Ransomware - zapobieganie i łagodzenie skutków - najlepsze praktyki

W marcu 2019 roku Norsk Hydro - globalny producent aluminium - padł ofiarą ransomware LockerGoga. Firma podjęła decyzję: nie płacić. Przez tygodnie pracowała w trybie manualnym - drukowała zamówienia, komunikowała się przez telefony komórkowe, sterowała liniami produkcyjnymi ręcznie. Koszt: 800 milionów koron norweskich (ok. 75 mln USD). Ale Norsk Hydro odbudowało się z backupów, nie traciło danych i nie finansowało przestępców.

Ta historia pokazuje, że prewencja jest tańsza niż nawet najlepsza reakcja. CISA, NSA i FBI w przewodniku #StopRansomware (2023) oraz NIST w Ransomware Risk Management Profile CSF 2.0 (2025) formalizują zestaw kontroli, które mogą tę decyzję uczynić mniej bolesną - lub sprawić, że nigdy nie będzie potrzebna.

Dlaczego prewencja jest tańsza niż reagowanie

Koszt odtwarzania po ataku ransomware wielokrotnie przewyższa inwestycje w zabezpieczenia. Dane z 2025 roku pokazują skalę dysproporcji.

Źródła: Sophos State of Ransomware 2025, Microsoft Digital Defense Report 2025, Veeam Ransomware Trends 2025

Wniosek jest prosty: organizacje, które inwestują w prewencję, płacą mniej - i odzyskują sprawność szybciej. Poniżej przedstawiamy konkretne praktyki, zorganizowane według wektorów ataku i obszarów kontroli.

Przygotowanie na incydent - fundamenty

Zanim przejdziemy do zapobiegania poszczególnym wektorom, dwa obszary wymagają uwagi każdej organizacji niezależnie od branży i wielkości.

Kopie zapasowe - reguła 3-2-1-1-0

Tradycyjna reguła 3-2-1 (3 kopie, 2 nośniki, 1 offsite) nie wystarcza. Atakujący w 96% przypadków celują w infrastrukturę backupu - jeśli kopia zapasowa jest dostępna z tych samych poświadczeń co systemy produkcyjne, staje się kolejnym celem szyfrowania.

Aktualna rekomendacja CISA i branżowy standard to reguła 3-2-1-1-0:

Element	Znaczenie	Dlaczego to ważne
3 kopie	Dane produkcyjne + 2 kopie zapasowe	Redundancja chroni przed awarią jednego nośnika
2 nośniki	Dwa różne media (dysk + chmura, dysk + taśma)	Awaria jednego typu nie niszczy wszystkich kopii
1 offsite	Jedna kopia poza lokalizacją	Ochrona przed pożarem, powodzią, fizyczną destrukcją
1 niemodyfikowalna	Kopia immutable (WORM/object lock)	Ransomware nie może jej zaszyfrować ani usunąć
0 błędów	Codzienne monitorowanie + regularne testy odtwarzania	Backup z błędami = fałszywe poczucie bezpieczeństwa

Dodatkowe rekomendacje CISA:

• Utrzymuj zaszyfrowane kopie Golden Image krytycznych systemów (maszyny wirtualne, serwery) - umożliwia szybką przebudowę
• Stosuj Infrastructure as Code (IaC) do odtwarzania zasobów chmurowych z wersjonowanych szablonów
• Zachowuj offline kopie kodu źródłowego, licencji i dokumentacji zasobów IT
• Rozważ rozwiązanie wielochmurowe, aby uniknąć uzależnienia od jednego dostawcy

Plan reagowania na incydent

Zanim dojdzie do ataku, organizacja musi mieć gotowy, przećwiczony plan reagowania na incydenty cybernetyczne (IRP). CISA rekomenduje:

• Jasno zdefiniowane procedury powiadamiania (kto, kiedy, jakim kanałem)
• Regularne ćwiczenia (tabletop exercises) - minimum raz w roku
• Wersje papierowe i offline planu - w trakcie ataku systemy IT mogą być niedostępne
• Włączenie komunikacji kryzysowej - informowanie zarządu, regulatora, ubezpieczyciela

Zapobieganie - według wektora początkowego dostępu

Najlepsze praktyki zapobiegania są zorganizowane według typowych sposobów, w jakie atakujący uzyskują początkowy dostęp do sieci.

Luki w zabezpieczeniach i błędne konfiguracje

To wektor odpowiedzialny za ok. 30% udanych ataków ransomware. WannaCry miał łatkę od miesiąca, Colonial Pipeline - konto VPN bez MFA.

