Защита 1С от шифровальщиков: как не потерять базу

Утро понедельника. Бухгалтер включает компьютер, а вместо базы 1С в папке лежит файл с непонятным расширением и текстовый документ с требованием заплатить за расшифровку. Документы, файлы на рабочем столе, общая папка — всё зашифровано. Иногда вместе с резервными копиями, которые лежали рядом.

Многие небольшие компании уверены, что они «никому не интересны». Это заблуждение: большинство таких атак не направлены на конкретную фирму. Злоумышленники автоматически ищут в интернете плохо защищённые серверы и массово рассылают письма с вредоносными вложениями. Кто попался — тот и жертва. А база 1С — идеальная цель: без неё компания не может ни отгрузить товар, ни выписать счёт, ни сдать отчётность, и это повышает шансы, что заплатят.

Хорошая новость: большинство заражений происходит через несколько типовых лазеек, и закрыть их вполне по силам небольшой компании.

Как шифровальщик добирается до базы

Удалённый рабочий стол, открытый в интернет

Самый частый путь в небольших компаниях. Чтобы бухгалтер мог работать из дома, на офисном сервере или компьютере открывают удалённый рабочий стол (RDP) прямо в интернет. Дальше всё упирается в пароль. Автоматические программы круглосуточно перебирают пароли на всех доступных серверах подряд, и учётная запись «Администратор» с паролем вроде 123456 или названием компании держится недолго.

Попав на сервер под администратором, злоумышленник получает доступ ко всему: к базе, к общим папкам, к резервным копиям на соседнем диске. Шифрование обычно запускают ночью или в выходные, когда никто не смотрит.

Вложения в письмах

Письмо «Акт сверки», «Счёт на оплату» или «Требование налогового органа» с архивом во вложении. Внутри — файл, который выглядит как документ, но на деле является программой, или документ Office, который просит «включить содержимое». Достаточно одного сотрудника, который откроет такое письмо, — и вредоносная программа запустится на его компьютере с его правами.

Общие папки и сетевые диски

Шифровальщик на одном компьютере шифрует не только его диск, но и всё, до чего этот компьютер дотягивается по сети с правом записи. Если файловая база 1С лежит в общей папке, а у каждого сотрудника есть права на запись в неё (а для работы файловой базы по сети они нужны), один заражённый компьютер — и база зашифрована. Туда же попадает сетевая папка с бэкапами, если она доступна на запись.

Устаревшие системы и забытые программы удалённого доступа

Необновлённая Windows, сервер на давно не поддерживаемой версии системы, программа удалённого доступа, которую когда-то поставил подрядчик и забыл удалить, — всё это дополнительные двери, о которых никто не помнит.

Что реально защищает

Ни одна мера не даёт стопроцентной гарантии. Защита работает слоями: каждый слой закрывает часть сценариев, а последний — отдельные резервные копии — спасает, если все остальные не сработали.

Не выставлять RDP в интернет без защиты

Удалённый рабочий стол сам по себе — нормальный инструмент. Опасно открывать его в интернет напрямую, так, что к нему может постучаться любой. Варианты, как сделать правильно:

Подключение через VPN. Сначала сотрудник подключается к защищённой сети офиса, и только потом — к удалённому рабочему столу. Снаружи RDP не виден вообще.
Шлюз удалённых рабочих столов или аналогичное решение, где перед входом стоит дополнительная проверка, в идеале с двухфакторной аутентификацией.
Ограничение по адресам. Если сотрудники подключаются из известных мест с постоянными IP-адресами, доступ разрешают только с них.

Смена стандартного порта RDP на другой уменьшает количество случайных попыток, но защитой не является — сканеры находят и нестандартные порты.

Если удалённо нужно только работать в 1С, иногда проще вообще не давать рабочий стол Windows: через веб-клиент сотрудник видит только интерфейс 1С в браузере. Плюсы и минусы разных способов подключения разобраны в статье «Удалённый доступ к 1С».

Сложные пароли и блокировка после неудачных попыток

У каждого — своя учётная запись. Общий вход «buh» с одним паролем на троих означает, что пароль знают все, включая уволившихся.

