Вирусы-шифровальщики (ransomware) — одна из самых серьёзных угроз для бизнеса в 2025 году. Они шифруют все файлы на компьютерах и серверах, требуя выкуп за расшифровку. По статистике, каждая третья компания сталкивается с такой атакой, а средний ущерб составляет несколько миллионов рублей.
Хорошая новость: от шифровальщиков можно защититься. Нужен комплексный подход: технические меры, правильные процессы и обучение сотрудников. Разберём по шагам.
Как работают шифровальщики
Понимание механизма атаки помогает лучше защищаться. Большинство шифровальщиков попадают в систему через:
- Фишинговые письма с вложениями (Word, PDF, архивы)
- Вредоносные ссылки в email и мессенджерах
- Уязвимости в программном обеспечении (не обновлённые Windows, браузеры)
- Удалённый доступ (RDP) с простыми паролями
- Заражённые USB-флешки
Попав в систему, вирус ищет все файлы (документы, базы данных, архивы) и шифрует их. Затем выводит на экран сообщение с требованием выкупа в биткоинах. Без ключа расшифровки восстановить данные практически невозможно.
Важно: даже если заплатить выкуп, нет гарантии, что злоумышленники пришлют ключ. Более того, вы станете «помеченным» клиентом и можете стать жертвой повторной атаки.
1. Многоуровневая антивирусная защита
Базовый антивирус на рабочих местах — это минимум, но недостаточно. Нужна защита на всех уровнях: рабочие станции, серверы, почтовый сервер, файрвол.
Рабочие станции
Что должно быть установлено:
- Корпоративный антивирус с защитой в реальном времени (Kaspersky Endpoint Security, Dr.Web Security Space)
- Защита от неизвестных угроз (эвристика, поведенческий анализ)
- Блокировка выполнения скриптов из временных папок
- Контроль устройств (блокировка USB, если не нужно)
Серверы
Серверы — главная цель атак. На них хранятся базы данных, файловые хранилища, бэкапы. Защита серверов критична.
Меры защиты серверов:
- Антивирус для серверов (специальные версии с минимальной нагрузкой)
- Белые списки приложений (разрешены только нужные программы)
- Мониторинг подозрительной активности
- Изоляция серверов от интернета (доступ только через VPN)
Почтовый сервер
Почта — основной канал заражения. Нужна многоуровневая защита:
- Антивирусная проверка всех вложений
- Песочница для подозрительных файлов
- Блокировка опасных расширений (.exe, .js, .vbs в архивах)
- Фильтрация спама и фишинга
Современные решения (например, Kaspersky Security для почты) проверяют файлы в изолированной среде перед доставкой пользователю. Это блокирует даже неизвестные угрозы.
2. Резервное копирование: ваш главный защитник
Если шифровальщик всё же попал в систему и зашифровал данные — бэкапы станут вашим спасением. Но бэкапы должны быть правильными.
Правило 3-2-1
- 3 копии данных (оригинал + 2 резервные)
- 2 разных носителя (например, локальный диск + облако)
- 1 копия вне офиса (облако или другой офис)
Почему это важно: если шифровальщик зашифрует локальные диски, у вас останется копия в облаке. Если зашифрует и облако (редко, но бывает) — есть вторая копия.
Защита бэкапов от шифрования
Современные шифровальщики ищут и шифруют не только рабочие данные, но и бэкапы. Нужно защитить резервные копии:
Как защитить бэкапы:
- Хранить копии на отдельном сервере без доступа из сети
- Использовать облачные хранилища с версионированием (старые версии не перезаписываются)
- Настроить immutable-хранилища (нельзя удалить или изменить)
- Регулярно тестировать восстановление (раз в квартал минимум)
Правило: бэкап, из которого нельзя восстановиться, — это не бэкап. Регулярно проверяйте целостность копий и практикуйте восстановление.
Частота копирования
Рекомендации по частоте:
- Критичные данные (базы 1С, документы): каждый час или каждые 4 часа
- Файловые хранилища: раз в день
- Полный бэкап серверов: раз в неделю
- Архивные копии: раз в месяц, хранить 3-6 месяцев
3. Обновления и исправления уязвимостей
Многие атаки используют известные уязвимости в Windows, браузерах, офисных программах. Если система не обновлена — она уязвима.
Что нужно обновлять регулярно:
- Операционная система (Windows Update)
- Браузеры (Chrome, Edge, Firefox)
- Офисные программы (Microsoft Office, LibreOffice)
- Java, Adobe Reader и другое ПО
- Сетевое оборудование (роутеры, коммутаторы)
Автоматизация обновлений
Ручное обновление — это забытые обновления. Нужна автоматизация:
- WSUS для Windows (централизованное управление обновлениями)
- Автоматические обновления браузеров
- Политики групповых политик для принудительных обновлений
- Мониторинг устаревшего ПО
Критические обновления безопасности нужно устанавливать в течение 24-48 часов после выхода. Откладывание — это риск.