Kluczowe kontrole:

• Regularne skanowanie pod kątem podatności, priorytet dla systemów wystawionych do internetu
• Krytyczne łatki w ciągu 48 godzin - zwłaszcza dla VPN, RDP, przeglądarek, czytników dokumentów
• Wyłączenie zbędnych portów i protokołów (RDP na porcie 3389, SMBv1/v2 - przejdź na SMBv3)
• Audyt konfiguracji chmury, urządzeń mobilnych i BYOD
• Aktualizacja VPN z najnowszymi poprawkami i włączenie MFA na wszystkich połączeniach

Naruszone poświadczenia

Skradzione hasła to ok. 20% wektorów wejścia. IAB (Initial Access Brokerzy) sprzedają gotowe dostępy w dark webie za 500-50 000 USD.

Lista kontrolna zabezpieczeń:

• MFA odporne na phishing na wszystkich usługach - poczta, VPN, konta krytyczne
• Ocena możliwości wdrożenia uwierzytelniania bezhasłowego (biometria, klucze FIDO2, PIN urządzenia)
• Monitoring dark web pod kątem wycieku poświadczeń organizacji
• Wdrożenie systemu IAM do zarządzania rolami i uprawnieniami
• Polityka haseł: minimum 15 znaków, unikalne, przechowywane w bezpiecznym menedżerze haseł
• Automatyczna blokada kont po kilku błędnych próbach + logowanie i monitoring
• Separacja kont administracyjnych od użytkowników codziennych
• Wyłączenie zapisywania haseł w przeglądarkach (Group Policy)
• Kwartalne audyty kont - identyfikacja nieaktywnych, nadmiernych uprawnień, dostępu stron trzecich

Phishing i inżynieria społeczna

To najskuteczniejszy wektor - ok. 45% ataków ransomware zaczyna się od wiadomości e-mail.

Mechanizmy techniczne:

• Flagowanie zewnętrznych wiadomości e-mail w kliencie pocztowym
• Filtrowanie na bramce: blokowanie znanych złośliwych wskaźników, podejrzanych adresów IP
• Filtry załączników - blokowanie typów plików najczęściej używanych do dostarczania malware
• Wdrożenie DMARC + SPF + DKIM - ochrona przed spoofingiem domeny
• Wyłączenie makr w plikach Office przesyłanych e-mailem
• Wyłączenie Windows Script Host (WSH)

Czynnik ludzki:

• Regularne szkolenia z rozpoznawania phishingu - nie raz w roku, ale ciągłe
• Kontrolowane kampanie phishingowe w ramach testów penetracyjnych
• Protective DNS blokujący złośliwe domeny u źródła
• Przeglądarki sandbox izolujące sesje przeglądania od systemu operacyjnego

Malware prekursorowe i zaawansowane zagrożenia

Ransomware rzadko jest pierwszym malware w sieci. Często poprzedzają go droppery - Bumblebee, Emotet, QakBot - które przygotowują teren dla ataku właściwego.

Obrona wielowarstwowa:

• Centralnie zarządzany antywirus z automatycznymi aktualizacjami sygnatur
• EDR (Endpoint Detection and Response) na wszystkich stacjach i serwerach
• IDS (Intrusion Detection System) do identyfikacji komunikacji C2
• Monitorowanie Windows Sysmon pod kątem podejrzanych procesów
• Application whitelisting - tylko autoryzowane oprogramowanie może się uruchomić

Strony trzecie i dostawcy usług zarządzanych (MSP)

Dostawcy usług zarządzanych są wektorem infekcji, który może dotknąć wielu odbiorców jednocześnie. Atak na Kaseya (2021) dotknął ponad 1 500 organizacji przez jednego MSP.

• Ocena praktyk bezpieczeństwa dostawców przed przyznaniem dostępu
• Zasada najmniejszych uprawnień - dostęp tylko do systemów niezbędnych dla roli dostawcy
• Service Control Policies (SCP) w chmurze - ograniczenie możliwości usuwania logów, modyfikacji VPC
• Regularne audyty dostępu stron trzecich

Active Directory - kluczowy cel atakujących

W ponad 90% ataków ransomware atakujący eskalują uprawnienia przez Active Directory. Kompromitacja AD oznacza pełną kontrolę nad środowiskiem - możliwość wyłączenia zabezpieczeń, wdrożenia ransomware na wszystkie stacje i serwery jednocześnie, oraz usunięcia kopii zapasowych. Dlatego hardening AD to nie “nice to have” - to chokepoint, który może zdecydować o przebiegu incydentu.