Пароль — длинный, а не «сложный». Фраза из нескольких слов длиной от 12–14 символов надёжнее, чем P@ssw0rd1, и её проще запомнить. Пароль не должен совпадать с паролями от почты и других сервисов.

Блокировка после неудачных попыток. В Windows есть политика блокировки учётных записей: после нескольких неверных паролей подряд учётная запись блокируется на время. Это обесценивает автоматический перебор. Настраивает её администратор сервера, и это стоит проверить в первую очередь.

Пароли в самой 1С. Пользователи 1С без пароля — тоже плохая практика. Это не защитит от шифрования файла, но защитит данные от посторонних глаз.

Права пользователей без администратора

Бухгалтеру для работы в 1С не нужны права администратора на компьютере или сервере. Если вредоносная программа запустилась у пользователя с обычными правами, ей доступно гораздо меньше: она не может отключить антивирус, удалить теневые копии системы, добраться до чужих папок.

Учётная запись администратора — отдельная, с отдельным паролем, и используется только для администрирования. Работать под ней в 1С и читать почту нельзя.

Отдельно пересмотрите общие папки: у кого есть права на запись и действительно ли они там нужны.

Обновления Windows и программ

Обновления закрывают уязвимости, через которые вредоносные программы попадают в систему без участия пользователя. Автоматическая установка обновлений должна быть включена на всех компьютерах и серверах. Если сервер работает на версии Windows, которая больше не получает обновлений безопасности, — это повод планировать замену, а не откладывать её.

Заодно проверьте, какие программы удалённого доступа установлены на компьютерах. Всё, что не используется, — удалить.

Антивирус, который не отключают

Антивирус должен быть на каждом компьютере и на сервере, с актуальными базами. Частая история: антивирус отключили, «потому что тормозила 1С». Правильное решение — не отключать защиту, а добавить в исключения папку с базой и кэш 1С (как это сделать, мы писали в статье «Почему тормозит 1С»).

Учтите: антивирус ловит известные угрозы, а новые разновидности шифровальщиков какое-то время могут оставаться незамеченными. Поэтому он — один из слоёв, а не вся защита.

Внимательность к почте

Несколько простых правил, которые стоит донести до всех сотрудников:

включите в Windows отображение расширений файлов — так видно, что Акт сверки.pdf.exe на самом деле не документ;
не открывать архивы и документы от неизвестных отправителей, даже если тема письма выглядит срочной;
не нажимать «Включить содержимое» в документах Office, пришедших по почте;
при сомнениях — позвонить отправителю по известному номеру, а не по номеру из письма.

Копии, до которых шифровальщик не дотянется

Это главное. Все предыдущие меры снижают вероятность заражения, а отдельные копии гарантируют, что даже после заражения вы сможете восстановиться.

Ключевое слово — «отдельные». Копии не должны быть доступны с рабочих компьютеров и с сервера под учётными записями сотрудников:

не в общей сетевой папке, куда могут писать пользователи;
не на внешнем диске, который постоянно подключён к серверу;
хотя бы одна копия — вне офиса: у провайдера, во внешнем хранилище, куда копии отправляются, но откуда их нельзя удалить или перезаписать с вашего сервера.

И копии нужно хранить с запасом по глубине: шифровальщик может работать тихо, и если вы храните только три последние ночные копии, к моменту обнаружения они уже могут быть испорчены. Как выстроить копирование правильно и как проверять, что из копий можно восстановиться, — в статье «Резервное копирование 1С».

Если файлы уже зашифровали

Главное в первые часы — не сделать хуже. Порядок действий такой.

1. Отключите заражённые компьютеры от сети. Выньте сетевой кабель, выключите Wi-Fi. Шифрование может продолжаться и затрагивать новые компьютеры и папки. Если не знаете, какие компьютеры заражены, — отключайте от сети всё, включая сервер.

2. Остановите резервное копирование. Ночное задание может перезаписать хорошие копии зашифрованными файлами. Отключите задания и, если копии лежат на внешнем диске или сетевом хранилище, отсоедините его.

