Trong bài viết này, chúng ta sẽ xem xét các phương pháp sử dụng tính năng File Server Resource Manager (FSRM) trên máy chủ file chạy Windows Server 2012 R2 để phát hiện và chặn ransomware. Cụ thể, chúng ta sẽ chỉ cách cài đặt dịch vụ FSRM trên máy chủ file, cấu hình lọc tệp, và trong trường hợp phát hiện ransomware thì chặn quyền truy cập của người dùng vào chia sẻ.
Cách phát hiện Ransomware bằng FSRM
Nếu tính năng File Server Resource Manager (FSRM) chưa được cài đặt trên máy chủ file của bạn, hãy cài đặt nó bằng console đồ họa Server Manager hoặc dấu nhắc lệnh PowerShell:
Install-WindowsFeature FS-Resource-Manager -IncludeManagementTools
Đảm bảo rằng vai trò đã được cài đặt:
Get-WindowsFeature -Name FS-Resource-Manager
Sau khi tính năng đã được cài đặt, hãy khởi động lại máy chủ.
Cách cấu hình cài đặt SMTP của FSRM để gửi thông báo Email
Bước tiếp theo là cấu hình cài đặt SMTP của FSRM để gửi thông báo email cho quản trị viên. Để làm điều này, hãy khởi động fsrm.msc, nhấp chuột phải vào gốc của console File Server Resource Manager và chọn Configure Options.
Chỉ định tên máy chủ SMTP hoặc địa chỉ IP, địa chỉ email của quản trị viên và người gửi.
Mẹo. Nếu bạn không có máy chủ mail nội bộ, bạn có thể cấu hình gửi mail bằng SMTP relay.
Để đảm bảo máy chủ SMTP được cấu hình đúng, hãy gửi email kiểm tra bằng nút Send Test E-mail.
Cài đặt SMTP của FSRM cũng có thể được cấu hình từ PowerShell:
Set-FsrmSetting -AdminEmailAddress "FileServerAdmins@adatum.com" –smtpserver smtp.adatum.com –FromEmailAddress "FSRM@LON-FS02.adatum.com"
Cách tạo nhóm phần mở rộng tệp cho Ransomware
Bước tiếp theo là tạo một nhóm tệp chứa các phần mở rộng và tên tệp đã biết, được tạo bởi phần mềm mã hóa trong quá trình hoạt động của nó.
Danh sách này có thể được tạo trong console FSRM. Để làm điều đó, mở rộng File Screening Management -> File Groups và chọn Create File Group.
Bạn phải chỉ định tên nhóm (ví dụ: Crypto-files) và nhập tất cả các phần mở rộng đã biết vào danh sách bằng trường Files to include.
Danh sách các phần mở rộng tệp đã biết được tạo bởi ransomware khá dài, vì vậy dễ dàng hơn là tạo nó bằng PowerShell.
Trong Windows Server 2012, bạn có thể tạo nhóm tệp bằng PowerShell như sau:
New-FsrmFileGroup -Name "Crypto-files" –IncludePattern @("_Locky_recover_instructions.txt","DECRYPT_INSTRUCTIONS.TXT", "DECRYPT_INSTRUCTION.TXT", "HELP_DECRYPT.TXT", "HELP_DECRYPT.HTML", "DecryptAllFiles.txt", "enc_files.txt", "HowDecrypt.txt", "How_Decrypt.txt", "How_Decrypt.html", "HELP_RESTORE_FILES.txt", , "restore_files*.txt", "restore_files.txt", "RECOVERY_KEY.TXT", "how to decrypt aes files.lnk", "HELP_DECRYPT.PNG", "HELP_DECRYPT.lnk", "DecryptAllFiles*.txt", "Decrypt.exe", "AllFilesAreLocked*.bmp", "MESSAGE.txt","*.locky","*.ezz", "*.ecc", "*.exx", "*.7z.encrypted", "*.ctbl", "*.encrypted", "*.aaa", "*.xtbl", "*.abc", "*.JUST", "*.EnCiPhErEd", "*.cryptolocker","*.micro","*.vvv")
