Сценарий учений по ransomware для города: первые 24 часа без ключевых систем

Зачем городу «проигрывать» атаку до того, как она случилась

Классическая ошибка муниципалитетов — считать киберинцидент проблемой только ИТ-отдела. На практике атака вымогателей останавливает выдачу справок, начисление платежей, разрешительные процессы и доступ к документам, поэтому решают её не инженеры, а руководители: мэр или сити-менеджер, юристы, специалист по связям с общественностью, финансисты. Учение за столом (tabletop) — это обсуждение решений по сценарию, а не нажатие кнопок. Его цель — проверить, кто кого вызывает, на каком канале, кто утверждает публичное заявление и какой сервис поднимают первым.

Опыт города Модесто в США показывает ценность такого подхода. В декабре 2022 года там провели четырёхчасовое учение с участием всех глав департаментов, мэрии, юристов, пресс-службы и наблюдателей из ФБР и региональных киберструктур. В феврале 2023 года на город действительно напали: злоумышленник три дня готовился и выгружал персональные данные, прежде чем запустить шифрование ключевых систем полиции. Благодаря отработанному плану город обнаружил атаку и сдержал её в первый час и не заплатил выкуп ни цента. Регулярные учения заменяют хаос реакции понятной последовательностью действий.

• Цель учения — не «поймать» участников, а выявить пробелы: неясные роли, устаревшие контакты, отсутствие ручных процедур.
• Участвуют не только ИТ: нужны юристы, пресс-служба, финансы, оперативные службы и руководитель города.
• Сценарий должен включать не только технические «инъекции», но и давление: требования совета, вопросы журналистов, сообщения о возможной утечке данных.

Сценарий: в 06:00 ключевые системы города «погасли»

Сценарий строится вокруг одной стартовой точки: в 06:00 аналитик финансового отдела видит файлы с расширением шифровальщика и записку с требованием выкупа на сервере ERP. К 09:00 выясняется, что затронуты также система начисления платежей за воду, разрешительный модуль и корпоративная почта, а вот телефонная АТС и радиосвязь оперативных служб, работающие по отдельным каналам, продолжают функционировать. Это важная деталь: часть «критичной» инфраструктуры может жить на отдельных сетях, и её надо явно обозначить как доверенную.

Постепенные вводные («инъекции») усложняют картину и заставляют принимать решения в условиях неопределённости. Например: шифрование началось ночью через VPN-учётку вендора; вчерашний набор резервных копий тоже зашифрован, а вот копии двухдневной давности чисты; в записке упоминаются похищенные персональные данные жителей с угрозой публикации через 72 часа. Каждая такая вводная проверяет одно из решений: когда изолировать сеть, какой момент восстановления принять, как строить коммуникацию и чем руководствоваться при вопросе о платеже.

• Вводные подаются ведущим в заданное «часовое» время, а не все сразу — иначе теряется ощущение реального темпа.
• Часть участников должна работать «по телефону» с подчинёнными, как в реальной жизни, проверяя, есть ли ручные контуры для оказания услуг.
• Сценарий обязан содержать элемент утечки данных (PII), так как вымогатели всё чаще сочетают шифрование с угрозой публикации.

Первые сутки по порядку: сдерживание и координация

Первые часы решают исход. На этапе обнаружения важно определить, какие системы затронуты, и сразу изолировать их. Если поражены несколько подсетей, сеть можно отключить целиком на уровне коммутаторов, а отдельные устройства — отключить от кабеля или Wi-Fi. Отключать питание следует только тогда, когда иначе устройство не изолировать, поскольку выключение уничтожает следы в оперативной памяти и доказательства для расследования. Весь обмен между участниками группы реагирования переводится на внешние каналы (телефон), чтобы злоумышленники, которые могут наблюдать за трафиком, не поняли, что их обнаружили, и не успели расширить ущерб.

Дальше идёт оповещение. По отработанному плану связи подключают внутренних и внешних стейкхолдеров: руководство, департаменты, страховую компанию, правоохранительные органы и регуляторов. Уведомить о шифровании и возможной утечке нужно и по требованиям законодательства, при этом сроки и порядок зависят от юрисдикции и конкретного закона — в разных странах и штатах они различаются, поэтому эти обязательства нужно заранее уточнить у юриста. Параллельно готовят черновик публичного сообщения, но публикуют его, только когда известно, что факты проверены.