3. Не трогайте зашифрованные файлы. Не переименовывайте их, не удаляйте и не запускайте «Тестирование и исправление» на зашифрованной базе. Иногда специалистам удаётся частично спасти данные или найти бесплатный расшифровщик для конкретной разновидности шифровальщика — но только если исходные файлы целы.

4. Не платите вслепую. Оплата не гарантирует, что вам пришлют рабочий расшифровщик, что он корректно восстановит большой файл базы и что вас не атакуют повторно. Кроме того, деньги финансируют следующие атаки. Прежде чем рассматривать этот вариант, проверьте, нет ли бесплатного расшифровщика: проект No More Ransom собирает такие инструменты от антивирусных компаний и правоохранительных органов.

5. Оцените, какие копии целы. Найдите последнюю копию, сделанную до заражения, и проверьте, что она не зашифрована. Помните, что злоумышленник мог находиться в системе несколько дней до запуска шифрования.

6. Восстанавливайтесь на чистую систему. Не восстанавливайте базу на тот же заражённый сервер: если вредоносная программа или способ проникновения остались, всё повторится. Сначала переустановка или новый сервер, потом восстановление из копии.

7. Смените все пароли и закройте лазейку. Пароли Windows, 1С, почты, удалённого доступа. И обязательно разберитесь, как именно злоумышленник попал в систему, — иначе повторное заражение вопрос времени.

Имеет смысл также подать заявление в полицию. Шансы найти злоумышленников невелики, но заявление может понадобиться для объяснений с контрагентами, проверяющими органами или страховой компанией.

Помогает ли облако

Честный ответ: облако не делает компанию неуязвимой. Если злоумышленник узнал пароль сотрудника, он может войти в облачную 1С так же, как этот сотрудник. А вирус на домашнем компьютере бухгалтера по-прежнему может зашифровать файлы на этом компьютере.

Но облако снимает с вас ту часть защиты, которую в небольших компаниях обычно некому делать: обновления сервера, антивирус, межсетевой экран, контроль доступа и, главное, резервные копии, хранящиеся отдельно от рабочего сервера. В ForceCloud это входит в стоимость: антивирус, WAF и межсетевой экран, защита от DDoS, ежедневные копии с контролем целостности, которые хранятся 30 дней на территории Казахстана. Если базу всё-таки повредят, её можно восстановить из копии в личном кабинете за минуты, а не собирать заново по бумажным документам.

А пароли, внимательность к почте и чистота компьютеров сотрудников остаются за вами — в облаке так же, как и в офисе.

Частые вопросы

Можно ли расшифровать базу 1С без оплаты вымогателям?

Иногда можно. Для некоторых разновидностей шифровальщиков антивирусные компании выпускают бесплатные расшифровщики — их собирает, например, проект No More Ransom. Но для новых версий шифровальщиков расшифровщика часто нет, и тогда единственный надёжный путь — восстановление из резервной копии, сделанной до заражения.

Защищает ли антивирус от шифровальщиков полностью?

Нет. Антивирус хорошо ловит известные угрозы, но новые разновидности шифровальщиков какое-то время могут оставаться незамеченными, а злоумышленник с правами администратора может его отключить. Поэтому антивирус нужен, но работает только в связке с закрытым доступом, сложными паролями, обычными правами пользователей и отдельными резервными копиями.

Достаточно ли сменить порт RDP, чтобы защититься?

Нет. Смена стандартного порта уменьшает количество случайных попыток подбора пароля, но сканеры находят и нестандартные порты. Удалённый рабочий стол не стоит открывать в интернет напрямую: подключение должно идти через VPN или шлюз с дополнительной проверкой, а учётные записи — блокироваться после нескольких неверных паролей.

Где хранить резервные копии, чтобы шифровальщик их не испортил?

Хотя бы одна копия должна храниться там, куда нельзя записать или удалить файлы с рабочих компьютеров и сервера: у провайдера, во внешнем хранилище без прямого доступа на запись или на отключаемом носителе. Копии в общей сетевой папке или на постоянно подключённом диске шифровальщик зашифрует вместе с базой.