طرق حماية السيرفر من فيروس الفدية
فيروس الفدية لا يبدأ من التشفير. يبدأ من دخول هادئ عبر منفذ مكشوف أو حساب مسروق، ثم يتحرك داخل الشبكة ويبحث عن النسخ الاحتياطية قبل أي شيء آخر. الحماية الفعلية ليست منتجاً واحداً، بل مجموعة ضوابط تجعل الوصول أصعب وتضمن وجود نسخة لا يستطيع المهاجم لمسها. وإذا كان التشفير قد حدث لديك الآن، انتقل مباشرة إلى قسم أول ساعة في نهاية المقال.
ابدأ من نسخة احتياطية لا يستطيع المهاجم الوصول إليها
أول ما تبحث عنه برامج الفدية الحديثة هو النسخ الاحتياطية. تحذف نسخ الظل داخل ويندوز، تشفّر المجلدات المشتركة المرتبطة، وتستهدف خادم النسخ الاحتياطي إذا كان على نفس النطاق وبنفس حسابات الإدارة. النسخة المتصلة دائماً بالشبكة ليست نسخة احتياطية، بل هدف إضافي.
قاعدة 3-2-1 هي الحد الأدنى المعقول: 3 نسخ من البيانات، على 2 من أنواع الوسائط المختلفة، مع 1 نسخة خارج الموقع. أضف إليها شرطين يغيّران النتيجة فعلياً: نسخة واحدة على الأقل غير قابلة للتعديل أو مفصولة فعلياً، واختبار استرجاع دوري يثبت أن النسخة تعمل.
- استخدم تخزيناً غير قابل للتعديل (Object Lock أو WORM)، أو وسيطاً يُفصل فعلياً بعد كل عملية نسخ مثل الشريط أو قرص خارجي يتم تدويره.
- لا تترك خادم النسخ الاحتياطي على نطاق الإنتاج ولا على حسابات الإدارة نفسها. حساب مخترق واحد يجب ألا يفتح البيانات والنسخ معاً.
- فعّل المصادقة متعددة العوامل على وحدة تحكم النسخ الاحتياطي نفسها، لا على حسابات المستخدمين فقط.
- نفّذ استرجاعاً تجريبياً كاملاً على فترات محددة. النسخة التي لم تُختبر افتراض، لا ضمان.
- اجعل مدة الاستبقاء كافية للاكتشاف المتأخر؛ بعض الهجمات تبقى صامتة أسابيع قبل بدء التشفير.
منفذ RDP المكشوف هو الباب الأول
نسبة كبيرة من الاختراقات التي تنتهي بالتشفير تبدأ بجلسة سطح مكتب بعيد منشورة مباشرة على الإنترنت، محمية بكلمة مرور ضعيفة أو مسروقة. تغيير المنفذ من 3389 إلى رقم آخر لا يعالج المشكلة؛ أدوات الفحص الآلي تجد المنفذ الجديد خلال ساعات.
القاعدة العملية: لا يُنشر RDP على الإنترنت. يوضع خلف VPN أو بوابة وصول، مع مصادقة متعددة العوامل، وقفل للحساب بعد محاولات فاشلة متتالية، وقائمة واضحة بمن يحق له الاتصال أصلاً.
- أغلق 3389 على الجدار الناري، وتحقق من الإغلاق من خارج الشبكة لا من داخلها.
- افرض المصادقة متعددة العوامل على VPN وبوابات الوصول والبريد وكل لوحات الإدارة.
- فعّل Network Level Authentication وقفل الحسابات بعد عدد محدد من المحاولات الفاشلة.
- راجع من لا يزال يملك وصولاً عن بعد، واحذف الحسابات الخاملة وحسابات الموظفين السابقين والموردين المنتهية.
رقّع المكشوف أولاً، ثم قلّص الصلاحيات
الترقيع الشامل في وقت واحد غير واقعي في بيئة إنتاج، لذلك رتّب الأولوية حسب درجة الانكشاف. الأنظمة المواجهة للإنترنت أولاً: بوابات VPN، الجدران النارية، خوادم البريد، وواجهات إدارة الأنظمة الافتراضية. هذه الفئة تظهر لها أدوات استغلال علنية خلال أيام من الإعلان عن الثغرة.
بعدها تأتي الصلاحيات. المهاجم لا يحتاج ثغرة جديدة إذا وجد حساب مدير نطاق يُستخدم في العمل اليومي. افصل حسابات الإدارة عن حسابات الاستخدام اليومي، وامنح كل حساب أقل صلاحية تكفي لمهمته.
- لا تتصفح ولا تفتح البريد ولا تعمل يومياً من حساب مدير النطاق.
- أزل صلاحية المدير المحلي من أجهزة المستخدمين حيثما أمكن، ولا تكرر كلمة مرور المدير المحلي نفسها على كل الأجهزة.
- عطّل SMBv1 والبروتوكولات القديمة التي لم يعد أحد يحتاجها.
- احذف الحسابات والخدمات غير المستخدمة. كل حساب قائم هو مسار محتمل.
