مقالهپلتفرم، امنیت و امضا
باجافزار چیست؟ ۱۰ اقدام پیشگیرانه برای حفظ اسناد و مکاتبات سازمان
باجافزار بدافزاری است که فایل‌ها را رمزگذاری و اغلب پیش از آن داده‌ها را سرقت می‌کند و باج مطالبه می‌کند. ایمیل فیشینگ، رمز ضعیف، دسترسی از راه دور ناامن و نرم‌افزار به‌روزنشده مسیرهای رایج‌اند. ده اقدام پیشگیرانه از حداقل دسترسی و MFA تا پشتیبان جدا، آزمون بازیابی و مخزن اسناد کنترل‌شده، همراه با سناریوی پاسخ آماده، احتمال و دامنه آسیب را کاهش می‌دهند.
خلاصه در چند نکته
- باجافزار رمزگذاری و اغلب سرقت داده را با هم انجام می‌دهد.
- پرداخت باج تضمینی برای بازگشت داده نیست.
- حداقل دسترسی دامنه آسیب را محدود می‌کند.
- پشتیبان باید جدا از شبکه اصلی و آزموده باشد.
- بیشتر حملات با یک کلیک روی ایمیل آغاز می‌شوند.
- پوشه‌های مشترک بی‌کنترل هدف آسان باج‌افزارند.
- سناریوی پاسخ را پیش از حادثه آماده کنید.
فهرست مطالب
صبح یک روز کاری، کارکنان یک شرکت وقتی رایانه‌هایشان را روشن می‌کنند، به‌جای صفحه همیشگی با پیامی روبه‌رو می‌شوند: «همه فایل‌های شما رمزگذاری شده‌اند. برای بازگرداندن آن‌ها، مبلغ مشخصی به این نشانی بپردازید.» پوشه‌های مشترک شبکه، اسناد اسکن‌شده، فایل‌های قراردادها و حتی نسخه‌های پشتیبان که روی همان شبکه نگه داشته می‌شدند، همه قفل شده‌اند. کار شرکت متوقف می‌شود و مدیران باید بین پرداخت باج به مجرمان و از دست دادن داده‌ها تصمیم بگیرند.
این سناریو برای بسیاری از سازمان‌ها، از جمله سازمان‌های ایرانی، تجربه‌ای واقعی بوده است. باجافزار یکی از جدی‌ترین تهدیدهای امنیتی برای اسناد و مکاتبات سازمانی است. خبر خوب این است که بخش بزرگی از حملات با اقدامات پیشگیرانه نسبتاً ساده قابل جلوگیری یا محدود کردن است. در این مقاله، باجافزار را تعریف می‌کنیم، مسیرهای رایج آلودگی را مرور می‌کنیم، ده اقدام پیشگیرانه را شرح می‌دهیم و یک سناریوی پاسخ ساده ارائه می‌کنیم.
یادداشت: این مقاله راهنمای عمومی آگاهی‌بخش است و جایگزین ارزیابی امنیتی تخصصی نیست. برای طراحی برنامه امنیتی سازمان خود، با متخصصان امنیت اطلاعات مشورت کنید.
باجافزار چیست؟
باجافزار (Ransomware) نوعی بدافزار است که فایل‌ها یا سامانه‌های قربانی را رمزگذاری یا قفل می‌کند و برای بازگرداندن دسترسی، باج مطالبه می‌کند. در سال‌های اخیر، بسیاری از گروه‌های باج‌افزاری علاوه بر رمزگذاری، ابتدا داده‌ها را سرقت می‌کنند و تهدید می‌کنند اگر باج پرداخت نشود، داده‌ها را منتشر خواهند کرد. به این روش «اخاذی مضاعف» گفته می‌شود.
چرا پرداخت باج راه‌حل نیست:
- هیچ تضمینی وجود ندارد که پس از پرداخت، کلید بازگشایی داده شود یا کار کند.
- پرداخت، مهاجمان را به حمله دوباره تشویق می‌کند.
- داده‌های سرقت‌شده ممکن است در هر حال منتشر یا فروخته شوند.
- پرداخت ممکن است پیامدهای حقوقی داشته باشد.
بنابراین تمرکز اصلی باید بر پیشگیری و توان بازیابی بدون پرداخت باشد.
