<h3>ข้อแนะนำในการป้องกันมัลแวร์เรียกค่าไถ่ สำหรับผู้ดูแลระบบ</h3>
ปัญหา Ransomware หรือมัลแวร์เรียกค่าไถ่นั้นเป็นสิ่งที่สร้างความเสียหายต่อการทำงานเป็นอย่างมาก โดยเฉพาะหากเกิดขึ้นกับระบบที่ใช้ในการทำธุรกิจ ที่ผ่านมาทางไทยเซิร์ตได้มีการเผยแพร่ข้อมูลแนวทางการป้องกันและรับมือมัลแวร์เรียกค่าไถ่สำหรับบุคคลทั่วไป เช่น การสำรองข้อมูลอยู่เป็นประจำ การอัปเดตซอฟต์แวร์และแอนติไวรัสอย่างสม่ำเสมอ รวมถึงการสังเกตลิงก์หรือไฟล์แนบอีเมลที่ผิดปกติ เป็นต้น ซึ่งข้อมูลเหล่านี้สามารถศึกษาได้จากบทความและคลิปวิดีโอของไทยเซิร์ต (<a href="https://www.facebook.com/thaicert/videos/657180994430037/">https://www.facebook.com/thaicert/videos/657180994430037/</a>)

ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยจากบริษัท Red Canary ได้ให้คำแนะนำในการป้องกันมัลแวร์เรียกค่าไถ่ภายในองค์กร โดยเบื้องต้นควรมีการพิจารณาระดับความสำคัญและรูปแบบวิธีการปกป้องระบบของแต่ละส่วนงาน เนื่องจากลักษณะการใช้งานคอมพิวเตอร์ของแต่ละส่วนงานมีความแตกต่างกัน ไม่สามารถใช้วิธีการป้องกันหรือนโยบายเดียวให้ครอบคลุมทั้งองค์กรได้ ตัวอย่างเช่น ส่วนงานพัฒนาระบบจำเป็นต้องได้รับสิทธิในการติดตั้งและใช้งานเครื่องมือเฉพาะ ส่วนงาน HR จำเป็นต้องเปิดไฟล์แนบที่มากับอีเมล ส่วนงานการเงินจำเป็นต้องใช้ Macro ใน Microsoft Office ซึ่งหากถูกบล็อกไม่ให้ใช้งานอาจมีผลกระทบต่อการทำงานได้ คอมพิวเตอร์ของผู้บริหารก็จำเป็นต้องมีกระบวนการป้องกันในอีกรูปแบบ ผู้ดูแลระบบต้องพิจารณาว่าระบบใดควรใช้มาตรการป้องกันแบบใด หรือหากป้องกันไม่ได้เพราะจำเป็นต้องเปิดให้ใช้งาน ก็ต้องหามาตรการในการตรวจสอบความผิดปกติให้เร็วที่สุด

นักวิจัยด้านความมั่นคงปลอดภัยได้รวบรวมข้อมูลมัลแวร์เรียกค่าไถ่แต่ละสายพันธุ์ไว้ใน Google Sheet (<a href="https://docs.google.com/spreadsheets/d/1TWS238xacAto-fLKh1n5uTsdijWdCEsGIM0Y0Hvmc5g/pubhtml#">https://docs.google.com/spreadsheets/d/1TWS238xacAto-fLKh1n5uTsdijWdCEsGIM0Y0Hvmc5g/pubhtml#</a>) และเปิดให้บุคคลทั่วไปสามารถเข้าถึงข้อมูลเหล่านี้ได้ ข้อมูลในเอกสารมีการอัปเดตอย่างสม่ำเสมอ ผู้ดูแลระบบควรหมั่นติดตามข้อมูลเหล่านี้เป็นระยะเพื่อให้ทราบถึงแนวโน้มและทิศทางการโจมตีจากมัลแวร์เรียกค่าไถ่สายพันธุ์ใหม่ๆ

ข้อแนะนำในการรับมือและป้องกันมัลแวร์เรียกค่าไถ่สำหรับผู้ดูแลระบบ มี 5 ข้อ ดังนี้
<ol>
 	<li>ใช้ Microsoft Applocker เพื่อบล็อกไม่ให้มีการรันไฟล์ที่น่าจะเป็นมัลแวร์เรียกค่าไถ่ (เช่น ไฟล์ .exe, .js, .vbs) จากไดเรกทอรีที่มีแนวโน้มว่าถูกใช้เก็บไฟล์มัลแวร์ (เช่น \user\appdata หรือ \programdata) รายละเอียดเพิ่มเติมเกี่ยวกับ Applocker ดูได้จากเว็บไซต์ของ Microsoft (<a href="https://technet.microsoft.com/en-us/library/dd759117(v=ws.11).aspx">https://technet.microsoft.com/en-us/library/dd759117(v=ws.11).aspx</a>) ตัวอย่างสคริปต์สำหรับตั้งค่า Applocker ดูได้จากที่มา</li>
 	<li>ปิดไม่ให้ใช้งาน Macro ใน Microsoft Office เนื่องจากเป็นหนึ่งในช่องทางหลักที่ถูกใช้ในการแพร่กระจายมัลแวร์ การปิด Macro ไว้เป็นค่าเริ่มต้นและเปิดให้ใช้งานได้เฉพาะในส่วนงานที่จำเป็นต้องใช้ (เช่น ฝ่ายการเงิน) ก็สามารถช่วยลดความเสี่ยงและจำกัดขอบเขตความเสียหายหากติดมัลแวร์ได้ ทั้งนี้ ควรมีการอบรมให้ความรู้กับเจ้าหน้าที่ในส่วนงานที่ต้องเปิดไฟล์แนบในอีเมลหรือต้องใช้ Macro ในการทำงาน เพื่อให้มีความตระหนักและสามารถแยกแยะอีเมลที่มีลักษณะน่าสงสัยได้</li>
 	<li>หากใช้ Windows Server ให้ตั้งค่า File Server Resource Manager เพื่อตรวจจับและป้องกันการแก้ไขข้อมูลจากมัลแวร์เรียกค่าไถ่ โดยเป็นการเฝ้าระวังว่ามีการสร้างไฟล์ที่มีลักษณะว่าเกิดจากการติดมัลแวร์เรียกค่าไถ่ (เช่น DECRYPT_INSTRUCTION.TXT) บนเซิร์ฟเวอร์หรือไม่ รวมถึงตรวจสอบนามสกุลไฟล์ที่ถูกสร้างโดยมัลแวร์เรียกค่าไถ่ ตัวอย่างวิธีการตั้งค่าสามารถดูได้จาก <a href="http://olivermarshall.net/using-file-screening-to-help-block-cryptolocker">http://olivermarshall.net/using-file-screening-to-help-block-cryptolocker/</a></li>
 	<li>พิจารณาใช้เครื่องมือ Anti-Ransomware โดยจะเป็นการตรวจสอบการแก้ไขข้อมูลในไดเรกทอรีที่กำหนด รวมถึงตรวจสอบการแก้ไขข้อมูลไฟล์ระบบจำนวนมากซึ่งเข้าข่ายต้องสงสัยว่าเป็นพฤติกรรมของมัลแวร์เรียกค่าไถ่ ถึงแม้เครื่องมือเหล่านี้อาจไม่สามารถป้องกันมัลแวร์เรียกค่าไถ่ได้แบบ 100% เพราะผู้พัฒนามัลแวร์พยายามดัดแปลงเทคนิคหลบเลี่ยงการตรวจจับอยู่เสมอ แต่ก็อาจพิจารณาเพื่อนำมาใช้เป็นอีกหนึ่งช่องทางการตรวจสอบและป้องกันระบบได้</li>
 	<li>ให้ความรู้กับผู้ใช้ในองค์กร โดยควรจัดการอบรมหรือซักซ้อมรับมือการโจมตี (เช่น การโจมตีจากอีเมลฟิชชิ่ง) เพื่อให้ผู้ใช้ตระหนักถึงอันตรายและผลกระทบที่อาจเกิดขึ้นได้จากมัลแวร์เรียกค่าไถ่ รวมถึงควรมีการซักซ้อมการรับมือหากเกิดเหตุการณ์ขึ้นจริง เช่น การแจ้งฝ่ายไอที การนำข้อมูลสำรองกลับมาใช้งาน เพื่อให้ธุรกิจสามารถดำเนินต่อได้หากเกิดเหตุการณ์ขึ้นมาจริง</li>
</ol>
รายละเอียดอื่นๆ ทางเทคนิค สามารถอ่านเพิ่มเติมได้จากที่มา

<strong>ที่มา:</strong> <a href="http://thcert.co/VcvZ6f">Red Canary</a> l <a href="https://www.thaicert.or.th/newsbite/2017-05-08-02.html#2017-05-08-02">ThaiCERT</a>

&nbsp;