Ransomware Mitigation-ийг хэрхэн суулгаж, тохируулж, шифрлэгдсэн файлыг сэргээх вэ?

Ransomware Mitigation (ransomware-ийн нөлөөллийг бууруулах) нь идэвхтэй ransomware (золиос нэхэгч хортой программ)-ын халдлагын нөлөөллийг багасгах зориулалттай боломж юм.

Файл шифрлэгдэхэд түүний санамсаргүй байдал (энтропи) эрс өснө. Ransomware Mitigation нь дискэн дээрх болон бичих оролдлого үед файлын энтропийн өсөлтийг хянадаг. Файлыг шифрлэх хүсэлт (санамсаргүй байдал тодорхой хязгаараас хэтэрсэн өсөлт) гарахад санах ойд түр нөөц хуулбар үүсгэж, файлын өөрчлөлт дууссаны дараа эх файлыг сэргээнэ. Энэ арга нь Volume Shadow Copy үйлчилгээ эсвэл бусад статик нөөцлөлтөд найддаггүй, учир нь халдагчид тийм нөөц өгөгдлийг бараг үргэлж устгадаг. Shadow copy устгах хүсэлт нь EDR incident үүсгэх нэг шалтгаан болдог. Ингэснээр урьд нь үзэгдээгүй ransomware хувилбараас ч хамгаалах боломжтой.

Ransomware Mitigation нь илрүүлэлт болон нөхөн сэргээлтийн технологиор таны өгөгдлийг ransomware халдлагаас хамгаална. Ransomware мэдэгдэж байгаа ч, шинэ ч байсан GravityZone ер бусын шифрлэх оролдлогыг илрүүлж, процессыг хориглоно. Дараа нь файлуудыг нөөц хуулбараас нь эх байрлалд нь сэргээнэ.

Шаардлагатай бүрэлдэхүүн:

• GravityZone Control Center

• Security agent (Windows төгсгөлийн цэг болон серверт суулгасан Bitdefender Endpoint Security Tools)

> Тэмдэглэл: Ransomware Mitigation нь Advanced Threat Control болон Antimalware-ийг шаарддаг бөгөөд эдгээр нь төгсгөлийн цэг дэх security agent Detection and prevention горимд ажиллаж байх үед боломжтой.

Ransomware Mitigation-ийг суулгах, тохируулах

1. 1GravityZone Control Center-т нэвтэрнэ.

2. 2Зүүн талын цэснээс Installation Packages (Суулгах багц) хуудсыг нээнэ.

3. 3Баруун дээд буланд буй Create (Үүсгэх) товчийг дарна.

4. 4Шинэ суулгах багцын Name (Нэр) болон Description (Тайлбар)-ыг бичнэ.

5. 5Operation Mode нь Detection and prevention mode байгаа эсэхийг шалгана.

6. 6Суулгахыг хүссэн модулиудаа сонгоно.

> Тэмдэглэл: Advanced Threat Control болон Antimalware модулийг заавал сонгоно.

7. 7Save (Хадгалах)-ыг дарна.

8. 8Жагсаалтаас шинээр үүсгэсэн багцыг сонгоод Send download links (Татах холбоос илгээх)-ийг дарна.

9. 9Хүлээн авагчдын и-мэйл хаягийг оруулаад Send (Илгээх)-ийг дарна.

Боломжийг тохируулж, идэвхжүүлэх

Ransomware Mitigation-ийг тохируулахын тулд:

1. 1GravityZone Control Center-т нэвтэрнэ.

2. 2Зүүн талын цэснээс Policies (Бодлого) хуудсыг нээнэ.

3. 3Дараахын аль нэгийг хийнэ:

- Шинэ бодлого үүсгэх.
- Одоо байгаа бодлогын нэгийг засах.

4. 4Antimalware > On-Access хэсэгт On access-Scanning идэвхтэй эсэхийг шалгана.

5. 5Antimalware > On-Execute хэсэгт Advanced Threat Control идэвхтэй эсэхийг шалгана.

6. 6On-Execute хуудсан дээрээ байж доорх алхмаар боломжийг идэвхжүүлж, тохируулна:

1. Ransomware Mitigation нүдийг тэмдэглэж боломжийг идэвхжүүлнэ.

2. Ашиглах хяналтын горимыг сонгоно:

- Locally — GravityZone процессуудыг хянаж, төгсгөлийн цэг дээр дотооддоо эхэлсэн ransomware халдлагыг илрүүлнэ. Ажлын станцад санал болгоно. Гүйцэтгэлд нөлөөлдөг тул сервер дээр болгоомжтой ашиглана.

Local Ransomware Mitigation-д администратор Bitdefender-ийн аюулгүй байдлын бодлогыг төгсгөлийн цэгийн процессыг хянаж, дасан зохицох технологи халдлагыг илрүүлж хориглосон даруйд шифрлэгдсэн файлыг сэргээхээр тохируулж болно. Ransomware локал файлыг шифрлэж чадсан ч гэсэн нөхөн сэргээх технологи тэр даруй ажиллаж файлуудыг автоматаар эсвэл хүсэлтээр сэргээнэ. Хүсэлтээр сэргээх үед админ сэргээх цагийг өөрөө хянана.