4. Ограничение прав доступа
Принцип наименьших привилегий: пользователи должны иметь доступ только к тому, что нужно для работы. Административные права — только администраторам.
Практические меры:
- Обычные пользователи работают без прав администратора
- Запрет установки программ без разрешения IT-отдела
- Ограничение доступа к сетевым папкам (только нужные)
- Разделение прав на серверах (отдельные учётные записи для разных задач)
- Регулярный аудит прав доступа (кто имеет доступ к чему)
Если шифровальщик попадёт на компьютер обычного пользователя без прав администратора — он не сможет зашифровать системные файлы и файлы других пользователей. Ущерб будет ограничен.
5. Защита удалённого доступа
RDP (удалённый рабочий стол) — популярная цель для атак. Если RDP доступен из интернета с простым паролем — злоумышленники могут взломать его за минуты.
Как защитить удалённый доступ:
- Использовать VPN вместо прямого RDP в интернет
- Сложные пароли (минимум 12 символов, буквы, цифры, спецсимволы)
- Двухфакторная аутентификация (2FA)
- Ограничение доступа по IP (белый список)
- Смена стандартного порта RDP (3389)
- Мониторинг попыток входа (блокировка после нескольких неудачных)
Лучший вариант — корпоративный VPN. Пользователи подключаются к VPN, а затем получают доступ к внутренним ресурсам. Это закрывает прямой доступ из интернета.
6. Обучение сотрудников
Технические меры важны, но человеческий фактор остаётся главной уязвимостью. 90% атак начинаются с фишингового письма, на которое кто-то кликнул.
Что нужно объяснить сотрудникам:
- Не открывать вложения от неизвестных отправителей
- Не переходить по подозрительным ссылкам
- Проверять адрес отправителя (подделка email — обычное дело)
- Сообщать в IT-отдел о подозрительных письмах
- Не подключать неизвестные USB-устройства
- Использовать сложные пароли и не передавать их никому
Регулярное обучение
Одноразовый инструктаж не работает. Нужны регулярные напоминания:
- Ежеквартальные тренинги по кибербезопасности
- Тестовые фишинговые письма (проверка бдительности)
- Информационные рассылки с примерами новых угроз
- Чёткие инструкции: что делать при подозрительной активности
7. Мониторинг и обнаружение угроз
Чем раньше обнаружена атака — тем меньше ущерб. Нужен мониторинг подозрительной активности.
Что мониторить:
- Массовое шифрование файлов (аномальная активность)
- Подозрительные сетевые соединения
- Попытки получить административные права
- Необычная активность пользователей (в нерабочее время, с необычных IP)
- Ошибки в логах антивируса
Современные системы безопасности (SIEM, EDR) анализируют события в реальном времени и предупреждают о подозрительной активности.
План действий при заражении
Если шифровальщик всё же попал в систему — важны первые минуты. Правильные действия минимизируют ущерб.
Что делать немедленно:
- Отключить заражённый компьютер от сети (выдернуть кабель)
- Отключить все серверы от сети (чтобы вирус не распространился)
- Не выключать компьютеры (для анализа)
- Сообщить в IT-отдел или аутсорсеру
- Не платить выкуп (нет гарантии восстановления)
Следующие шаги:
- Определить масштаб заражения (какие компьютеры и серверы затронуты)
- Остановить распространение (блокировка сети, изоляция сегментов)
- Восстановить данные из бэкапов
- Очистить систему от вируса
- Провести анализ инцидента (как произошло заражение)
- Усилить защиту (закрыть найденные уязвимости)
Время критично. Чем быстрее отреагируете — тем меньше данных будет зашифровано. Имейте готовый план действий и контакты IT-поддержки 24/7.
Чек-лист защиты от шифровальщиков
Проверьте, что у вас есть:
- ✓ Антивирус на всех рабочих местах и серверах
- ✓ Защита почтового сервера (антивирус, песочница)
- ✓ Регулярные бэкапы по правилу 3-2-1
- ✓ Бэкапы защищены от шифрования (отдельный сервер, облако с версионированием)
- ✓ Автоматические обновления Windows и ПО
- ✓ Пользователи работают без прав администратора
- ✓ Защищённый удалённый доступ (VPN, 2FA)
- ✓ Обучение сотрудников (регулярные тренинги)
- ✓ Мониторинг подозрительной активности
- ✓ План действий при инциденте
Резюме
Защита от шифровальщиков — это не разовая настройка, а комплекс мер и процессов. Нужны технические решения (антивирус, бэкапы, обновления), правильные процессы (ограничение прав, мониторинг) и обучение людей.
Главное правило: не надейтесь на один инструмент. Многоуровневая защита — это когда даже если один уровень провалился, остальные остановят атаку.
Мы в MITPro помогаем компаниям защититься от киберугроз: настраиваем антивирусную защиту, организуем резервное копирование, проводим аудит безопасности. Если хотите проверить, насколько ваша инфраструктура защищена — закажите бесплатную консультацию.