در سالهای اخیر، باجافزار از یک تهدید صرفاً مبتنی بر رمزگذاری فایلها به یکی از پیچیدهترین ابزارهای جنگ سایبری تبدیل شدهاند. اگر در گذشته مهاجمان تنها با قفل کردن اطلاعات سازمانها درخواست باج میکردند، امروز باجافزارها بخشی از یک زنجیره حمله چندمرحلهای هستند که از سرقت اطلاعات، نفوذ به زیرساخت، حذف نسخههای پشتیبان و حتی تهدید به افشای اطلاعات محرمانه تشکیل شده است.
این تحول باعث شده است که بسیاری از سازمانها، حتی با وجود برخورداری از تجهیزات امنیتی پیشرفته، همچنان در برابر حملات باجافزار آسیبپذیر باشند. واقعیت این است که نسل جدید باجافزارها دیگر صرفاً یک بدافزار نیست؛ بلکه یک عملیات برنامهریزیشده با هدف توقف کسبوکار، اخاذی مالی و تخریب اعتبار سازمان محسوب میشود.
چرا باجافزارهای امروزی خطرناکتر از گذشته هستند؟
مهاجمان سایبری دیگر به دنبال رمزگذاری سریع فایلها نیستند. آنها هفتهها یا حتی ماهها قبل از اجرای حمله، بهصورت مخفیانه در شبکه سازمان حضور پیدا میکنند.
در این مدت، مهاجم:
- ساختار شبکه را شناسایی میکند.
- حسابهای کاربری با سطح دسترسی بالا را به دست میآورد.
- سرورهای حیاتی را شناسایی میکند.
- اطلاعات محرمانه را استخراج میکند.
- نسخههای پشتیبان را حذف یا رمزگذاری میکند.
- راههای بازیابی اطلاعات را از بین میبرد.
در نهایت، زمانی که سازمان کمترین آمادگی را دارد، فرآیند رمزگذاری آغاز میشود. به همین دلیل، خسارت اصلی بسیاری از حملات امروزی نه از رمزگذاری فایلها، بلکه از سرقت دادهها، توقف خدمات و از دست رفتن اعتماد کاربران ناشی میشود.
ارزیابی میزان آسیبپذیری امنیت سازمان نسبت به باجافزار با راهکار اسپلانک
مراحل حمله در موج جدید باجافزارها
نسل جدید حملات معمولاً از چرخه زیر پیروی میکند:
مرحله اول: دسترسی اولیه
مهاجمان معمولاً از یکی از روشهای زیر وارد شبکه میشوند:
- ایمیلهای فیشینگ
- آسیبپذیری VPN
- سرویس Remote Desktop
- حسابهای کاربری دارای رمز عبور ضعیف
- آسیبپذیریهای پچنشده (Unpatched Vulnerabilities)
بیشتر بخوانید: حملات باج افزاری چیست؟ عوامل مقابله و حذف باج افزار
مرحله دوم: گسترش دسترسی
پس از ورود اولیه، مهاجم تلاش میکند سطح دسترسی خود را افزایش دهد.
در این مرحله معمولاً از ابزارهای قانونی سیستم مانند PowerShell،PsExec یا Remote Management استفاده میشود تا فعالیت مهاجم کمتر جلب توجه کند.
مرحله سوم: شناسایی زیرساخت
اکنون مهاجم اطلاعاتی مانند موارد زیر را جمعآوری میکند:
- Domain Controller
- Active Directory
- فایلسرورها
- سامانههای مالی
- پایگاههای داده
- سامانههای پشتیبانگیری
مرحله چهارم: سرقت اطلاعات
پیش از رمزگذاری، اطلاعات حساس سازمان استخراج میشود. هدف این مرحله، ایجاد اهرم فشار برای باجگیری مضاعف است؛ به این معنا که حتی اگر سازمان بتواند اطلاعات خود را بازیابی کند، همچنان با تهدید انتشار دادههای محرمانه مواجه خواهد بود.
