Maksaa vai ei: DriveSaversin näkemys sen jälkeen, kun yhtiötä siteerattiin Financial Timesissa

Ison-Britannian hallitus vie eteenpäin suunnitelmia, joiden mukaan julkisen sektorin toimijoilta ja kansallisen kriittisen infrastruktuurin tarjoajilta – mukaan lukien NHS, paikallishallinnot ja koulut – kiellettäisiin lunnaiden maksaminen kokonaan. Kyseessä on vakava vastaus vakavaan ongelmaan. Suurin osa kiristysohjelmien uhreista on pieniä ja keskisuuria yrityksiä, ei kriittisen infrastruktuurin ylläpitäjiä. Kriittiseen infrastruktuuriin kohdistuva kielto koskee siis vain pientä osaa kaikista hyökkäyksistä, joten se yksinään tuskin vähentää merkittävästi kiristysohjelmarikollisuuden kokonaismäärää.

Tästä on jo olemassa testitapaus. Pohjois-Carolina kielsi kiristysohjelmamaksut valtion elimiltä vuonna 2021, ja Florida seurasi perässä vuonna 2022. Kumpikaan kielto ei näytä vähentäneen merkittävästi rikollista toimintaa kummassakaan osavaltiossa. Haydn Brooks, Risk Ledgerin toimitusjohtaja, nosti samassa artikkelissa esiin siihen liittyvän seikan: jos julkiset elimet eivät voi maksaa, rikollisryhmät todennäköisesti siirtyvät kohti vähemmän säädeltyjä yksityisen sektorin kohteita, ja vakuutusyhtiöt saattavat vastata sulkemalla kiristysohjelmakorvaukset kokonaan pois, mikä puolestaan nostaa vakuutusmaksuja.

Muualla oikeudellinen tilanne on erilainen. Yhdistynyt kuningaskunta, Australia ja muut alueet, joissa DriveSavers toimii, harkitsevat tai jo soveltavat omia rajoituksiaan, joten Yhdysvaltain ulkopuolisten organisaatioiden ei pidä olettaa, että Yhdysvaltain säännöt koskevat myös niitä.

DriveSaversin käsittelemissä tapauksissa toistuu rakenne, joka ei ollut yhtä yhtenäinen vielä muutama vuosi sitten. Ennen järjestelmien salaamista hyökkääjät vahingoittavat tai poistavat varmuuskopiointi-infrastruktuurin: Veeam-varmuuskopiovarastot, Hyper-V-isännät ja VMware ESXi -isännät ovat tästä osuvia esimerkkejä. Noin puolessa niistä kiristysohjelmien tiedonpalautustapauksista, joita DriveSavers on käsitellyt viimeisen kahden vuoden aikana, hyökkääjät kohdistivat toimintansa erityisesti Veeam-varmuuskopioihin ennen ensisijaisiin palvelimiin koskemista. Veeam on virtualisoitujen ympäristöjen johtava varmuuskopiointialusta, jolla on noin 550 000 asiakasta maailmanlaajuisesti, ja monet IT-tiimit eivät tiedä, että poistetut tai vahingoittuneet Veeam-varmuuskopiotiedostot voidaan usein palauttaa DriveSaversin kehittämien omien palautustyökalujen ja -tekniikoiden avulla.

Myös hyökkääjien toimittamat salauksenpurkutyökalut ovat epäluotettavia, erityisesti suurten tiedostojen ja tietokantojen kohdalla. Organisaatiot, jotka maksavat lunnaat saadakseen salauksenpurkutyökalun, tarvitsevat sen jälkeen usein edelleen ammattimaista tiedon palautusta saadakseen käyttökelpoisen, täydellisen tiedostokokonaisuuden, koska itse salauksenpurkuprosessi jättää tiedot vaurioituneiksi. Myös muuttumattomat (immutable) varmuuskopiot, vaikka niihin todella kannattaa panostaa, eivät ole täysin varmoja. DriveSavers on palauttanut kriittisiä tietoja tapauksissa, joissa muuttumattomaksi markkinoitu varmuuskopiopalvelin oli poistettu kokonaan, koska ohjelmisto, joka hallinnoi tätä muuttumattomuutta, oli itse vaarantunut.

Yhdessä viimeaikaisessa toimeksiannossa DriveSavers auttoi vakuutusyhtiötä välttämään lunnasvaatimuksen, jonka kuvailtiin olevan miljoonien dollarien luokkaa, palauttamalla kaikki tarvittavat toiminnalliset tiedot poistetuista varmuuskopioista. Tarvittavat tiedon palautuspalvelut maksoivat vain murto-osan tästä summasta. Tämä on osa laajempaa muutosta: vakuutusyhtiöt kysyvät nykyään säännönmukaisesti, onko tiedon palautus mahdollista, ennen kuin ne hyväksyvät lunnaiden maksamisen – tämä ei ollut vakiokysymys vielä muutama vuosi sitten.

Lunnaiden maksaminen ei takaa, että hyökkääjät luovuttavat toimivan salauksenpurkuavaimen, että tiedot palautuvat ehjinä, tai että varastetut tiedot eivät myöhemmin ilmesty jossain muualla.

Vastaväite vaatii yhtä lailla harkintaa, ja on hyödyllistä erottaa toisistaan kaksi käsitettä:

Muutamat muut Mausin ohella lainatuista henkilöistä nostivat esiin näkökulman, joka ansaitsee enemmän huomiota kuin itse kieltokeskustelu. Gavin Millard, Tenablen tuotevarajohtaja, sanoi sen suoraan: hyödyllisempi kysymys on, miten kiristysohjelmista tehdään alun perin vähemmän tuottoisia. Suurin osa hyökkäyksistä hyödyntää edelleen tunnettuja haavoittuvuuksia ja alttiina olevia järjestelmiä, jolloin altistumisen hallinta tuottaa pitkällä aikavälillä enemmän hyötyä kuin mikään maksukäytäntö. Delinean Spencer Young nosti esiin siihen liittyvän näkökulman pääsynhallinnasta: pysyvien käyttöoikeuksien rajoittaminen niin, että yksi varastettu tunnus ei pääse liikkumaan vapaasti verkossa, pienentää vahinkoa myös silloin, kun hyökkäys onnistuu.

Valmiuden osalta organisaatiot, jotka toipuvat nopeimmin, ovat yleensä jo etukäteen dokumentoineet, missä niiden varmuuskopiot sijaitsevat, mitkä järjestelmät ovat kriittisiä ja keneen ottaa yhteyttä – ennen kuin hyökkäys edes tapahtuu. Tämän yhteystietoluettelon tulisi sijaita erillään ensisijaisista palvelimista, jotta se ei salaudu kaiken muun mukana, ja siihen tulisi sisältyä lakimies, kyberturvavakuutuksen tarjoaja sekä tiedon palautuspalvelu.

Kiristysohjelman lunnasvaatimuksen maksamiseen liittyvän dilemman ratkaiseminen ei ole koskaan yksinkertaista. Käsittele sitä useiden tekijöiden summana, ei yksittäisenä moraalisena valintana: kuinka arkaluonteisia tiedot ovat, säilyivätkö varmuuskopiot, kuka hyökkääjä täsmällisesti on, millainen oikeudellinen vastuu on kyseessä, ja kuinka realistista tiedon palautus todella on. Hanki ulkopuolista apua ajoissa, ennen kuin lunnasaikaraja pakottaa käteen, jotta sinulla on käytössäsi enemmän näitä tekijöitä eikä vähemmän.

Lue Financial Timesin koko raportti: ”Surge in ransomware hacks deepens divide over whether to pay” (tilaus voi olla vaadittu).