyökaluja. Eurooppalaisten poliisiviranomaisten ja tietoturvayritysten yhteishanke No More Ransom auttaa tunnistamaan tartunnan tyypin ja löytämään ilmaisen työkalun, jos sellainen on.
Vahvin suoja: varmuuskopiointi
Tehokkain suoja kiristysohjelmaa vastaan on toimiva varmuuskopio, johon hyökkääjä ei pääse käsiksi. Yritykselle, joka voi palautua puhtaasta varmuuskopiosta, hyökkäys ei ole katastrofi vaan hallittavissa oleva keskeytys.
Kaikki varmuuskopiot eivät kuitenkaan toimi näin. Jatkuvasti kytkettynä oleva ulkoinen levy tai verkkojako salataan kiristysohjelman toimesta alkuperäisten tiedostojen mukana. Myös synkronoivat pilvikansiot voivat siirtää salatut tiedostot pilveen, ja ilman versiohistoriaa tarjoavassa palvelussa paluu vanhaan tilaan voi olla mahdotonta. Pilvitallennuksen vahvuuksia ja heikkouksia tässä asiassa olemme käsitelleet artikkelissamme mitä on pilvilaskenta.
- 3-2-1-sääntö: kolme kopiota, kaksi tallennusvälinettä, yksi sijainti toisaalla
- Vähintään yhden kopioista tulee olla offline-tilassa tai muuttumaton
- Varmuuskopiojärjestelmän ylläpitäjän salasanan tulee olla erillään pääverkon tileistä
- Palautus tulee testata säännöllisesti ja sen kesto mitata
Ennaltaehkäisevät turvatoimet
Varmuuskopio pelastaa hyökkäyksen jälkeen; alla olevat toimet taas vähentävät hyökkäyksen todennäköisyyttä. Mikään niistä ei yksin riitä, mutta yhdessä toteutettuina ne muodostavat kerroksellisen puolustuksen.
Tekniset toimenpiteet
- Automaattiset päivitykset käyttöjärjestelmään, selaimeen, VPN:ään ja kaikkiin ohjelmistoihin
- Etätyöpöytäyhteyttä ei avata suoraan internetiin
- Kaksivaiheinen tunnistautuminen sähköpostissa, VPN:ssä ja ylläpitäjätileillä
- Ajantasainen tietoturvaohjelmisto ja sähköpostiliitteiden suodatin
- Makrot pidetään oletuksena pois päältä toimisto-asiakirjoissa
Hallinnolliset toimenpiteet
- Käyttäjille ei anneta ylläpitäjän oikeuksia päivittäiseen työhön
- Jokainen työntekijä pääsee vain työnsä edellyttämiin kansioihin
- Lähtevien työntekijöiden käyttöoikeudet suljetaan samana päivänä
- Lyhyet ja säännölliset tietoturvatietoisuuskoulutukset
- Kirjallinen poikkeamien hallintasuunnitelma ja luettelo hätätilanteessa soitettavista henkilöistä
Palvelimet ja verkkosivustot
Kiristysohjelmat voivat kohdistua toimistotietokoneiden lisäksi myös palvelimiin ja verkkosivustoihin. Kun varaus-, tilaus- tai asiakastietoja säilyttävä järjestelmä pysähtyy, menetys on paljon suurempi kuin salattujen tiedostojen arvo. Esimerkiksi hotelliohjelmistossa tai vilkkaasti tilauksia vastaanottavassa verkkokauppa-alustassa jo muutaman tunnin katko tarkoittaa suoraa tulonmenetystä.
Yrityskohtaisesti kehitetyissä ohjelmistoratkaisuissa roolipohjaiset käyttöoikeudet, toimintalokit ja tietokannan säännöllinen varmuuskopiointi erilliseen ympäristöön voidaan suunnitella alusta alkaen. Julkaistuilla sivustoilla taas palvelinohjelmiston pitäminen ajan tasalla, varmuuskopioiden seuranta ja epätavallisen toiminnan havaitseminen hoidetaan nopeus- ja suorituskykyoptimoinnin piiriin kuuluvan säännöllisen ylläpidon yhteydessä.
Jos olet huomannut sivustollasi haitallista koodia tai odottamattomia muutoksia, olemme kuvanneet toimintavaiheet vaihe vaiheelta oppaassamme verkkosivusto on hakkeroitu.
Usein kysytyt kysymykset
01Estääkö virustorjunta kiristysohjelman kokonaan?
Ajantasaiset tietoturvaohjelmistot havaitsevat merkittävän osan tunnetuista kiristysohjelmista, mutta ne eivät aina pysäytä uusia muunnoksia tai varastetulla ylläpitäjätilillä tehtyjä hyökkäyksiä. Siksi tietoturvaohjelmistoa tulee käyttää yhdessä päivitysten, kaksivaiheisen tunnistautumisen ja offline-varmuuskopion kanssa.
02Vaikuttavatko kiristysohjelmat myös Mac- ja Linux-tietokoneisiin?
Kyllä, vaikka suurin osa kiristysohjelmista kohdistuu Windowsiin, on myös macOS:ää ja erityisesti Linux-palvelimia kohdistavia lajikkeita. Käyttöjärjestelmästä riippumatta päivitysten, oikeuksien rajoittamisen ja varmuuskopioinnin säännöt ovat samat.
03Milloin voin ottaa järjestelmän uudelleen käyttöön hyökkäyksen jälkeen?
Jos varmuuskopiosta palataan ennen kuin hyökkääjän sisääntuloreitti on löydetty ja suljettu ja kaikki salasanat on vaihdettu, sama hyökkäys voi toistua. Ensin on tehtävä puhdistus ja juurisyyanalyysi, minkä jälkeen palataan hallitusti puhtaaseen varmuuskopioon.
Kiristysohjelma on raskas isku valmistautumattomille yrityksille; offline-varmuuskopioiden, säännöllisten päivitysten ja valveutuneiden työntekijöiden avulla siitä tulee selvitettävissä oleva tapaus. Aurora Yazılım rakentaa yrityksellesi räätälöidyissä ohjelmistoratkaisuissa varmuuskopioinnin ja käyttöoikeusrakenteen alusta alkaen ja huolehtii julkaistun sivustosi nopeus- ja suorituskykyoptimoinnista ja ylläpidosta. Voit arvioida nykyisen tilanteesi ottamalla meihin yhteyttä.
