Checklist ป้องกัน Ransomware: ตัดเส้นทางโจมตีทีละขั้น

Ransomware ที่เข้ารหัส Server ในคืนวันศุกร์ ส่วนใหญ่เข้ามาในระบบหลายวันหรือหลายสัปดาห์ก่อนหน้านั้น กลุ่มผู้โจมตีปัจจุบัน ขโมยข้อมูลออกไปก่อน แล้วจึงเข้ารหัส (Double Extortion) ดังนั้นต่อให้กู้คืนจาก Backup ได้ เขาก็ยังขู่ว่าจะเผยแพร่ข้อมูล ข่าวดีคือการโจมตีแต่ละครั้งต้องผ่านหลายขั้น และทุกขั้นมีโอกาสหยุดมันได้

เราจัด Checklist นี้ตามขั้นตอนเหล่านั้น

ขั้นที่ 1: การเข้ามาครั้งแรก

ช่องทางที่พบบ่อย ได้แก่ Email Phishing, RDP หรือ VPN ที่เปิดสู่อินเทอร์เน็ตโดยไม่มี MFA, ช่องโหว่ใน Firewall/VPN Gateway ที่ไม่ได้ Patch และรหัสผ่านที่รั่วจากมัลแวร์ขโมยข้อมูลบนเครื่องส่วนตัว

• MFA สำหรับ Email, VPN, Remote Access และทุกบัญชี Admin
• ไม่มี RDP เปิดสู่อินเทอร์เน็ต ใช้ VPN ที่มี MFA หรือ ZTNA
• Patch Firewall, VPN และระบบที่เปิดสู่อินเทอร์เน็ตภายในไม่กี่วัน หากมีรายงานว่าช่องโหว่กำลังถูกใช้โจมตี ส่วนที่เหลือภายใน 14 วัน
• Email Filtering ที่มี Sandbox และตั้งค่า SPF/DKIM/DMARC
• บล็อกไฟล์แนบ .iso, .img, .js, .vbs, .hta ที่ Email Gateway พนักงานทั่วไปไม่จำเป็นต้องใช้
• ตรวจว่า Macro ในไฟล์ Office ที่มาจากอินเทอร์เน็ตถูกบล็อก (เป็นค่าเริ่มต้นใน Microsoft 365 รุ่นปัจจุบัน แต่ Office รุ่นเก่าหรือ Group Policy อาจปิดไว้)

ประตูหน้ามักเป็น Firewall เอง

ในช่วงไม่กี่ปีที่ผ่านมา Ransomware หลายกรณีเริ่มจากช่องโหว่ของ Firewall หรือ VPN Gateway ที่เปิดออกอินเทอร์เน็ต ไม่ใช่จากการคลิกของผู้ใช้ นิสัยสามข้อนี้ปิดประตูบานนี้ได้เกือบหมด:

• สมัครรับประกาศด้านความปลอดภัยจากผู้ผลิต Firewall และ VPN และระบุตัวคนที่ต้องอ่าน
• ไม่เปิดหน้าจัดการ (Web Admin, SSH) ออกอินเทอร์เน็ต จัดการจากภายในหรือผ่าน VPN เท่านั้น
• เปลี่ยนอุปกรณ์ที่หมดระยะการซัพพอร์ต อุปกรณ์ที่ไม่ได้รับ Firmware ใหม่แล้วจะมีช่องโหว่ไปตลอด ไม่ว่าจะตั้งค่าดีแค่ไหน

เมื่อมีการประกาศช่องโหว่ร้ายแรง ให้ถือว่าคนร้ายเริ่มสแกนภายในไม่กี่วัน แพตช์ก่อน แล้วค่อยตรวจ Log ว่ามีคนเข้ามาก่อนหน้านั้นหรือไม่

ขั้นที่ 2: ยึดเครื่องและแพร่กระจาย

เมื่อเข้ามาได้หนึ่งเครื่อง ผู้โจมตีจะหารหัส Admin แล้วย้ายไปเครื่องอื่น ขั้นนี้ต้องทำให้ทุกก้าวยากและมีเสียงดัง

