Защита от программ-вымогателей и вирусов-шифровальщиков

Важное уточнение: В запросе использованы термины «окорма» и «опоя», которых не существует в терминологии информационной безопасности. Исходя из контекста предоставленных данных (упоминание «программ-шантажистов», «Защитника Windows», «защиты в режиме реального времени», «антивирусных программ»), статья написана на тему защиты от программ-вымогателей (Ransomware) и вирусов-шифровальщиков.

Программы-вымогатели (Ransomware) — это вид вредоносного ПО, который блокирует доступ к системе или шифрует файлы пользователя, требуя выкуп (обычно в криптовалюте) за расшифровку. Современные версии (например, LockBit, BlackCat, Clop) не просто шифруют данные, но и крадут их («двойное вымогательство»), угрожая публикацией в случае отказа от платежа.

По данным за 2024–2025 годы, атаки становятся более таргетированными: хакеры проникают в сеть заранее, изучают инфраструктуру, отключают бэкапы и антивирусы, и только потом запускают шифрование.

Базовая гигиена: обновления и встроенные средства Windows

Первая линия обороны — своевременное обновление операционной системы и встроенных инструментов защиты.

Защитник Windows (Microsoft Defender) и защита в реальном времени

В Windows 10 и 11 «Защитник» эволюционировал в полноценное корпоративное решение (Microsoft Defender for Endpoint). Ключевые функции, которые обязательно нужно включить:

• Защита в режиме реального времени (Real-time protection): Автоматически сканирует файлы при открытии, загрузке и запуске. Базы сигнатур обновляются через Windows Update несколько раз в день (данные за 2024–2026 гг. подтверждают автоматическое обновление).
• Защита от подделки (Tamper Protection): Запрещает вредоносным программам (или злоумышленнику с админ-доступом) отключать Защитник через реестр, PowerShell или групповые политики.
• Контролируемый доступ к папкам (Controlled Folder Access): Критически важная функция. Блокирует неавторизованные изменения файлов в защищенных папках (Документы, Изображения, Рабочий стол) сторонними приложениями. Даже если шифровальщик запустится, он не сможет зашифровать эти данные.
• Защита от эксплойтов (Exploit Protection): Митигации (CFG, DEP, ASLR, Arbitrary Code Guard), усложняющие использование уязвимостей нулевого дня для запуска кода.

Как включить (Windows 11):

1. Откройте Безопасность Windows (три способа: значок в трее, Пуск -> Настройки -> Конфиденциальность и безопасность -> Безопасность Windows, или Win+S -> «Безопасность Windows»).
2. Перейдите в Защита от вирусов и угроз -> Управление настройками (под заголовком «Настройки защиты от вирусов и угроз»).
3. Включите все переключатели: Защита в реальном времени, Облачная защита, Автоматическая отправка образцов, Защита от подделки.
4. Прокрутите вниз до Контролируемый доступ к папкам -> Включите. Добавьте доверенные приложения (например, ваш редактор кода или 1С), если они блокируются ложно.

Включение защиты системы (Точки восстановления)

Хотя шифровальщики часто удаляют теневое копии (vssadmin delete shadows), включенная «Защита системы» на системном диске (C:) позволяет откатить реестр и системные файлы после очистки вируса.

• Win+S -> «Создание точки восстановления» -> вкладка «Защита системы» -> Настроить -> «Включить защиту системы» -> Выделить 5–10% места.

Стратегия резервного копирования: Правило 3-2-1-1-0

Это единственный гарантированный способ восстановления без оплаты выкупа. Современный стандарт — правило 3-2-1-1-0:

• 3 копии данных (оригинал + 2 бэкапа).
• 2 разных типа носителя (например, локальный NAS + облако / лента / съемный HDD).
• 1 копия хранится оффлайн / air-gapped (физически отключена от сети и ПК). Это защищает от шифрования бэкапов самим вирусом.
• 1 копия — immutable (неизменяемая) (Object Lock в S3, WORM-ленты, репозитории Veeam/Veritas с блокировкой на удаление/изменение на заданный срок).
• 0 ошибок при проверке восстановления (регулярные тестовые развертывания).

Совет: Используйте ПО для бэкапа с поддержкой дедупликации и инкрементных копий (Veeam, Acronis, Duplicati, Restic, Kopia). Настройте уведомления о неудачных заданиях в Telegram/Email.

Сетевая периметрическая защита и Zero Trust

Большинство атак начинается с фишинга, уязвимостей VPN/RDP или компрометации учетных данных.

Закрытие RDP и VPN

• Никогда не публикуйте RDP (порт 3389) в интернет напрямую. Только через VPN (WireGuard, OpenVPN, Tailscale) или RD Gateway с MFA.
• Используйте MFA (многофакторную аутентификацию) для всех удаленных доступов и админских учеток. Аппаратные ключи (YubiKey, FIDO2) предпочтительнее SMS/пуш.

