במתקפת כופרה, דרישת התשלום מושכת את הכותרות. לעסק יש עוד חשבון לשלם: מערכות שלא עובדות, זמן שהולך לאיבוד, הכנסות שנפגעות ומוניטין שצריך לשקם. המסמך ההיסטורי הזה מ־2019 מסביר איפה גיבוי ושחזור נכנסים לתוכנית ההגנה, ולמה תשלום כופר — שהמקור מתאר בסכומים של מאות עד עשרות אלפי דולרים — לא בהכרח עיקר הנזק.
העקרונות המרכזיים
- מניעה וזיהוי משלימים
- שומרים עותק נקי
- בודקים שחזור
לדוגמה, המקור מציין ש־FedEx העריכה נזק של כמעט 300 מיליון דולר בעקבות הפגיעה בחברת הבת ההולנדית TNT Express ביוני 2017. הנזק כלל ירידה בהיקף משלוחים, בהכנסות וברווח. גם ארגון קטן בהרבה יכול לחוות עצירת עבודה, השבתת שירותים ופגיעה במוניטין שנמשכת אחרי שהאירוע יורד מהכותרות.
הסיכון חוצה ענפים — והנזק חוצה מערכות
כופרה היא נוזקה שיכולה להצפין קבצים מסוימים ואף מערכות שלמות ולדרוש תשלום לשחרורם. המקור מתאר תשלומים בביטקוין והתפתחות מתקיפות על תחנות בודדות להתפשטות בין מערכות באמצעות ניצול חולשות בתקשורת SMB.
הפעילות הפכה לעסק עברייני. התוקפים מבינים את הערך של המערכות והמידע שהם משבשים. בטבלה שבמקור מופיעים שיעורי פגיעה לפי ענף בשנת 2016:
| ענף | אחוז הפגיעה לפי טבלת המקור, 2016 |
|---|---|
| חינוך | 23% |
| IT ותקשורת | 22% |
| בידור ומדיה | 21% |
| שירותים פיננסיים | 21% |
| בנייה | 19% |
| ממשל, מגזר ציבורי וביטחון | 18% |
| ייצור | 18% |
| תחבורה | 17% |
| בריאות | 16% |
| קמעונאות, סיטונאות ופנאי | 16% |
הטבלה משקפת את הנתונים שבמסמך שסופק. אין להשתמש בה כדירוג סיכון עכשווי לענפים.
הדוגמה של FedEx ממחישה שהכופר, אם שולם, הוא רק חלק מהנזק. הפגיעה בפעילות יכולה להיות יקרה וממושכת יותר. לכן המדריך עוסק בתוכנית הגנה וביכולת גיבוי ושחזור שמסייעת להחזיר את הארגון לעבודה.
שלוש שכבות: מניעה, זיהוי ותגובה
המטרה הראשונה היא לעצור את הכופרה לפני שתפגע. במקביל, צריך להתכונן לאפשרות שחלק מההגנות לא יעצרו אותה. תוכנית תגובה נועדה לצמצם את הנזק למידע ולמערכות במצב הזה.
המקור מחלק את ההגנה לשלוש שכבות: מניעה, זיהוי ותגובה. בכל שכבה אפשר להשתמש בכמה שיטות.
| מניעה | זיהוי | תגובה כפי שהיא מופיעה במקור |
|---|---|---|
| רשימת יישומים מורשים, חסימת כתובות, סינון דואר ובדיקת קבצים בסביבה מבודדת | אנטי־וירוס והגנת תחנות מתקדמת | דיון בשאלת הכופר, הסרת נוזקה וגיבוי ושחזור |
מניעה
השכבה הזו מנסה למנוע מהכופרה לרוץ. חסימת כתובות יכולה להרחיק משתמשים מאתרים שנפגעו. סינון דואר בוחן קישורים וקבצים מצורפים. רשימות יישומים מורשים מגבילות אילו תהליכים יכולים לפעול בתחנה. בדיקה בסביבה מבודדת, Sandboxing, מחפשת התנהגות זדונית של קישור או קובץ, למשל ניסיון להריץ או להתקין תוכנה.
לכל שכבת מניעה יש מגבלות: כתובות זדוניות משתנות, מידע על איומים מוכרים לא תמיד מזהה איום חדש, ונוזקות יכולות לשנות מאפיינים או לזהות סביבת בדיקה. לכן לא משאירים את כל האחריות לכלי אחד.
הוא מציין גם שרשימת יישומים מורשים יכולה להיפגע אם תוקף מנצל תהליך מוכר או מזריק אליו קוד. המגבלות אינן סיבה לוותר על מניעה; שילוב שכבות מסייע לצמצם את מספר המתקפות שמגיעות למערכת.
זיהוי
אם המניעה לא עצרה את האיום, נדרשת יכולת לזהות ניסיון פגיעה. אנטי־וירוס יכול להשתמש בחתימות, כללים היוריסטיים, ניתוח התנהגות ולמידת מכונה. פתרונות שמכונים NGAV בוחנים גם יצירת תהליכים ושינויים במערכת ההפעלה כדי למצוא התנהגות חריגה.
