Checklist ປ້ອງກັນ Ransomware: ຕັດເສັ້ນທາງໂຈມຕີແຕ່ລະຂັ້ນ

Ransomware ທີ່ເຂົ້າລະຫັດ Server ຕອນຄືນວັນສຸກ ສ່ວນຫຼາຍເຂົ້າມາໃນລະບົບຫຼາຍມື້ ຫຼື ຫຼາຍອາທິດກ່ອນໜ້ານັ້ນ. ກຸ່ມໂຈມຕີປັດຈຸບັນ ລັກຂໍ້ມູນອອກໄປກ່ອນ ແລ້ວຈຶ່ງເຂົ້າລະຫັດ (Double Extortion), ສະນັ້ນເຖິງວ່າຈະກູ້ຄືນຈາກ Backup ໄດ້ ເຂົາກໍຍັງຂູ່ວ່າຈະເຜີຍແຜ່ຂໍ້ມູນ. ຂ່າວດີແມ່ນ ການໂຈມຕີແຕ່ລະຄັ້ງຕ້ອງຜ່ານຫຼາຍຂັ້ນ ແລະ ທຸກຂັ້ນມີໂອກາດຢຸດມັນໄດ້.

ເຮົາຈັດ Checklist ນີ້ຕາມຂັ້ນຕອນເຫຼົ່ານັ້ນ.

ຂັ້ນທີ 1: ການເຂົ້າມາຄັ້ງທຳອິດ

ຊ່ອງທາງທີ່ພົບເລື້ອຍ: Email Phishing, RDP ຫຼື VPN ທີ່ເປີດສູ່ອິນເຕີເນັດໂດຍບໍ່ມີ MFA, ຊ່ອງໂຫວ່ໃນ Firewall/VPN Gateway ທີ່ບໍ່ໄດ້ Patch, ແລະ ລະຫັດຜ່ານທີ່ຮົ່ວຈາກມັນແວລັກຂໍ້ມູນໃນເຄື່ອງສ່ວນຕົວ.

• MFA ສຳລັບ Email, VPN, Remote Access ແລະ ທຸກບັນຊີ Admin
• ບໍ່ມີ RDP ເປີດສູ່ອິນເຕີເນັດ. ໃຊ້ VPN ທີ່ມີ MFA ຫຼື ZTNA
• Patch Firewall, VPN ແລະ ລະບົບທີ່ເປີດສູ່ອິນເຕີເນັດ ພາຍໃນບໍ່ເທົ່າໃດມື້ ຖ້າມີລາຍງານວ່າຊ່ອງໂຫວ່ກຳລັງຖືກໃຊ້ໂຈມຕີ; ສ່ວນອື່ນພາຍໃນ 14 ວັນ
• Email Filtering ທີ່ມີ Sandbox ແລະ ຕັ້ງ SPF/DKIM/DMARC
• ບລັອກໄຟລ໌ແນບ .iso, .img, .js, .vbs, .hta ທີ່ Email Gateway. ພະນັກງານທົ່ວໄປບໍ່ຈຳເປັນໃຊ້
• ກວດວ່າ Macro ໃນໄຟລ໌ Office ທີ່ມາຈາກອິນເຕີເນັດຖືກບລັອກ (ຄ່າເລີ່ມຕົ້ນໃນ Microsoft 365 ລຸ້ນປັດຈຸບັນ, ແຕ່ Office ລຸ້ນເກົ່າ ຫຼື Group Policy ອາດປິດໄວ້)

ປະຕູໜ້າ ມັກເປັນ Firewall ເອງ

ໃນຊ່ວງບໍ່ເທົ່າໃດປີຜ່ານມາ, Ransomware ຫຼາຍກໍລະນີ ເລີ່ມຈາກຊ່ອງໂຫວ່ຂອງ Firewall ຫຼື VPN Gateway ທີ່ເປີດອອກອິນເຕີເນັດ, ບໍ່ແມ່ນຈາກການກົດຂອງຜູ້ໃຊ້. ນິໄສສາມຂໍ້ນີ້ ປິດປະຕູບານນີ້ໄດ້ເກືອບໝົດ:

• ສະໝັກຮັບປະກາດດ້ານຄວາມປອດໄພຈາກຜູ້ຜະລິດ Firewall ແລະ VPN, ແລະ ກຳນົດຕົວຄົນທີ່ຕ້ອງອ່ານ
• ບໍ່ເປີດໜ້າຈັດການ (Web Admin, SSH) ອອກອິນເຕີເນັດ. ຈັດການຈາກພາຍໃນ ຫຼື ຜ່ານ VPN ເທົ່ານັ້ນ
• ປ່ຽນອຸປະກອນທີ່ໝົດໄລຍະການຊັບພອດ. ອຸປະກອນທີ່ບໍ່ໄດ້ຮັບ Firmware ໃໝ່ແລ້ວ ຈະມີຊ່ອງໂຫວ່ໄປຕະຫຼອດ, ບໍ່ວ່າຈະຕັ້ງຄ່າດີປານໃດ