Model warstwowy (Tier Model)

Microsoft w wytycznych z 2025 roku definiuje trzy warstwy dostępu administracyjnego:

Warstwa	Zasoby	Zasada
Tier 0	Kontrolery domeny, ADFS, CA, Entra Connect, konta break-glass, PAW	Maksymalna ochrona - osobne konta, dedykowane stacje PAW, brak logowania na niższych warstwach
Tier 1	Serwery aplikacyjne, bazy danych, serwery plików	Konta administracyjne odrębne od Tier 0 i Tier 2
Tier 2	Stacje robocze, urządzenia użytkowników	Konta administracyjne najniższego poziomu, LAPS dla haseł lokalnych

Kontrole hardeningowe AD

• LAPS (Local Administrator Password Solution) - automatyczna rotacja haseł administratora lokalnego na każdej stacji. Eliminuje reużycie jednego hasła na wszystkich maszynach
• Protected Users group - konta w tej grupie nie mogą używać NTLM, delegacji Kerberos ani DES/RC4. Dodaj wszystkie konta administracyjne
• gMSA (Group Managed Service Accounts) - dla kont serwisowych z SPN. Automatyczna rotacja 120-znakowych haseł, eliminacja Kerberoasting
• Wyłączenie RC4 dla Kerberos - wymuszenie AES-256. RC4 pozwala na offline cracking biletów serwisowych
• Monitorowanie - alerty na: dodanie do grup Domain/Enterprise Admins, modyfikacje GPO, zmiany w AdminSDHolder, anomalie w replikacji DCSync

Ochrona kontrolerów domeny

Kontrolery domeny to Tier 0 - wymagają dedykowanego traktowania:

• Najnowszy Windows Server z aktualnym patch level
• Brak dostępu do internetu (DC nigdy nie powinien przeglądać stron)
• Minimalne oprogramowanie - żadnych agentów monitoringu firm trzecich na DC
• LSA Protection (RunAsPPL) i Credential Guard
• Logi przekazywane do SIEM z alertami na DCSync, DCShadow, Golden Ticket

Blokowanie ruchu bocznego (lateral movement)

Między uzyskaniem initial access a wdrożeniem ransomware atakujący muszą się przemieszczać w sieci. Ten etap - lateral movement - to okno, w którym obrońca ma największą szansę na wykrycie i powstrzymanie ataku. Według Picus Security 2025 Red Report, PowerShell pojawia się w 71% ataków living-off-the-land.

Kontrole na stacjach roboczych

• Windows Firewall na każdej stacji - stacje robocze nie powinny akceptować połączeń SMB, RDP ani WMI od innych stacji. Tylko od serwerów zarządzania
• Wyłączenie SMBv1/v2 - wymuszenie SMBv3.1.1 z podpisywaniem (SMB Signing). Zapobiega relay attacks i pass-the-hash
• Ograniczenie WMI - wyłączenie reguł firewalla dla WMI na stacjach, które nie wymagają zdalnego zarządzania (ransomware Medusa tworzy reguły netsh advfirewall do zdalnego WMI)
• PowerShell Constrained Language Mode - ograniczenie PowerShell do zatwierdzonych skryptów, blokowanie refleksji, COM i .NET
• AppLocker / WDAC - application whitelisting blokujący uruchomienie nieautoryzowanych plików .exe, .dll, .ps1

Kontrole sieciowe

• Segmentacja sieci - ograniczenie komunikacji między segmentami do niezbędnego minimum. Szczegóły w artykule o segmentacji sieci OT
• Blokowanie narzędzi RMM - audyt narzędzi Remote Monitoring (AnyDesk, TeamViewer, Splashtop) w sieci. Tylko autoryzowane, przez VPN
• Jump servery - dostęp administracyjny do serwerów wyłącznie przez dedykowane jump hosty w wydzielonej sieci zarządzania
• Kontrola protokołów administracyjnych - RDP, SSH, WMI dozwolone tylko z jump serverów do zarządzanych systemów

Wykrywanie eksfiltracji danych (double extortion)

96% ataków ransomware w 2025 roku obejmuje eksfiltrację danych przed szyfrowaniem. Mediana czasu od initial access do eksfiltracji to 2 dni, a w 20% przypadków dane są wykradane w ciągu pierwszej godziny (Unit 42, 2025). Narzędzie Rclone pojawia się w 57% incydentów.

