Блокировка вымогателей как Cryptolocker

Question

Вот сценарий. У нас есть около 15-25 физических машин, несколько виртуальных, 3 или 4 файловых сервера, мобильные устройства - все это работает в одном домене. Пользователь сообщил, что он был заражен CryptoLocker (вымогателем), и поскольку он является частью домена, нет никаких оснований подозревать, что вымогатель не заблокировал общие файлы на сетевых дисках или общих дисках других машин.

Я заметил, что метод заражения был по электронной почте (очень правдоподобное письмо с вложением в PDF-файл), поэтому, очевидно, приличный спам-фильтр будет хорошей отправной точкой, но больше всего меня беспокоило то, что у нас запущены резервные копии, которые по-прежнему будут создавать резервные копии этих криптовалют. d файлы, если какая-либо машина заражена. Так как могут пройти месяцы, прежде чем открыть зашифрованный файл был заблокирован (большинство вымогателей дает вам только 48 - 72 часа для восстановления ваших данных перед удалением закрытого ключа), что мы можем предпринять, чтобы предотвратить это К тому же приличный A/V и спам-фильтр.

Меня беспокоит, что некоторые из них могут проскользнуть через сеть, и мы ничего не можем сделать, когда машина заражена.

Answer 1

Так как могут пройти месяцы, прежде чем открыть зашифрованный файл был заблокирован (большинство вымогателей дает вам только 48 - 72 часа для восстановления ваших данных перед удалением закрытого ключа), что мы можем предпринять, чтобы предотвратить это К тому же приличный A/V и спам-фильтр.

Вы делаете все, что можете. Похоже, обучение пользователей должно быть добавлено в список.

Меня беспокоит, что некоторые из них могут проскользнуть через сеть, и мы ничего не можем сделать, когда машина заражена.

Регулярное резервное копирование в автономном режиме - единственный способ борьбы с вредоносными программами, такими как Cryptolocker. Cryptolocker - это только начало.

Answer 2

В предыдущей компании, в которой я работал, мы использовали объект групповой политики, чтобы блокировать все программы и приложения от использования каталога TEMP, что, похоже, очень помогло. Наш брандмауэр показал несколько попыток Cyrpto проникнуть в систему, но все они провалились. Мы также делали регулярные резервные копии, ежедневно, еженедельно, ежемесячно и ежеквартально. Помимо этих шагов единственным другим вариантом является обучение пользователей.