ເມື່ອມີການປະກາດຊ່ອງໂຫວ່ຮ້າຍແຮງ, ໃຫ້ຖືວ່າຄົນຮ້າຍເລີ່ມສະແກນພາຍໃນບໍ່ເທົ່າໃດມື້. Patch ກ່ອນ, ແລ້ວຈຶ່ງກວດ Log ວ່າມີຄົນເຂົ້າມາກ່ອນໜ້ານັ້ນ ຫຼື ບໍ່.

ຂັ້ນທີ 2: ຍຶດເຄື່ອງ ແລະ ແຜ່ລາມ

ເມື່ອເຂົ້າມາໄດ້ໜຶ່ງເຄື່ອງ ຜູ້ໂຈມຕີຊອກລະຫັດ Admin ແລະ ຍ້າຍໄປເຄື່ອງອື່ນ. ຢູ່ຂັ້ນນີ້ຕ້ອງເຮັດໃຫ້ແຕ່ລະກ້າວຍາກ ແລະ ມີສຽງດັງ.

• EDR ໃນທຸກ PC ແລະ Server, ເປີດ Tamper Protection
• ຜູ້ໃຊ້ທົ່ວໄປ ບໍ່ມີສິດ Local Admin
• ໃຊ້ Windows LAPS ເພື່ອໃຫ້ລະຫັດ Local Admin ບໍ່ຊ້ຳກັນທຸກເຄື່ອງ
• ບັນຊີ Admin ແຍກຈາກບັນຊີທີ່ໃຊ້ອ່ານ Email ແລະ ທ່ອງເວັບ
• ແຍກ VLAN: Server, ຜູ້ໃຊ້, CCTV/NVR, ແຂກ. ບລັອກ Traffic ລະຫວ່າງ PC ຜູ້ໃຊ້ (Workstation-to-Workstation)
• ປິດ SMBv1 ແລະ ຈຳກັດ PowerShell, ເປີດ Script Block Logging

ຢ່າລືມ Hypervisor

ການໂຈມຕີຫຼາຍຂຶ້ນເລື້ອຍໆ ຂ້າມເຊີບເວີແຕ່ລະເຄື່ອງ ແລ້ວແລ່ນໄປຫາໂຮສ VMware ESXi ຫຼື Hyper-V ໂດຍກົງ, ເພາະເຂົ້າລະຫັດ Datastore ອັນດຽວ ກໍ່ເຮັດໃຫ້ Virtual Machine ທຸກໂຕລົ້ມພ້ອມກັນ.

• ໜ້າຈັດການຂອງ Hypervisor ແລະ vCenter ຢູ່ໃນ Management VLAN ແຍກ, ເຂົ້າເຖິງໄດ້ສະເພາະຈາກເຄື່ອງຂອງແອດມິນ
• MFA ເທິງ vCenter ແລະ ໜ້າຈັດການ Hypervisor ທຸກໂຕ
• ຄິດໃຫ້ດີກ່ອນເອົາໂຮສ ESXi ເຂົ້າ Active Directory. ຖ້າເຮັດ, ໃຫ້ກວດວ່າກຸ່ມໃດໃນ AD ໄດ້ສິດແອດມິນເທິງໂຮສ, ເພາະກຸ່ມທີ່ຖືກລືມ ອາດມອບທັງ Cluster ໃຫ້ຄົນຮ້າຍ
• ປິດ SSH ເທິງໂຮສ ຖ້າບໍ່ໄດ້ໃຊ້ງານ, ແລະ ເປີດ Lockdown Mode ຖ້າລຸ້ນທີ່ໃຊ້ຮອງຮັບ
• ອະນຸຍາດສະເພາະໂປຣແກຣມ Remote Support ທີ່ອະນຸມັດແລ້ວ. ການພົບ AnyDesk ຫຼື ໂປຣແກຣມຄ້າຍກັນທີ່ບໍ່ມີໃຜຮູ້ຈັກເທິງເຊີບເວີ ແມ່ນສັນຍານເຕືອນທຳອິດໆ ທີ່ພົບເລື້ອຍ

ຂັ້ນທີ 3: ທຳລາຍທາງໜີ

ກ່ອນເຂົ້າລະຫັດ ຜູ້ໂຈມຕີຈະຊອກຫາ Backup ແລະ ລຶບ Shadow Copy. ຖ້າ Backup ລອດ ທ່ານມີທາງເລືອກ; ຖ້າບໍ່ລອດ ທ່ານບໍ່ມີ.