• EDR บนทุก PC และ Server เปิด Tamper Protection
• ผู้ใช้ทั่วไป ไม่มีสิทธิ์ Local Admin
• ใช้ Windows LAPS ให้รหัส Local Admin ไม่ซ้ำกันทุกเครื่อง
• บัญชี Admin แยกจากบัญชีที่ใช้อ่าน Email และท่องเว็บ
• แยก VLAN: Server, ผู้ใช้, CCTV/NVR, แขก และบล็อก Traffic ระหว่าง PC ผู้ใช้ (Workstation-to-Workstation)
• ปิด SMBv1 จำกัด PowerShell และเปิด Script Block Logging

อย่าลืมไฮเปอร์ไวเซอร์

การโจมตีจำนวนมากขึ้นเรื่อย ๆ ข้ามเซิร์ฟเวอร์ทีละเครื่อง แล้วพุ่งไปที่โฮสต์ VMware ESXi หรือ Hyper-V โดยตรง เพราะเข้ารหัส Datastore เดียวก็ทำให้ Virtual Machine ทุกตัวล่มพร้อมกัน

• หน้าจัดการของไฮเปอร์ไวเซอร์และ vCenter อยู่ใน Management VLAN แยก เข้าถึงได้เฉพาะจากเครื่องของแอดมิน
• MFA บน vCenter และหน้าจัดการไฮเปอร์ไวเซอร์ทุกตัว
• คิดให้ดีก่อนนำโฮสต์ ESXi เข้า Active Directory ถ้าทำ ให้ตรวจว่ากลุ่มไหนใน AD ได้สิทธิ์แอดมินบนโฮสต์ เพราะกลุ่มที่ถูกลืมอาจยกทั้งคลัสเตอร์ให้คนร้าย
• ปิด SSH บนโฮสต์ถ้าไม่ได้ใช้งาน และเปิด Lockdown Mode ถ้ารุ่นที่ใช้รองรับ
• อนุญาตเฉพาะโปรแกรม Remote Support ที่อนุมัติแล้ว การพบ AnyDesk หรือโปรแกรมคล้ายกันที่ไม่มีใครรู้จักบนเซิร์ฟเวอร์ เป็นสัญญาณเตือนแรก ๆ ที่พบบ่อย

ขั้นที่ 3: ทำลายทางหนีของคุณ

ก่อนเข้ารหัส ผู้โจมตีจะตามหา Backup และลบ Shadow Copy ถ้า Backup รอด คุณมีทางเลือก ถ้าไม่รอด คุณไม่มี

• Backup ตาม 3-2-1-1-0 อย่างน้อยหนึ่งสำเนาเป็น Immutable หรือ Offline และอยู่นอกสถานที่
• Backup Server ไม่ Join Domain ใช้บัญชีแยกและ MFA
• Backup ไม่ได้ Map เป็น Drive ใน Windows สิ่งที่ผู้ใช้มองเห็น Ransomware ก็เข้ารหัสได้
• ทดสอบกู้คืนทุกไตรมาส และรู้ว่าระบบสำคัญใช้เวลากู้คืนกี่ชั่วโมง

ขั้นที่ 4: ตรวจพบให้ทัน

• รวม Log จาก Firewall, Server และ EDR ไว้ที่เดียว
• มีคนอ่าน Alert จริง รวมถึงวันเสาร์อาทิตย์ ถ้าทีมภายในทำไม่ได้ ให้ใช้บริการ SOC หรือเปิด Automatic Isolation ใน EDR
• ตั้ง Alert สำหรับสัญญาณก่อนเข้ารหัส: การลบ Shadow Copy, บัญชี Admin ใหม่, เครื่องมือสแกน Network บนเครื่องผู้ใช้, การอัปโหลดข้อมูลปริมาณมากตอนกลางคืน

ตัวอย่างจริง: กู้คืนจริง ๆ ใช้เวลาเท่าไร?

