इस लेख में, हम Windows Server 2012 R2 चलाने वाले फाइल सर्वर पर फाइल सर्वर रिसोर्स मैनेजर (FSRM) सुविधाओं का उपयोग करके रैंसमवेयर का पता लगाने और ब्लॉक करने के तरीकों पर विचार करेंगे। विशेष रूप से, हम बताएंगे कि फाइल सर्वर पर FSRM सेवा कैसे इंस्टॉल करें, फाइल स्क्रीनिंग कॉन्फिगर करें, और रैंसमवेयर डिटेक्शन के मामले में शेयर तक यूजर एक्सेस को ब्लॉक करें।
FSRM का उपयोग करके रैंसमवेयर का पता कैसे लगाएं
यदि आपके फाइल सर्वर पर फाइल सर्वर रिसोर्स मैनेजर (FSRM) फीचर इंस्टॉल नहीं है, तो सर्वर मैनेजर ग्राफिकल कंसोल या PowerShell कमांड प्रॉम्प्ट का उपयोग करके इसे इंस्टॉल करें:
Install-WindowsFeature FS-Resource-Manager -IncludeManagementTools
सुनिश्चित करें कि भूमिका इंस्टॉल हो गई है:
Get-WindowsFeature -Name FS-Resource-Manager
फीचर इंस्टॉल होने के बाद, सर्वर को रीस्टार्ट करें।
FSRM के SMTP सेटिंग्स को कॉन्फिगर करके ई-मेल नोटिफिकेशन भेजें
अगला कदम एडमिन्स को ई-मेल नोटिफिकेशन भेजने के लिए FSRM के SMTP सेटिंग्स को कॉन्फिगर करना है। ऐसा करने के लिए, fsrm.msc शुरू करें, File Server Resource Manager कंसोल के रूट पर राइट-क्लिक करें और Configure Options चुनें।
SMTP सर्वर नाम या IP एड्रेस, एडमिनिस्ट्रेटर और सेंडर ई-मेल एड्रेस निर्दिष्ट करें।
टिप. यदि आपके पास आंतरिक मेल सर्वर नहीं है, तो आप SMTP रिले का उपयोग करके मेल भेजने को कॉन्फिगर कर सकते हैं।यह सुनिश्चित करने के लिए कि SMTP सर्वर सही ढंग से कॉन्फिगर किया गया है, Send Test E-mail button का उपयोग करके एक टेस्ट ई-मेल भेजें।
FSRM के SMTP सेटिंग्स को PowerShell से भी कॉन्फिगर किया जा सकता है:
Set-FsrmSetting -AdminEmailAddress "FileServerAdmins@adatum.com" –smtpserver smtp.adatum.com –FromEmailAddress "FSRM@LON-FS02.adatum.com"
रैंसमवेयर के लिए फाइल एक्सटेंशन का ग्रुप कैसे बनाएं
अगला कदम ज्ञात एक्सटेंशन और फाइल नामों वाली फाइलों का एक ग्रुप बनाना है, जो एन्क्रिप्शन मालवेयर अपने काम के दौरान बनाता है।
यह सूची FSRM कंसोल में बनाई जा सकती है। ऐसा करने के लिए, File Screening Management -> File Groups का विस्तार करें और Create File Group चुनें।
आपको ग्रुप नाम निर्दिष्ट करना होगा (उदाहरण के लिए, Crypto-files) और Files to include फ़ील्ड का उपयोग करके सूची में सभी ज्ञात एक्सटेंशन दर्ज करने होंगे।
रैंसमवेयर द्वारा बनाई गई ज्ञात फाइल एक्सटेंशन की सूची काफी लंबी है, इसलिए PowerShell का उपयोग करके इसे बनाना आसान है।
Windows Server 2012 में, आप PowerShell का उपयोग करके फाइल ग्रुप बना सकते हैं:
New-FsrmFileGroup -Name "Crypto-files" –IncludePattern @("_Locky_recover_instructions.txt","DECRYPT_INSTRUCTIONS.TXT", "DECRYPT_INSTRUCTION.TXT", "HELP_DECRYPT.TXT", "HELP_DECRYPT.HTML", "DecryptAllFiles.txt", "enc_files.txt", "HowDecrypt.txt", "How_Decrypt.txt", "How_Decrypt.html", "HELP_RESTORE_FILES.txt", , "restore_files*.txt", "restore_files.txt", "RECOVERY_KEY.TXT", "how to decrypt aes files.lnk", "HELP_DECRYPT.PNG", "HELP_DECRYPT.lnk", "DecryptAllFiles*.txt", "Decrypt.exe", "AllFilesAreLocked*.bmp", "MESSAGE.txt","*.locky","*.ezz", "*.ecc", "*.exx", "*.7z.encrypted", "*.ctbl", "*.encrypted", "*.aaa", "*.xtbl", "*.abc", "*.JUST", "*.EnCiPhErEd", "*.cryptolocker","*.micro","*.vvv")