برای مشاوره رایگان و یا راه اندازی Splunk/SIEM و مرکز عملیات امنیت SOC با کارشناسان شرکت APK تماس بگیرید |
مرحله پنجم: حذف نسخههای پشتیبان
مهاجمان تلاش میکنند:
- Backup Server
- Snapshotها
- Shadow Copyها
- سامانههای بازیابی
را غیرفعال یا حذف کنند تا امکان بازیابی سریع اطلاعات وجود نداشته باشد.
مرحله ششم: رمزگذاری
در آخرین مرحله، فایلها رمزگذاری شده و پیام درخواست باج نمایش داده میشود. در بسیاری از حملات امروزی، این مرحله تنها بخش کوچکی از عملیات است.
بیشتر بخوانید: باج افزار Avaddon چیست و چگونه می توان در برابر آن امنیت سازمان را تامین کرد؟ – قسمت اول
مهمترین نقاط ضعف سازمانها
بررسی حملات اخیر نشان میدهد بیشتر سازمانهای قربانی، یکی یا چند مورد از ضعفهای زیر را داشتهاند:
- نبود مدیریت صحیح پچهای امنیتی (Patch Management)
- استفاده از رمزهای عبور ضعیف یا تکراری
- عدم استفاده از احراز هویت چندعاملی (MFA)
- دسترسی بیش از حد کاربران به منابع شبکه
- نبود تفکیک شبکه (Network Segmentation)
- نسخههای پشتیبان متصل به شبکه اصلی
- نبود سامانه تشخیص و پاسخ به تهدید (EDR/XDR)
- ضعف در پایش رویدادهای امنیتی
- آموزش ناکافی کاربران در برابر فیشینگ
- اجرای سرویسهای غیرضروری روی سرورها
چگونه از سازمان در برابر موج جدید باجافزارها محافظت کنیم؟
مقابله با باجافزار دیگر تنها با نصب آنتیویروس امکانپذیر نیست. سازمانها باید رویکرد دفاع چندلایه (Defense in Depth) را پیادهسازی کنند.
مهمترین اقدامات عبارتاند از:
۱. هاردنینگ زیرساخت؛ اولین خط دفاع در برابر باجافزارها
امروزه بسیاری از حملات باجافزاری نه به دلیل استفاده مهاجمان از ابزارهای بسیار پیچیده، بلکه به دلیل وجود تنظیمات ناامن، سرویسهای غیرضروری و پیکربندیهای نادرست در زیرساخت سازمانها با موفقیت انجام میشوند. هاردنینگ (System Hardening) مجموعهای از اقدامات فنی است که با کاهش سطح حمله (Attack Surface)، فرصت سوءاستفاده مهاجمان از آسیبپذیریهای شناختهشده و خطاهای پیکربندی را به حداقل میرساند.
در فرآیند هاردنینگ، هر سرویس، پروتکل، پورت یا نرمافزاری که برای عملکرد سیستم ضروری نیست، شناسایی و حذف یا غیرفعال میشود. این رویکرد باعث میشود مهاجم حتی در صورت دسترسی اولیه به شبکه، با موانع بیشتری برای حرکت جانبی (Lateral Movement)، افزایش سطح دسترسی (Privilege Escalation) و استقرار باجافزار روبهرو شود.
اقدامات کلیدی در هاردنینگ زیرساخت عبارتاند از:
- حذف یا غیرفعالسازی سرویسهای غیرضروری: بسیاری از سرویسهای پیشفرض سیستمعامل یا نرمافزارها در محیط عملیاتی مورد استفاده قرار نمیگیرند، اما همچنان فعال هستند و میتوانند به نقطه ورود مهاجم تبدیل شوند.
- غیرفعالسازی پروتکلها و قابلیتهای ناامن: حذف یا محدودسازی پروتکلهای قدیمی و آسیبپذیر، کاهش ریسک بهرهبرداری از ضعفهای شناختهشده را به دنبال دارد.