مسیرهای رایج آلودگی
| مسیر | شرح | نمونه |
|---|---|---|
| ایمیل فیشینگ | پیوست یا پیوند آلوده در ایمیلی که ظاهر قانونی دارد | «فاکتور پیوست را بررسی کنید» |
| رمز عبور ضعیف یا افشاشده | ورود مهاجم با رمزهای حدس‌زدنی یا لو رفته | دسترسی از راه دور با رمز ساده |
| دسترسی از راه دور ناامن | سرویس‌های دسترسی از راه دور که مستقیم در اینترنت باز هستند | ورود به سرور از طریق درگاه باز |
| نرم‌افزار به‌روزنشده | آسیب‌پذیری‌های شناخته‌شده در سیستم‌عامل یا نرم‌افزارها | سرور بدون وصله امنیتی |
| حافظه‌های جانبی | فلش یا هارد آلوده | فلش آورده‌شده از بیرون |
| نرم‌افزار غیرمجاز | نرم‌افزارهای کرک‌شده یا از منابع نامعتبر | ابزار رایگان دانلودشده از سایت ناشناس |
ده اقدام پیشگیرانه
۱. حداقل دسترسی
هر کاربر فقط به فایل‌ها، پوشه‌ها و سامانه‌هایی دسترسی داشته باشد که برای کارش لازم است. اگر حساب یک کارمند آلوده شود، باجافزار فقط به همان چیزی می‌رسد که آن حساب به آن دسترسی دارد. کاربری که به همه پوشه‌های مشترک سازمان دسترسی نوشتن دارد، یک ریسک بزرگ است.
۲. احراز هویت چندعاملی
تأیید دومرحله‌ای (MFA) حتی اگر رمز عبور لو برود، ورود مهاجم را بسیار دشوارتر می‌کند. به‌ویژه برای حساب‌های مدیر سیستم، دسترسی از راه دور و ایمیل، MFA ضروری است.
۳. پشتیبانگیری جدا از شبکه اصلی
این مهمترین اقدام برای بازیابی است. پشتیبانی که روی همان شبکه و با همان دسترسی‌ها نگه داشته شود، همراه با بقیه فایل‌ها رمزگذاری می‌شود. اصل رایج «۳-۲-۱» توصیه می‌کند: حداقل سه نسخه از داده‌ها، روی دو نوع رسانه متفاوت، که یک نسخه خارج از محل یا جدا از شبکه (آفلاین یا تغییرناپذیر) باشد.
۴. آزمون بازیابی
پشتیبانی که هیچ‌وقت بازیابی نشده، پشتیبان نیست؛ امید است. بهطور دورهای بازیابی را آزمایش کنید: آیا فایل‌ها سالم برمی‌گردند؟ بازیابی کامل چقدر طول می‌کشد؟ چه کسی مسئول آن است؟
۵. آموزش کارکنان درباره ایمیل
بیشتر حملات با یک کلیک شروع می‌شوند. کارکنان باید بدانند:
- به فرستنده‌های ناآشنا و پیام‌های فوری غیرعادی مشکوک باشند.
- پیش از باز کردن پیوست‌های غیرمنتظره، با فرستنده از کانال دیگری تماس بگیرند.
- پیوندها را پیش از کلیک بررسی کنند.
- ایمیل مشکوک را به واحد فناوری اطلاعات گزارش دهند، نه اینکه فقط حذف کنند.
۶. به‌روزرسانی منظم
وصله‌های امنیتی سیستم‌عامل، مرورگر، نرم‌افزارهای اداری و سرورها را به‌موقع نصب کنید. بسیاری از حملات از آسیب‌پذیری‌هایی استفاده می‌کنند که وصله آن‌ها مدت‌هاست منتشر شده است.
۷. بستن دسترسی‌های از راه دور غیرضروری
سرویس‌های دسترسی از راه دور را مستقیماً در اینترنت باز نگذارید. از روش‌های امن‌تر مثل اتصال از طریق شبکه خصوصی مجازی همراه با MFA استفاده کنید.
۸. ضدبدافزار و پایش
نرم‌افزار ضدبدافزار به‌روز روی همه دستگاه‌ها نصب باشد و رفتارهای مشکوک (مثل رمزگذاری انبوه فایل‌ها) پایش شود.