Windows Server 2008 R2 में, आपको filescrn.exe का उपयोग करना होगा:
filescrn.exe filegroup add /filegroup:"Crypto-files" /members:"DECRYPT_INSTRUCTIONS.TXT|DECRYPT_INSTRUCTION.TXT| DecryptAllFiles.txt|enc_files.txt|HowDecrypt.txt|How_Decrypt.txt| How_Decrypt.html|HELP_TO_DECRYPT_YOUR_FILES.txt|HELP_RESTORE_FILES.txt| HELP_TO_SAVE_FILES.txt|restore_files*.txt| restore_files.txt|RECOVERY_KEY.TXT|HELP_DECRYPT.PNG|HELP_DECRYPT.lnk| DecryptAllFiles*.txt|Decrypt.exe|ATTENTION!!!.txt|AllFilesAreLocked*.bmp| MESSAGE.txt|*.locky|*.ezz|*.ecc|*.exx|*.7z.encrypted|*.ctbl| *.encrypted|*.aaa|*.xtbl|*.EnCiPhErEd|*.cryptolocker|*.micro|*.vvv| *.ecc|*.ezz|*.exx|*.zzz|*.xyz|*.aaa|*.abc|*.ccc|*.vvv|*.xxx| *.ttt|*.micro|*.encrypted|*.locked|*.crypto|*_crypt|*.crinf| *.r5a|*.XRNT|*.XTBL|*.crypt|*.R16M01D05|*.pzdc|*.good| *.LOL!|*.OMG!|*.RDM|*.RRK|*.encryptedRSA|*.crjoker| *.LeChiffre|*.keybtc@inbox_com|*.0x0|*.bleep|*.1999| *.vault|*.HA3|*.toxcrypt|*.magic|*.SUPERCRYPT|*.CTBL|*.CTB2|*.locky"
https://www.bleib-virenfrei.de/ransomware/
https://fsrm.experiant.ca/api/v1/combined
दूसरे मामले में, आप Invoke-WebRequest का उपयोग करके वेब सर्वर से FSRM के लिए फाइल एक्सटेंशन की अप-टू-डेट सूची सीधे डाउनलोड कर सकते हैं:
new-FsrmFileGroup -name "Anti-Ransomware File Groups" -IncludePattern @((Invoke-WebRequest -Uri "https://fsrm.experiant.ca/api/v1/combined").content | convertfrom-json | % {$_.filters})
या एक तैयार फाइल crypto_extensions.txt का उपयोग करें। आप इस फाइल को डिस्क पर सेव कर सकते हैं और बनाए गए FSRM फाइल ग्रुप को इससे अपडेट कर सकते हैं:
$ext_list = Get-Content .\ransomware_extensions.txt
Set-FsrmFileGroup -Name "Crypto-files" -IncludePattern ($ext_list)
फाइल स्क्रीन टेम्प्लेट्स कॉन्फिगरेशन
एक नया फाइल स्क्रीन टेम्प्लेट बनाएं ताकि यह निर्धारित किया जा सके कि यदि FSRM इन फाइलों का पता लगाता है तो उसे क्या कार्रवाई करनी है। ऐसा करने के लिए, FSRM कंसोल में File Screen Management -> File Screen Templates पर जाएं। Create File Screen Template चुनकर एक नया टेम्प्लेट बनाएं।
Settings टैब में, टेम्प्लेट नाम "Block_crypto_files", स्क्रीनिंग प्रकार Active screening (इन फाइल प्रकारों को सेव करने की अनुमति न दें) निर्दिष्ट करें और फाइल ग्रुप्स की सूची में Crypto-Files चुनें।
E-mail Message टैब में, ई-मेल नोटिफिकेशन भेजना सक्षम करें और मैसेज सब्जेक्ट और बॉडी का टेक्स्ट निर्दिष्ट करें।
Event Log टैब में, सिस्टम लॉग में एंट्री बनाने पर चेक करें जिसमें केवल यूजर का नाम निर्दिष्ट करने का नोट हो: [Source Io Owner]
Command टैब में, आप चुन सकते हैं कि इन फाइल प्रकारों में से किसी एक का पता चलने पर क्या करना है। हम इस पर थोड़ी देर बाद चर्चा करेंगे।
परिवर्तन सेव करें। सूची में एक और टेम्प्लेट दिखाई देगा।
फाइल स्क्रीन टेम्प्लेट को डिस्क या फोल्डर पर कैसे लागू करें
अब आपको केवल बनाए गए टेम्प्लेट को अपने सर्वर पर डिस्क या नेटवर्क शेयर पर असाइन करना है। FSRM कंसोल में, एक नया नियम Create File Screen बनाएं।