- اعمال اصل حداقل دسترسی (Least Privilege): کاربران، سرویسها و مدیران تنها باید به منابع و مجوزهایی دسترسی داشته باشند که برای انجام وظایف خود به آن نیاز دارند. این اصل از گسترش دامنه حمله پس از نفوذ اولیه جلوگیری میکند.
- سختسازی تنظیمات امنیتی سیستمعامل، سرورها و تجهیزات شبکه: بازبینی تنظیمات پیشفرض، اعمال سیاستهای امنیتی، غیرفعالسازی قابلیتهای غیرضروری و استفاده از استانداردهای معتبر مانند CIS Benchmarks یا راهنماهای امنیتی تولیدکنندگان، احتمال سوءاستفاده از خطاهای پیکربندی را به میزان قابل توجهی کاهش میدهد.
- محدودسازی دسترسیهای مدیریتی: دسترسی به حسابهای دارای امتیاز بالا باید تنها از طریق سامانههای مشخص، با احراز هویت چندمرحلهای (MFA) و ثبت کامل رویدادها امکانپذیر باشد تا خطر سوءاستفاده از حسابهای مدیریتی کاهش یابد.
نکته مهم این است که هاردنینگ بهتنهایی جایگزین راهکارهایی مانند EDR، SIEM یا مدیریت وصلههای امنیتی نیست، بلکه پایه و اساس یک معماری دفاع چندلایه محسوب میشود. تجربه بسیاری از حملات موفق نشان میدهد که مهاجمان اغلب از سادهترین ضعفها مانند یک سرویس بلااستفاده، یک پورت باز یا یک تنظیم امنیتی نادرست برای نفوذ اولیه استفاده کردهاند. به همین دلیل، اجرای هاردنینگ بهصورت دورهای و بازبینی مستمر پیکربندی زیرساخت، یکی از مؤثرترین و کمهزینهترین اقدامات برای کاهش ریسک حملات باجافزاری به شمار میرود.
۲. مدیریت مستمر پچهای امنیتی
بخش قابل توجهی از حملات باجافزاری از طریق سوءاستفاده از آسیبپذیریهایی انجام میشود که وصله امنیتی (Patch) آنها مدتها قبل توسط تولیدکنندگان نرمافزار منتشر شده است، اما در سازمانها بهموقع نصب نشدهاند. هر سیستم، نرمافزار یا تجهیز شبکهای که بهروزرسانی نشده باشد، میتواند به نقطه ورود مهاجمان و آغاز زنجیره حمله تبدیل شود.
به همین دلیل، مدیریت پچهای امنیتی (Patch Management) نباید به یک فعالیت مقطعی محدود شود، بلکه باید بهعنوان یک فرآیند مستمر و مبتنی بر ارزیابی ریسک اجرا شود. شناسایی داراییهای سازمان، پایش مستمر آسیبپذیریها، اولویتبندی نصب وصلهها بر اساس میزان بحرانی بودن و اعتبارسنجی پس از بهروزرسانی، از مهمترین مراحل این فرآیند هستند. اجرای منظم این اقدامات، احتمال سوءاستفاده از آسیبپذیریهای شناختهشده و موفقیت حملات باجافزاری را بهطور چشمگیری کاهش میدهد.
۳. پیادهسازی احراز هویت چندعاملی (MFA)
سرقت یا افشای نام کاربری و رمز عبور همچنان یکی از رایجترین روشهای نفوذ اولیه در حملات باجافزاری است. مهاجمان از طریق حملاتی مانند فیشینگ، مهندسی اجتماعی، نشت اطلاعات یا حملات Credential Stuffing به اطلاعات ورود کاربران دست پیدا کرده و از همان حسابها برای ورود به شبکه سازمان استفاده میکنند.
