Ransomware - 5 warstw ochrony, które naprawdę działają

Dobrze zaplanowana ochrona przed ransomware nie zaczyna się od jednego programu, tylko od kilku warstw: ograniczenia wejścia, odcięcia uprawnień, sensownych kopii zapasowych i planu reakcji. To ważne także w polskich firmach i domowych środowiskach, bo w raporcie rocznym CERT Polska za 2025 r. widać 179 ataków ransomware, więcej niż rok wcześniej. Poniżej pokazuję, co naprawdę działa, gdzie zwykle pojawia się błąd i jak ustawić zabezpieczenia tak, żeby miały sens w praktyce, a nie tylko w polityce bezpieczeństwa.

Jak ransomware zwykle dostaje się do systemu

Ja zaczynam od założenia, że atak nie wymaga spektakularnego włamania. W praktyce wystarcza jedno kliknięcie, jeden zbyt szeroki dostęp albo jedna usługa, której nikt nie zaktualizował na czas. Zrozumienie tych ścieżek wejścia jest ważniejsze niż sam strach przed szyfrowaniem plików, bo dopiero wtedy da się sensownie zbudować obronę.

Phishing i fałszywe załączniki

Najbardziej klasyczny scenariusz to wiadomość stylizowana na fakturę, dokument z podpisem elektronicznym, przesyłkę albo wewnętrzny komunikat z firmy. Użytkownik otwiera załącznik, uruchamia makro albo loguje się na fałszywej stronie. Sam link nie musi być nawet bardzo przekonujący, jeśli pracownik działa szybko i bez weryfikacji.

Niezałatane usługi publiczne

Drugą częstą drogą są luki w usługach wystawionych do internetu: VPN, RDP, panele administracyjne, serwery plików czy systemy zarządzania. Jeśli aktualizacje są odkładane tygodniami, atakujący nie muszą przełamywać zabezpieczeń od zera. Po prostu korzystają z błędu, który już został opisany i aktywnie jest wykorzystywany.

Przeczytaj również: Reset laptopa Asus z Windows 10 - Poradnik krok po kroku

Przejęte konto zdalne lub hasło z wycieku

Trzeci wariant jest wyjątkowo zdradliwy, bo z zewnątrz wygląda jak normalne logowanie. Jeśli hasło krążyło w wyciekach, a konto nie ma wieloskładnikowego uwierzytelniania, dostęp bywa kwestią minut. Potem atakujący robią dokładnie to, co najgroźniejsze: rozpoznają sieć, podnoszą uprawnienia i szukają kopii zapasowych.

Właśnie dlatego sama blokada maili nie wystarczy. Kiedy znamy te wejścia, łatwiej zrozumieć, dlaczego kolejnym filarem muszą być kopie zapasowe, które naprawdę da się odtworzyć.

Kopie zapasowe, które naprawdę pozwalają wrócić do pracy

Jeśli miałbym wskazać jeden element, który decyduje o tym, czy incydent kończy się kilkugodzinnym problemem, czy wielodniowym przestojem, byłby to backup. CISA wprost zaleca offline’owe, szyfrowane kopie i regularne testowanie odtwarzania. To nie jest ozdobnik w polityce bezpieczeństwa, tylko praktyczny warunek przetrwania ataku.

Ja trzymam się prostego modelu: 3-2-1 jako minimum, a do tego jedna kopia niezmienna lub odseparowana tak, by atakujący nie mógł jej skasować ani zaszyfrować. W praktyce chodzi o trzy kopie danych, na co najmniej dwóch nośnikach, z jedną kopią poza głównym środowiskiem. Dla ważnych systemów dorzucam jeszcze zasadę, że backup ma być poza zasięgiem zwykłych kont administracyjnych używanych na co dzień.

Sam backup bez testu odzyskiwania jest tylko nadzieją. Ja sprawdzam odtworzenie po każdej większej zmianie w infrastrukturze i regularnie dla danych krytycznych, bo dopiero wtedy widać, czy kopia obejmuje też konfigurację, nie tylko same pliki. Warto też ustalić dwa pojęcia: RPO, czyli ile danych można utracić, oraz RTO, czyli jak długo system może być niedostępny. Bez tego firma często kopiuje wszystko „na wszelki wypadek”, ale nie wie, czy potrafi wrócić do działania w akceptowalnym czasie.

Gdy backup jest ustawiony porządnie, kolejny krok to odcięcie ataku na wejściu. I tu zwykle wygrywa nie jeden wielki zakup, tylko zestaw kilku bardzo konkretnych zabezpieczeń.

Zabezpieczenia wejścia, które blokują najwięcej ataków

Tu nie ma magii. Największy zwrot dają aktualizacje, uwierzytelnianie wieloskładnikowe odporne na phishing, filtrowanie poczty i kontrola usług wystawionych do internetu. Reszta to warstwy wspierające. Jeśli te podstawy są słabe, nawet drogi system ochrony końcówek nie zatrzyma całej kampanii.

Ja szczególnie zwracam uwagę na MFA. Jeśli jest oparte wyłącznie na SMS, traktuję je jako etap przejściowy, nie docelowe rozwiązanie. Taki mechanizm nadal jest lepszy niż samo hasło, ale w atakach ukierunkowanych nie daje tej odporności, której naprawdę potrzebujesz. Po wzmocnieniu wejścia trzeba jeszcze zadbać o to, co dzieje się wewnątrz sieci, bo ransomware często przegrywa dopiero wtedy, gdy nie może się swobodnie rozchodzić.

