מה עושים בשעה הראשונה?
מנתקים מהרשת בלי לכבות, מנתקים את הגיבוי, ומדווחים. שלוש הפעולות האלה עוצרות את ההתפשטות ושומרות את מה שעוד אפשר להציל.
- 1
מנתקים את השרת והמחשבים הנגועים מהרשת
כבל רשת, Wi-Fi וחיבורי VPN. אם אי אפשר לזהות מי נגוע, מנתקים את המשרד מהאינטרנט בנתב. משאירים את המחשבים דולקים.
- 2
מנתקים כל גיבוי שעדיין מחובר
דיסק USB, NAS, תיקיית גיבוי ברשת. מה שעוד לא הוצפן הוא כנראה הנכס הכי יקר שלכם כרגע. לא מחברים אותו לשום מחשב עד שהרשת נקייה.
- 3
מדווחים למערך הסייבר הלאומי
מוקד 119, או טופס דיווח על אירוע סייבר ב-gov.il, בכל שעה. אפשר לקבל שם הכוונה ראשונית, וזה גם מתעד את האירוע.
- 4
מצלמים ומתעדים
צילום של הודעת הכופר, שמות הקבצים והסיומת, השעה שבה זה התגלה ומי ראה ראשון. ממחשב או טלפון שאינם חלק מהרשת.
- 5
מתקשרים למי שמנהל את התשתית
איש ה-IT, הספק או חברת תגובה לאירועים. אם יש ביטוח סייבר, הפוליסה קובעת לרוב גם למי מתקשרים ומתי.
למי חייבים לדווח, ולמי כדאי?
למערך הסייבר במוקד 119 מומלץ תמיד. לרשות להגנת הפרטיות חובה במקרים מסוימים: אירוע אבטחה חמור במאגר מידע ברמת אבטחה בינונית או גבוהה מדווחים באופן מיידי.
מערך הסייבר הלאומי, 119
- מתי
- מיד, בכל אירוע
- למה
- הכוונה ראשונית, מידע על התוקף, תיעוד
הרשות להגנת הפרטיות
- מתי
- אירוע חמור במאגר ברמה בינונית או גבוהה
- למה
- חובה לפי תקנות אבטחת המידע, באופן מיידי
חברת הביטוח
- מתי
- לפי תנאי הפוליסה, לרוב מיד
- למה
- כיסוי, וגורמי תגובה שהפוליסה מממנת
לקוחות ונפגעים
- מתי
- לפי החלטה והנחיה
- למה
- הרשות רשאית להורות על הודעה לנפגעים
משטרה
- מתי
- לפי שיקול דעת
- למה
- תלונה פלילית, לרוב נדרשת גם לביטוח
| למי | מתי | למה |
|---|---|---|
| מערך הסייבר הלאומי, 119 | מיד, בכל אירוע | הכוונה ראשונית, מידע על התוקף, תיעוד |
| הרשות להגנת הפרטיות | אירוע חמור במאגר ברמה בינונית או גבוהה | חובה לפי תקנות אבטחת המידע, באופן מיידי |
| חברת הביטוח | לפי תנאי הפוליסה, לרוב מיד | כיסוי, וגורמי תגובה שהפוליסה מממנת |
| לקוחות ונפגעים | לפי החלטה והנחיה | הרשות רשאית להורות על הודעה לנפגעים |
| משטרה | לפי שיקול דעת | תלונה פלילית, לרוב נדרשת גם לביטוח |
איך יודעים באיזו רמת אבטחה המאגר שלכם ומה נחשב אירוע חמור מוסבר במדריך תקנות אבטחת מידע. זה לא ייעוץ משפטי, ובאירוע כזה כדאי לערב עורך דין כבר ביום הראשון.
איך יודעים אם אפשר לשחזר מהגיבוי?
בודקים שלושה דברים לפני שמשחזרים: שהעותק לא הוצפן, שהוא נוצר לפני החדירה ולא רק לפני ההצפנה, ושהוא משתחזר בסביבה מבודדת לשרת שעובד.
בדיקות לפני שמשחזרים
- העותק יושב במקום שהשרת לא יכול לכתוב אליו: מנותק, לקריאה בלבד, או אצל ספק
- יש כמה נקודות שחזור לאורך זמן, ולא רק של אתמול
- מזהים מתי התוקף נכנס, ולא רק מתי ההצפנה התחילה, ובוחרים נקודה לפני כן
- משחזרים לסביבה מבודדת, לא לשרת הנגוע ולא לרשת המשרד
- סורקים את המערכת המשוחזרת לפני שמחברים אליה משתמשים
- בודקים שהתוכנה העסקית עולה והנתונים עדכניים, לא רק שהקבצים קיימים
איך חוזרים לעבודה בלי להחזיר את התוקף?
בונים סביבה נקייה, מחליפים את כל הסיסמאות ממחשב נקי, משחזרים אליה מנקודה שנבדקה, וסוגרים את הדרך שבה התוקף נכנס לפני שמחברים את המשתמשים.
- 1
סביבה חדשה
שרת חדש או מותקן מחדש, ולא ניקוי של השרת הנגוע. בדאטה סנטר זה לרוב שרת וירטואלי חדש, שמוקם במקביל לחקירה של הישן.
- 2
סיסמאות וחשבונות
כל חשבונות האדמין, חשבונות השירות, ה-VPN והדואר. ממחשב שלא היה ברשת. ואימות דו-שלבי לכל גישה מרחוק.