Wskaźniki eksfiltracji

Wskaźnik	Narzędzie detekcji	Priorytet
Anomalny ruch wychodzący (GB/dzień powyżej baseline)	NDR, NetFlow, SIEM	Krytyczny
Rclone, WinSCP, FileZilla w środowisku produkcyjnym	EDR, application control	Wysoki
DNS tunneling (długie subdomeny, wysoka entropia)	DNS monitoring, Protective DNS	Wysoki
Połączenia do serwisów chmurowych (Mega.nz, pCloud, anonfiles)	Proxy, firewall	Średni
Kompresja dużych archiwów (7z, RAR) na stacjach z danymi wrażliwymi	EDR, file integrity monitoring	Średni

Kontrole prewencyjne

• NDR (Network Detection and Response) - analiza ruchu sieciowego w poszukiwaniu anomalii: nietypowe wolumeny transferów, komunikacja z nieznanymi endpointami
• DLP na egress - monitorowanie danych opuszczających sieć, alertowanie na transfer plików wrażliwych
• Segmentacja danych - dane wrażliwe w oddzielnych segmentach z kontrolowanym dostępem. Zasada need-to-know
• Monitoring kopiowania wewnętrznego - etap staging (gromadzenie danych przed eksfiltracja) jest wykrywalny, ale często ignorowany

Wykrywanie szyfrowania - ostatnia linia obrony

Nawet jeśli atakujący przeszedł przez wszystkie warstwy, wciąż można ograniczyć zasięg szyfrowania:

• Canary files - pliki-przynęty rozmieszczone w kluczowych lokalizacjach. Modyfikacja canary file oznacza aktywne szyfrowanie i triggeruje natychmiastowy alert
• Monitoring Volume Shadow Copy - ransomware usuwa VSS przed szyfrowaniem. Alert na vssadmin delete shadows lub wmic shadowcopy delete powinien triggerować IR
• Analiza entropii plików - szyfrowane pliki mają znacząco wyższą entropię niż normalne. Monitoring zmian entropii na udziałach sieciowych wykrywa szyfrowanie w toku
• Honeypoty - dedykowane udziały sieciowe i foldery, do których żaden legalny proces nie powinien sięgać. Każdy dostęp = alarm

Utwardzanie infrastruktury - dodatkowe kontrole

Zarządzanie aktywami

Nie można chronić tego, czego się nie zna. Szczegółowa inwentaryzacja zasobów IT - sprzętowych i logicznych - pozwala ustalać priorytety ochrony i odbudowy. Więcej o podejściu do inwentaryzacji zasobów w sieciach przemysłowych.

Ochrona hiperwizorów

Rośnie tendencja do atakowania serwerów VMware ESXi, które umożliwiają szybkie szyfrowanie całej infrastruktury na dużą skalę. Utrzymuj aktualizacje hiperwizorów i komponentów sieciowych/storage. Ogranicz dostęp administracyjny do ESXi do dedykowanego VLAN zarządzania.

Bezpieczeństwo chmury

• Regularne kopie zapasowe - offline lub cloud-to-cloud
• Object lock / ochrona przed usunięciem na zasobach storage
• Wersjonowanie obiektów w pamięci masowej
• Centralny system logów (SIEM) z retencją minimum 12 miesięcy

PowerShell i skrypty

• Ograniczenie PowerShell do wybranych użytkowników (Group Policy)
• Aktualizacja do najnowszej wersji z logowaniem modułów, bloków skryptów i transkrypcji
• Constrained Language Mode dla użytkowników standardowych
• Monitoring Sysmon Event ID 1 (process creation) i Event ID 7 (image loaded) dla wykrywania Cobalt Strike, Brute Ratel

Lista kontrolna reagowania na atak ransomware

Jeśli organizacja padła ofiarą ransomware, poniższe kroki - oparte na przewodniku CISA #StopRansomware - powinny być realizowane w kolejności.

Faza 1: Wykrywanie i izolacja

• Zidentyfikuj dotknięte systemy i natychmiast odłącz je od sieci (Ethernet/Wi-Fi)
• Jeśli dotkniętych jest wiele systemów, rozważ odłączenie całej sieci na poziomie przełącznika
• NIE wyłączaj zainfekowanych maszyn - w pamięci RAM mogą być klucze deszyfrujące
• Komunikuj się kanałami out-of-band (telefon) - atakujący mogą monitorować e-mail
• W chmurze: wykonaj snapshot wolumenów jako dowód forensic
• Priorytetyzuj izolację systemów krytycznych dla działalności biznesowej