Сегментация сети (Microsegmentation)

Разделите сеть на зоны (DMZ, серверы, рабочие станции, бухгалтерия, IoT). Запретите межсетевой экраном (внутренний фаервол / Windows Firewall / Cisco/ FortiGate policies) лишние соединения. Шифровальщик, попавший на один ПК бухгалтерии, не должен иметь доступа к контроллеру домена или серверу БД.

DNS-фильтрация и Secure Web Gateway

Блокируйте на уровне DNS (Cisco Umbrella, Quad9, NextDNS, AdGuard DNS) доступ к известным C2-серверам, доменам для загрузки полезной нагрузки, недавно зарегистрированным доменам и категориям «Malware», «Phishing», «C2».

Защита почты и обучение персонала (Human Firewall)

Фишинг — вектор №1 проникновения (Initial Access).

• Технические меры: DKIM, SPF, DMARC (политика reject/quarantine). Песочницы (sandbox) для вложений (Any.Run, Joe Sandbox, встроенные в Microsoft Defender for Office 365 / Google Workspace). Перезапись ссылок (Safe Links). Блокировка исполняемых файлов (.exe, .scr, .js, .vbs, .iso, .img) во вложениях.
• Обучение: Регулярные фишинг-симуляции (KnowBe4, Phishman, Gophish). Обучение распознаванию BEC (Business Email Compromise) — писем «от директора» с просьбой срочно перевести деньги или скинуть пароли.

Управление уязвимостями и Patch Management

Эксплойты уязвимостей (ProxyLogon, PrintNightmare, Log4Shell, ZeroLogon, уязвимости в Fortinet, Citrix, VPN-шлюзах), второй по популярности вектор входа.

• Автоматические обновления Windows (WSUS / Intune / Autopatch).
• Сканеры уязвимостей (Nessus, OpenVAS, Greenbone, Microsoft Defender Vulnerability Management) — еженедельные сканы.
• Приоритизация патчинга по KEV-каталогу CISA (Known Exploited Vulnerabilities) — патчить в течение 48 часов для критических.
• Обновление ПО третьих сторон (браузеры, Office, 7-Zip, драйверы) через SCCM/Intune/Chocolatey/Winget.

Принцип минимальных привилегий и LAPS

• Пользователи не должны быть локальными администраторами своих ПК. Установка ПО — через корпоративный каталог (Intune, SCCM, PDQ Deploy).
• LAPS (Local Administrator Password Solution): Уникальные, сложные, регулярно меняющиеся пароли локального админа на каждом ПК, хранящиеся в AD/Entra ID. Предотвращает lateral movement (горизонтальное перемещение) через Pass-the-Hash.
• Tiered Administration (Red Forest / Enhanced Security Admin Environment): Разделение админских учеток: Tier 0 (Domain Controllers), Tier 1 (Servers), Tier 2 (Workstations). Админ Tier 2 не может логиниться на Tier 0/1.

Продвинутые средства: EDR / XDR и Application Control

Для бизнеса (от 50–100 узлов) антивируса недостаточно. Нужен EDR (Endpoint Detection and Response) или XDR (Extended Detection and Response);

• Что делает EDR: Собирает телеметрию (процессы, сеть, реестр, файлы), коррелирует события, обнаруживает безфайловые атаки, использование Livingston-off-the-land бинарников (LOLBins: PowerShell, WMI, Certutil, MSHTA, Rundll32), перебор паролей, движение по сети.
• Автореагирование (SOAR): Автоматическая изоляция хоста в карантин (network quarantine) при обнаружении шифрования или подозрительной активности (например, запуск vssadmin delete shadows).
• Рейтинговые решения (Gartner Magic Quadrant 2024–2025): Microsoft Defender for Endpoint (MDE), CrowdStrike Falcon, SentinelOne Singularity, Cortex XDR (Palo Alto), Trellix (McAfee+FireEye), Kaspersky EDR / Symantec (Broadcom), Elastic Security.

Контроль приложений (Application Control / WDAC / AppLocker)

Золотой стандарт защиты: Запуск только разрешенного (Allow-listing).

• WDAC (Windows Defender Application Control): Политики на уровне ядра (CI ౼ Code Integrity). Блокирует запуск любого неподписанного кода, скриптов, драйверов. Сложнее в настройке, но максимально надежно.
• AppLocker: Правила на основе путей, хешей, издателей. Проще, но обходится легче (DLL hijacking, непокрытые пути).
• Режим «Audit Only» для тестирования -> «Enforced» для продакшена.