۹. حذف پوشه‌های مشترک بی‌کنترل
پوشه‌های شبکه که همه کارکنان به آن دسترسی نوشتن دارند، بدون نسخه‌بندی و بدون سابقه، هدف ایدئال باج‌افزارند. انتقال اسناد مهم به یک مخزن اسناد با نسخه‌بندی، کنترل دسترسی و سابقه هم دسترسی را محدود می‌کند و هم امکان بازگرداندن نسخه‌های قبلی را فراهم می‌کند. روش‌های بایگانی الکترونیک را در مقاله روش‌های بایگانی الکترونیک اسناد مرور کرده‌ایم.
۱۰. نرم‌افزار مجاز و کنترل حافظه‌های جانبی
فقط نرم‌افزارهای مجاز و از منابع معتبر نصب شوند و استفاده از حافظه‌های جانبی بیرونی محدود و کنترل شود.
جدول خلاصه ده اقدام
| # | اقدام | هدف اصلی |
|---|---|---|
| ۱ | حداقل دسترسی | محدود کردن دامنه آسیب |
| ۲ | MFA | جلوگیری از ورود با رمز لورفته |
| ۳ | پشتیبان جدا | امکان بازیابی بدون پرداخت |
| ۴ | آزمون بازیابی | اطمینان از کارکرد پشتیبان |
| ۵ | آموزش ایمیل | جلوگیری از ورود اولیه |
| ۶ | به‌روزرسانی | بستن آسیب‌پذیری‌های شناخته‌شده |
| ۷ | بستن دسترسی از راه دور | کاهش سطح حمله |
| ۸ | ضدبدافزار و پایش | تشخیص زودهنگام |
| ۹ | مخزن اسناد کنترل‌شده | حذف هدف آسان |
| ۱۰ | نرم‌افزار مجاز | جلوگیری از ورود از منابع آلوده |
سناریوی پاسخ: اگر حمله رخ داد
حتی با بهترین پیشگیری، باید برای روز حادثه آماده بود. یک سناریوی پاسخ ساده:
- جداسازی: دستگاه‌ها و سرورهای آلوده را بلافاصله از شبکه جدا کنید تا گسترش متوقف شود. دستگاه را خاموش نکنید مگر متخصص توصیه کند؛ برخی شواهد ممکن است از بین برود.
- اطلاع‌رسانی داخلی: تیم واکنش (فناوری اطلاعات، امنیت، مدیریت، حقوقی) را مطلع کنید.
- ارزیابی دامنه: کدام سامانه‌ها و داده‌ها آسیب دیده‌اند؟ آیا داده‌ای سرقت شده است؟
- حفظ شواهد: گزارش‌ها و نمونه‌ها را برای تحلیل نگه دارید.
- مشورت تخصصی: با متخصصان امنیت و در صورت لزوم مراجع ذی‌صلاح تماس بگیرید.
- بازیابی: پس از اطمینان از پاک‌سازی، از پشتیبان سالم بازیابی کنید.
- رویه جایگزین: در زمان توقف، کار با رویه تداوم کار ادامه یابد.
- درس‌آموزی: پس از حادثه، علت ریشه‌ای و اقدامات اصلاحی را مستند کنید.
برای رویه ادامه کار در زمان اختلال، مقاله تداوم کار اتوماسیون اداری هنگام قطعی را ببینید.
ابری یا روی سرور خودتان: کدام امن‌تر است؟
یکی از پرسش‌های رایج مدیران این است که آیا نگهداری اسناد روی سرور ابری ارائه‌دهنده نرم‌افزار، در برابر باجافزار امن‌تر است یا روی سرور داخلی سازمان. پاسخ کوتاه این است که هیچ‌کدام به‌خودی‌خود امن نیست؛ امنیت به نحوه پیاده‌سازی بستگی دارد.
- در استقرار ابری، بخشی از مسئولیت‌ها مثل به‌روزرسانی سرور، پشتیبانگیری زیرساخت و پایش با ارائه‌دهنده است. اما اگر رمز کاربران لو برود یا دسترسی‌ها بی‌حساب باشد، مهاجم همچنان می‌تواند از طریق حساب کاربر به داده‌ها برسد.
- در استقرار روی سرور سازمان، کنترل کامل با سازمان است، اما همه مسئولیت‌ها هم با خود سازمان است: وصله‌ها، پشتیبان جدا، پایش و آزمون بازیابی.
پرسش درست این است: «چه کسی مسئول کدام بخش است و آیا آن بخش واقعاً انجام می‌شود؟» تفاوت‌های این دو مدل را در مقاله اتوماسیون اداری ابری یا نصب روی سرور بررسی کرده‌ایم.