- Remote — GravityZone сүлжээний хуваалцсан замд (network share) хандалтыг хянаж, өөр машинаас эхэлсэн ransomware халдлагыг илрүүлнэ. Төгсгөлийн цэг нь файлын сервер эсвэл сүлжээний хуваалцсан хавтастай бол энэ сонголтыг ашиглана.

Remote Ransomware Mitigation-д аюулгүй байдлын администратор алсаас хандах боломжтой сүлжээний хуваалцсан замыг хянаж, файл шифрлэгдэхээс сэргийлэх технологийг идэвхжүүлж болно. Алсын төгсгөлийн цэг дээр хэрэглэгчийн агент Ransomware Mitigation алсын хортой процессын үйлдлийг таслан файлыг хамгаалсныг баталгаажуулна. Bitdefender администраторууд аудитын тайланг хурдан гаргаж, алсын ransomware халдлага хаанаас (ямар IP хаягаас) эхэлсэн, ямар хамгаалалтын модуль төгсгөлийн цэгийг хамгаалсныг мэдэж болох бөгөөд халдлага хоригдоход халдагчийн IP хаягийг агуулсан и-мэйл мэдэгдэл ч авч болно.

3. Сэргээх аргыг сонгоно:

- On-demand — Аль халдлагаас файл сэргээхээ та гараар сонгоно. Үүнийг Reports > Ransomware Activity хуудсаас та өөрт тохирох үед хийж болох боловч халдлагаас хойш 30 хоногоос хэтрэхгүй байх ёстой. Тэр хугацаа өнгөрвөл сэргээх боломжгүй.
- Automatic — GravityZone ransomware илэрмэгц файлуудыг автоматаар сэргээнэ.

> Анхааруулга: Сэргээлт амжилттай болохын тулд төгсгөлийн цэгүүд хүртээмжтэй (асаалттай, сүлжээнд холбогдсон) байх ёстой.

Ransomware Mitigation-ийн үйл ажиллагааг харах

Энэ нь GravityZone-ийн таны удирдаж буй төгсгөлийн цэгүүд дээр илрүүлсэн ransomware халдлагуудын тухай мэдээлж, халдлагад өртсөн файлуудыг сэргээх хэрэгслээр хангана.

Энэ тайлан нь бусад тайлангаас тусдаа Control Center-ийн хуудас хэлбэрээр байх бөгөөд үндсэн цэснээс шууд нээгдэнэ.

Ransomware Activity хуудас нь ransomware халдлага бүрт дараахыг жагсаасан хүснэгтээс бүрдэнэ:

• Халдлага болсон төгсгөлийн цэгийн нэр, IP хаяг, FQDN
• Төгсгөлийн цэг харьяалагдах компани
• Халдлагын үед нэвтэрсэн хэрэглэгчийн нэр
• Халдлагын төрөл: local эсвэл remote
• Local халдлагын хувьд ransomware ажилласан процесс, remote халдлагын хувьд халдлага эхэлсэн IP хаяг
• Илрүүлсэн огноо, цаг
• Халдлага хоригдох хүртэл нөөцлөгдсөн файлын тоо
• Зорилтот төгсгөлийн цэг дээрх бүх файлын сэргээх үйлдлийн төлөв
• Илрүүлэлтэд авсан үйлдэл: Reported (мэдээлсэн) эсвэл Blocked (хориглосон)

Зарим дэлгэрэнгүй мэдээлэл өгөгдмөлөөр нуугдсан байдаг. Хүснэгтэд харуулах мэдээллээ тохируулахын тулд хуудасны баруун дээд буланд буй Show/Hide Columns товчийг дарна. Хүснэгтэд мөр олон бол хуудасны баруун дээд буланд буй Show/Hide filters товчоор шүүлтүүрийг нууж болно.

Файлын тоон дээр дарж нэмэлт мэдээлэл үзнэ. Тухайн ransomware халдлагад хамрагдсан бүх файлын эх болон сэргээсэн файлын бүтэн зам, сэргээлтийн төлөвийн жагсаалтыг харна.

Ransomware-аас файл сэргээхийн тулд:

1. 1Хүснэгтээс сэргээх халдлагуудаа сонгоно.

2. 2Restore files (Файл сэргээх) товчийг дарна. Баталгаажуулах цонх гарна.

Сэргээх даалгавар үүснэ. Түүний төлвийг GravityZone-ийн бусад даалгавар шиг Tasks хуудаснаас харна.

Илрүүлэлт нь хууль ёсны процессоос үүдсэн бол:

1. 1GravityZone Control Center-ийн зүүн талын цэснээс Policies > Configuration Profiles хуудсыг нээнэ.

2. 2Exclusions таб дээр байгаа эсэхээ шалгана.

3. 3Add exclusion (Үл хамаарах зүйл нэмэх) товчийг дарна.

4. 4Шаардлагатай мэдээллийг бөглөнө.

5. 5Add-ыг дарна.

GravityZone боломжтой бүх үл хамаарах жагсаалтыг хэрэглэнэ: хавтас, процесс, IP хаягаар.