احراز هویت چندعاملی (Multi-Factor Authentication – MFA) با افزودن یک لایه امنیتی دیگر، مانند کد یکبارمصرف، اپلیکیشن احراز هویت یا کلید امنیتی، حتی در صورت افشای رمز عبور نیز از دسترسی غیرمجاز جلوگیری میکند. اجرای MFA بهویژه برای حسابهای مدیریتی، دسترسیهای راه دور (VPN)، سرویسهای ابری و سامانههای حساس، یکی از مؤثرترین اقدامات برای کاهش ریسک نفوذ و جلوگیری از آغاز زنجیره حملات باجافزاری محسوب میشود.
۴. پایش مداوم شبکه و شناسایی سریع تهدیدات
یکی از ویژگیهای باجافزارهای نسل جدید، حضور مخفیانه مهاجمان در شبکه برای روزها یا حتی هفتهها پیش از اجرای عملیات رمزگذاری است. در این مدت، مهاجم به شناسایی زیرساخت، سرقت اطلاعات، افزایش سطح دسترسی و حرکت جانبی (Lateral Movement) در شبکه میپردازد. اگر این رفتارهای غیرعادی در مراحل اولیه شناسایی شوند، میتوان حمله را پیش از وارد شدن خسارت متوقف کرد.
استفاده از راهکارهای SIEM ،EDR ،XDR و NDR به سازمانها این امکان را میدهد تا رویدادهای امنیتی را بهصورت متمرکز تحلیل کرده، رفتارهای مشکوک را شناسایی و در بسیاری از موارد، بهصورت خودکار به تهدیدات پاسخ دهند. این راهکارها نقش مهمی در کاهش زمان شناسایی (MTTD) و زمان پاسخگویی (MTTR) به حوادث امنیتی دارند و از گسترش حملات باجافزاری در شبکه جلوگیری میکنند.
NDR: پایش ترافیک شبکه و شناسایی رفتارهای غیرعادی یا ارتباطات مشکوک که ممکن است نشاندهنده فعالیت مهاجم باشد.
SIEM: جمعآوری، همبستگی و تحلیل متمرکز رویدادهای امنیتی برای شناسایی تهدیدات.
EDR: پایش و حفاظت از ایستگاههای کاری و سرورها و شناسایی رفتارهای مخرب روی نقاط پایانی.
XDR: ایجاد دید یکپارچه از تهدیدات با تحلیل دادههای امنیتی در لایههای مختلف زیرساخت.
۵. تهیه نسخه پشتیبان ایمن و قابل بازیابی
نسخه پشتیبان (Backup) آخرین لایه دفاعی سازمان در برابر حملات باجافزاری است؛ اما تنها در صورتی مؤثر خواهد بود که مهاجمان نتوانند به آن دسترسی پیدا کنند یا آن را حذف و رمزگذاری کنند. در بسیاری از حملات اخیر، مجرمان سایبری پیش از اجرای باجافزار، ابتدا سامانههای پشتیبانگیری را شناسایی کرده و نسخههای پشتیبان را حذف یا غیرفعال میکنند تا امکان بازیابی اطلاعات برای سازمان وجود نداشته باشد.
به همین دلیل، نسخههای پشتیبان باید از شبکه عملیاتی جدا بوده، در برابر تغییر یا حذف محافظت شوند و بهصورت منظم آزمایش شوند تا از صحت فرآیند بازیابی اطمینان حاصل شود. رعایت اصول زیر در طراحی راهکار پشتیبانگیری ضروری است:
- نگهداری نسخههای پشتیبان آفلاین (Offline Backup): برای جلوگیری از دسترسی مستقیم مهاجمان به دادههای پشتیبان.
- استفاده از نسخههای غیرقابل تغییر (Immutable Backup): بهگونهای که امکان حذف یا رمزگذاری آنها حتی با دسترسی مدیریتی نیز وجود نداشته باشد.