• Фиксируйте «часы» учений: подтверждение — изоляция — оповещение — оценка — восстановление, как в рекомендациях CISA.
• Составьте список не затронутых систем: их можно отложить в восстановлении и быстрее вернуться к работе.
• Перед восстановлением ищите признаки предшествующего заражения (dropper-вредоносы, новые учётные записи администраторов, подозрительные VPN-входы), иначе чистка не поможет.

Публичное заявление, отчётность и вопрос о выкупе

Коммуникация — самая политически чувствительная часть. Жители хотят знать, можно ли платить за воду, получить справку и безопасны ли их данные. Отдельно стоит вопрос доверия: если город молчит слишком долго, слухи и журналисты заполняют вакуум. Практичный подход — публиковать короткое подтверждённое сообщение («произошёл инцидент, мы локализуем его, часть услуг временно недоступна, приоритет — безопасность данных»), а подробности — по мере проверки. Кто готовит текст, кто утверждает его и какой статус у каждой фразы («подтверждено» против «предположительно») — это и есть предмет обсуждения в учении.

Вопрос о выкупе следует выносить из ИТ-зоны. Решение о платеже — вопрос управления: нужны позиция юриста, условия страхового полиса и рекомендации правоохранителей, которые могут знать о доступных дешифраторах. Даже если платёж допустим, нет гарантии, что злоумышленники вернут доступ или не продадут данные. Поэтому фокус — на восстановлении из чистых резервных копий и на том, чтобы не перезаразить чистую среду во время подъёма систем.

• Согласуйте заранее: кто утверждает публичные заявления и кто является официальным «голосом» города.
• В сценарий включите давление «совета» с требованием немедленного заявления — проверьте, как команда отделяет подтверждённое от предположений.
• Отдельно проиграйте: кто уведомляет регулятора и пострадавших жителей, если произошла утечка данных, и в какие сроки это требует закон конкретной юрисдикции.

Порядок восстановления и уроки для отчёта

Восстановление идёт не «все подряд», а по заранее утверждённому списку критичных активов: в приоритете системы, связанные со здоровьем и безопасностью жителей и с поступлением доходов, а также сервисы, от которых они зависят. Данные возвращают из автономных, зашифрованных резервных копий на чистую сеть (например, выделенную VLAN), чтобы не перезаразить среду. Параллельно сбрасывают пароли на всех затронутых системах, закрывают уязвимости и проверяют, не осталось ли механизмов повторного доступа.

Ценность учения проявляется в последействующем отчёте: какие сервисы восстановлены, сколько времени занял подъём каждого критичного актива, сколько обращений жителей осталось без ответа. Эти измеримые результаты превращают абстрактную «готовность» в конкретные правки планов, списков контактов и ручных процедур, а также в основу следующего, более сложного учения. Национальные профили и рекомендации (например, профиль NIST по управлению рисками вымогателей на основе Cybersecurity Framework) как раз и помогают сверить цели учений с практикой предотвращения, обнаружения, реагирования и восстановления.

Границы метода: учение — не аудит и не гарантия

Важно понимать, чего учение не даёт. Оно проверяет готовность к решениям, но не заменяет технический аудит, реальные тесты восстановления из резервных копий и не отменяет ежедневной гигиены: патчи, многофакторная аутентификация, ограничение доступа по принципу минимальных привилегий и офлайн-копии. Профиль NIST подчёркивает, что готовность складывается из многих практик, и учение — лишь один из инструментов.

Регуляторные сроки и требования к уведомлениям о киберинцидентах различаются по странам и штатам и могут меняться, поэтому в статье описан общий подход, а не юридическая консультация. Перед учением стоит сверить сценарий с действующим законодательством вашей юрисдикции и с условиями страхового полиса. Расписания и доступность материалов официальных программ учений (например, у CISA) тоже обновляются — проверяйте актуальность на сайте организатора.

• Не заявляйте, что «учение пройдено — значит город защищён»: это лишь одна из мер зрелости.
• Проверяйте, что резервные копии действительно восстанавливаются, а не только существуют.
• Обращайтесь к официальным пакетам учений и рекомендациям регуляторов вашей страны, а не к коммерческим описаниям без проверки.

Практический актив

Ниже — карточка ведущего с «инъекциями» и контрольными точками первых суток. Её можно использовать как готовый скелет учения: каждая строка приходит в своё время и проверяет конкретное решение. Времена — примерные, их следует подстроить под город и под особенности ваших систем.