Uprawnienia i segmentacja, które zatrzymują ruch boczny

Ransomware robi największe szkody wtedy, gdy po pierwszym wejściu może poruszać się po całej infrastrukturze jak po własnej sieci. Dlatego rozdzielam konta użytkowników od administracyjnych, tnę dostęp do zasobów do minimum i segmentuję sieć tak, by kompromitacja jednego komputera nie oznaczała kompromitacji wszystkiego.

• Zasada najmniejszych uprawnień oznacza, że użytkownik ma dostęp tylko do tych zasobów, których faktycznie potrzebuje do pracy.
• Oddzielne konto administracyjne powinno służyć wyłącznie do zadań uprzywilejowanych, a nie do poczty i przeglądarki.
• Segmentacja sieci rozdziela stacje robocze, serwery, kopie zapasowe i systemy zarządzania, zamiast trzymać wszystko w jednej płaskiej podsieci.
• W środowiskach OT i automatyki oddzielam warstwę biurową od sterowników, HMI i systemów nadzoru, bo w przeciwnym razie jeden incydent potrafi sparaliżować produkcję.
• Zdalny dostęp ograniczam do urządzeń zarządzanych, z MFA i tylko do usług, które naprawdę muszą być dostępne z zewnątrz.

To są rzeczy mało efektowne marketingowo, ale właśnie one najczęściej decydują o tym, czy atakujący zatrzyma się na jednym komputerze, czy przejmie całą domenę. Kiedy ten fundament jest słaby, pojawiają się błędy, które z zewnątrz wyglądają jak zabezpieczenia, a w praktyce niczego nie bronią.

Najczęstsze błędy, które udają bezpieczeństwo

Najbardziej niebezpieczne są nie te systemy, których w ogóle nie ma, tylko te, które istnieją „na papierze”. W praktyce widzę ciągle te same potknięcia:

• Kopia zapasowa znajduje się na tym samym koncie chmurowym i pod tym samym hasłem co produkcja.
• Jedno konto administratora służy do wszystkiego, łącznie z pocztą i przeglądarką.
• MFA działa tylko dla części usług, a najważniejsze panele nadal chroni samo hasło.
• Aktualizacje są odkładane, bo „najpierw musimy zakończyć projekt”, a luka czeka.
• Nikt nie testuje odtworzenia, więc backup jest dobry dopiero do pierwszego realnego incydentu.
• Logi są zbierane, ale nikt nie ustawił progów alarmowych ani procedury reakcji.
• Antywirus ma uspokajać sumienie, mimo że nie ma segmentacji, EDR ani kontroli uprawnień.

Jeśli miałbym wskazać jeden błąd szczególnie kosztowny, byłby to brak testów przywracania. Wielu administratorów jest przekonanych, że „backup działa”, dopóki nie trzeba z niego skorzystać pod presją czasu. A wtedy wychodzi, że brakuje kluczy, kopia jest niepełna albo odtwarzanie trwa tak długo, że biznes i tak stoi.

To prowadzi do ostatniego, praktycznego elementu: trzeba mieć plan działania jeszcze przed incydentem, bo w stresie ludzie podejmują najgorsze decyzje.

Plan, który warto mieć zanim coś się wydarzy

Ja przygotowuję prostą procedurę reakcji, która da się uruchomić bez szukania dokumentów po całym dysku. Jej celem nie jest „ładny papier”, tylko skrócenie czasu od wykrycia problemu do odzyskania kontroli. Im mniej improwizacji, tym mniejsze straty.

1. Odłącz zainfekowane urządzenie od sieci, VPN i synchronizacji plików.
2. Zablokuj podejrzane konta, tokeny i sesje, zanim atakujący przejdzie dalej.
3. Zachowaj logi, zrzuty i podstawowe informacje o zdarzeniu, zamiast od razu wszystko formatować.
4. Uruchom odtwarzanie z czystych kopii według wcześniej ustalonej kolejności usług.
5. Sprawdź, czy przywrócone środowisko nie ma tej samej luki, która umożliwiła atak.
6. Przeprowadź krótkie ćwiczenie reakcji co najmniej dwa razy w roku, żeby procedura nie istniała tylko w dokumentach.

W dobrze przygotowanej organizacji każdy wie, kto odcina sieć, kto potwierdza zakres incydentu i kto podejmuje decyzję o przywracaniu usług. Dzięki temu nie traci się pierwszych, najcenniejszych minut na ustalanie podstawowych rzeczy. W praktyce właśnie taka dyscyplina najbardziej skraca przestój.

Gdybym zaczynał od zera, zrobiłbym to w tej kolejności

• Włączyłbym MFA odporne na phishing na poczcie, VPN i panelach administracyjnych.
• Usunąłbym lokalnych administratorów tam, gdzie nie są absolutnie potrzebni.
• Oddzieliłbym kopie zapasowe od produkcji i przetestował pełne odtworzenie.
• Załatałbym najpierw systemy wystawione do internetu i usługi zdalne.
• Podzieliłbym sieć na segmenty, a backup i systemy OT odizolował od zwykłych stacji roboczych.

To nie daje stuprocentowej odporności, ale wyraźnie zmniejsza ryzyko paraliżu i skraca czas odzyskania danych. Właśnie tak rozumiem skuteczną obronę: mniej zaufania do jednego narzędzia, więcej kontroli nad wejściem, uprawnieniami i kopią, którą naprawdę da się odtworzyć.