• Backup ຕາມ 3-2-1-1-0: ຢ່າງໜ້ອຍໜຶ່ງສຳເນົາເປັນ Immutable ຫຼື Offline ແລະ ຢູ່ນອກສະຖານທີ່
• Backup Server ບໍ່ Join Domain, ໃຊ້ບັນຊີແຍກ ແລະ MFA
• Backup ບໍ່ໄດ້ Map ເປັນ Drive ໃນ Windows. ສິ່ງທີ່ຜູ້ໃຊ້ເຫັນໄດ້ Ransomware ກໍເຂົ້າລະຫັດໄດ້
• ທົດສອບກູ້ຄືນທຸກໄຕມາດ ແລະ ຮູ້ວ່າລະບົບສຳຄັນໃຊ້ເວລາກູ້ຄືນຈັກຊົ່ວໂມງ

ຂັ້ນທີ 4: ກວດພົບໃຫ້ທັນ

• ລວມ Log ຈາກ Firewall, Server ແລະ EDR ໄວ້ບ່ອນດຽວ
• ມີຄົນອ່ານ Alert ແທ້, ລວມທັງວັນເສົາ-ອາທິດ. ຖ້າທີມພາຍໃນເຮັດບໍ່ໄດ້ ໃຫ້ໃຊ້ບໍລິການ SOC ຫຼື ເປີດ Automatic Isolation ໃນ EDR
• Alert ສຳລັບສັນຍານທີ່ພົບກ່ອນເຂົ້າລະຫັດ: ການລຶບ Shadow Copy, ບັນຊີ Admin ໃໝ່, ເຄື່ອງມືສະແກນ Network ໃນເຄື່ອງຜູ້ໃຊ້, ການອັບໂຫຼດຂໍ້ມູນຈຳນວນຫຼາຍຕອນກາງຄືນ

ຕົວຢ່າງຕົວຈິງ: ກູ້ຄືນແທ້ໆ ໃຊ້ເວລາເທົ່າໃດ?

Backup ທີ່ມີຢູ່ ແຕ່ໃຊ້ເວລາໜຶ່ງອາທິດກວ່າຈະກູ້ກັບມາໄດ້ ບໍ່ຄ່ອຍເອີ້ນວ່າແຜນ. ລອງເບິ່ງ File Server ຂະໜາດ 4 TB:

ນີ້ແມ່ນເຫດຜົນທີ່ເຮົາເກັບສຳເນົາແບບ Immutable ໄວ້ ຢູ່ໃນສະຖານທີ່ ເມື່ອເຮັດໄດ້ (Backup Repository ທີ່ເຮັດ Hardening ແລ້ວ ຫຼື Appliance ທີ່ມີ Object Lock), ແລະ ເກັບສຳເນົາ Offsite ໄວ້ສຳລັບກໍລະນີຮ້າຍແຮງທີ່ສຸດ. ອິນເຕີເນັດສ່ວນຫຼາຍໃນລາວ ມີຄວາມໄວຂາຂຶ້ນຕ່ຳກວ່າຂາລົງຫຼາຍ ແລະ ໃຊ້ຮ່ວມກັນທັງຫ້ອງການ, ໃຫ້ທົດສອບວ່າກູ້ຈາກ Cloud ໄດ້ໄວປານໃດແທ້ ກ່ອນຈະເພິ່ງມັນ. ລາຍລະອຽດເພີ່ມເຕີມໃນຄູ່ມື ກົດ Backup 3-2-1.

ກຳນົດລຳດັບການກູ້ຄືນໄວ້ລ່ວງໜ້ານຳ. ປົກກະຕິແມ່ນ Domain Controller ແລະ DNS ກ່ອນ, ຕາມດ້ວຍຖານຂໍ້ມູນບັນຊີ ຫຼື ERP, ແລ້ວອີເມວຖ້າຢູ່ໃນອົງກອນ, ຈາກນັ້ນຈຶ່ງເປັນ File Share. ການຂຽນລຳດັບນີ້ໄວ້ ຊ່ວຍຫຼຸດການຖຽງກັນໃນມື້ເກີດເຫດໄດ້ຫຼາຍຊົ່ວໂມງ.

ລຳດັບຄວາມສຳຄັນຕາມຂະໜາດອົງກອນ

ຊົ່ວໂມງທຳອິດ ຖ້າເກີດຂຶ້ນແລ້ວ

ພິມສ່ວນນີ້ເກັບໄວ້ເປັນເຈ້ຍ ເພາະວັນນັ້ນ Server ອາດໃຊ້ບໍ່ໄດ້.

