Zamka za ransomware – Sprečite zaključavanje fileshare-a

Zamislite scenario – imate hiljade korisnika podeljenih na desetine eskpozitura, stotine odeljenja, svako odeljenje ima svoj fileshare, korisnici mu pristupaju preko mapiranog diska i većina ima read/write prava. Kompanije ove veličine su kod nas retke, ali priča podjednako važi i za mala preduzeća sa jednim fileshare serverom i desetak zaposlenih koji imaju full pristup. Sada zamislite da neko od zaposlenih nesvesno aktivira ransomware – i niko ništa ne primećuje sve dok neko ne pristupi fileshare-u i vidi da su sva dokumenta zaključana…

Nažalost, ovaj scenario se dogodio previše puta i događaće se sve češće. Antivirus program može da stopira ransomware samo ukoliko ima tačnu definiciju pretnje što otvara vremensku rupu u kojoj nove verzije neometano operišu po korisničkim podacima. Backup je najsigurnija zaštita, ali i za povrat podataka je potrebno određeno vreme, a vreme je novac. Dakle, potrebno je osmisliti reaktivni sistem koji će na vreme obavestiti administratora i sprečiti sumnjive aktivnosti na mreži. Na sreću, na ovo pitanje postoji odgovor, dostupan je od MS Windows Servera 2003 R2 i zove se File Server Resource Manager.

Linkovi na kraju članka će vas odvesti na detaljna uputstva za potrebna podešavanja. Ukratko, evo ideje:

• Aktivirajte File Server Resource Manager  na fileshare-u (nije podrazumevano aktivan)
• Napravite folder-zamku sa odgovarajućim imenom u postojećem fileshare-u
• Ime foldera mora da odvrati prave korisnike od neželjenog pristupa
• Prilikom sortiranja, poželjno je da ime pozicionira folder-zamku na početak fileshare-a
• Ukoliko kreirate više ovakvih foldera, pozicionirajte ih na različita mesta u fileshare-u
• Dajte svim korisnicima read/write prava nad tim folderom
• Podesite File Server Resource Manager da prati promene na tom folderu
• Ukoliko se promena desi, podesite notifikaciju i aktiviranje određene komande

Ova ideja se može izvesti na dva načina – moguće je pratiti bilo kakve promene na određenom folderu ili pojavu poznatih ransomware ekstenzija u bilo kom folderu. Možete primeniti i oba načina.

Praćenje određenog foldera: Stop Cryptolocker from Hitting Windows File Shares with FSRM 

Praćenje pojave zaključanih fajlova: Stop crypto badware before it ruins your day