Trong Windows Server 2008 R2, bạn sẽ phải sử dụng filescrn.exe:
filescrn.exe filegroup add /filegroup:"Crypto-files" /members:"DECRYPT_INSTRUCTIONS.TXT|DECRYPT_INSTRUCTION.TXT| DecryptAllFiles.txt|enc_files.txt|HowDecrypt.txt|How_Decrypt.txt| How_Decrypt.html|HELP_TO_DECRYPT_YOUR_FILES.txt|HELP_RESTORE_FILES.txt| HELP_TO_SAVE_FILES.txt|restore_files*.txt| restore_files.txt|RECOVERY_KEY.TXT|HELP_DECRYPT.PNG|HELP_DECRYPT.lnk| DecryptAllFiles*.txt|Decrypt.exe|ATTENTION!!!.txt|AllFilesAreLocked*.bmp| MESSAGE.txt|*.locky|*.ezz|*.ecc|*.exx|*.7z.encrypted|*.ctbl| *.encrypted|*.aaa|*.xtbl|*.EnCiPhErEd|*.cryptolocker|*.micro|*.vvv| *.ecc|*.ezz|*.exx|*.zzz|*.xyz|*.aaa|*.abc|*.ccc|*.vvv|*.xxx| *.ttt|*.micro|*.encrypted|*.locked|*.crypto|*_crypt|*.crinf| *.r5a|*.XRNT|*.XTBL|*.crypt|*.R16M01D05|*.pzdc|*.good| *.LOL!|*.OMG!|*.RDM|*.RRK|*.encryptedRSA|*.crjoker| *.LeChiffre|*.keybtc@inbox_com|*.0x0|*.bleep|*.1999| *.vault|*.HA3|*.toxcrypt|*.magic|*.SUPERCRYPT|*.CTBL|*.CTB2|*.locky"
Mẹo. Bạn có thể tự tạo danh sách các phần mở rộng tệp đã biết hoặc sử dụng các danh sách sẵn có được cập nhật thường xuyên từ các trang sau:
https://www.bleib-virenfrei.de/ransomware/
https://fsrm.experiant.ca/api/v1/combined
Trong trường hợp thứ hai, bạn có thể tải xuống danh sách cập nhật các phần mở rộng tệp cho FSRM trực tiếp từ webserver bằng Invoke-WebRequest
new-FsrmFileGroup -name "Anti-Ransomware File Groups" -IncludePattern @((Invoke-WebRequest -Uri "https://fsrm.experiant.ca/api/v1/combined").content | convertfrom-json | % {$_.filters})
Hoặc sử dụng file sẵn có crypto_extensions.txt. Bạn có thể lưu file này vào đĩa và cập nhật nhóm tệp FSRM đã tạo với nó:
$ext_list = Get-Content .\ransomware_extensions.txt
Set-FsrmFileGroup -Name "Crypto-files" -IncludePattern ($ext_list)
Cấu hình mẫu File Screen
Tạo một mẫu File Screen mới để xác định các hành động FSRM phải thực hiện nếu nó phát hiện các tệp này. Để làm điều đó, trong console FSRM đi tới File Screen Management -> File Screen Templates. Tạo một mẫu mới bằng cách chọn Create File Screen Template.
Trong tab Settings, chỉ định tên mẫu “Block_crypto_files”, loại lọc Active screening (không cho phép lưu các loại tệp này) và chọn Crypto-Files trong danh sách nhóm tệp.
Trong tab E-mail Message, bật gửi thông báo email và chỉ định văn bản chủ đề và nội dung tin nhắn.
Trong tab Event Log, chọn tạo mục nhập vào nhật ký hệ thống với ghi chú chỉ định tên người dùng: [Source Io Owner]
Trong tab Command, bạn có thể chọn làm gì nếu một trong các loại tệp này được phát hiện. Chúng ta sẽ thảo luận về điều này sau một chút.
Lưu thay đổi. Một mẫu khác sẽ xuất hiện trong danh sách.
