Olukord
Eraklinik Vilniuses, Leedus: 150 töötajat, kolm asukohta, labor ja oma patsiendi infosüsteem. Serverid asusid kliiniku ruumides, varukoopiaid kirjutati samas võrgus olevasse NAS-seadmesse ning viirusetõrje oli tavaline toode ilma keskse konsoolita.
Reede õhtul märkas administraator, et patsiendikaardid ei avane enam registratuuri arvutis. Öösel oli lunavara krüpteerinud failiserveri, patsiendisüsteemi andmebaasi ja kõige valusamalt varukoopiatega NAS-i, sest see oli ühendatud tavalise võrgukettana. Nädala aja töötas kliinik paberil: registreerimine telefoni teel, analüüsitulemused prinditi laboris, osa vastuvõtte jäeti ära. Andmeid taastati vanemast, ebaregulaarselt tehtud varukoopiast välisel kettal ja patsiendisüsteemi tarnija igakuisest varukoopiast. Osa selle nädala kandeid ei õnnestunud taastada.
Kliiniku juht pöördus meie poole kaks nädalat pärast intsidenti. Ülesanne oli selge: tagada, et see ei juhtu enam kunagi, ja kui juhtub, siis taastamine võtaks tunde, mitte nädala.
Mida vaja oli
- Varukoopiad, millele ründaja ei pääse ligi isegi võrgu administraatoriõigustega.
- Taasteaeg, mis ei peata patsientide vastuvõttu kauemaks kui üheks päevaks.
- Regulaarsed taastetestid kirjalike aruannetega, mida palus ka kliiniku andmekaitsespetsialist.
- Lõpp-punktide kaitse, mis peatab krüpteerimise, mitte ei teata sellest ainult.
- Väline meeskond lahendust hooldamas, sest kliinikul pole oma IT-administraatorit.
Mida me tegime
1. nädal: keskkonna puhastamine pärast intsidenti
Kõigepealt tegime kindlaks, et pahavara on kadunud: ehitasime failiserveri uuesti üles, vahetasime kõik administraatoriparoolid, lülitasime välja vanad protokollid ja eraldasime serverivõrgu töökohtadest. See oli hädavajalik, sest pole mõtet teha varukoopiaid keskkonnast, kus võib veel olla ründaja ligipääs.
2.–3. nädal: Veeam ja muutumatud varukoopiad
Juurutasime Veeami varunduse 3-2-1 põhimõttel: koopia kohalikus hoidlas kiireks taastamiseks, koopia MDP CLOUD andmekeskuses Leedus ja lisakoopia Amazoni andmekeskuses Saksamaal. Peamine erinevus varasemast lahendusest on muutumatu varukoopia: hoidla ei ole kliiniku võrgust nähtav, koopiaid ei saa kindlaksmääratud säilitusaja jooksul muuta ning isegi Veeami administraator ei saa neid kustutada ega üle kirjutada. Ka kohalik hoidla on isoleeritud: sellega suhtleb ainult varundusserver, mitte töökohad.
Patsiendisüsteemi andmebaasist seadsime varukoopiad iga tunni ja failidest ning e-kirjadest iga päev. Säilitusajad kooskõlastati kliiniku dokumentide säilitamise nõuetega. Meie meeskond jälgib varukoopiate seisukorda: ebaõnnestunud töö või mittevastav kontrollsumma muutub samal päeval kasutajatoe pöördumiseks ning kliiniku juhtkond saab lühikese nädalaaruande selle kohta, mitu varukoopiat tehti ja kui palju ruumi on veel alles.
Kõige keerulisem oli patsiendi infosüsteem: selle tarnija nõudis, et andmebaasi varundataks ainult tarnija enda vahenditega. Leppisime kokku kahekordse skeemi. Tarnija varukoopia jääb alles ning Veeam varundab lisaks kogu serveri, nii et taastamisel ei pea süsteemi uuesti paigaldama ja seadistama.
4. nädal: EDR-kaitse
Kõigis arvutites ja serverites juurutasime Bitdefender GravityZone’i EDR-i ja lunavara kaitsega, mis peatab massilise krüpteerimise ja taastab mõjutatud failid. Meie meeskond jälgib konsooli; kahtlane tegevus suunatakse edasi kliiniku vastutavale isikule.
5. nädal: taastetest
Esimene täielik taastetest: muutumatust varukoopiast taastasime patsiendisüsteemi serveri ja failiserveri isoleeritud keskkonda MDP CLOUD pilves. See võttis 6 tundi, millest enamik kulus andmebaasi kontrollimisele koos süsteemi tarnijaga. Aruandele kirjutasid alla kliiniku juht ja andmekaitsespetsialist.
Tulemus
Taasteaeg vähenes nädalalt 6 tunnini ning seda mõõdeti testi käigus, mitte ei hinnatud plaanis. Kliiniku võrgust ligipääsetavate varukoopiate arv on nüüd null. Taastetestid toimuvad igal kuul väiksemas mahus (üksikud failid, üks server) ja täielikku taastamist korratakse iga kuue kuu tagant.
Kliinikul on nüüd iga testi kohta auditiaruanne: kuupäev, taastatud süsteemid, kestus, tekkinud probleemid. Neid küsisid nii andmekaitsespetsialist kui ka kindlustaja küberkindlustuse poliisi uuendamisel. Esimese kuue kuu jooksul peatas EDR-konsool töötajate arvutites kahtlase tegevuse kaks korda, mõlemal juhul põhjustasid selle nakatunud e-kirja manused ning ükski juhtum ei jõudnud serveriteni.
„Varem arvasime, et meil on varukoopiad. Nüüd teame, et kuue tunni pärast võtame patsiente jälle vastu.“
Mida me sarnases olukorras soovitaksime
- Varukoopia, mida näete võrgukettana, ei kaitse lunavara eest. Vähemalt üks koopia peab olema muutumatu ja võrgust kättesaamatu.
- Määrake taasteaeg ettevõtte vajaduste järgi: mitu tundi saate ilma süsteemita töötada. Varundamise sagedus ja hoidlate ülesehitus tulenevad sellest.
- Testige taastamist regulaarselt ja kirjutage aruanded. Varukoopia ilma testita on ainult oletus.
- Puhastage pärast intsidenti kõigepealt keskkond ja alles siis viige varukoopiad üle, vastasel juhul kopeerite kaasa ka ründaja ligipääsu.