- آزمایش دورهای فرآیند بازیابی (Recovery Testing): برای اطمینان از سالم بودن نسخههای پشتیبان و امکان بازگردانی سریع اطلاعات در زمان بحران.
در نهایت، باید توجه داشت که وجود نسخه پشتیبان، بدون اطمینان از امکان بازیابی سریع و کامل اطلاعات، ارزش عملیاتی چندانی برای سازمان ایجاد نمیکند. سازمانهایی که فرآیند پشتیبانگیری و بازیابی را بهطور منظم ارزیابی و تمرین میکنند، در زمان وقوع حملات باجافزاری با سرعت و اطمینان بیشتری به شرایط عادی بازمیگردند.
چکلیست امنیتی مقابله با باجافزار
پیش از آنکه مهاجمان از ضعفهای امنیتی سوءاستفاده کنند، وضعیت سازمان خود را با این چکلیست ارزیابی کنید:
| مورد | وضعیت |
| تمام سیستمها بهروز هستند. | ☐ |
| مدیریت پچهای امنیتی اجرا میشود. | ☐ |
| MFA برای کاربران حساس فعال است. | ☐ |
| کاربران دسترسی حداقلی دارند. | ☐ |
| شبکه بخشبندی شده است. | ☐ |
| سرویسهای غیرضروری غیرفعال شدهاند. | ☐ |
| راهکار EDR یا XDR فعال است. | ☐ |
| لاگهای امنیتی بهصورت متمرکز پایش میشوند. | ☐ |
| نسخه پشتیبان آفلاین تهیه میشود. | ☐ |
| فرآیند بازیابی Backup تست شده است. | ☐ |
| آموزش مقابله با فیشینگ برای کارکنان برگزار میشود. | ☐ |
| برنامه پاسخ به رخداد (Incident Response Plan) تدوین شده است. | ☐ |
| اسکن دورهای آسیبپذیری انجام میشود. | ☐ |
| آزمون نفوذ بهصورت دورهای اجرا میشود. | ☐ |
| تنظیمات امنیتی سرورها مطابق استانداردهای هاردنینگ بازبینی شدهاند. | ☐ |
نسل جدید باجافزارها دیگر تنها یک بدافزار نیست، بلکه بخشی از یک عملیات هدفمند برای نفوذ، سرقت اطلاعات، اخلال در خدمات و باجگیری چندمرحلهای است. سازمانهایی که تنها به ابزارهای سنتی امنیتی تکیه میکنند، در برابر این تهدیدات آسیبپذیر خواهند بود.
کاهش ریسک حملات باجافزاری نیازمند ترکیبی از هاردنینگ زیرساخت، مدیریت آسیبپذیری، پایش مداوم، کنترل دسترسی، تهیه نسخههای پشتیبان ایمن و آموزش کاربران است. رویکردی پیشگیرانه و چندلایه، نهتنها احتمال موفقیت مهاجمان را کاهش میدهد، بلکه توان سازمان را برای تداوم کسبوکار و بازیابی سریع پس از رخدادهای امنیتی نیز افزایش میدهد.
باجافزارهای نسل جدید نشان دادهاند که هزینه پیشگیری، بهمراتب کمتر از هزینه بازیابی پس از یک حمله سایبری است. شرکت امن پایهریزان کارن (APK) با ارائه خدمات تخصصی در حوزه هاردنینگ سیستمعامل و تجهیزات شبکه، ارزیابی امنیتی، مدیریت آسیبپذیری، آزمون نفوذ، مرکز عملیات امنیت (SOC) و پایش مستمر تهدیدات، به سازمانها کمک میکند تا پیش از وقوع حمله، نقاط ضعف خود را شناسایی و برطرف کنند. سرمایهگذاری در امنیت، تنها حفاظت از اطلاعات نیست؛ بلکه تضمین تداوم کسبوکار و حفظ اعتبار سازمان در برابر تهدیدات روزافزون سایبری است.