- 3
שחזור מנקודה נבדקת
קודם בסיסי הנתונים והתוכנה העסקית שבלעדיה העסק עומד, אחר כך קבצים, ובסוף כל השאר.
- 4
סגירת דלת הכניסה
RDP פתוח לאינטרנט, סיסמה שדלפה, מחשב בלי עדכונים. אם לא יודעים איך התוקף נכנס, הוא עלול לחזור באותה דרך.
- 5
חזרה מדורגת
מחברים משתמשים בהדרגה, ומשאירים ניטור מוגבר לשבועות הקרובים.
ההבדל בין שחזור של שעות לשחזור של שבועות נקבע לפני המתקפה. עסק שיש לו עותק של השרת בדאטה סנטר, שנבדק בשחזור, מרים סביבה חדשה מהעותק הזה. עסק שאין לו, בונה הכול מחדש. איך מתכננים את זה מראש מוסבר בעמוד ההתאוששות מאסון ובמדריך תוכנית התאוששות מאסון.
מה עושים היום, לפני שזה קורה?
שלושה דברים: עותק גיבוי שהשרת לא יכול להצפין, שחזור מבחן שמראה כמה זמן לוקח לחזור, ורשימת טלפונים מודפסת למקרה שהרשת למטה.
- עותק גיבוי מנותק או לקריאה בלבד, מחוץ למשרד
- שחזור מבחן מלא של השרת לפחות פעם בשנה, עם זמן מדוד
- RDP סגור לאינטרנט, וגישה מרחוק רק דרך VPN עם אימות דו-שלבי
- רשימה מודפסת: מוקד 119, איש ה-IT, הספק, הביטוח, עורך הדין
- החלטה מראש מי מוסמך לנתק את המשרד מהרשת, בלי לחכות לאישור
את השנייה אפשר לעשות איתנו בלי עלות: בדיקת שחזור גיבוי חינם.
שאלות נפוצות
בדרך כלל לא. מנתקים אותו מהרשת: כבל רשת, Wi-Fi וחיבורי VPN, אבל משאירים אותו דולק. כיבוי מוחק את מה שיש בזיכרון, ושם לעיתים נמצאים עקבות שעוזרים להבין איך התוקף נכנס ולפעמים גם מפתחות. אם ההצפנה עדיין רצה ואין דרך לנתק, כיבוי עדיף על המשך ההצפנה.
למערך הסייבר הלאומי, במוקד 119 או בטופס דיווח על אירוע סייבר באתר gov.il, וזמין בכל שעה. אם על השרת יש מידע אישי במאגר ברמת אבטחה בינונית או גבוהה ונפגע חלק מהותי ממנו, תקנות אבטחת המידע דורשות דיווח מיידי לרשות להגנת הפרטיות. אם יש לעסק ביטוח סייבר, מודיעים גם לחברת הביטוח לפי תנאי הפוליסה.
זו החלטה עסקית ומשפטית שלא כדאי לקבל לבד ובלחץ. מה שאפשר לומר: אין ערובה שהתשלום יחזיר את המידע, מפתח פענוח לא מוחק את הדלת האחורית שהתוקף השאיר, ובמתקפות רבות המידע כבר הועתק לפני ההצפנה. גיבוי נקי שמשתחזר הוא מה שהופך את השאלה הזו ללא רלוונטית.
רק אחרי שבודקים אותו. התוקף נמצא לעיתים ברשת ימים או שבועות לפני ההצפנה, ולכן הגיבוי של אתמול עלול להכיל אותו. משחזרים לסביבה נקייה ומבודדת, סורקים, ובוחרים נקודת שחזור שנוצרה לפני החדירה. לכן חשוב לשמור כמה נקודות שחזור לאורך זמן ולא רק את האחרונה.
כנראה שלא. כופרה מצפינה כל כונן שהשרת רואה, כולל דיסק USB ותיקיית רשת. אם הדיסק עדיין לא הוצפן, מנתקים אותו מיד ולא מחברים אותו שוב לשום מחשב ברשת עד שהיא נקייה. גיבוי ששורד כופרה הוא עותק שהשרת לא יכול לכתוב אליו: מנותק, לקריאה בלבד, או אצל ספק שבו לא ניתן למחוק גרסאות קודמות מהשרת.
תלוי כמעט רק במצב הגיבוי. עם עותק נקי ומנותק שנבדק בשחזור, שרת משרד טיפוסי חוזר תוך שעות עד יום, בסביבה חדשה. בלי עותק כזה, מדובר בימים ולפעמים בשבועות של בנייה מחדש. ההבדל בין השניים נקבע לפני המתקפה, לא אחריה.
מקורות ובדיקה אחרונה
התאריכים והתנאים במדריך הזה נקבעים על ידי היצרן ויכולים להשתנות. אלה המקורות הראשוניים, כדי שתוכלו לאמת מול המקור ולא מולנו.
- מערך הסייבר הלאומידיווח על אירוע סייבר (מוקד 119)(נפתח בחלון חדש)
- מערך הסייבר הלאומידגשים למדיניות גיבוי בעסקים קטנים בראי הגנת הסייבר (יוני 2021)(נפתח בחלון חדש)
- ויקיטקסט (נוסח התקנות)תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017(נפתח בחלון חדש)
נבדק לאחרונה: