Защита небольшого VPS от ransomware: точки входа, радиус поражения и восстановление

Как ransomware попадает на VPS

Руководство CISA #StopRansomware строит профилактику вокруг шести направлений: уязвимости и ошибки конфигурации на внешних сервисах, скомпрометированные учётные данные, фишинг, предварительное заражение вредоносным ПО, продвинутая социальная инженерия, а также третьи стороны и управляемые сервис-провайдеры. Для VPS, которым занимаются один-два человека, основной вред приходится на первые два. Как сказано в самом руководстве, злоумышленники часто получают первоначальный доступ к сети через открытые и плохо защищённые удалённые сервисы.

Та же картина видна в данных. Отчёт Verizon 2026, снова по материалам Help Net Security, показал, что эксплуатация уязвимостей составила 31% взломов и обогнала украденные учётные данные как самый частый вектор первоначального доступа. Страница Sophos State of Ransomware 2026 указывает долю атак, успешно зашифровавших данные, равную 56%. Иными словами, атакующему обычно не нужно ничего хитрого: доступный сервис, работающий пароль или ключ, либо опубликованная уязвимость, которую вы ещё не закрыли.

Сначала закройте точки входа

Пройдите три двери в порядке того, как часто ими пользуются.

• Открытые сервисы. Каждый порт, отвечающий из интернета, это дверь. Используйте политику default deny на firewall (см. руководство по файрволу в Linux), не выставляйте базы данных на публичные интерфейсы (руководство об открытых базах данных) и никогда не публикуйте Docker API (защита хоста Docker).
• Учётные данные. Используйте только аутентификацию по ключу и отключите вход под root, как описано в руководстве по усилению защиты SSH, затем добавьте второй фактор через двухфакторную аутентификацию для SSH. Пусть fail2ban принимает на себя постоянный подбор.
• Непропатченное ПО. Автоматизируйте обновления безопасности и держите ускоренный путь для всего, что попало в каталог CISA. Процесс описан в руководстве по управлению обновлениями, а NGINX Rift свежий пример того, как долго уязвимость может жить в широко используемом ПО, пока её не найдут.

Если у вас есть только час, потратьте его здесь. Всё, что идёт дальше, ограничивает ущерб от вторжения; этот раздел предотвращает само вторжение.

Ограничьте радиус поражения

Исходите из того, что однажды что-то проникнет, и заранее решите, до чего оно сможет дотянуться. Принцип называется минимальные привилегии: каждая учётная запись и процесс получают только то, что им нужно. На практике это значит, что веб-приложение работает от собственного непривилегированного пользователя, поэтому взломанное приложение не сможет переписать системные файлы или данные другого приложения. Администрирование идёт через именные учётные записи с ограниченными правами sudo (см. пользователи, sudo и минимальные привилегии), а не через общий вход под root.

Важнее всего разделить production и резервные копии. CISA предупреждает, что многие вариации ransomware пытаются найти и удалить или зашифровать доступные резервные копии, чтобы восстановление стало невозможным без выкупа. Сервер, который может достать до собственных бэкапов с правом удаления, передаёт эту возможность тому, кто его захватил. Выдайте заданию резервного копирования учётные данные, которые могут добавлять данные, но не удалять их, либо пусть отдельная система бэкапа сама забирает данные с VPS, а не VPS отправляет их туда.

Бэкапы, которые переживут атакующего

Рекомендация CISA прямая: хранить офлайновые зашифрованные резервные копии критичных данных и регулярно проверять их доступность и целостность в сценарии аварийного восстановления. Она также советует включать защиту от удаления или object lock на хранилищах, которые часто становятся целью ransomware. Наше руководство по стратегии резервного копирования VPS превращает это в рабочую схему: правило 3-2-1, неизменяемые копии, бэкап по принципу pull и проверка восстановления.

Храните несколько поколений, а не только последнее. Руководство CISA предостерегает: перед восстановлением из бэкапов нужно найти дроппер, иначе компрометация продолжится. Если вторжение началось три недели назад, вчерашний бэкап уже может содержать закрепление атакующего, и вам понадобится более старая чистая копия.

Заметьте атаку рано

Ransomware редко бывает первым действием атакующего. Обычно сначала идут разведка и закрепление, и именно здесь его можно поймать. Следите за новыми учётными записями, новыми записями cron или systemd, неожиданными исходящими подключениями, необъяснимой нагрузкой на CPU или диск, а также за сбойными или пропавшими заданиями резервного копирования. Руководство по мониторингу перечисляет, что отслеживать, а мониторинг целостности файлов сигнализирует об изменениях файлов, которые не должны меняться.

Дешёвый дополнительный сигнал: несколько файлов-приманок в каталогах, которых не касается ничего легитимное. Если их внезапно изменили или переименовали, что-то массово переписывает файлы, и вам нужно узнать об этом за минуты, а не при следующем входе. Настройте оповещения и о сбоях бэкапа: атакующий, который ломает или удаляет резервные копии перед шифрованием, часто проявляется первым как задание бэкапа, которое тихо перестало работать.

Первый час после заражения

Сначала изолируйте, затем сохраните доказательства, затем восстанавливайте. Отключите хост от сети через файрвол провайдера или консоль, чтобы он не распространял атаку и не продолжал выгружать данные, но пока не стирайте его. Это шаг сдерживания из руководства по реагированию на взлом, где полностью разобраны обнаружение, устранение причины и восстановление.

Затем определите, какие бэкапы появились до вторжения, смените все учётные данные, которые жили на хосте (SSH-ключи, пароли баз данных, API-токены, облачные ключи), и пересоберите сервер из заведомо чистого образа, а не чистите на месте. Помните, что бэкапы восстанавливают доступность, но не отменяют кражу: если на сервере были чувствительные данные, считайте их потенциально раскрытыми и проверьте, какие обязанности по уведомлению к вам применимы. Платить или нет, решение бизнесовое и юридическое, а не техническое, и в данных Verizon 2026 не платили 69% жертв.