Мониторинг и реагирование (SOC / SIEM)

Собирайте логи в SIEM (Splunk, Elastic, QRadar, LogRhythm, Microsoft Sentinel, KUMA, MaxPatrol SIEM).

Ключевые правила детекта (Sigma / KQL / SPL):

• Запуск `vssadmin.exe delete shadows` / `wmic shadowcopy delete` / `PowerShell` команды удаления теневых копий.
• Массовое переименование файлов / изменение расширений за короткое время (File Entropy / Mass Rename).
• Запуск `certutil.exe -decode` / `certutil.exe -urlcache -split` / `bitsadmin /transfer` (скачивание полезной нагрузки).
• Создание задач планировщика (schtasks / at) или сервисов (sc create) от имени SYSTEM / админа.
• Обнаружение инструментов администрирования/взлома: Mimikatz, BloodHound, SharpHound, PsExec, Cobalt Strike Beacon (metadata), Rubeus, LaZagne, Netscan, Advanced IP Scanner.
• Неудачные попытки входа (Event ID 4625) с типом входа 3 (Network) / 10 (RemoteInteractive), брутфорс / password spraying.

План реагирования на инцидент (IR Plan)

Документ, который обязательно должен быть распечатан и лежать на столе у CISO/админа (если сеть упала, доступ к Confluence/SharePoint не будет).

1. Подготовка: Команда IR, контакты (внешние эксперты, регулятор, страховщик, юристы), изолированные каналы связи (Signal, Threema, Element/Matrix).
2. Идентификация: Как обнаружили (алерт EDR, жалоба пользователя,-заметка). Оценка масштаба.
3. Локализация (Containment): Краткосрочная: Изоляция хостов в карантин (EDR), блокировка IP на фаерволе, отключение VLAN/порт на свитче, сброс паролей скомпрометированных аккаунтов. Долгосрочная: Временные правила блокировки IOC (хеши, IP, домены).
4. Искоренение (Eradication): Удаление вредоноса, патчинг векторов входа, удаление персистентности (запуск, задачи, сервисы, WMI, GPO), перевыпуск сертификатов/ключей (Kerberos Golden Ticket mitigation).
5. Восстановление (Recovery): Восстановление из проверенных чистых бэкапов (сканирование бэкапа антивирусом/EDR перед развертыванием). Поэтапное подключение сегментов сети. Мониторинг на предмет реинфекции.
6. Уроки (Lessons Learned): Отчет за 2 недели. Root Cause Analysis (5 Whys). Обновление правил детекта, политик, обучение.

Чек-лист быстрой проверки (Hardening Baseline)

Что делать, если зашифровались (Emergency Checklist)

1. НЕ ПЕРЕЗАГРУЖАЙТЕ СЕРВЕРЫ/ПК (ключи шифрования могут быть в RAM, перезагрузка уничтожит шанс на восстановление у некоторых старых версий вирусов, а также сбросит состояние EDR).
2. Физически отключите зараженные сегменты от сети (выдерните кабели / отключите порты на свитче / изолируйте через EDR).
3. Сфотографируйте/скопируйте-заметку (Ransom Note) и расширение зашифрованных файлов для идентификации штамма (ID Ransomware, No More Ransom).
4. Сбросьте пароли ВСЕХ админских и сервисных учеток (KRBTGT 2 раза с интервалом для очистки Golden Ticket).
5. Обратитесь к профессионалам (IR-команды: Group-IB, Kaspersky, Solar Dozor, Positive Technologies, Bi.Zone, Red Barn и др., в зависимости от юрисдикции и бюджета).
6. НЕ ПЛАТИТЕ ВЫКУП (не гарантирует расшифровку, финансирует преступников, делает вас мишенью для повторных атак). Исключение, критическая угроза жизни/здоровью и отсутствие бэкапов (решение на уровне CEO/Совета директоров с юристами).
7. Сообщите в регулятор (в РФ — ФСТЭК/ФСБ/Роскомнадзор по 152-ФЗ/187-ФЗ/КИ, в ЕС, GDPR 72 часа).

Защита от программ-вымогателей — это не установка одной «волшебной кнопки», а системный процесс: Prevent (превенция) -> Detect (детекция) -> Respond (реагирование) -> Recover (восстановление).

На 2025–2026 годы вектор смещается в сторону Identity Security (защита идентификаторов), Cloud Security и борьбы с Living-off-the-Land техниками. Инвестиции в EDR/XDR, WDAC/AppLocker, иммутабельные бэкапы и обучение людей дают максимальный ROI (возврат инвестиций) по сравнению с последствиями простоя бизнеса на недели и репутационными потерями.

Помните: лучшая защита от вымогателя, это бэкап, который он не может зашифровать, и админ, который не кликает на фишинговые ссылки;