EDR обещает откатить шифровальщика. Почему бэкапы все равно нельзя списывать

Самый неприятный момент в атаке шифровальщика наступает не тогда, когда компания видит первую тревогу.

Чаще бывает иначе: сотрудники уже не могут открыть файлы, часть папок переименована, сервисы отвечают с ошибками, а ИТ-команда пытается понять, где еще жив процесс, который продолжает шифровать данные.

Поэтому любое решение, которое обещает не только остановить шифровальщик, но и восстановить файлы, звучит почти как готовый ответ на одну из главных болей ИБ. На рынке уже есть EDR и средства защиты конечных точек, где заявлены функции восстановления после атак программ-вымогателей и вайперов. Система видит массовое изменение файлов, блокирует подозрительный процесс и пытается откатить поврежденные данные.

Для бизнеса это выглядит очень убедительно. Атака началась, защита сработала, файлы вернулись. Но здесь и появляется риск неправильного ожидания. Восстановление в EDR не равно гарантированной расшифровке и не заменяет нормальное резервное копирование.

«Расшифровка» часто означает совсем другое

В разговорах о защите от ransomware слова легко смешиваются. Вендор говорит о восстановлении данных, компания слышит «расшифровку после атаки». Но на практике это разные вещи. Расшифровать уже зашифрованные файлы без ключа чаще всего невозможно, если шифровальщик использует корректно реализованную криптографию.

Иногда исключения бывают. Для отдельных семейств вредоносного ПО существуют специализированные дешифраторы. Иногда ключи удается получить в ходе расследований или из-за ошибок самих злоумышленников. Но это не универсальный сценарий и не то, на чем можно строить план восстановления бизнеса.

«В целом к заявлениям о восстановлении данных после атаки я отношусь осторожно. В большинстве случаев речь идет не о расшифровке уже зашифрованных файлов, а о различных механизмах отката изменений или восстановлении данных из ранее созданных копий. Для современных шифровальщиков, использующих корректно реализованную криптографию, восстановление данных без ключа расшифровки обычно невозможно», — говорит Дмитрий Бабич, ведущий инженер отдела сопровождения информационных систем UDV Group.

Именно поэтому формулировки в описании продукта нужно читать внимательно. Если решение умеет откатывать изменения, это полезно. Если оно сохраняет защищенные копии изменяемых файлов, это тоже может снизить ущерб. Но это не означает, что система способна победить любой шифровальщик после того, как он спокойно прошел по файловому хранилищу.

Главная задача — остановить процесс до большого ущерба

Встроенное восстановление работает лучше всего в сценариях, где защита успела заметить атаку рано. Например, процесс начинает массово менять файлы, переписывать расширения, обращаться к большому числу каталогов, создавать зашифрованные копии или удалять исходники. Для обычной работы пользователя такое поведение нетипично, а для шифровальщика это почти обязательный след.

Здесь на первый план выходит не магическое восстановление, а скорость реакции. Если EDR успел распознать подозрительное поведение, изолировать процесс и остановить дальнейшие операции, компании придется восстанавливать меньше данных. Если атака прошла незаметно, повреждений будет больше, а шанс на аккуратный откат ниже.

«Блокировка потенциально вредоносного процесса позволяет остановить атаку до того, как она нанесет ущерб», — считает Кирилл Левкин, проект-менеджер MD Audit, ГК Softline.

Это важная логика. Восстановление не должно становиться главным сценарием защиты. Нормальная цель — не героически возвращать файлы после шифрования, а не дать атаке развернуться. Чем раньше система увидела аномалию, тем меньше данных придется спасать и тем проще расследовать, что произошло.

Но у такого подхода есть границы. Он зависит от того, включена ли защита, не обошел ли ее атакующий, какие права получил вредоносный процесс, насколько быстро сработали политики и сохранились ли исходные версии файлов.

Эффективность зависит от того, что именно восстанавливают

Под «восстановлением» могут скрываться разные механики. Иногда это дешифратор под конкретное семейство вредоносного ПО. Иногда — откат изменений за счет теневых копий, локальных снимков, журналов файловой системы или собственного защищенного кеша. Иногда — восстановление из резервных копий, которые уже существовали до атаки.

Разница принципиальная. Дешифратор может помочь почти полностью, но только если шифровальщик относится к ограниченному кругу известных семейств и в его реализации есть слабость. Откат изменений может быть полезен, если исходные версии файлов сохранились и не были уничтожены атакующим. Резервная копия сработает только в том случае, если она актуальна, доступна и не повреждена.

«Эффективность таких механизмов зависит от того, о каком именно способе восстановления идет речь. Вендоры действительно заявляют функции восстановления данных после атак шифровальщиков, однако на практике под этим могут пониматься разные подходы. Если восстановление основано на резервных копиях, теневых копиях или других механизмах отката изменений, то результат зависит от того, насколько эти данные сохранились после атаки и не были повреждены или удалены», — поясняет Дмитрий Бабич, ведущий инженер отдела сопровождения информационных систем UDV Group.

Отсюда простой вывод: EDR с функцией отката полезен, но это не отдельная стратегия выживания после ransomware. Он должен быть частью более широкой схемы, где есть резервное копирование, сегментация, контроль привилегий, мониторинг администраторских действий и понятный план восстановления.

