Днём в пятницу, 12 мая 2017 года, регистраторы больниц по всей Англии смотрели, как экраны их компьютеров краснеют. Появилось окно: ваши файлы зашифрованы; отправьте 300 долларов в биткоинах; через три дня цена удвоится. Операции отменялись. Скорые разворачивали.
Атака называлась WannaCry. За день она достигла примерно 200 000 компьютеров в 150 странах. И она преподала урок, который индустрия безопасности повторяет с тех пор, потому что слышать его никто не хочет: для шифровальщика ваши данные не драгоценны. Они — складской запас.
ВИДЕО · 29 СЕКУНД
Почти у каждого есть секрет. И почти ни у кого нет безопасного места для него.
Посмотрите, как Everkeep хранит ваши самые личные данные вне сети — пронумерованные, опечатанные, под наблюдением.
Начать защиту — $199/годДля шифрования всё — байты
Это первое, что нужно понять, и то, что отличает шифровальщиков от всех прежних видов компьютерной преступности. Вор крадёт то, что имеет ценность, остальное оставляет. Шифровальщик шифрует без разбора — детские фотографии, налоговые декларации, свадебные видео, отгрузочные ведомости компании, — потому что шифрованию не нужно знать, что чем является. Оно идёт по файловой системе, находит файлы по расширениям и перемешивает их криптографией военного уровня, которую никто ломать не будет.
Жестокость здесь структурная, а не личная. Никто не целился в больницу; вас зашифровали, потому что вы были достижимы, — незалатанная машина в сети, с уязвимой версией протокола общего доступа к файлам SMB. WannaCry распространялся через EternalBlue — эксплойт, разработанный АНБ и слитый группой Shadow Brokers месяцем раньше. Ваши воспоминания оказались побочным ущербом в чужой оружейной программе.
Шесть недель спустя пришёл NotPetya — замаскированный под шифровальщик, спроектированный как вайпер. Он вошёл через скомпрометированное обновление M.E.Doc, украинской программы налогового учёта, а затем двинулся вбок по корпоративным сетям на тех же украденных эксплойтах, шифруя главные загрузочные записи, так что машины даже не могли запуститься. Не имело значения, что это за файлы. Имело значение, что они там были.
Детское фото за 300 миллионов
Самая поучительная жертва NotPetya — Maersk, датский судоходный гигант, компания, которая перевозит примерно пятую часть мировых морских грузов. Утром 27 июня 2017 года сотрудники Maersk смотрели, как их экраны гаснут, один за другим, в офисах по всему миру. Телефоны отключили. Системы бронирования, которые планируют контейнеровозы, легли. Десять дней значительная часть глобальной операции компании шла на бумаге, WhatsApp и криках.
Восстановление стало одной из крупнейших перестроек ИТ-инфраструктуры, когда-либо предпринятых под огнём: около 4 000 серверов, 45 000 ПК и 2 500 приложений, переустановленных с нуля. Итоговый счёт оценивался в 200–300 миллионов долларов. Европейская «дочка» FedEx, TNT Express, потеряла от той же атаки около 300 миллионов. Фармацевтическая компания Merck потеряла примерно 670 миллионов.
Вот деталь, которая важна для этой истории: Maersk отчасти спасли удача и отключённость. Единственный контроллер домена в Гане — офлайн в критический момент из-за местного отключения электричества — выжил, когда каждая подключённая машина была зашифрована. Этот один недостижимый сервер стал семенем, из которого заново выстроили всю сетевую идентичность компании. Выжила та копия, до которой атакующие не могли дотянуться, — не самая навороченная система резервного копирования, а просто та, что случайно оказалась выдернута из розетки.
Ваша резервная копия тоже в списке
Стратегия резервного копирования большинства людей, если она вообще есть, выглядит так: внешний диск, подключённый к компьютеру, или папка, которая синхронизируется с облаком. И то и другое достижимо. А достижимость — именно то, на что охотится шифровальщик.