قسّم الشبكة وراقب الإشارات المبكرة
الفدية تتحول إلى كارثة عندما تتحرك بحرية. في شبكة مسطحة، جهاز مستخدم واحد مصاب يستطيع الوصول إلى الخوادم ووحدات التخزين ونظام النسخ الاحتياطي. التقسيم لا يمنع الإصابة، لكنه يحدد كم من العمل تستطيع الإصابة أن تلمسه.
المراقبة تكمّل التقسيم. معظم الهجمات تترك أثراً قبل التشفير بساعات أو أيام: تسجيل دخول في وقت غير معتاد، أداة إدارة عن بعد غير معتمدة، أو محاولة حذف نسخ الظل. اجعل هذه الأحداث تُنبّه شخصاً، لا أن تُسجَّل في ملف يقرأه أحد لاحقاً.
- افصل شبكة الخوادم عن شبكة المستخدمين، واعزل شبكتي النسخ الاحتياطي والإدارة.
- امنع اتصال SMB وRDP المباشر بين أجهزة المستخدمين.
- نبّه على حذف نسخ الظل، وإعادة التسمية الجماعية للملفات، والفشل المفاجئ لمهام النسخ الاحتياطي.
- انقل السجلات خارج الخادم الذي ينتجها؛ المهاجم يمسح السجلات المحلية.
الموظف هو الطبقة التي لا يمكن ترقيعها
الرسالة المزيّفة لا تزال من أكثر طرق الدخول شيوعاً: فاتورة مرفقة، ملف يطلب تفعيل وحدات الماكرو، أو رابط لصفحة تسجيل دخول مطابقة للأصلية. لا يوجد تدريب يمنع كل خطأ، لكن التدريب المتكرر والمحدد يقلل عدد النقرات ويقصّر زمن الاكتشاف.
والأهم من التدريب نفسه وجود قناة إبلاغ سهلة. الموظف الذي ينقر على رابط ثم يبلّغ خلال دقائق يمنح فريقك فرصة حقيقية. والموظف الذي يخشى اللوم يصمت، والصمت هو ما يمنح المهاجم وقته.
- امنع تشغيل وحدات الماكرو في الملفات القادمة من الإنترنت افتراضياً.
- اجعل الإبلاغ عن رسالة مشبوهة خطوة واحدة، وبدون عقوبة.
- درّب على السيناريو الأخطر: طلب تحويل أو بيانات دخول من جهة تبدو موثوقة.
أول ساعة بعد اكتشاف التشفير
الهدف في أول ساعة ليس الإصلاح، بل إيقاف الانتشار والحفاظ على الأدلة والخيارات. الخطأ الشائع هو السرعة في الاتجاه الخاطئ: إعادة تشغيل الخوادم، حذف الملفات المشفرة، أو إعادة تنصيب النظام قبل أخذ نسخة كاملة. كل واحدة من هذه قد تغلق باباً كان لا يزال مفتوحاً.
أما الدفع، فهذه حقائق يجب أن تُعرف قبل القرار: الدفع لا يضمن الحصول على مفتاح يعمل، وأدوات فك التشفير التي يسلّمها المهاجمون تكون بطيئة أو ناقصة في حالات كثيرة. وإذا سُحبت نسخة من البيانات خارج الشبكة، فلا توجد طريقة للتحقق من أن وعد حذفها قد نُفّذ. كما قد يترتب على الدفع التزامات نظامية وقانونية تختلف حسب القطاع. القرار إداري وقانوني، ويُبنى بعد تقييم فني لما يمكن استرجاعه فعلاً.
أبلغ الإدارة والمسؤول عن الأمن السيبراني لديك، ووثّق الوقت والأنظمة المتأثرة منذ اللحظة الأولى. وحسب قطاعك، قد يكون إبلاغ الجهات التنظيمية المختصة إلزامياً.
- اعزل على مستوى الشبكة: افصل الكابل أو أوقف المنفذ على السويتش. لا تطفئ الجهاز ولا تعد تشغيله.
- افصل النسخ الاحتياطية ووسائط التخزين عن الشبكة قبل أن تصل إليها عملية التشفير.
- احتفظ برسالة الفدية، وامتداد الملفات المشفرة، وعينة من ملف مشفر ونسخة سليمة منه إن وُجدت.
- لا تحذف الملفات المشفرة، ولا تعمل فورمات، ولا تعد بناء الخادم قبل أخذ نسخة كاملة.
- لا تشغّل أدوات فك تشفير من مصادر غير موثوقة؛ بعضها يتلف الملفات وبعضها برنامج ضار إضافي.
الخدمة المرتبطة
فيروس الفديةقبل أن تعيد بناء الخادم، اعرف ما الذي يمكن استعادته.
إذا كان التشفير قد حدث بالفعل، اعزل الأنظمة المتأثرة وأرسل لنا امتداد الملفات المشفرة، ورسالة الفدية، ووصف الخوادم والنسخ الاحتياطية المتأثرة. نبدأ بفحص وتشخيص مجاني بدون التزام، ونوضح الخيارات المتاحة دون وعود غير دقيقة.