מיטיגציה ושחזור קבצים ממתקפת כופר, איך זה עובד?

מיטיגציה ושחזור קבצים ממתקפת כופר הם שני צדדים של אותה שאלה, איך עוצרים את ההצפנה בזמן ואיך מחזירים את הקבצים שכבר הוצפנו. לפי Bitdefender, בפלטפורמת GravityZone יכולת Ransomware Mitigation מזהה הצפנה חריגה, חוסמת את התהליך ומשחזרת קבצים מעותקי גיבוי. אופק דיסט, חברת הפצה, ייעוץ ותמיכה בפתרונות אבטחת מידע, ענן ותקשורת, שפועלת מאז 2006 ומשרדיה בפתח תקווה, מפיצה בישראל את Bitdefender GravityZone. המאמר מסביר איך המנגנון עובד, מה מגבלותיו, ומה מומלץ לעשות לצדו.

בקצרה

• לפי Bitdefender, יכולת Ransomware Mitigation מנטרת עלייה באקראיות של קבצים, יוצרת גיבוי זמני בזיכרון ומשחזרת את הקובץ המקורי אחרי ניסיון ההצפנה.
• לפי Bitdefender, שחזור על פי דרישה (On-demand) אפשרי עד 30 יום מהמתקפה, ועותקי הגיבוי זמינים לכל היותר 30 יום.
• לפי CISA, מומלץ לשמור גיבויים לא מקוונים ומוצפנים של נתונים קריטיים, או לגבות מענן לענן, ואין ערובה לשחזור הקבצים גם אם משלמים את הכופר.

מה זה מיטיגציה של מתקפת כופר, ולמה היא קו הגנה נפרד?

מיטיגציה היא צמצום הנזק של מתקפה שכבר התחילה, בשונה ממניעה שעוצרת אותה לפני ההרצה. לפי Bitdefender, Ransomware Mitigation היא יכולת שנועדה לצמצם את הנזק של מתקפת כופר פעילה. לפי Bitdefender, מומלץ מאוד להפעיל את היכולת ישירות מ-GravityZone, כי ההגנה מפני כופרה משמשת קו הגנה שלישי קריטי.

לפי Bitdefender, במקרים שבהם שכבות אבטחה אחרות, כמו Fileless Protection ו-Exploit Protection, לא מצליחות לזהות את האיום, ההגנה מפני כופרה נכנסת לפעולה כדי להגן על המערכות והנתונים. לפי מערך הסייבר הלאומי, תוקף עשוי להצפין את המידע ובכך למנוע גישה למידע של מורשים אליו, ותוקף עשוי למחוק מידע ארגוני, לרבות גיבויים קיימים. לכן השכבה שמשחזרת קבצים צריכה להיות בלתי תלויה בגיבוי הרגיל. אפשר לסכם את ההבדל בין מניעה, מיטיגציה וגיבוי בשלוש נקודות.

• מניעה: חסימת הקובץ או התהליך הזדוני לפני שהוא רץ.
• מיטיגציה: לפי Bitdefender, זיהוי הצפנה שכבר החלה, עצירת התהליך ושחזור הקבצים שנפגעו.
• גיבוי והתאוששות: שחזור מערכות שלמות מגיבוי חיצוני, כשהנזק רחב.

איך Bitdefender מזהה הצפנה ומשחזר קבצים?

לפי Bitdefender, כשקובץ מוצפן, האקראיות (האנטרופיה) שלו עולה משמעותית, ויכולת Ransomware Mitigation מנטרת את העלייה הזו בקבצים שבדיסק ובזמן ניסיונות כתיבה. כך הזיהוי מתבסס על השינוי שחל בקובץ עצמו, ולא על זיהוי מוקדם של הקובץ המצפין.

לפי Bitdefender, כשמתבצעת בקשה להצפין קובץ, נוצר גיבוי זמני בזיכרון, והקובץ המקורי משוחזר אחרי שהשינויים בקובץ מסתיימים. לפי Bitdefender, בין אם הכופרה מוכרת או חדשה, GravityZone מזהה ניסיונות הצפנה חריגים וחוסם את התהליך, ואחר כך משחזר את הקבצים מעותקי הגיבוי ומחזיר אותם למיקומם המקורי. לפי Bitdefender, השיטה אינה נשענת על שירות Volume Shadow Copy או על פתרונות גיבוי סטטיים אחרים, כי תוקפים מוחקים כמעט תמיד את נתוני הגיבוי האלה. לפי Bitdefender, בקשות למחיקת shadow copies הן אחד הטריגרים לאירוע EDR.

מה ההבדל בין ניטור מקומי לניטור מרחוק ב-Bitdefender?

לפי Bitdefender, ניטור מקומי מזהה מתקפת כופר שהחלה בנקודת הקצה עצמה, וניטור מרחוק מזהה מתקפה שהגיעה ממחשב אחר דרך שיתוף ברשת. לפי Bitdefender, במצב הניטור המקומי (Locally) GravityZone מנטר את התהליכים ומזהה מתקפות כופר שהחלו מקומית בנקודת הקצה. לפי Bitdefender, המצב מומלץ לתחנות עבודה, ובשרתים יש להשתמש בו בזהירות בגלל השפעה על הביצועים.

