Tingkatkan kemampuan anti-ransomware untuk instans - Elastic Compute Service

Ransomware adalah malware yang mengenkripsi data bisnis Anda, menyebabkan gangguan layanan, kebocoran data, dan kehilangan data. Serangan ini menimbulkan risiko signifikan bagi bisnis Anda. Topik ini menjelaskan cara meningkatkan kemampuan anti-ransomware pada instans Anda.

Latar Belakang

Seiring perkembangan teknologi, berbagai jenis malware baru terus bermunculan, dan ransomware kini menjadi ancaman umum. Alibaba Cloud memanfaatkan pengalaman luas dalam keamanan cloud serta teknologi keamanan mutakhir untuk menyediakan solusi keamanan komprehensif. Untuk informasi lebih lanjut tentang cara melindungi diri dari ransomware, lihat Overview of the anti-ransomware service.

Gejala

Saat instans Anda diserang ransomware, file sistemnya akan dienkripsi, dan Anda akan menemukan catatan tebusan di direktori kerja pengguna. Misalnya, pada instans berbasis Windows, catatan tebusan seperti berikut biasanya muncul.

::: Greetings :::

Little FAQ:

.1.
Q: Whats Happen?
A: Your files have been encrypted. The file structure was not damaged, we did everything possible

.2.
Q: How to recover files?
A: If you wish to decrypt your files you will need to pay us.

.3.
Q: What about guarantees?
A: Its just a business. We absolutely do not care about you and your deals, except getting benefit
To check the ability of returning files, you can send to us any 2 files with SIMPLE extensions(jpg

.4.
Q: How to contact with you?
A: You can write us to our mailboxes: data***@cyberfear.com or back***@swismail.com

.5.
Q: How will the decryption process proceed after payment?
A: After payment we will send to you our scanner-decoder program and detailed instructions for use

.6.
Q: If I don't want to pay bad people like you?
A: If you will not cooperate with our service - for us, its does not matter. But you will lose you

:::BEWARE:::
DON`T try to change encrypted files by yourself!
If you will try to use any third party software for restoring your data or antivirus solutions - p

Catatan

Setelah ransomware mengenkripsi atau mengunci file sistem, instans mungkin gagal memulai atau Anda tidak dapat terhubung ke instans tersebut secara remote. Ini sering kali merupakan salah satu tanda awal adanya anomali. Jika tiba-tiba Anda tidak dapat terhubung ke instans Anda, segera selidiki kemungkinan serangan ransomware.

Ikhtisar Solusi

Meskipun langkah-langkah pencegahan dapat mengurangi risiko infeksi, langkah tersebut tidak dapat sepenuhnya menghilangkan risiko tersebut. Dalam konteks ransomware, pencadangan data merupakan lini pertahanan terakhir Anda. Namun, saat Anda memulihkan data dari backup atau snapshot, semua data yang dihasilkan antara pembuatan snapshot dan rollback disk akan hilang. Oleh karena itu, Anda harus mengembangkan strategi pencadangan data yang sesuai dengan kebutuhan bisnis guna melindungi data kritis.

Berikut adalah strategi umum untuk melindungi diri dari ransomware.

Strategi 1: Gunakan Security Center untuk meningkatkan kemampuan anti-ransomware
Strategi 2: Gunakan kebijakan snapshot otomatis untuk membuat backup
Strategi 3: Gunakan kebijakan keamanan seperti security group dan firewall untuk meningkatkan perlindungan

Anda dapat menerapkan strategi perlindungan ini secara paralel dan memilih yang paling sesuai dengan kebutuhan bisnis Anda. Misalnya, jika bisnis Anda memiliki persyaratan tinggi terhadap kelangsungan operasional, Anda dapat menerapkan ketiga strategi tersebut. Namun, hal ini mungkin menimbulkan biaya tambahan untuk backup atau snapshot.

Strategi 1: Gunakan Security Center untuk anti-ransomware

Alur Kerja

Prosedur

Aktifkan layanan anti-ransomware dan beli kapasitas anti-ransomware.
Untuk menggunakan fitur anti-ransomware di Security Center, Anda harus mengaktifkan layanan tersebut dan membeli kapasitas anti-ransomware. Untuk informasi lebih lanjut, lihat Enable and purchase the anti-ransomware service.
Catatan
Anda dapat membeli layanan anti-ransomware sesuai dengan kebutuhan bisnis Anda.

Buat kebijakan perlindungan.

Setelah Anda mengaktifkan layanan, ikuti langkah-langkah berikut untuk membuat kebijakan perlindungan.

Create a protection policy

Sebelum membuat kebijakan, pastikan sistem operasi server Anda didukung. Jika versi OS tidak didukung, data tidak dapat dibackup. Lihat Operating systems and versions supported by anti-ransomware for servers.

Login ke Security Center console. Di bilah navigasi atas, pilih wilayah aset: China atau Outside China.
Di panel navigasi kiri, pilih Protection Configuration > Host Protection > Anti-ransomware.
Di tab Anti-ransomware for Servers, klik Create Anti-ransomware Policy.

Di panel Create Anti-ransomware Policy, konfigurasikan parameter dasar.

ECS Instance dapat mencakup beberapa wilayah dalam satu kebijakan. Server yang tidak dideploy di Alibaba Cloud harus berada dalam satu wilayah yang sama. Satu server hanya dapat termasuk dalam satu kebijakan anti-ransomware.

Parameter	Description
Policy name	Nama kebijakan anti-ransomware
Server type	Jenis server yang akan dilindungi
Backup route	Metode komunikasi untuk backup. Diperlukan hanya jika Server type adalah Server Not Deployed on Alibaba Cloud. Internet: dapat menimbulkan biaya bandwidth. Internal network: memerlukan konektivitas melalui virtual private clouds (VPCs), Sirkuit Express Connect, atau instans Cloud Enterprise Network (CEN).
Region	Wilayah tempat server berada, atau wilayah mana pun yang memiliki titik akhir anti-ransomware yang tersedia. Diperlukan hanya jika Server type adalah Server Not Deployed on Alibaba Cloud. Pastikan server dapat menjangkau titik akhir anti-ransomware di wilayah yang dipilih. Lihat Anti-ransomware endpoints.
Select asset	Aset yang akan dilindungi. Pilih satu aset, grup aset, atau beberapa aset lintas grup. Di bagian Asset group, pilih grup untuk menyertakan semua aset di dalamnya, lalu hapus centang pada aset yang tidak perlu dilindungi di bagian Assets. Untuk mencari aset tertentu, masukkan namanya di kotak pencarian (dukungan Pencocokan kabur).

Di bawah Protection policies, pilih Recommended policy atau Custom policy, lalu klik OK.

Recommended policy

Kebijakan rekomendasi menggunakan nilai default bawaan dan tidak dapat diubah:

Setting	Default value
Directory to protect	Semua direktori
Directory to exclude	Direktori yang dikecualikan secara default
Non-local mount path	Dikecualikan (objek Object Storage Service (OSS) dan sistem file NAS)
File type to protect	Semua jenis file
First backup starts at	Antara pukul 00:00 dan 03:00
Periodic backup interval	Satu hari
Backup data retention period	7 hari
Maximum backup bandwidth	0 MB/s untuk server Alibaba Cloud (tanpa batas); 5 MB/s untuk server yang tidak dideploy di Alibaba Cloud

Custom policy

Konfigurasikan parameter berikut sesuai kebutuhan Anda:

Parameter	Description
Directory to protect	Specific directory: backup hanya direktori yang ditentukan. Masukkan hingga 20 jalur direktori (misalnya, `C:\Program Files (x86)\` pada Windows atau `/usr/bin/` pada Linux). Pekerjaan backup dijalankan secara berurutan per jalur, sehingga membatasi penggunaan sumber daya puncak. All directories: backup seluruh server.
Directory to exclude	Direktori yang dilewati. Security Center telah mengisi daftar pengecualian umum; tambahkan atau hapus sesuai kebutuhan.
Non-local mount path	Pilih apakah akan mengecualikan jalur mount non-lokal seperti mount OSS atau NAS.
File type to protect	All file types: lindungi semua file. Specific file types: lindungi hanya jenis yang dipilih (misalnya, Document, Picture). Beberapa jenis dapat dipilih.
First backup starts at	Waktu mulai pekerjaan backup pertama. Jadwalkan pada jam sepi agar tidak mengganggu layanan selama backup penuh awal.
Periodic backup interval	Interval antar pekerjaan backup. Default: satu hari.
Backup data retention period	Lama penyimpanan data backup. Default: 7 hari. Permanent: disimpan hingga masa berlaku Security Center habis, kebijakan dihapus, atau server dikeluarkan dari kebijakan. Custom: 1 hingga 65.535 hari. Atur berdasarkan kebutuhan pemulihan Anda — data di luar periode retensi akan dihapus secara otomatis.
Maximum backup bandwidth	Bandwidth maksimum untuk pekerjaan backup, dalam MB/s (0 hingga tak terbatas). 0 MB/s berarti tanpa batas untuk server Alibaba Cloud. Untuk server yang tidak dideploy di Alibaba Cloud, default-nya adalah 5 MB/s. Batasi bandwidth jika pekerjaan backup memengaruhi kinerja layanan.

(Opsional) Pulihkan data dari backup yang valid di Security Center.

Buat snapshot untuk disk sistem dan disk data instans yang terinfeksi. Untuk informasi lebih lanjut, lihat Create a manual snapshot.

Jika instans Anda diserang ransomware, Anda dapat menggunakan backup dari Security Center untuk memulihkan layanan dengan cepat. Ikuti langkah-langkah berikut untuk memulihkan data Anda.

Create a restoration task

Login ke Security Center console.
Di panel navigasi kiri, pilih Protection Configuration > Host Protection > Anti-Ransomware. Di pojok kiri atas konsol, pilih wilayah tempat aset yang akan dilindungi berada: Chinese Mainland atau Outside Chinese Mainland.
Di tab Anti-ransomware for Servers, temukan server tempat Anda ingin membuat pekerjaan pemulihan di daftar kebijakan.
Catatan
Gunakan kotak pencarian di atas daftar kebijakan untuk menemukan server target berdasarkan nama kebijakan atau nama server.
Klik untuk membuka daftar drop-down. Temukan server target dan klik Restore di kolom Actions.

Di panel Create Restoration Task, konfigurasikan parameter berikut, lalu klik OK.

Parameter	Description
Backup Version	Pilih versi backup yang akan dipulihkan. Semua file yang dapat dipulihkan dalam versi yang dipilih akan ditampilkan di daftar file. Anda dapat memilih file sesuai kebutuhan.
Files to Restore	Pilih file yang akan dipulihkan.
Destination Folder	Masukkan jalur tujuan di server target. Folder tersebut harus sudah ada dan memiliki izin tulis. Jika tidak, pekerjaan pemulihan akan gagal.
Target Server	Pilih server tempat data akan dipulihkan. Anda dapat memilih server terlindungi apa pun dalam akun yang sama, tidak terbatas pada server yang awalnya diserang.

Pesan Restoration task created. muncul. Login ke server target dan buka folder tujuan untuk memverifikasi bahwa file backup telah dipulihkan dan dapat diakses.

Strategi 2: Gunakan snapshot otomatis

Alur Kerja

Prosedur

Membuat backup untuk instans menggunakan snapshot memungkinkan Anda memulihkan data setelah serangan ransomware. Perhatikan bahwa strategi ini hanya menyediakan kemampuan pemulihan pasca-insiden dan bukan pengganti langkah-langkah perlindungan proaktif.

Buat kebijakan snapshot otomatis untuk instans. Untuk informasi lebih lanjut, lihat Create an automatic snapshot policy.
(Opsional) Pulihkan data dari snapshot yang valid yang dibuat sebelum instans terinfeksi.
1. Buat snapshot untuk disk sistem dan disk data instans yang terinfeksi. Untuk informasi lebih lanjut, lihat Create a manual snapshot.
  Penting
  Rollback disk bersifat ireversibel. Data yang dihasilkan antara pembuatan snapshot dan rollback akan hilang. Untuk mencegah kehilangan data akibat kesalahan operasional, kami menyarankan Anda membuat snapshot untuk mencadangkan data sebelum melakukan rollback disk.
2. Untuk informasi lebih lanjut tentang cara menginisialisasi ulang disk sistem instans, lihat Re-initialize a system disk (reset the OS).
3. Untuk mempelajari cara menggunakan snapshot untuk memulihkan data ke disk sistem atau disk data, lihat Roll back a disk by using a snapshot.

Strategi 3: Gunakan security group dan firewall

Alur Kerja

Prosedur

Kebijakan keamanan, seperti kebijakan untuk security group dan firewall, dapat meningkatkan perlindungan instans terhadap ransomware. Namun, hal ini memerlukan keahlian teknis Anda dalam keamanan jaringan.

Untuk praktik terbaik kebijakan security group dan firewall, lihat Best practices for ECS security groups (inbound rules) dan Configuration guide for Windows Firewall policies.
(Opsional) Hubungi perusahaan pihak ketiga untuk mendekripsi dan memulihkan data.
1. Buat snapshot untuk disk sistem dan disk data instans yang terinfeksi ransomware. Untuk informasi lebih lanjut, lihat Create a manual snapshot.
2. Untuk informasi lebih lanjut tentang cara menginisialisasi ulang disk sistem instans, lihat Re-initialize a system disk (reset the OS).
3. Setelah Anda menginisialisasi ulang disk sistem instans yang terkompromi, jika Anda belum mencadangkan data penting atau membuat snapshot, Anda dapat menghubungi perusahaan pihak ketiga untuk mendekripsi dan memulihkan data tersebut.
  Peringatan
  Kemampuan dekripsi data yang disediakan oleh perusahaan pihak ketiga setelah serangan ransomware bersifat independen dari Alibaba Cloud. Alibaba Cloud tidak bertanggung jawab atas keberhasilan pemulihan data atau korupsi data apa pun.

Dokumen Terkait

Untuk mengatasi masalah pada client anti-ransomware dan pengecualian pekerjaan backup, lihat Troubleshoot anti-ransomware exceptions.
Untuk solusi penggunaan disk space tinggi akibat backup anti-ransomware, lihat Solutions for high disk space usage by anti-ransomware backups.
Untuk solusi penggunaan memori tinggi akibat backup anti-ransomware, lihat Solutions for high disk space or memory usage by anti-ransomware backups.
Untuk informasi tentang cara mengelola kebijakan perlindungan setelah Anda mengganti sistem operasi server, lihat Create a protection policy and manage clients.