Ransomware Mitigation: суулгах, тохируулах, шифрлэгдсэн файлыг сэргээх

Ransomware Mitigation (ransomware-ийн нөлөөллийг бууруулах) нь идэвхтэй ransomware (золиос нэхэгч хортой программ)-ын халдлагын нөлөөллийг багасгах зориулалттай боломж юм.

Файл шифрлэгдэхэд түүний санамсаргүй байдал (энтропи) эрс өснө. Ransomware Mitigation нь дискэн дээрх болон бичих оролдлого үед файлын энтропийн өсөлтийг хянадаг. Файлыг шифрлэх хүсэлт (санамсаргүй байдал тодорхой хязгаараас хэтэрсэн өсөлт) гарахад санах ойд түр нөөц хуулбар үүсгэж, файлын өөрчлөлт дууссаны дараа эх файлыг сэргээнэ. Энэ арга нь Volume Shadow Copy үйлчилгээ эсвэл бусад статик нөөцлөлтөд найддаггүй, учир нь халдагчид тийм нөөц өгөгдлийг бараг үргэлж устгадаг. Shadow copy устгах хүсэлт нь EDR зөрчил (incident) үүсгэх нэг шалтгаан болдог. Ингэснээр урьд нь үзэгдээгүй ransomware хувилбараас ч хамгаалах боломжтой.

Ransomware Mitigation нь илрүүлэлт болон нөхөн сэргээлтийн технологиор таны өгөгдлийг ransomware халдлагаас хамгаална. Ransomware мэдэгдэж байгаа ч, шинэ ч байсан GravityZone ер бусын шифрлэх оролдлогыг илрүүлж, процессыг хориглоно. Дараа нь файлуудыг нөөц хуулбараас нь эх байрлалд нь сэргээнэ.

Шаардлагатай бүрэлдэхүүн:

• GravityZone Control Center
• Хамгаалалтын агент (Windows төхөөрөмж болон сервер дээр суулгасан Bitdefender Endpoint Security Tools)

  Тэмдэглэл

  Ransomware Mitigation нь Advanced Threat Control болон Antimalware-ийг шаарддаг бөгөөд эдгээр нь төхөөрөмж дээрх хамгаалалтын агент Detection and prevention горимд ажиллаж байх үед боломжтой.

Ransomware Mitigation-ийг суулгах, тохируулах

1. 1
   GravityZone Control Center-т нэвтэрнэ.
2. 2
   Зүүн талын цэснээс Installation Packages (Суулгах багц) хуудсыг нээнэ.
3. 3
   Баруун дээд буланд буй Create (Үүсгэх) товчийг дарна.
4. 4
   Шинэ суулгах багцын Name (Нэр) болон Description (Тайлбар)-ыг бичнэ.
5. 5
   Operation Mode нь Detection and prevention mode байгаа эсэхийг шалгана.
6. 6
   Суулгахыг хүссэн модулиудаа сонгоно.

   Тэмдэглэл

   Advanced Threat Control болон Antimalware модулийг заавал сонгоно.

7. 7
   Save (Хадгалах)-ыг дарна.
8. 8
   Жагсаалтаас шинээр үүсгэсэн багцыг сонгоод Send download links (Татах холбоос илгээх)-ийг дарна.
9. 9
   Хүлээн авагчдын и-мэйл хаягийг оруулаад Send (Илгээх)-ийг дарна.

Боломжийг тохируулж, идэвхжүүлэх

Ransomware Mitigation-ийг тохируулахын тулд:

1. 1
   GravityZone Control Center-т нэвтэрнэ.
2. 2
   Зүүн талын цэснээс Policies (Бодлого) хуудсыг нээнэ.
3. 3
   Дараахын аль нэгийг хийнэ:

   • Шинэ бодлого үүсгэх.
   • Одоо байгаа бодлогын нэгийг засах.
4. 4
   Antimalware > On-Access хэсэгт On access-Scanning идэвхтэй эсэхийг шалгана.
5. 5
   Antimalware > On-Execute хэсэгт Advanced Threat Control идэвхтэй эсэхийг шалгана.
6. 6
   On-Execute хуудсан дээрээ байж доорх алхмаар боломжийг идэвхжүүлж, тохируулна:

   1. Ransomware Mitigation нүдийг тэмдэглэж боломжийг идэвхжүүлнэ.
   2. Ашиглах хяналтын горимыг сонгоно:
      • Locally — GravityZone процессуудыг хянаж, төхөөрөмж дээр дотооддоо эхэлсэн ransomware халдлагыг илрүүлнэ. Ажлын станцад санал болгоно. Гүйцэтгэлд нөлөөлдөг тул сервер дээр болгоомжтой ашиглана.

        Local Ransomware Mitigation-д администратор Bitdefender-ийн аюулгүй байдлын бодлогыг төхөөрөмжийн процессыг хянаж, дасан зохицох технологи халдлагыг илрүүлж хориглосон даруйд шифрлэгдсэн файлыг сэргээхээр тохируулж болно. Ransomware локал файлыг шифрлэж чадсан ч гэсэн нөхөн сэргээх технологи тэр даруй ажиллаж файлуудыг автоматаар эсвэл хүсэлтээр сэргээнэ. Хүсэлтээр сэргээх үед админ файлыг сэргээх цагийг өөрөө хянана.

      • Remote — GravityZone сүлжээний хуваалцсан замд (network share) хандалтыг хянаж, өөр машинаас эхэлсэн ransomware халдлагыг илрүүлнэ. Төхөөрөмж нь файлын сервер эсвэл сүлжээний хуваалцсан хавтастай бол энэ сонголтыг ашиглана.

        Remote Ransomware Mitigation-д аюулгүй байдлын администратор алсаас хандах боломжтой сүлжээний хуваалцсан замыг хянаж, файл шифрлэгдэхээс сэргийлэх технологийг идэвхжүүлж болно. Алсын төхөөрөмж дээр хэрэглэгчийн агент Ransomware Mitigation алсын хортой процессын үйлдлийг таслан файлыг хамгаалсныг баталгаажуулна. Bitdefender администраторууд аудитын тайланг хурдан гаргаж, алсын ransomware халдлага ямар IP хаягаас эхэлсэн, ямар хамгаалалтын модуль төхөөрөмжийг хамгаалсныг мэдэж болох бөгөөд халдлага хоригдоход халдагчийн IP хаягийг агуулсан и-мэйл мэдэгдэл ч авч болно.

   3. Сэргээх аргыг сонгоно:
      • On-demand — Аль халдлагаас файл сэргээхээ та гараар сонгоно. Үүнийг Reports > Ransomware Activity хуудсаас өөрт тохирох үед хийж болох боловч халдлагаас хойш 30 хоногоос хэтрэхгүй байх ёстой. Тэр хугацаа өнгөрвөл сэргээх боломжгүй.
      • Automatic — GravityZone ransomware илэрмэгц файлуудыг автоматаар сэргээнэ.

      Чухал

      Сэргээлт амжилттай болохын тулд төхөөрөмжүүд хүртээмжтэй (асаалттай, сүлжээнд холбогдсон) байх ёстой.

Ransomware Mitigation-ийн үйл ажиллагааг харах

Энэ хуудас нь GravityZone-ийн таны удирдаж буй төхөөрөмжүүд дээр илрүүлсэн ransomware халдлагуудын тухай мэдээлж, халдлагад өртсөн файлуудыг сэргээх хэрэгслээр хангана.

Энэ тайлан нь бусад тайлангаас тусдаа Control Center-ийн хуудас хэлбэрээр байх бөгөөд үндсэн цэснээс шууд нээгдэнэ.

Ransomware Activity хуудас нь ransomware халдлага бүрт дараахыг жагсаасан хүснэгтээс бүрдэнэ:

• Халдлага болсон төхөөрөмжийн нэр, IP хаяг, FQDN
• Төхөөрөмж харьяалагдах компани
• Халдлагын үед нэвтэрсэн хэрэглэгчийн нэр
• Халдлагын төрөл: локал эсвэл алсын (remote)
• Локал халдлагын хувьд ransomware ажилласан процесс, алсын халдлагын хувьд халдлага эхэлсэн IP хаяг
• Илрүүлсэн огноо, цаг
• Халдлага хоригдох хүртэл нөөцлөгдсөн файлын тоо
• Зорилтот төхөөрөмж дээрх бүх файлын сэргээх үйлдлийн төлөв
• Илрүүлэлтэд авсан үйлдэл: Reported (мэдээлсэн) эсвэл Blocked (хориглосон)

Зарим дэлгэрэнгүй мэдээлэл өгөгдмөлөөр нуугдсан байдаг. Хүснэгтэд харуулах мэдээллээ тохируулахын тулд хуудасны баруун дээд буланд буй Show/Hide Columns товчийг дарна. Хүснэгтэд мөр олон бол хуудасны баруун дээд буланд буй Show/Hide filters товчоор шүүлтүүрийг нууж болно.

Файлын тоон дээр дарж нэмэлт мэдээлэл үзнэ. Тухайн ransomware халдлагад хамрагдсан бүх файлын эх болон сэргээсэн файлын бүтэн зам, сэргээлтийн төлөвийн жагсаалтыг харна.

Ransomware-аас файл сэргээхийн тулд:

1. 1
   Хүснэгтээс сэргээх халдлагуудаа сонгоно.
2. 2
   Restore files (Файл сэргээх) товчийг дарна. Баталгаажуулах цонх гарна.

   Сэргээх даалгавар үүснэ. Түүний төлвийг GravityZone-ийн бусад даалгавар шиг Tasks хуудаснаас харна.

Илрүүлэлт нь хууль ёсны процессоос үүдсэн бол:

1. 1
   GravityZone Control Center-ийн зүүн талын цэснээс Policies > Configuration Profiles хуудсыг нээнэ.
2. 2
   Exclusions таб дээр байгаа эсэхээ шалгана.
3. 3
   Add exclusion (Үл хамаарах зүйл нэмэх) товчийг дарна.
4. 4
   Шаардлагатай мэдээллийг бөглөнө.
5. 5
   Add-ыг дарна.

   GravityZone боломжтой бүх үл хамаарах жагсаалтыг (exclusion) хэрэглэнэ: хавтас, процесс, IP хаягаар.