12 мая 2017 года шифровальщик WannaCry за несколько часов поразил больше 200 тысяч компьютеров в 150 странах. Под удар попали британская система здравоохранения NHS, испанская Telefónica, логистика FedEx, а в России – банки, операторы связи, региональные ведомства и МВД. Атака не требовала ни одного клика пользователя: червь распространялся сам по локальным сетям. Это не точечный фишинг, а эпидемия, и она обнажила системные провалы в эксплуатации ИТ-инфраструктуры.

Почему атака сработала так широко

WannaCry эксплуатирует уязвимость в протоколе SMBv1 (CVE-2017-0144). Microsoft закрыла её патчем MS17-010 ещё 14 марта – за два месяца до эпидемии. Пострадали те, кто патч не установил.

Корень проблемы – не сам зловред, а состояние парка машин. Морально устаревшая Windows XP, для которой обновление вышло уже после начала атаки. Открытый наружу порт 445. Плоские сети без сегментации, где червь свободно ходил от рабочей станции к серверу. В госсекторе и на крупных производствах это усугубляется «неприкасаемыми» системами: терминалы, кассы, медицинское и промышленное оборудование, которые годами работают на старых ОС, потому что «трогать нельзя – встанет процесс».

Что делать прямо сейчас

Первоочередные шаги в течение ближайших дней:

  • Установить MS17-010 на все хосты, включая внезапно выпущенные Microsoft патчи для Windows XP, Server 2003 и Windows 8.
  • Отключить SMBv1 там, где он не нужен, и закрыть порты 139 и 445 на периметре.
  • Проверить и изолировать резервные копии. Бэкап, доступный из той же сети по записи, шифровальщик уничтожит вместе с продуктивом.
  • Сегментировать сеть: отделить АРМ пользователей от серверов и технологического сегмента.

Эти меры закрывают конкретно WannaCry, но следующая волна придёт через другую уязвимость. Поэтому важнее выстроить процесс, а не разово залатать дыру.

Уроки на перспективу

WannaCry – это не история про гениальных хакеров, а про управление обновлениями и инвентаризацию активов. Нельзя защитить то, о существовании чего вы не знаете. Базовый набор, который мы внедряем у заказчиков:

  • Регламент patch management со сроками установки критичных обновлений и тестовым контуром.
  • Актуальная карта активов: какие ОС, версии, кто отвечает за каждый сегмент.
  • Сегментация сети и принцип минимальных привилегий между зонами.
  • Изолированные резервные копии по схеме 3-2-1 с регулярной проверкой восстановления.
  • Мониторинг аномального трафика, чтобы заметить распространение червя до того, как он зашифрует всё.

Отдельная зона риска – мобильные и распределённые рабочие места. Когда сотрудники подключаются к корпоративным ресурсам из поля, периметр размывается; об этом мы писали в материале о мобилизации полевого персонала. Для финансовых сервисов с открытыми интерфейсами цена ошибки ещё выше – открытые банковские API требуют отдельного контура защиты и строгого контроля доступа.

Для госсектора и бизнеса всё это складывается в аудит инфраструктуры, выстраивание процессов обновления и сегментации и защиту критичных систем.

WannaCry показал главное: уязвимость была известна и закрыта за два месяца до атаки. Проиграли не те, у кого не было защиты, а те, кто не довёл до конца рутинную работу по обновлениям. Безопасность – это дисциплина, а не разовый проект.