Ochrona przed ransomware wymaga nie tylko wykrywania zagrożeń, ale również możliwości ograniczenia skutków ataku i kontrolowania wyjątków w konfiguracji ochrony. W tym poradniku pokazujemy, jak skonfigurować funkcję Rollback w WithSecure Elements, która pozwala cofać podejrzane zmiany w plikach i ustawieniach systemowych, a także jak zarządzać lokalnymi wykluczeniami, które mogą ograniczać zakres ochrony.
Ochrona plików przed ransomware – konfiguracja funkcji Rollback
WithSecure Elements oferuje mechanizm Rollback, który pozwala automatycznie cofać zmiany w plikach i ustawieniach systemowych, jeśli oprogramowanie wykryje aktywność mogącą wskazywać na atak ransomware.
W takiej sytuacji podejrzane zmiany są automatycznie cofane, a zmodyfikowane pliki i ustawienia trafiają do kwarantanny. Jeśli okaże się, że wykryte działanie było prawidłowe i nie miało związku z atakiem, administrator może przywrócić cofnięte pliki i ustawienia, korzystając z funkcji dostępnych w kwarantannie.
Aby włączyć ochronę plików przed ransomware:
- Przejdź do Security Configurations, a następnie wybierz Profiles z menu po lewej stronie.
- Otwórz zakładkę For Windows Computers lub For Windows Servers, w zależności od rodzaju urządzenia.
- Wybierz profil, który chcesz edytować.
- Z menu po lewej stronie wybierz Rollback.
- Skonfiguruj następujące opcje:
- Rollback – włącz funkcję.
- Allow and report mode – wyłącz tryb zezwalania i raportowania.
- Allow to restore reverted files – włącz możliwość przywracania cofniętych plików.
Po zapisaniu i opublikowaniu zmian produkt będzie automatycznie cofał podejrzane modyfikacje plików i ustawień systemowych, a administrator uzyska możliwość ich przywrócenia z kwarantanny.
TIP: Producent zaleca, aby początkowo przez około tydzień pozostawić włączony tryb Allow and report mode. Pozwala to sprawdzić, czy mechanizm nie generuje fałszywych alarmów. Jeśli w tym czasie nie wystąpią błędne detekcje, można wyłączyć ten tryb i włączyć opcję Allow to restore reverted files.
TIP 2: Tryb Allow and report mode jest domyślnie włączony. W tym ustawieniu produkt wykrywa zmiany wprowadzane przez ransomware, ale ich nie cofa. Automatyczne przywracanie zmodyfikowanych plików rozpoczyna się dopiero po wyłączeniu tego trybu.
Usuwanie lokalnych wykluczeń – dodatkowa kontrola ochrony
Usuwanie lokalnych wykluczeń nie jest częścią mechanizmu Rollback, lecz odrębną funkcją administracyjną dostępną w WithSecure Elements Security Center. Obie funkcje uzupełniają się jednak w kontekście ochrony urządzeń przed ransomware. Rollback pozwala cofać podejrzane zmiany w plikach i ustawieniach systemowych, natomiast zarządzanie lokalnymi wykluczeniami umożliwia usunięcie wyjątków, które mogą niepotrzebnie ograniczać zakres ochrony.
WithSecure Elements pozwala administratorowi zdalnie usuwać lokalne wykluczenia ze wskazanych urządzeń. Dzięki temu można eliminować ścieżki uznane za ryzykowne dla organizacji, bez konieczności wykonywania tej operacji bezpośrednio na każdym komputerze.
Aby usunąć lokalne wykluczenia:
- Przejdź do sekcji Environment, a następnie wybierz Devices.
- Odszukaj urządzenie, na którym chcesz zweryfikować wykluczenia, i wybierz jego nazwę.
- W dolnej części widoku szczegółów urządzenia otwórz menu akcji.
- Wybierz Remove locally excluded paths.
- Na ekranie pojawi się lista lokalnych wykluczeń przypisanych do urządzenia.
- Zaznacz jedną lub więcej ścieżek, które chcesz usunąć.
- Wybierz Remove, aby zatwierdzić operację.
Wybrane lokalne wykluczenia zostaną usunięte.
Warto regularnie weryfikować lokalne wyjątki, szczególnie jeśli zostały dodane na potrzeby tymczasowych działań lub rozwiązywania problemów. Niepotrzebne wykluczenia mogą osłabiać poziom ochrony urządzeń, dlatego powinny być usuwane, gdy przestają być uzasadnione.
Dlaczego warto połączyć obie funkcje?
Mechanizm Rollback pomaga ograniczyć skutki podejrzanych zmian wprowadzanych przez ransomware, natomiast zdalne usuwanie lokalnych wykluczeń daje administratorowi większą kontrolę nad konfiguracją ochrony na zarządzanych urządzeniach. Regularne sprawdzanie wyjątków i prawidłowe ustawienie funkcji przywracania plików pozwalają lepiej wykorzystać możliwości WithSecure Elements w ochronie firmowych danych.
Artykuł powstał na podstawie oryginalnych materiałów oraz dokumentacji technicznej producenta WithSecure i stanowi opracowanie własne Arkanet.
O autorze: Marcelina Fusiek
Specjalista ds. marketingu
Od ponad 10 lat zajmuje się marketingiem. Jej doświadczenie wywodzi się z agencji reklamowej, gdzie poznała dziesiątki branż i pracowała nad wizerunkiem niezliczonej liczby firm. Biegła w wielu obszarach marketingu B2B.