Современный шифровальщик не просто шифрует ваши документы. Он перечисляет сетевые шары. Он шифрует USB-диск, стоящий на вашем столе. Он удаляет теневые копии Windows — собственные точки восстановления системы, — прежде чем вы успеете ими воспользоваться. Некоторые варианты неделями сидят тихо, медленно шифруя папки облачной синхронизации, так что повреждённые версии расползаются по всем устройствам и отравляют историю версий. Ваша резервная копия, ваша синхронизация, ваше «всё нормально, оно в облаке» — всё это в одной сети, за одними учётными данными, в одном боковом движении.
Поэтому люди из безопасности проводят жёсткую линию между резервной копией и резервной копией с воздушным зазором. Резервная копия — это копия. Копия с воздушным зазором — это копия, до которой нельзя дотянуться: ни вам в минуту удобства, ни, следовательно, злоумышленнику в минуту возможности. Неудобство и есть защита. Каждый короткий путь, который делает копию доступнее, делает её и легче уничтожить.
Физика «отсюда туда не добраться»
Есть причина, по которой золотой стандарт восстановления после шифровальщиков в отрасли едва изменился за тридцать лет: офлайн-копия, в отдельном месте, проверенная восстановлением. Ленточные библиотеки. Отключённые жёсткие диски. Носители с однократной записью. Технология нарочно неприметна, потому что гламур — это поверхность атаки.
Подумайте, что пришлось бы сделать атакующему, чтобы уничтожить правильно изолированную копию. По сети до неё не добраться — её там нет. Украденными учётными данными её не зашифровать — никакие данные не разблокируют диск, лежащий в запечатанном пакете на полке. Пришлось бы физически найти здание, пройти за дверь и наложить руки на носитель. Это превращает масштабируемую программную атаку — один эксплойт, 200 000 жертв — в кражу со взломом. Кражи со взломом не масштабируются. В этом вся игра: шифровальщик — это экономика масштаба, а воздушный зазор эту экономику ломает.
У Эпикура было слово для состояния, которое это создаёт: атараксия, обычно переводимая как безмятежность, — спокойствие, которое приходит не от веры, что ничего плохого не случится, а от того, что всё устроено так: плохое, если случится, не дотянется до важного. Большинство продуктов безопасности продают вам первый вид спокойствия: доверьтесь нам, мы смотрим. Офлайн-копия продаёт второй: неважно, кто смотрит, — смотреть не на что.
Неприметная дисциплина
Ничего из этого не ново. Правило 3-2-1 — три копии, два типа носителей, одна внешняя и офлайн — старше WannaCry на десятилетия. Эпоха шифровальщиков изменила цену пропуска последнего шага. В 2010 году пропустить офлайн-копию означало рисковать пожаром в доме или мёртвым диском. В 2017-м и позже это означает рисковать противником, который активно охотится за вашими копиями.
И последний шаг по-прежнему тот, который не делает никто, потому что он единственный сопротивляется автоматизации. Воздушный зазор нельзя поставить галочкой. Кто-то должен выдернуть диск, отвезти его куда-то, дважды в год включить, проверить данные и положить обратно. Это работа завхоза — нумеровать, пломбировать, вести журнал, проверять, — по расписанию, навсегда.
Именно поэтому она проваливается как личная привычка и удаётся как профессия. Лучше всех с ней справляются те, для кого это не повинность, втиснутая между другими повинностями, а вся работа целиком: принять носитель, опломбировать его номерной лентой, сфотографировать пломбу, хранить копии в двух местах, осматривать пломбы по расписанию, вести журнал, повторять — и включать диск для проверки, только когда его владелец попросит об этом письменно. Скучно, задокументировано и — когда в пятницу днём экраны краснеют — разница между перерывом и концом.
Фотографии ваших детей в безопасности не потому, что у шифровальщика есть сердце. Они в безопасности, когда между атакующим и диском просто нет пути. Нет пути — нет выкупа. Это не рекламный ход. Это физика.
Everkeep — офлайн-хранение зашифрованных дисков, которые принадлежат вам и зашифрованы вами: номерные пломбы, фотофиксация, две копии в двух отдельных местах, осмотры пломб по расписанию — и проверка с включением только по вашему письменному запросу. $199 в год за слот.