Czy przed wirusami szyfrującymi dane, wystarczy zabezpieczyć antywirusem kluczowe komputery w sieci? Microsoft Defender wystarczy?

Ataki wirusów szyfrujących dane (ransomware), wyłudzające okup za możliwość odzyskania danych - często potencjalną, pokazują, że podejście do zabezpieczeń antywirusowych może być zbyt powierzchowne.

Z praktyki moich obserwacji, ryzyko wynika z kilku powodów, występujących często łącznie.

1) Brak monitorowania zagrożeń, w tym, poprawności działania antywirusów na komputerach pracowników i na serwerach w połączeniu z uprawnieniami administratora w systemie.
Realizm obserwowany na co dzień w firmach klientów pokazuje, że często nawet jak pojawi się okno z ostrzeżeniem na stanowisku pracownika, jest ono bez czytania zamykane, a jeśli pracownik ma jeszcze uprawnienia administratora i brak blokady w zarządzaniu antywirusem, to wręcz wyłączy ochronę by mu coś tam nie plumkało co chwila. Zresztą niejeden szef też bywało, że tak zrobił. Liczy się skuteczność i szybkość działania przecież. ;) Ja się tutaj skupię oczywiście na rozwiązaniach technicznych a nie socjologicznych, choć szkolenia w zakresie świadomości cyberzagrożeń, nie są dziś czymś egzotycznym.

2) Stosowanie zabezpieczeń antywirusowych tylko na wybranych komputerach.
To po prostu brak świadomości wektorów ataku wirusa połączona z przekonaniem, że to niezła oszczędność, a każda inna opcja to naciąganie. Często słyszę, że przecież mam antywirusa na komputerze, na którym robię przelewy, a do tego część osób bardziej "informatycznych", dodaje, że wbudowany w system Windows, Microsoft Defender jest niezły w testach, więc po co przepłacać?

3) Pomijanie zabezpieczeń na serwerach.
Jeśli na serwerze z systemem MS Windows antywirus jest, to często nikt nie monitoruje jego stanu, więc nie wie czy działa, czy aktualizują się bazy szczepionek, czy nie zawiesił się albo wykrył zagrożenie i oczekuje na decyzje administratora dotyczącą np. restartu w celu usunięcia zagrożenia. Nie mniej rzadkie, jest instalowanie mało skutecznych programów antywirusowych tudzież brak ich właściwej konfiguracji, co wydawać by się mogło śmieszne, dopóki samemu nie zobaczy się faktów na własne oczy.
Wiele jest też serwerów bez programów antywirusowych działających stale w tle, przykładowo taki serwer plików NAS (ang. Network Attached Storage). A co mu się stanie? Otóż jemu zapewne nic, ale to on może być nosicielem, czekającym jak bomba z opóźnionym zapłonem na swój czas, czyli chociażby pkt.1.

4) Ignorowanie innych źródeł ataku niż komputer PC / laptop.
Przeniknięcie wirusa z poziomu drukarki sieciowej należy do rzadkości, choć jest możliwe. Zainfekowany smartfon podłączony do WiFi sieci lokalnej, to już bardziej prawdopodobne źródło problemu, choć nadal nie tak częste to jednak po co kusić los? Często udostępnia się pracownikom lub klientom, do celów prywatnych/własnych, tę samą sieć WiFi co firmowa, a smartfonów firmowych w ogóle się nie zabezpiecza, no bo przecież po co...

Zatem odpowiadając na pierwszą część postawionego w tytule pytania: nie wystarczy zabezpieczyć kluczowe komputery w sieci antywirusem, przed wirusami szyfrującymi dane - powinniśmy uwzględnić wszystkie możliwe drogi ataku i nadzorować działanie tych zabezpieczeń, o ile podejście Państwa pracowników jest takie, jak opisałem w pierwszym punkcie powyżej.
Owszem, istnieją sieci wyizolowane, które nazywają się intranetem, jak np. w bankach czy urzędach, gdzie komunikacja z internetem jest całkowicie odcięta lub ewentualnie możliwa tylko w określonym zakresie. Oczywiście użyć pendrive'a też się nie da. To jednak rzadkie scenariusze, choć czasem warte rozważenia, np. na komputerze obsługującym tokarkę.
Są też sieci z restrykcjami, gdzie filtrowanie zagrożeń z Internetu następuje już na wejściu, na przykład z pomocą bram UTM (ang. Unified Threat Management), na których poza funkcjami zapory sieciowej, często instalowane jest specjalistyczne oprogramowanie antywirusowe, a administrator może blokować ruch wg określonych kryteriów, zezwalając na wejście tylko na konkretne adresy. Takie rozwiązania często stosują korporacje, choć to nie znaczy, że rezygnują całkowicie z ochrony na indywidualnych stanowiskach czy tym bardziej serwerach.