نشانه‌های هشدار که نباید نادیده گرفت
- کاربران گزارش می‌دهند فایل‌ها با پسوند ناآشنا ظاهر شده‌اند یا باز نمی‌شوند.
- فعالیت غیرعادی در ساعات غیرکاری روی سرورها یا حساب‌های مدیر.
- غیرفعال شدن ناگهانی ضدبدافزار یا پشتیبانگیری.
- ورودهای ناموفق مکرر به حساب‌ها یا ورود از مکان‌های غیرمعمول.
هر یک از این نشانه‌ها باید فوراً به تیم فناوری اطلاعات گزارش و بررسی شود.
نقش راهبر سامانه
بسیاری از این اقدامات (حداقل دسترسی، غیرفعال کردن حساب‌های افراد خارج‌شده، بازبینی دورهای دسترسی‌ها) در حوزه مسئولیت راهبر سامانه‌های سازمان است. وظایف او را در مقاله نقش راهبر سامانه اتوماسیون اداری آورده‌ایم. برای سازمان‌هایی که به الزامات امنیتی رسمی نیاز دارند، مقاله گواهی امنیتی افتا چیست نیز مفید است.
امنیت اسناد و مکاتبات در آریا آی‌تی
خدمت امنیت و ممیزی آریا آی‌تی شامل کمترین دسترسی لازم و جداسازی داده سازمان‌ها، ثبت اعمال حساس در سابقه‌ای که ویرایش عادی ندارد و سیاست پشتیبان و کنترل دسترسی روی نسخه ابری است. لایه هویت پلتفرم ورود یکپارچه، احراز هویت چندعاملی (MFA)، دسترسی مبتنی بر نقش و غیرفعال‌سازی متمرکز حساب را فراهم می‌کند و اسناد در بایگانی با نسخه‌بندی، سطح دسترسی و ردپای ممیزی نگهداری می‌شوند. این قابلیت‌ها بخشی از دفاع‌اند، نه کل آن؛ امنیت دستگاه‌های کاربران، ایمیل و شبکه سازمان همچنان مسئولیت تیم فناوری اطلاعات سازمان است.
جمع‌بندی
باجافزار فایل‌ها را رمزگذاری و اغلب داده‌ها را سرقت می‌کند و پرداخت باج راه‌حل قابل اتکایی نیست. ده اقدام پیشگیرانه (حداقل دسترسی، MFA، پشتیبان جدا از شبکه، آزمون بازیابی، آموزش ایمیل، به‌روزرسانی، بستن دسترسی‌های از راه دور، ضدبدافزار، مخزن اسناد کنترل‌شده و نرم‌افزار مجاز) احتمال و دامنه آسیب را به‌شدت کاهش می‌دهند. یک سناریوی پاسخ از پیش آماده و پشتیبانی که بازیابی آن آزموده شده، تفاوت میان چند ساعت توقف و چند هفته فاجعه است.
دسترسی‌ها، ممیزی و پشتیبان اسناد را جدی بگیرید: درباره خدمت امنیت و ممیزی آریا آی‌تی بیشتر بخوانید یا مشاوره رایگان بگیرید.
پرسش‌های متداول
آیا پرداخت باج داده‌ها را برمی‌گرداند؟
+
تضمینی وجود ندارد. ممکن است کلید داده نشود یا کار نکند، داده‌های سرقت‌شده همچنان منتشر شوند و پرداخت مهاجمان را به حمله دوباره تشویق کند. تمرکز باید بر پیشگیری و پشتیبان قابل بازیابی باشد.
مهمترین اقدام در برابر باجافزار چیست؟
+
پشتیبانگیری جدا از شبکه اصلی که بازیابی آن بهطور دورهای آزمایش شده باشد؛ در کنار حداقل دسترسی و MFA.
اصل پشتیبانگیری ۳-۲-۱ چیست؟
+
حداقل سه نسخه از داده، روی دو نوع رسانه متفاوت، که یک نسخه خارج از محل یا جدا از شبکه باشد.
اگر رایانه‌ای آلوده شد اولین کار چیست؟
+
جدا کردن فوری آن از شبکه برای جلوگیری از گسترش، اطلاع به تیم واکنش و حفظ شواهد؛ سپس مشورت با متخصص امنیت پیش از بازیابی.