Чек-лист для контроля мер защиты от шифровальщиков

[DoomeR18G]

Недурно

[NAI]

п.0 Есть ли у вас бюджет на ИБ\Бэкапы - Да\нет\на полшишечкихарда

[Shaman_RSHU]

п.-1 Пока ничего не случилось даже не задумывайтесь о бюджете

[volkovmm]

Да, пора писать книгу "Вредные советы для ИТ", автор Востер :) Ну типа такого:
https://vc.ru/flood/31320-vrednye-sovety-po-informacionnoi-bezopasnosti-stihi-dlya-vseh-i-ni-dlya-kogo

[Ratenti]

Слишком сложно

[volkovmm]

Нужен упрощенный вариант?

[kilgor-trout]

нет главного вопроса:
уже выкинули вантуз и АДэшечку, хотя бы с серверов и компа главного за бэкапы?

[jackcrane]

виндовз может бысть настроен на политику W^X (нестандартными и самодельными средствами, которые еще предстоит создать хехе).

[dimsoft]

А как без адешечки то жить ?

Может просто научиться готовить ?

[jackcrane]

Может просто научиться готовить ?

бесполезно. допустим вы обернете трафик AD в IPsec и сегментируете по приватным вланам.

один неаккуратный пользователь - одна затрояненая р.станция - один затрояненный сервер - далее везде, только чуть медленнее.

[dimsoft]

Завести RoDC - его и показывать пользователям и их рабочим станциям. Закрутить гайки с SRP или AppLocker.

[jackcrane]

только RoDC и показывать ? может быть. а ресурсные домены ?

SRP и Applocker - поделки уровня "переименуй файл в разрешенное имя чтобы он запустился", даже время тратить не стоит.

сигнатурные антивирусы не помогут против свежих и хорошо таргетированных атак.

поведенческие антивирусы - ничего не скажу, кроме ресурсопожирания.

[dimsoft]

Если прав на запись не давать, то от шифровальщиков помогают.

[jackcrane]

старый лозунг старых экстремистов "права не дают, права берут".

локальное повышение привилегий - слышали про такое ?

если удалось запустить полезную нагрузку локально - считайте что поимет локальный админ и локальная система (S-1-5-18)

[Ratenti]

Есть же контролируемый доступ к папкам

https://learn.microsoft.com/ru-ru/defender-endpoint/controlled-folders

[kilgor-trout]

>Может просто научиться готовить ?

может просто конторка ваша из числа неуловимых джо?

[dimsoft]

может просто конторка ваша из числа неуловимых джо?

Возможно, но цифровая гигиена лишней не будет. Если прямо "хакеры" и прямо нас, то проще линейному персоналу денег предложить :)

[post_ed]

Помимо veeam, добавил машину на freebsd, которая сама тянет раз в неделю с помощью rsync файлы с windows server (использовал cwRsync)

[volkovmm]

хорошее решение

[volkovmm]

В личном сообщении предложили добавить в чек-лист:

1. Мониторится ли успешность выполнения бэкапа

2. Тестируется ли восстановление из бэкапа, DRP план

3. Закрыты ли небезопасные порты\протоколы

4. Контроль привилегированных пользователей

5. Есть ли резервные (независимые) точки подключения администраторов к инфраструктуре и резервным копиям

6. Проводится ли регулярное тестирование уязвимости и пентест

7. Устраняются ли обнаруженные уязвимости по результату тестирования

[Atolstikov]

Можно добавить, что резервные копии не должны делаться на сетевые диски. Ну и забирать периодически на S3 какой-нибудь.

[volkovmm]

Правило 3-2-1 + 1?

[Atolstikov]

Закрыты ли небезопасные порты/протоколы? - Может надо в листе расписать их все?

[volkovmm]

Стоит сделать приложение к статье в формате рекомендаций?