Foldery współdzielone na serwerach firmowych mogą stać się celem ataków ransomware uruchomionych na komputerach użytkowników, nawet jeśli złośliwe pliki i procesy nie znajdują się bezpośrednio na serwerze. WithSecure Elements EPP for Servers oferuje funkcję Server Share Protection, która monitoruje aktywność użytkowników pracujących na udostępnionych zasobach, a po wykryciu ransomware blokuje dalsze modyfikacje i przywraca zmienione pliki. W tym poradniku pokazujemy, jak skonfigurować tę funkcję, ustawić czas blokady użytkownika oraz zarządzać wyjątkami dla folderów i kont.
Czym jest Server Share Protection?
Server Share Protection to funkcja dostępna w ramach subskrypcji WithSecure Elements EPP for Servers, która chroni foldery współdzielone przed skutkami ataków ransomware przeprowadzanych za pośrednictwem zdalnego dostępu do serwera.
Mechanizm monitoruje działania wykonywane w sesjach użytkowników pracujących z udostępnionymi plikami i folderami. Co istotne, potrafi wykrywać ransomware również wtedy, gdy złośliwe pliki i procesy nie znajdują się na samym serwerze. Rozpoznaje także sytuacje, w których ransomware podszywa się pod użytkownika i szyfruje pliki z wykorzystaniem jego uprawnień.
Po wykryciu ataku Server Share Protection:
- blokuje użytkownikowi możliwość dalszego modyfikowania udostępnionych plików przez określony czas (domyślnie jest to 30 minut),
- cofa zmiany wykonane przez ransomware,
- przywraca system plików do stanu sprzed ataku.
Warto pamiętać, że jeśli użytkownik modyfikuje pliki, ale nie zostanie wykryta aktywność typu ransomware, Server Share Protection nie cofnie wprowadzonych zmian.
Aby dostosować działanie Server Share Protection do potrzeb organizacji, administrator może skonfigurować kilka ustawień w profilu ochrony serwerów Windows. Obejmują one m.in. tryb testowy, czas blokowania użytkownika po wykryciu ransomware oraz listy wykluczeń dla folderów i kont. Poniżej znajdziesz instrukcje konfiguracji każdej z tych opcji krok po kroku.
Włączenie trybu Allow and report
Przed rozpoczęciem korzystania z pełnej ochrony warto uruchomić tryb Allow and report. Pozwala on monitorować aktywność i wykrywać zachowania przypominające działanie ransomware, ale nie blokuje użytkowników ani nie cofa wprowadzonych zmian. Jest to przydatne podczas testowania funkcji Server Share Protection, ponieważ pozwala sprawdzić, czy prawidłowo działające skrypty lub inne procesy wykorzystywane w organizacji nie są błędnie rozpoznawane jako zagrożenie.
Aby włączyć tryb Allow and report:
- W konsoli WithSecure Elements przejdź do sekcji Security Configurations, a następnie wybierz Profiles.
- Otwórz zakładkę For Windows Servers i wybierz profil, który chcesz edytować.
- Z menu po lewej stronie wybierz Server Share Protection.
- Włącz opcję Allow and report mode.
- Wybierz Save and Publish, aby zapisać i opublikować zmiany.
Ważne: W trybie Allow and report funkcja jedynie monitoruje i raportuje wykryte zagrożenia. Nie blokuje dostępu do plików ani nie przywraca zaszyfrowanych danych. Szczegóły potencjalnych wykryć można sprawdzić w sekcji Events → Security Events.
Zaleca się korzystanie z tego trybu na etapie testowania funkcji. Po sprawdzeniu, czy prawidłowe działania użytkowników i skryptów nie powodują fałszywych alarmów, można wyłączyć Allow and report mode, aby korzystać z właściwych mechanizmów ochrony.
Ustawienie czasu blokady użytkownika
Po wykryciu ransomware Server Share Protection może tymczasowo zablokować użytkownika, uniemożliwiając mu dalsze modyfikowanie udostępnionych plików i folderów. Administrator może określić, jak długo blokada ma pozostać aktywna. Domyślna wartość wynosi 30 minut.
Aby zmienić czas blokady:
- W sekcji Security Configurations wybierz Profiles.
- Przejdź do zakładki For Windows Servers i otwórz profil przeznaczony do edycji.
- Z menu po lewej stronie wybierz Server Share Protection.
- W polu Block user access (minutes) wpisz wybraną liczbę minut.