Celem ataku poza plikami na urządzeniu zainfekowanym, są zasoby udostępnione w sieci z innych komputerów, serwerów czy urządzeń, a w skrajnych przypadkach, owe zasoby nawet nie muszą być udostępnione świadomie. Wirus też potrafi sobie odblokować dostęp lub znaleźć ukryty zasób.
O ile możemy w większości przypadków liczyć na to, że program antywirusowy wykryje sygnaturę wirusa gdy ten odpali złośliwy kod w lokalnym systemie, o tyle jeżeli zostanie uruchomiony z urządzenia słabiej zabezpieczonego i wykona operację np. na dysku udostępnionym w sieci, nie zostanie wykryty jako zagrożenie. Działanie takiego wirusa szyfrującego przypomina bowiem użycie programu kompresującego jak ZIP czy RAR.
Monitorowanie powinno odbywać się przez cały czas działania stanowisk PC, a tym bardziej serwerów, a odczyt stanu powinien następować na bieżąco, za sprawą chociażby powiadomienia mailem. Takie monitorowanie może Państwu zapewnić odpowiednie oprogramowanie, a odczytami i analizą zdarzeń, może zająć się administrator w ramach umowy na obsługę informatyczną.

Poza programem antywirusowym, ważnym jest też zadbanie o zaktualizowany system operacyjny i aplikacje, jak choćby przeglądarka internetowa czy sam program antywirusowy oraz regularne eliminowanie luk na urządzeniach sieciowych (np. router czy drukarka). Antywirus często "odnawiany" jest jedynie przez wpisanie corocznie nowego kodu albo nawet tylko kupienie (a nie każdy antywirus sam się tym sposobem "odnowi"). Widuję też bardzo stare i wolne komputery lub systemy w stanie agonalnym, nierzadko jeszcze na gwarancji, bo kto by dopłacał za instalowanie systemu, skoro ten jest wgrany przez producenta? Na włączenie takiego komputera, użytkownik czeka za każdym razem po 15 minut, a sprzedawca uważa, że ten typ tak ma. Takie systemu mogą przepuścić wirusa, gdyż brakuje im zasobów do poprawnej pracy modułów ochrony. Argumentem klienta jest, że "to tylko maszyna do pisania i wystawiania faktur". Niestety, nie jest to racjonalna optymalizacja kosztów, analogiczna do tego co kupienie pracownikowi przewodowej myszki, bo tańsza.

