Protecție ransomware: fișiere canary, prag de scriere și rollback din copii pre-scriere.
Ce se întâmplă în primele 60 de secunde ale unui atac
Ransomware-ul modern nu criptează un fișier și pleacă. Enumeră, deschide, scrie, redenumește — de sute de ori pe minut. Fereastra în care poți interveni e scurtă și e plină de zgomot legitim: un backup, un build, o sincronizare cloud arată similar la nivel de evenimente de fișier.
Secunda 0–10: procesul se instalează și începe enumerarea. Niciun antivirus nu are un verdict încă, pentru că nu s-a scris nimic anormal.
Secunda 10–40: primele scrieri în masă. Aici contează pragul: 40 de scrieri într-o fereastră scurtă e semnalul de burst, sub el comportamentul e considerat normal.
Secunda 40–60: canary files sunt atinse. Un canary modificat sau șters declanșează un eveniment — nu o reacție oarbă, ci un semnal cu context.
După: rollback din copiile pre-scriere, pentru fișierele care au fost modificate în fereastra detectată.
Trei straturi, fiecare cu un rol diferit
Niciunul nu e suficient singur. Împreună acoperă cele trei moduri în care un atac devine vizibil: comportament, amprentă pe fișiere-țintă și posibilitatea de a reveni.
Canary files: șase fișiere inofensive în folderele care contează. Niciun proces legitim nu ar trebui să le atingă, deci o atingere e un semnal cu rată de fals pozitiv aproape zero.
Prag de scriere: 40 de scrieri într-o fereastră scurtă. Prinde atacurile care nu ajung la canary pentru că țintesc alt folder.
Copii pre-scriere: o copie înainte de fiecare modificare. Fără ele, detecția e o veste proastă; cu ele, detecția e o recuperare.
Ce face produsul când detectează
Reacția e limitată intenționat. Un antivirus care îngheață procese după o euristică îți poate opri un backup legitim în mijlocul nopții, iar costul acelei greșeli e mai mare decât beneficiul.
Oprește procesul identificat ca sursă a burst-ului, cu PID-ul în jurnal.
Mută fișierul detectat în carantină criptată AES-256-GCM, cu verificarea tag-ului la restaurare.
Păstrează copiile pre-scriere, ca rollback-ul să fie posibil la câteva minute după incident.
Scrie totul în jurnalul de audit append-only și, dacă e configurat, îl trimite în SIEM.
De ce rollback-ul e manual
Restaurarea automată sună bine într-o demonstrație și e periculoasă în producție. Dacă un proces legitim scrie 40 de fișiere într-un minut — un build, un sync, un export — restaurarea automată ar anula o operație pe care utilizatorul o voia. Preferăm să îți dăm copiile și decizia.
Vezi lista fișierelor modificate în fereastra detectată, cu originalul și copia disponibile.
Alegi ce restaurezi. Nimic nu se suprascrie fără confirmarea ta.
Operația se consemnează în jurnalul de audit, cu actorul și timpul.
Ransomware guard nu înlocuiește un backup
Este o plasă pentru primele minute, nu o strategie de recuperare. Un atac care rulează două zile, sau unul care criptează și copiile, trece dincolo de orice protecție locală. Regula 3-2-1 rămâne obligatorie: trei copii, două medii, una off-site.
Copiile pre-scriere sunt locale. Un atac cu privilegii de administrator le poate atinge.
Backup-ul offline rămâne singura apărare reală împotriva unui atac care durează zile.
Testează restaurarea din backup înainte să ai nevoie de ea. Un backup netestat e o speranță, nu o copie.
Cum îți setezi canary files corect
Canary files funcționează doar dacă sunt puse unde un atac ajunge primul. Un canary într-un folder pe care nimeni nu îl folosește e decor.
Pune-i în folderele care contează: documente de firmă, contabilitate, proiecte active. Nu în rădăcina discului.
Nu le exclude din alte instrumente de backup și nu le muta cu un sync automat — o mutare arată ca un ștergere.
Verifică o dată pe lună că fișierele sunt încă acolo. Un canary șters de un utilizator e un canary care nu mai anunță nimic.
Întrebări frecvente despre protecția ransomware
Poate opri procesul care produce un burst de scrieri sau atinge un canary, în primele minute, și poate păstra copiile necesare pentru rollback. Ce nu poate face este să garanteze recuperarea completă: un atac care rulează zile întregi, sau care are privilegii de administrator asupra copiilor locale, trece dincolo de el. De aceea backup-ul offline rămâne obligatoriu.
Șase fișiere inofensive, plantate în folderele care contează. Nu conțin nimic sensibil și niciun proces legitim nu ar trebui să le modifice sau să le șteargă. Verificarea rulează la fiecare 60 de secunde; o modificare sau o ștergere ridică un eveniment, nu o reacție automată.
Nu pentru un instrument care rulează pe un calculator de producție. Un build, o sincronizare cloud sau un export pot scrie 40 de fișiere într-un minut. Restaurarea automată ar anula o operație legitimă, iar tu ai afla după. Preferăm să îți dăm copiile și decizia, cu operația consemnată în jurnal.
Parțial. Extragerea de date nu produce un burst de scrieri și nu atinge canary files, deci ransomware guard nu o vede. Ce poate ajuta sunt politicile DLP locale, care semnalează indicatori de date personale, carduri sau secrete în fișiere, și jurnalul de audit pentru corelare în SIEM. Nu pretindem că acoperim exfiltrarea.
Fișierul detectat e mutat în carantină criptată AES-256-GCM: mutat, criptat cu IV aleator de 12 bytes și tag de 16 bytes, apoi șters de la locul original. Metadatele rămân în baza locală. Pentru fișierele deja criptate de atacator, sursa de recuperare este copia pre-scriere, nu carantina.
Da. Ransomware guard face parte din planul Complete, alături de protecția în timp real, pentru că depinde de monitorizarea continuă a folderelor. Planul Free include scanarea completă și carantina criptată, dar nu rulează în fundal.
Următorii pași utili
Încearcă pe un fișier pe care îl ai la îndemână.
Instalatorul are 177 MB și nu cere cont. Dacă nu ești convins, verifică un link mai sus — motorul web rulează deja în pagina asta.