Как вредоносные программы обычно попадают в небольшую организацию?
Вредоносное ПО обычно проникает через вложение в электронном письме, вредоносный сайт или службу удалённого доступа с неустановленными обновлениями безопасности либо открытую для внешнего доступа. Именно эти пути выделяет NCSC в своих рекомендациях. Затем украденные пароли позволяют злоумышленникам переходить с одного компьютера на другие в сети.
Рассмотрим вымышленную благотворительную организацию «Нортгейт Фуд Нетворк», в которой работают восемь человек. Координатор волонтёров Сэм ведёт список дел, до которых ни у кого не дошли руки: 'ноутбук всё время просит перезагрузку для обновлений, постоянно откладываем. резервная копия = USB-накопитель, постоянно подключённый к офисному компьютеру. удалённый рабочий стол оставлен открытым, чтобы казначей мог работать из дома. таблица пожертвований пришла от нового поставщика в формате .xlsm, попросили включить содержимое'. Каждая строка — возможная точка входа для групп, использующих программы-вымогатели.
Каковы основные виды вредоносных программ?
Основные типы вредоносного ПО различают по тому, что они делают после проникновения в систему; во многих атаках сочетается несколько типов.
| Тип | Что он делает | Типичный признак |
|---|---|---|
| Программы-вымогатели | Шифрует или крадёт файлы и требует выкуп | Файлы не открываются, расширения изменены, есть записка с требованием выкупа |
| Программа для кражи данных или шпионское ПО | Собирает пароли, файлы cookie и документы | Неизвестные входы, изменения учётных записей без вашего участия |
| Троянская программа | Скрывается внутри чего-то, что выглядит полезным | Неожиданно появившаяся программа или документ запрашивает дополнительные разрешения |
| Сетевой червь | Самостоятельно распространяется по сети | Несколько компьютеров одновременно замедляются или работают со сбоями |
| Вредоносная программа для уничтожения данных | Уничтожает данные, иногда маскируясь под программу-вымогатель | Файлы потеряны даже после выполнения требования |
Как защититься от вредоносных программ и программ-вымогателей?
Вы предотвращаете большинство заражений вредоносными программами и программами-вымогателями с помощью нескольких уровней защиты, а не одного продукта: своевременно устанавливаете обновления, храните резервные копии вне доступа злоумышленников и защищаете учётные записи многофакторной аутентификацией. NCSC подчёркивает важность многоуровневой защиты, поскольку ни одна отдельная мера не предотвращает все заражения.
Обновления
Устанавливайте обновления безопасности сразу после их выхода и включите автоматическое обновление. В первую очередь устраняйте уязвимости в сервисах удалённого доступа и устройствах, доступных из интернета, поскольку злоумышленники ищут их сканированием.
Резервные копии, отключённые от сети
Регулярно создавайте резервные копии, которые не подключены к вашей сети постоянно, по возможности храните их в другом месте и проверяйте, что из них можно восстановить данные. CISA рекомендует зашифрованные резервные копии, хранящиеся вне сети, с регулярной проверкой восстановления.
Многофакторная аутентификация
Включите многофакторную аутентификацию для электронной почты, облачного хранилища и каждой точки удалённого доступа, чтобы одного украденного пароля было недостаточно.
Макросы и скачиваемые файлы
Не включайте макросы или активное содержимое в документах, которых вы не ожидали. Вместо этого свяжитесь с отправителем по известному вам каналу.
Минимальный доступ
Предоставляйте сотрудникам только необходимый доступ и отключайте удалённый доступ, которым никто не пользуется.
Как выглядят неудачный и улучшенный списки исправлений?
Слабый список мер ограничивается пунктом 'купить антивирус получше'. Антивирус полезен, но он не закрыл бы ни один из четырёх путей атаки в ситуации Сэма: резервная копия на USB-накопителе всё равно была бы зашифрована вместе с компьютером, открытый доступ к удалённому рабочему столу по-прежнему привлекал бы злоумышленников, а макрос всё равно запустился бы, если бы кто-то разрешил его выполнение.
Улучшенный список исправлений связывает каждый путь проникновения с регулярным действием. Обновления: сегодня вечером перезагрузить устройство и установить обновления, затем включить автоматическое обновление. Резервное копирование: отключать USB-накопитель после каждого еженедельного копирования, хранить вторую копию в отдельной облачной учётной записи с собственной многофакторной аутентификацией и в этом месяце проверить восстановление одной копии. Удалённый доступ: закрыть открытый доступ к удалённому рабочему столу и предоставить казначею поддерживаемый способ доступа к файлам с многофакторной аутентификацией. Таблица от поставщика: не включать содержимое; позвонить поставщику по номеру с его сайта и подтвердить, что файл отправил он. У каждого пункта есть ответственный и срок.
Что делать при атаке программы-вымогателя?
Если произошло заражение программой-вымогателем, немедленно изолируйте затронутые устройства от сети, свяжитесь с теми, кто отвечает за ваши ИТ-системы, и сообщите об инциденте. CISA рекомендует по возможности отключать устройства от сети, а не выключать питание, поскольку выключение может уничтожить доказательства, а после очистки систем — восстанавливать данные из автономных резервных копий. NCSC рекомендует пострадавшим обратиться к проекту No More Ransom, где могут быть доступны средства расшифровки, и отмечает, что правоохранительные органы не рекомендуют платить выкуп: оплата не гарантирует восстановления и финансирует преступные группы. В нашем уроке по основам реагирования на инциденты разобраны все действия в первый час.
Как проверить, что ваши меры защиты действительно работают?
Проверяйте защиту на практике, а не полагайтесь на предположения. Попробуйте восстановить одну папку из резервной копии, просмотрите историю обновлений устройства, убедитесь, что для всех важных учётных записей включена многофакторная аутентификация, и перечислите все имеющиеся способы удалённого доступа. Если вы не можете разобраться с одним из этих пунктов за пять минут, займитесь им в первую очередь.
Какие ошибки часто допускают при защите от вредоносных программ?
Самая распространённая ошибка — держать резервную копию постоянно подключённой: программа-вымогатель зашифрует её вместе со всем остальным. Другие ошибки: откладывать обновления на недели, оставлять удалённый доступ открытым ради удобства, пользоваться одной общей учётной записью администратора, включать макросы по вежливой просьбе в сообщении и впервые проверять восстановление лишь в тот день, когда оно понадобится.
К какому разделу Tosheo.ai относится этот урок?
Этот урок относится к категории «Кибербезопасность» и курсу по кибербезопасности наряду с темами фишинга, реагирования на инциденты и безопасного использования ИИ-агентов. В Tosheo.ai вы проверяете организацию защиты вымышленной компании, подобной Нортгейт, составляете список исправлений по приоритету и получаете обратную связь по критериям оценки о том, что вы упустили. Это обучение основам осведомлённости для рядовых сотрудников и руководителей, а не технический курс по безопасности или анализу вредоносного ПО.
Источники и границы рассмотрения
CISA, StopRansomware (проверено 19 октября 2026) ↗
CISA, я стал жертвой программы-вымогателя (проверено 19 октября 2026) ↗
NCSC: руководство для малого бизнеса — реагирование и восстановление (проверено 19 октября 2026) ↗