המקור מדגיש שההגנות נשענות גם על ניסיון קודם, ולכן עשויות להתקשות באיום חדש או בנוזקה שמזהה מנגנון בדיקה ונמנעת מפעולה. גם כשאפשר לחמוק מזיהוי, פעולת הצפנה נרחבת יכולה ליצור התנהגות שניתנת לגילוי.
תגובה
גם ארגון עם מניעה וזיהוי צריך תוכנית תגובה. המקור מציין ממוצע היסטורי של שש תחנות ושני שרתים שנפגעים בתקיפה, כדי להמחיש את הצורך להתייחס ליותר מהתקן אחד. התוכנית צריכה לכלול טיפול בנוזקה והחזרת תחנות ומידע, לצד בחינה מתואמת של ההשלכות העסקיות.
שאלת תשלום הכופר
המקור מתאר חברות עם מדיניות שלא לשלם ואחרות שבוחנות את עלות התיקון ביחס לדרישה. הוא מדגיש שלא ניתן לסמוך על כך שקיים מפתח פענוח או שהוא יפעל כראוי, במיוחד בשוק שבו עבריינים יכולים להשתמש בכופרה כשירות. אין לראות בתשלום הבטחה לפתרון.
הסרת הנוזקה
גם אם שולם הכופר והמידע פוענח, עדיין צריך לבדוק את המערכת. ייתכנו שאריות נוזקה, קבצים, ערכי Registry ותוספי דפדפן. צריך תוכנית להסרתם; במקרים מתאימים, בנייה מחדש עדיפה על תיקון חלקי. קובץ שנפתח שוב אינו אישור שהמחשב נקי.
גיבוי ושחזור
התכנון צריך להביא בחשבון מצב שבו שכבות ההגנה נכשלו, הכופר גבוה מדי, הפענוח לא עובד או שלא ניתן להסיר את הנוזקה באופן אמין. בכל אחד מהמצבים האלה עשויה להידרש החזרה מלאה של התחנה מסביבה ומעותק נקיים.
מכינים דרך חזרה שאפשר לבדוק
לא תמיד אפשר לדעת אילו תחנות ייפגעו וכמה הן קריטיות. גם היקף הפגיעה יכול להשתנות: קבצים, מחיצה או מערכת שלמה. זו סיבה לתכנן מראש כמה תרחישי שחזור, במקום להמר על תקלה בגודל נוח.
מתחילים מהשחזור ועובדים לאחור
התחילו מהעסק: אילו תחנות, שרתים וקבוצות מידע חייבים לחזור לפעילות? אם לא ברור, שאלו את ההנהלה, בעלי התהליכים ובעלי היישומים איזה מידע אי אפשר לאבד.
אחר כך קבעו סוג גיבוי, למשל קבצים או Image, ותדירות לכל מערכת וקבוצת מידע. התדירות משפיעה על נקודת השחזור האפשרית במקרה של פגיעה.
יכול להיות שמערכות השרת כבר מגובות, ואז נדרשת בעיקר בדיקת הכיסוי הקיים. בתחנות עבודה ובמחשבים ניידים יכול להיות שצריך להחליט מחדש מה להגן.
בחנו אם נדרשים עותקים מקומיים או בענן. במחשבים ניידים, גיבוי בענן עשוי להקל על שחזור גם כשהמשתמש אינו באתר, כל עוד יש קישוריות מתאימה.
מחליטים לאיזו נקודת זמן לחזור
אחד האתגרים הוא לקבוע כמה אחורה צריך ללכת בעותקים. המקור טוען שמחברי כופרה רבים מעדיפים לפעול במהירות כדי להרוויח ולא להמתין, אך גם הוא מבהיר שלא ניתן להסיק מכך שגיבוי מאתמול נקי.
חזרה רחוקה מדי יכולה לאבד מידע חדש או להחזיר מערכת למצב מיושן, כולל קשר לדומיין והגדרות. המקור מציע לזהות שינוי משמעותי בכמות גדולה של קבצים כסימן להצפנה ולנקודת זמן שצריך לבחון לפניה.
בודקים שחזור
גם תוכנית שחזור לכופרה צריכה בדיקות. המקור מציע לשחזר תמונת מערכת לסביבה וירטואלית, לאתחל ולהתחבר. זו בדיקה שימושית — ובהערה הבאה נסביר למה היא רק חלק מהבדיקה הנדרשת.
בדקו שהעותקים מוגנים ושיש דרך לבחור ולבדוק נקודת שחזור מתאימה. גיבוי יכול לעזור להחזיר מידע שנמחק או הוצפן; הוא לא מבטל חשיפה של מידע שכבר נגנב. לכן הוא משתלב בתוכנית ההגנה והתגובה, לצד שאר הבקרות.
נוסח עברי מלא המבוסס על גוף המאמר בקובץ ה־PDF שסופק, בעריכת שפה לקריאה נוחה. הערות דיוק ותיקונים למקור מסומנים בנפרד. דוגמאות הסבר נוספו לפי הצורך; תפריטי אתר, מודעות וקישורי המלצות אינם חלק מגוף המאמר.
מקור: The_Value_of_Backup_in_Your_Ransomware_Protection_Strategy.pdf מאת MSP360.