Backup ที่มีอยู่แต่ใช้เวลาหนึ่งสัปดาห์กว่าจะกู้กลับมา ไม่ค่อยเรียกว่าแผน ลองดูไฟล์เซิร์ฟเวอร์ขนาด 4 TB:

นี่คือเหตุผลที่เราเก็บสำเนาแบบ Immutable ไว้ ในพื้นที่ เมื่อทำได้ (Backup Repository ที่ทำ Hardening แล้ว หรือ Appliance ที่มี Object Lock) และเก็บสำเนา Offsite ไว้สำหรับกรณีเลวร้ายที่สุด อินเทอร์เน็ตส่วนใหญ่ในลาวมีความเร็วขาขึ้นต่ำกว่าขาลงมาก และใช้ร่วมกันทั้งสำนักงาน ให้ทดสอบว่ากู้จาก Cloud ได้เร็วแค่ไหนจริง ๆ ก่อนพึ่งมัน รายละเอียดเพิ่มเติมในคู่มือ กฎ Backup 3-2-1

กำหนดลำดับการกู้คืนไว้ล่วงหน้าด้วย ปกติคือ Domain Controller และ DNS ก่อน ตามด้วยฐานข้อมูลบัญชีหรือ ERP แล้วอีเมลถ้าอยู่ในองค์กร จากนั้นค่อยเป็น File Share การเขียนลำดับนี้ไว้ช่วยลดการถกเถียงในวันเกิดเหตุได้หลายชั่วโมง

ลำดับความสำคัญตามขนาดองค์กร

ชั่วโมงแรก ถ้าเกิดขึ้นแล้ว

พิมพ์ส่วนนี้เก็บไว้เป็นกระดาษ เพราะวันนั้น Server อาจใช้ไม่ได้

1. ถอดสาย LAN หรือปิด Wi-Fi ของเครื่องที่ติด อย่าเพิ่งปิดเครื่อง เพราะหลักฐานใน Memory จะหายไป
2. แจ้งหัวหน้า IT และผู้บริหารตามรายชื่อติดต่อฉุกเฉิน ใช้โทรศัพท์หรือกลุ่มแชตที่เตรียมไว้ ไม่ใช่ Email ขององค์กร
3. ตัดการเชื่อมต่อ Backup Repository และตรวจว่ายังสมบูรณ์
4. เปลี่ยนรหัสบัญชี Admin จากเครื่องที่รู้ว่าสะอาด
5. เริ่มจดเวลาและทุกการกระทำตั้งแต่นาทีแรก และโทรหาผู้ให้บริการที่ตกลงไว้ล่วงหน้า ถ้ามี

การจ่ายค่าไถ่ไม่ได้รับประกันว่าจะได้ข้อมูลคืน หรือว่าข้อมูลที่ถูกขโมยจะถูกลบ

สิ่งที่เราเจอบ่อยหน้างาน

• NAS ที่ใช้เป็น Backup ถูก Map เป็น Drive บนทุกเครื่อง และถูกเข้ารหัสไปพร้อม File Server
• NVR ของกล้อง CCTV อยู่ Subnet เดียวกับ Server และยังใช้รหัส Default
• Backup สำเร็จทุกคืน แต่ไม่มีใครเคยลองกู้คืน
• Backup Server ไม่มี UPS ไฟตกระหว่าง Backup ที่สาขาต่างแขวงทำให้ Repository เสีย โดยไม่มีใครรู้จนวันที่ต้องใช้

ถ้าเริ่มได้แค่สามอย่างในเดือนนี้

MFA บนทุกบัญชีที่เข้าจากอินเทอร์เน็ต, Backup หนึ่งสำเนาที่ Immutable อยู่นอกสถานที่ และ EDR ที่มีคนดู Alert สาขาต่างแขวงที่อินเทอร์เน็ตช้า ให้ Backup ในพื้นที่แบบ Incremental แล้ว Replicate ไปเวียงจันทน์หรือ Cloud ตอนกลางคืน ทบทวน Checklist นี้ทุก 6 เดือน เพราะอุปกรณ์ใหม่มักมาพร้อมค่าเริ่มต้นที่ไม่ปลอดภัย

ลองให้เราตรวจ Backup ของคุณก่อน

คำถามเดียวที่บอกได้มากที่สุดคือ ถ้า File Server ถูกเข้ารหัสคืนนี้ คุณจะกู้คืนจากที่ไหน และใช้เวลากี่ชั่วโมง ถ้าไม่แน่ใจ ให้เราเข้าไปทดสอบกู้คืนจริงหนึ่งระบบร่วมกับทีมของคุณ แล้วไล่ Checklist ข้างบนทีละข้อ