Faza 2: Ocena i analiza

• Szukaj śladów malware prekursorowego (Emotet, QakBot, Cobalt Strike)
• Sprawdź nowo utworzone konta AD i podwyższenia uprawnień
• Monitoruj anomalie VPN, RDP, PowerShell, PsTools
• Szukaj oznak eksfiltracji danych (Rclone, FTP, serwisy chmurowe)
• Sprawdź modyfikacje Volume Shadow Copy, konfiguracji backupu, rozruchu
• Zidentyfikuj wariant ransomware - NoMoreRansom.org może mieć darmowy dekryptor
• W chmurze: monitoruj zmiany IAM, reguł firewalla, bezpieczeństwo zasobów

Faza 3: Powiadamianie

• Poinformuj wewnętrzne i zewnętrzne zespoły zgodnie z IRP
• Zgłoś incydent organowi regulacyjnemu (CERT Polska, KNF - zależnie od sektora)
• Koordynuj komunikację publiczną z działem PR
• Poinformuj ubezpieczyciela cyber

Faza 4: Ograniczanie i usuwanie

• Zabezpiecz dowody - pamięć systemowa, logi bezpieczeństwa, bufory firewall
• Zasięgnij porady specjalistów ds. ransomware i prawników
• Zakończ wykonywanie rozpoznanych plików binarnych ransomware
• Zidentyfikuj mechanizmy trwałości (outside-in i inside-out)
• Zresetuj hasła wszystkich dotkniętych systemów
• Deaktywuj VPN, serwery dostępu zdalnego, SSO i zasoby publiczne

Faza 5: Odtwarzanie

• Przywracaj systemy z zaszyfrowanych kopii offline - priorytet wg krytyczności
• Czysty VLAN do odzyskiwania - dołączaj tylko zweryfikowane systemy
• Wdróż poprawki i aktualizacje, które mogły być wcześniej pominięte
• Udokumentuj wnioski (lessons learned) i zaktualizuj IRP

Mapowanie na NIST CSF 2.0

NIST IR 8374r1 (styczeń 2025) mapuje kontrole zapobiegania ransomware na sześć funkcji CSF 2.0. Poniżej kluczowe powiązania:

Funkcja CSF 2.0	Kontrole z tego artykułu
Govern (GV)	Polityki bezpieczeństwa, zarządzanie ryzykiem stron trzecich, program szkoleń
Identify (ID)	Inwentaryzacja zasobów, analiza zależności, identyfikacja systemów krytycznych
Protect (PR)	MFA, segmentacja, hardening, backup 3-2-1-1-0, ZTA, kontrola dostępu
Detect (DE)	EDR, IDS, SIEM, monitoring anomalii, canary files, analiza logów
Respond (RS)	Plan reagowania, izolacja systemów, forensics, powiadamianie
Recover (RC)	Odtwarzanie z backupów, przebudowa systemów, lessons learned

Podsumowanie

Zapobieganie ransomware opiera się na kilku fundamentalnych kontrolach, które CISA i NIST powtarzają od lat - bo działają:

1. Backup 3-2-1-1-0 z kopią immutable i regularnymi testami odtwarzania
2. MFA odporne na phishing na każdym punkcie zdalnego dostępu
3. Segmentacja sieci ograniczająca ruch boczny atakującego
4. Łatanie w ciągu 48 godzin krytycznych podatności na systemach wystawionych do internetu
5. Przećwiczony plan reagowania z wersją offline i regularnymi ćwiczeniami

Żadna z tych kontroli nie jest nowa. Ale dane z 2025 roku pokazują, że organizacje, które wdrażają je konsekwentnie, płacą średnio $750 000 za odtworzenie zamiast $3 milionów żądanego okupu - i odzyskują sprawność w dniach, nie tygodniach.

SEQRED pomaga organizacjom weryfikować skuteczność tych kontroli w praktyce - poprzez testy penetracyjne i operacje Red Team, które symulują realne scenariusze ataków ransomware.

Źródła

• CISA #StopRansomware Guide (październik 2023, aktualizacja marzec 2025)
• NIST IR 8374r1 - Ransomware Risk Management: CSF 2.0 Community Profile (styczeń 2025)
• NIST Cybersecurity Framework 2.0 (luty 2024)
• Sophos State of Ransomware 2025
• Veeam Ransomware Trends Report 2025
• Microsoft Digital Defense Report 2025
• NoMoreRansom.org - darmowe dekryptory
• Microsoft - Mitigating Critical Threats to AD Domain Services (2025)
• ASD/ACSC - Detecting and Mitigating AD Compromises
• Picus Security - 2025 Red Report
• Unit 42 - 2025 Incident Response Report