לפי Bitdefender, במצב הניטור מרחוק (Remote) GravityZone מנטר גישה לנתיבי שיתוף ברשת ומזהה מתקפות כופר שהחלו ממחשב אחר, והאפשרות מיועדת לנקודת קצה שהיא שרת קבצים או שיש בה שיתופי רשת. לפי Bitdefender, בניטור מרחוק המתקפה יכולה להגיע ממחשב אחר שבו Bitdefender אולי לא מותקן, ולכן חסרים האינדיקטורים שזמינים בדרך כלל בניטור תהליכים. לפי Bitdefender, מנהלים יכולים גם לקבל התראת מייל כשמתקפה נחסמת, עם מידע על כתובת ה-IP של התוקף.

איך משחזרים את הקבצים אחרי המתקפה, וכמה זמן יש?

לפי Bitdefender, יש שתי שיטות שחזור. לפי Bitdefender, בשיטת On-demand (על פי דרישה) בוחרים ידנית מאילו מתקפות לשחזר קבצים, דרך עמוד Ransomware Activity. לפי Bitdefender, אפשר לעשות זאת בכל זמן, אך לא יאוחר מ-30 יום מהמתקפה, ואחרי זה השחזור כבר לא אפשרי. לפי Bitdefender, בשיטת Automatic, GravityZone משחזר את הקבצים אוטומטית מיד אחרי זיהוי כופרה.

לפי Bitdefender, כדי שהשחזור יצליח נקודות הקצה צריכות להיות זמינות, ועותקי הגיבוי זמינים לכל היותר 30 יום. לכן כדאי לא לדחות את ההחלטה אם לשחזר, ולקבל אותה הרבה לפני שחולפים 30 יום מהמתקפה.

מה נדרש כדי שהמיטיגציה של Bitdefender תעבוד?

לפי Bitdefender, רכיבי Ransomware Mitigation הם GravityZone Control Center וסוכן האבטחה Bitdefender Endpoint Security Tools המותקן על נקודות קצה ושרתי Windows. לפי Bitdefender, המודול דורש Advanced Threat Control ו-Antimalware, הזמינים כשהסוכן מוגדר למצב Detection and prevention. כלומר, לפי התיעוד היכולת פועלת בסביבות Windows, ועם סוכן שמוגדר למנוע ולא רק לזהות.

בהקמה כדאי לבדוק שהמודול מופעל במדיניות, שמצב הניטור מתאים לכל סוג מחשב, ושצוות ה-IT יודע איפה נמצא עמוד Ransomware Activity.

מה עושים מעבר לשחזור הקבצים בנקודת הקצה?

מיטיגציה בנקודת הקצה מצמצמת נזק בזמן ההצפנה, וגיבוי מבודד מתאים כשהנזק רחב ויש צורך לשחזר מערכות שלמות. לפי CISA, מומלץ לשמור גיבויים לא מקוונים ומוצפנים של נתונים קריטיים, או לגבות מענן לענן, ולבדוק באופן קבוע את הזמינות והשלמות של הגיבויים בתרחיש התאוששות מאסון. לפי CISA, חשוב שהגיבויים יישמרו לא מקוונים, כי גרסאות כופרה רבות מנסות לאתר גיבויים נגישים ולמחוק או להצפין אותם.

לפי CISA, בתגובה לאירוע יש לקבוע אילו מערכות נפגעו ולבודד אותן מיד, ואם נראה שכמה מערכות או רשתות משנה נפגעו, יש לנתק את הרשת ברמת המתג. לפי מערך הסייבר הלאומי, בשלב ההכלה נבחן בין השאר אם נכסי סייבר שנפגעו נותקו מהרשת ואם נדרש לנתק את מערך הגיבוי או האחסון מהרשת. לפי CISA, חלק מהקורבנות משלמים כדי לשחזר את הקבצים שלהם, אבל אין ערובה שהם ישחזרו את הקבצים גם אם ישלמו.

לפי N-able, פתרון הגיבוי Cove Data Protection בנוי בארכיטקטורת Cloud-First, והגיבויים בו מבודדים, מבוססי ענן ואינם ניתנים לשינוי. לפי N-able, יחד עם בדיקות שחזור אוטומטיות, זה נועד להגן על יכולת השחזור מפני פגיעה של מתקפה. שילוב של מיטיגציה בנקודת הקצה עם גיבוי מבודד נותן יותר מדרך אחת להחזיר את הנתונים.

סיכום

מיטיגציה ושחזור קבצים ממתקפת כופר ב-GravityZone מתבססים על זיהוי הצפנה חריגה, גיבוי זמני בזיכרון ושחזור הקבצים למיקומם המקורי, לפי Bitdefender. לפי Bitdefender, השחזור על פי דרישה (On-demand) אפשרי עד 30 יום, והיכולת דורשת סוכן Windows במצב Detection and prevention. אופק דיסט מפיצה בישראל את Bitdefender GravityZone ונותנת שירות ותמיכה בעברית, בשעון ישראל, בלי פנייה ליצרן בחו"ל.

נתקלתם במתקפה? קו החירום של אופק דיסט, 073-2200106, מספק ייעוץ ראשוני ללא עלות.

שאלות נפוצות על שחזור קבצים ממתקפת כופר