Почему бэкап остается последней линией

Сильная endpoint-защита снижает ущерб, но не закрывает все сценарии. Шифровальщик может попасть не на рабочую станцию, а на сервер. Атакующий может заранее получить привилегии администратора, отключить защиту, удалить теневые копии, повредить локальные механизмы восстановления или зашифровать данные быстрее, чем система успеет среагировать.

Есть и другой сценарий — вайпер. Он может не шифровать файлы ради выкупа, а уничтожать или перезаписывать данные. В такой атаке расчет идет не на переговоры, а на максимальный ущерб. Для бизнеса результат похож: сервисы стоят, данные повреждены, время восстановления становится критичным.

Поэтому резервное копирование нельзя убирать из архитектуры только потому, что EDR научился откатывать часть изменений. Бэкап должен быть независимым, защищенным и проверенным. Не просто «копии где-то делаются», а понятно, какие системы копируются, как часто, где хранятся, кто имеет доступ и сколько времени нужно на восстановление.

Особенно важно регулярно проверять восстановление. Пока компания ни разу не поднимала систему из резервной копии в тестовом режиме, она не знает, сколько реально займет возврат к работе. Иногда в момент инцидента выясняется, что копии неполные, устаревшие, поврежденные или зависят от тех же учетных записей, которые уже скомпрометированы.

Слабое место — сохранность самих механизмов восстановления

Злоумышленники давно понимают, что резервные копии и механизмы отката — главная надежда компании. Поэтому перед запуском шифрования они часто ищут, где лежат копии, какие учетные записи имеют к ним доступ, можно ли удалить архивы, отключить задания резервного копирования, испортить снапшоты или заблокировать средства защиты.

Та же логика применима к встроенным функциям восстановления в EDR. Если атакующий получил достаточно прав и заранее подготовился, он может попытаться выключить агент, изменить политики, удалить локальные копии или сделать так, чтобы система не успела среагировать.

«Основное слабое место таких механизмов в том, что они не дают гарантированного восстановления данных в любом сценарии атаки. Эффективность напрямую зависит от того, насколько рано удалось обнаружить шифровальщика и сохранились ли исходные версии файлов или теневые копии. Во многих случаях злоумышленники целенаправленно пытаются удалить или повредить механизмы восстановления, что резко снижает их эффективность», — отмечает Дмитрий Бабич, ведущий инженер отдела сопровождения информационных систем UDV Group.

Именно поэтому встроенное восстановление нельзя оценивать отдельно от всей инфраструктуры. Важно не только то, умеет ли продукт откатывать файлы, но и то, насколько защищены его собственные механизмы, кто может менять настройки, как фиксируются такие действия и увидит ли ИБ-служба попытку отключить защиту.

Ложное чувство безопасности опаснее отсутствия функции

Самый рискованный сценарий — когда компания покупает защиту с функцией восстановления и начинает воспринимать ее как страховку от любых шифровальщиков. В презентации все выглядит красиво: атака, блокировка, откат, зеленая галочка. Но реальные инциденты редко идут по учебному сценарию.

Атаки часто запускают ночью, в выходные или праздники. К моменту обнаружения злоумышленник может уже пройти разведку, получить привилегии, отключить часть защитных средств, найти резервные копии и подготовить инфраструктуру к массовому шифрованию. В такой ситуации вопрос не в том, есть ли функция отката на рабочих станциях. Вопрос в том, что именно еще осталось неповрежденным.

EDR с восстановлением нужно воспринимать как дополнительный слой защиты. Он может выиграть время, уменьшить объем повреждений и повысить шанс вернуть часть данных в отдельных сценариях. Но право на полноценное восстановление бизнесу дают только проверенные копии, которые атакующий не смог удалить, зашифровать или испортить.

Восстановление нужно проектировать заранее

Защита от шифровальщиков не строится вокруг одной кнопки. Нужна цепочка: раннее обнаружение, блокировка процесса, изоляция зараженного узла, проверка соседних систем, восстановление данных, расследование и устранение причины проникновения.

В этой цепочке EDR играет важную роль. Он видит поведение на конечной точке, помогает остановить вредоносный процесс, может сохранить часть данных и дает ИБ-команде телеметрию для расследования. Но дальше начинается инженерная работа: резервные копии, учет критичных систем, сегментация, контроль прав, MFA для администраторов, отдельная защита систем резервного копирования и регулярные учения.

Компании важно заранее определить, какие системы нужно восстановить в первую очередь, сколько данных допустимо потерять, сколько времени бизнес может работать без сервиса, кто принимает решение об отключении сегмента и кто отвечает за коммуникацию с подразделениями. Без этого даже хорошая технология восстановления превращается в набор возможностей, которыми сложно воспользоваться под давлением инцидента.

EDR может остановить шифровальщик. Может откатить часть повреждений. Может дать время на реакцию. Но он не отменяет старое правило: бэкапы нужно делать, защищать и проверять. В борьбе с ransomware выигрывает не тот, у кого есть один сильный инструмент, а тот, у кого несколько слоев защиты не зависят друг от друга и продолжают работать, когда один из них уже сломан.