1. ຖອດສາຍ LAN ຫຼື ປິດ Wi-Fi ຂອງເຄື່ອງທີ່ຕິດ. ຢ່າເພີ່ງປິດເຄື່ອງ ເພາະຫຼັກຖານໃນ Memory ຈະຫາຍ.
2. ແຈ້ງຫົວໜ້າ IT ແລະ ຜູ້ບໍລິຫານຕາມລາຍຊື່ຕິດຕໍ່ສຸກເສີນ. ໃຊ້ໂທລະສັບ ຫຼື ກຸ່ມ Chat ທີ່ກຽມໄວ້, ບໍ່ແມ່ນ Email ຂອງອົງກອນ.
3. ຕັດການເຊື່ອມຕໍ່ Backup Repository ແລະ ກວດວ່າຍັງສົມບູນ.
4. ປ່ຽນລະຫັດບັນຊີ Admin ຈາກເຄື່ອງທີ່ຮູ້ວ່າສະອາດ.
5. ເລີ່ມບັນທຶກເວລາ ແລະ ທຸກການກະທຳຕັ້ງແຕ່ນາທີທຳອິດ, ແລະ ໂທຫາຜູ້ໃຫ້ບໍລິການທີ່ຕົກລົງໄວ້ລ່ວງໜ້າ ຖ້າມີ.

ການຈ່າຍຄ່າໄຖ່ບໍ່ໄດ້ຮັບປະກັນວ່າຈະໄດ້ຂໍ້ມູນຄືນ ຫຼື ວ່າຂໍ້ມູນທີ່ຖືກລັກຈະຖືກລຶບ.

ສິ່ງທີ່ເຮົາພົບເລື້ອຍໃນໜ້າງານ

• NAS ທີ່ໃຊ້ເປັນ Backup ຖືກ Map ເປັນ Drive ໃນທຸກເຄື່ອງ ແລະ ຖືກເຂົ້າລະຫັດພ້ອມ File Server.
• NVR ຂອງກ້ອງ CCTV ຢູ່ Subnet ດຽວກັນກັບ Server ແລະ ຍັງໃຊ້ລະຫັດ Default.
• Backup ສຳເລັດທຸກຄືນ ແຕ່ບໍ່ມີໃຜເຄີຍລອງກູ້ຄືນ.
• Backup Server ບໍ່ມີ UPS. ໄຟຕົກລະຫວ່າງ Backup ທີ່ສາຂາຕ່າງແຂວງ ເຮັດໃຫ້ Repository ເສຍ ໂດຍບໍ່ມີໃຜຮູ້ຈົນມື້ທີ່ຕ້ອງໃຊ້.

ຖ້າເລີ່ມໄດ້ພຽງສາມຢ່າງໃນເດືອນນີ້

MFA ໃນທຸກບັນຊີທີ່ເຂົ້າຈາກອິນເຕີເນັດ, ໜຶ່ງສຳເນົາ Backup ທີ່ Immutable ຢູ່ນອກສະຖານທີ່, ແລະ EDR ທີ່ມີຄົນເບິ່ງ Alert. ສາຂາຕ່າງແຂວງທີ່ອິນເຕີເນັດຊ້າ ໃຫ້ Backup ໃນທ້ອງຖິ່ນແບບ Incremental ແລ້ວ Replicate ໄປວຽງຈັນ ຫຼື Cloud ຕອນກາງຄືນ. ທົບທວນ Checklist ນີ້ທຸກ 6 ເດືອນ ເພາະອຸປະກອນໃໝ່ມັກມາພ້ອມຄ່າເລີ່ມຕົ້ນທີ່ບໍ່ປອດໄພ.

ລອງໃຫ້ພວກເຮົາກວດ Backup ຂອງທ່ານກ່ອນ

ຄຳຖາມດຽວທີ່ບອກໄດ້ຫຼາຍທີ່ສຸດແມ່ນ: ຖ້າ File Server ຖືກເຂົ້າລະຫັດຄືນນີ້ ທ່ານຈະກູ້ຄືນຈາກໃສ ແລະ ໃຊ້ເວລາຈັກຊົ່ວໂມງ? ຖ້າບໍ່ແນ່ໃຈ ໃຫ້ພວກເຮົາເຂົ້າໄປທົດສອບກູ້ຄືນຕົວຈິງໜຶ່ງລະບົບຮ່ວມກັບທີມຂອງທ່ານ ແລ້ວໄລ່ Checklist ຂ້າງເທິງເທື່ອລະຂໍ້.