File screen path फ़ील्ड में, स्थानीय डिस्क या उस निर्देशिका का पथ निर्दिष्ट करें जिसे आप रैंसमवेयर से बचाना चाहते हैं, और टेम्प्लेट्स की सूची में पहले बनाए गए टेम्प्लेट Block_crypto_files चुनें।
रैंसमवेयर से संक्रमित यूजर को स्वचालित रूप से ब्लॉक करना
अब आपको वह कार्रवाई कॉन्फिगर करनी होगी जो FSRM करेगा यदि एन्क्रिप्शन मालवेयर द्वारा बनाई गई फाइलों का पता चलता है। हम एक तैयार स्क्रिप्ट का उपयोग करेंगे: Protect your File Server against Ransomware by using FSRM and Powershell (https://gallery.technet.microsoft.com/scriptcenter/Protect-your-File-Server-f3722fce)। यह स्क्रिप्ट क्या करती है? नेटवर्क शेयर पर प्रतिबंधित फाइल प्रकार लिखने के प्रयास पर, FSRM इस स्क्रिप्ट को चलाता है, जो इवेंट लॉग का विश्लेषण करता है और शेयर्ड फोल्डर में फाइलें लिखने के लिए यूजर को प्रतिबंधित करता है। इस प्रकार, संक्रमित यूजर की नेटवर्क शेयर तक पहुंच ब्लॉक हो जाएगी।
इस स्क्रिप्ट को डाउनलोड करें और अपने फाइल सर्वर पर C:\ डायरेक्टरी के रूट में अनपैक करें। SubInACL (एक टूल जो नेटवर्क शेयर के लिए परमिशन बदलने की अनुमति देता है) को उसी डायरेक्टरी में कॉपी करें। निम्न फाइलें डायरेक्टरी में होनी चाहिए:
- RansomwareBlockSmb.ps1
- StartRansomwareBlockSmb.cmd
- subinacl.exe
$SubinaclCmd = "C:\subinacl /verbose=1 /share \\127.0.0.1\" + "$SharePart" + " /deny=" + "$BadUser"
और
if ($Rule -match "Crypto-Files")
"Block crypto files" टेम्प्लेट सेटिंग्स के Command टैब में, निर्दिष्ट करें कि आर्गुमेंट StartRansomwareBlockSmb.cmd के साथ कमांड प्रॉम्प्ट शुरू किया जाना चाहिए:
Run this command or script: c:\windows\system32\cmd.exe
Command arguments: /c “c:\StartRansomwareBlockSmb.cmd”
कमांड को Local System के रूप में चलना होगा।
FSRM सुरक्षा टेस्ट
आइए टेस्ट करें कि FSRM रैंसमवेयर के खिलाफ सुरक्षा कैसे काम करता है। ऐसा करने के लिए, प्रोटेक्टेड डायरेक्टरी में किसी भी एक्सटेंशन वाली फाइल बनाएं और इस एक्सटेंशन को प्रतिबंधित .locky में बदलने का प्रयास करें।
प्रतिबंधित फाइल को सेव करने का प्रयास करते समय, FSRM लॉग में एक एंट्री बनाएगा:
Event ID: 8215
Source: SRMSVC
लॉग से डेटा के आधार पर, RansomwareBlockSmb.ps1 स्क्रिप्ट शेयर एक्सेस परमिशन बदलकर वर्तमान यूजर को इस डायरेक्टरी तक पहुंचने से प्रतिबंधित करेगी।
सुरक्षा काम करती है! डिस्क के रूट में स्थित लॉग में आप वह डायरेक्टरी और यूजर अकाउंट देख सकते हैं जिससे रैंसमवेयर चलाने का प्रयास किया गया था।
यदि आपको उच्च स्तर की सुरक्षा की आवश्यकता है, तो आप फाइलों की ब्लैक लिस्ट से व्हाइट लिस्ट पर स्विच कर सकते हैं, और फिर आप केवल अनुमत फाइल प्रकारों को सेव कर पाएंगे।
तो, हमने विचार किया कि रैंसमवेयर से संक्रमित कंप्यूटर वाले यूजर्स की नेटवर्क शेयर तक पहुंच को स्वचालित रूप से कैसे ब्लॉक किया जाए। स्वाभाविक रूप से, इस तरह से FSRM का उपयोग आपके सर्वर पर फाइलों को इस प्रकार के मालवेयर से पूरी तरह से सुरक्षित नहीं कर सकता, लेकिन यह सुरक्षा स्तरों में से एक के रूप में उपयुक्त है। अगले लेखों में, हम एन्क्रिप्शन रैंसमवेयर के खिलाफ सुरक्षा के अन्य विकल्पों पर विचार करेंगे:
- रैंसमवेयर से संक्रमित होने के बाद VSS स्नैपशॉट्स से यूजर फाइलों को कैसे पुनर्प्राप्त करें
- रैंसमवेयर रोकने के लिए सॉफ्टवेयर रेस्ट्रिक्शन पॉलिसीज