Cách áp dụng mẫu File Screen cho ổ đĩa hoặc thư mục
Bây giờ bạn chỉ cần gán mẫu đã tạo cho ổ đĩa hoặc chia sẻ mạng trên máy chủ của bạn. Trong console FSRM, tạo quy tắc mới Create File Screen.
Trong trường File screen path, chỉ định ổ đĩa cục bộ hoặc đường dẫn đến thư mục bạn muốn bảo vệ khỏi ransomware, và chọn mẫu Block_crypto_files đã tạo trước đó trong danh sách mẫu.
Chặn tự động người dùng bị nhiễm Ransomware
Bây giờ bạn phải cấu hình hành động FSRM sẽ thực hiện nếu phát hiện các tệp được tạo bởi phần mềm mã hóa. Chúng ta sẽ sử dụng script sẵn có: Protect your File Server against Ransomware by using FSRM and Powershell (https://gallery.technet.microsoft.com/scriptcenter/Protect-your-File-Server-f3722fce). Script này làm gì? Khi cố gắng ghi loại tệp bị cấm vào chia sẻ mạng, FSRM chạy script này, phân tích nhật ký sự kiện và cấm người dùng ghi tệp vào thư mục chia sẻ. Do đó, quyền truy cập của người dùng bị nhiễm vào chia sẻ mạng sẽ bị chặn.
Tải script này xuống và giải nén vào gốc ổ C:\ trên máy chủ file của bạn. Sao chép SubInACL (công cụ cho phép thay đổi quyền限 cho chia sẻ mạng) vào cùng thư mục. Các tệp sau phải nằm trong thư mục:
- RansomwareBlockSmb.ps1
- StartRansomwareBlockSmb.cmd
- subinacl.exe
Lưu ý. Tôi đã phải thay đổi các chuỗi sau trong script PS:
$SubinaclCmd = "C:\subinacl /verbose=1 /share \\127.0.0.1" + "$SharePart" + " /deny=" + "$BadUser"
và
if ($Rule -match "Crypto-Files")
Trong tab Command của cài đặt mẫu “Block crypto files”, chỉ định rằng command prompt chứa đối số StartRansomwareBlockSmb.cmd phải được khởi động:
Run this command or script: c:\windows\system32\cmd.exe
Command arguments: /c “c:\StartRansomwareBlockSmb.cmd”
Lệnh phải được chạy dưới Local System.
Kiểm tra bảo vệ FSRM
Hãy kiểm tra cách bảo vệ FSRM chống lại ransomware hoạt động. Để làm điều đó, tạo một tệp với bất kỳ phần mở rộng nào trong thư mục được bảo vệ và cố gắng thay đổi phần mở rộng này thành loại bị cấm .locky.
Khi cố gắng lưu tệp bị cấm, FSRM sẽ tạo mục nhập trong nhật ký:
Event ID: 8215
Source: SRMSVC
Dựa trên dữ liệu từ nhật ký, script RansomwareBlockSmb.ps1 sẽ cấm người dùng hiện tại truy cập thư mục này, bằng cách thay đổi quyền truy cập chia sẻ.
Bảo vệ hoạt động! Trong nhật ký nằm ở gốc ổ đĩa, bạn có thể thấy thư mục và tài khoản người dùng mà ransomware đã cố gắng chạy.
Nếu bạn cần mức bảo vệ cao hơn, bạn có thể chuyển từ danh sách đen các tệp sang danh sách trắng, và sau đó bạn sẽ chỉ có thể lưu các loại tệp được phép.
Vì vậy, chúng ta đã xem xét cách tự động chặn quyền truy cập chia sẻ mạng của người dùng mà máy tính của họ bị nhiễm ransomware. Tự nhiên, việc sử dụng FSRM theo cách này không thể bảo vệ hoàn toàn các tệp trên máy chủ của bạn khỏi loại phần mềm độc hại này, nhưng nó phù hợp như một trong các cấp độ bảo vệ. Trong các bài viết tiếp theo, chúng ta sẽ xem xét biến thể bảo vệ khác chống lại ransomware mã hóa:
- Cách khôi phục tệp người dùng từ VSS Snapshots sau khi bị nhiễm Ransomware
- Software Restriction Policies để ngăn chặn Ransomware