- Wybierz Save and Publish, aby zapisać i opublikować zmiany.
Ustawiony czas określa, jak długo użytkownik będzie pozbawiony możliwości wprowadzania zmian w folderach współdzielonych po wykryciu ransomware.
Wykluczenie folderów współdzielonych z monitorowania
Server Share Protection monitoruje udostępnione foldery i umożliwia przywracanie plików zmodyfikowanych przez ransomware za pośrednictwem sieci. Jeśli administrator nie chce, aby określony folder był objęty tym mechanizmem, może dodać go do listy wykluczeń.
Aby wykluczyć folder współdzielony:
- W sekcji Security Configurations wybierz Profiles.
- Przejdź do zakładki For Windows Servers i otwórz profil, który chcesz edytować.
- Z menu po lewej stronie wybierz Server Share Protection.
- W sekcji Excluded folders wybierz Add excluded folder.
- Wprowadź ścieżkę do folderu współdzielonego, który ma zostać wykluczony z monitorowania.
- Wybierz Save and Publish, aby zapisać i opublikować zmiany.
Ważne: Wykluczenie obejmuje cały folder współdzielony. Nie ma możliwości dodania do wyjątków pojedynczego podfolderu.
TIP: Foldery znajdujące się na liście wykluczeń nie są monitorowane przez Server Share Protection. Przed dodaniem wyjątku warto więc upewnić się, że wyłączenie danego zasobu z monitorowania jest uzasadnione.
Wykluczenie użytkowników z ochrony
Administrator może również wskazać konta, których aktywność nie będzie monitorowana przez Server Share Protection. Użytkownicy dodani do listy wykluczeń nie będą blokowani w przypadku wykrycia złośliwego oprogramowania i zachowają możliwość edytowania plików w folderach współdzielonych.
Do listy można dodać nazwę użytkownika w pełnym formacie domenowym: domain_name\user_name. Można również posłużyć się identyfikatorem SID (Security Identifier).
Aby wykluczyć użytkownika:
- W sekcji Security Configurations wybierz Profiles.
- Przejdź do zakładki For Windows Servers i otwórz profil przeznaczony do edycji.
- Z menu po lewej stronie wybierz Server Share Protection.
- W sekcji Excluded users wybierz Add user.
- Wprowadź nazwę użytkownika w formacie domenowym lub jego identyfikator SID.
- Wybierz Save and Publish, aby zapisać i opublikować zmiany.
Ważne: Nazwa użytkownika lub identyfikator SID muszą odpowiadać danym używanym na serwerze Windows, na którym znajdują się foldery współdzielone.
Wykluczeni użytkownicy nie są monitorowani ani blokowani przez Server Share Protection, nawet jeśli zostanie wykryte złośliwe oprogramowanie. Zachowują również możliwość modyfikowania plików w udostępnionych folderach.
Dodanie do wyjątków użytkownika, który został wcześniej zablokowany przez mechanizm ochrony, przywraca mu możliwość korzystania z udostępnionych plików.
Skuteczniejsza ochrona folderów współdzielonych przed ransomware
Server Share Protection rozszerza ochronę serwerów Windows o zaawansowany mechanizm zabezpieczający foldery współdzielone przed skutkami ataków ransomware inicjowanych za pośrednictwem zdalnego dostępu do serwera. Dzięki monitorowaniu aktywności użytkowników, możliwości blokowania niepożądanych zmian oraz przywracania zmodyfikowanych plików, rozwiązanie skutecznie ogranicza skutki incydentów i pomaga chronić kluczowe zasoby firmowe.
Podczas konfiguracji warto najpierw przetestować działanie funkcji w trybie Allow and report, a następnie odpowiednio ustawić czas blokady użytkowników. Wykluczenia folderów i kont należy natomiast stosować rozważnie, ponieważ wskazane zasoby i użytkownicy zostają wyłączeni z monitorowania przez Server Share Protection.
Artykuł powstał na podstawie oryginalnych materiałów oraz dokumentacji technicznej producenta WithSecure i stanowi opracowanie własne Arkanet.
O autorze: Marcelina Fusiek
Specjalista ds. marketingu
Od ponad 10 lat zajmuje się marketingiem. Jej doświadczenie wywodzi się z agencji reklamowej, gdzie poznała dziesiątki branż i pracowała nad wizerunkiem niezliczonej liczby firm. Biegła w wielu obszarach marketingu B2B.