Przejdźmy zatem do drugiej części pytania: czy w systemach Microsoftu, warto używać dedykowanego programu antywirusowego czy pozostać przy wbudowanym w system MS Windows Defenderze?
W Microsoft Defender, na plus należy zaliczyć jego pełne zintegrowanie z systemem oraz fakt, że jest to gratisowy dodatek. Jednak, posiada on funkcjonalności raczej podstawowe, względem większości dedykowanych rozwiązań antywirusowych. Prawdziwa porażka dotyczy wersji serwerowych, które dopiero od paru lat mają podobny interfejs graficzny do wersji stanowiskowych (o ile tę protezę w ogóle można tak nazwać), ale tam też domyślna strategia ochrony nie błyszczy przykładem.
W tytułowym temacie jednak, Microsoft ewidentnie "strzela sobie w kolano" i to nie raz.
By ochrona przeciw wirusom szyfrującym działała w pełnym zakresie, trzeba ją w Microsoft Defenderze skonfigurować... Dlaczego? Otóż niektóre rozwiązania od Microsoftu bywają na tyle prymitywne, że wchodzą w konflikty z aplikacjami, które nie chcą nam zrobić szkody, blokując ich działanie.
Kolejny problem to taki, że aktualizacje baz antywirusowych pobierane są w tym samym cyklu co pozostałe aktualizacje systemu. Czy to źle? Wręcz tragicznie, ponieważ podobnie jak większość programów antywirusowych, skuteczność znacząco się zwiększa dzięki aktualizacjom, które bywa, że są wypuszczane po kilka razy dziennie. A kto z nas aktualizuje system kilka razy dziennie? Dodatkowo, serwery zazwyczaj aktualizuje się ręcznie, by mieć kontrolę i zapanować nad ewentualną usterką spowodowaną "poprawką". ;)
Istnieje rozwiązanie tego problemu, jeśli ktoś nadal upiera się być wyznawcą Defendera. Jednak nie jest to kilka kliknięć w Defenderze, tylko obejście z użyciem harmonogramów i uruchamiania odpowiednich poleceń.
Jeżeli mowa o skuteczności, moje obserwacje u klientów, pokazują, że jest w miarę dobrze w ostatnich latach ale tylko wtedy, gdy mówimy o wspieranych wersjach systemu (czyli otrzymujących łaty bezpieczeństwa) i aplikacji (np. przeglądarka), zakładając jednak, że nie będziemy mieć do czynienia z bardziej złośliwym wirusem czy atakiem.
Klienci lubią argumentować, że przecież nie chodzą po stronach z porno ani pirackimi programami.
Ja kiedyś chciałem wyliczyć cenę samochodu na stronie Audi i trafiłem na wirusa... No ale, to widać jakaś strona porno...
Dlatego, osobiście bym nie zaryzykował, chyba, że mówili byśmy o stanowiskach w sieciach typu intranet lub dość mocno restrykcyjnych, o jakich pisałem wyżej lub na maszynach wirtualnych służących tylko jako stanowiska do wystawiania faktur. Wtedy ewentualnie jako druga linia obrony taki Defender od biedy może być.
W przypadku starszych, niewspieranych systemów nawet nie ma co się zastanawiać, bo wbudowany nie spełnia swojej roli, a dodatkowo doinstalowany - będzie, choć w nieco ograniczonym stopniu o ile producent danego rozwiązania antywirusowego te możliwości nie zablokował, np. ESET. To jak założenie antywłamaniowych drzwi i zostawienie uchylonych okien, w parterowym domu.

Czy spełnienie powyższych zaleceń wystarczy by być zabezpieczonym przed wirusem?
Niestety nie, choć znacznie obniża zagrożenie.
Wirusy są stale modyfikowane i mimo dokładania starań przez producentów oprogramowania antywirusowego, systemów operacyjnych a także urządzeń, szczepionka czy łata, może zostać wydana za późno, czasem wręcz o kilka godzin.
Jedynym rozwiązaniem dającym obecnie prawie 100% skuteczność, jest wykonywanie kopii zapasowych (backupów), jednak pod warunkiem, że jest to wdrożone tak, by podatność ataku na zasób było jak najmniejsze oraz by było to rozwiązanie stale monitorowane.

Na zakończenie, Reasumując, proszę zwrócić uwagę, że ten artykuł opisuje zagrożenie w postaci wirusa szyfrującego, a to tylko jedno z zagrożeń, którymi może być np. wyciek danych. Słyszę często: a ja nie mam żadnych cennych danych i widzę uśmiech na twarzy. Serio?
W maju 2024 za zgubienie pendrive z danymi jednego pracownika, UODO nałożyło karę 240 tys. zł. Oceniając reakcję kierownictwa firm, to chyba nie tak duża kara by nie ryzykować dalej, ale może spojrzeć należy też na inne konsekwencje, choćby te dla pracownika?
Antywirus stricte to nie jest też zapora sieciowa, czyli z angielskiego: firewall. W tym aspekcie systemowa jest dość uboga w zakresie wykrywania ataków sieciowych, względem tego to co oferują produkty firm trzecich.
Obecnie zaś firmy z większą ilością stanowisk do opanowania, decydują się iść nieco dalej niż inwestowanie w systemy tylko stricte antywirusowe czy zapory sieciowe, a mianowicie wybierają EDR (Endpoint Detection and Response). To narzędzie służące do monitorowania i wykrywania podejrzanych aktywności na urządzeniach w sieci firmowej, dające możliwość reagowania już na etapie poszlak i prób ataków hakerskich, których skutkiem mógł by być chociażby wyciek danych z organizacji. To narzędzie jednak jest bezużyteczne bez stałego nadzoru administratora ze stosowną wiedzą w zakresie cyberzagrożeń.

Zainteresowanych audytem zabezpieczeń informatycznych zastosowanych w Państwa firmach oraz doborem i wdrożeniem optymalnych rozwiązań, zapraszam do kontaktu.

Opracowanie i napisanie (bez użycia sztucznej inteligencji): Marian Prokopiszyn