Fabrică de panificație și patiserie: recuperare după un atac ransomware și un CRM propriu

Fabrică de panificație și patiserie din Moldova — biscuiți, torturi, pâine. Clientul a venit la noi nu preventiv, ci în plin moment de criză: contururile de producție au suferit un atac de ransomware. Stațiile de lucru și o parte din serverele Windows au fost criptate, operațiunile s-au oprit, mai multe sectoare au fost afectate.

Vestea bună, care se vede doar când răul s-a produs deja: sistemul de evidență al întreprinderii — UNA pe Oracle sub Linux — nu a fost atins. Nu este întâmplător, ci consecința separării arhitecturale: baza contabilă trăia pe Linux și într-un segment separat, iar criptorul nu a ajuns la ele. Asta a permis evitarea celui mai dureros lucru — pierderea datelor.

Sursa infectării a fost identificată destul de rapid — un mesaj de phishing la căsuța corporativă. De aceea munca a mers pe două fronturi în paralel: restabilirea operațiunilor și închiderea concretă a vectorului prin care a intrat necazul.

Reacție la criză și consolidare în paralel, pentru ca repetarea să devină considerabil mai puțin probabilă:

• Restabilirea contururilor de producție — curățarea stațiilor infectate, reconfigurarea serverelor, întoarcerea oamenilor la locurile de muncă.
• Refacerea rețelei cu segmentare corectă și control al traficului pe un firewall modern.
• Instalarea protecției XDR pe stații: telemetrie continuă, corelarea evenimentelor, izolarea automată la comportament suspect.
• Închiderea vectorului inițial al atacului — pornirea unui server de e-mail securizat cu filtrare de phishing, atașamente malițioase și linkuri periculoase.
• Pregătirea trecerii în cloud — clientul lucrează deocamdată pe servere proprii locale și discutăm migrarea în platforma noastră cloud, după modelul folosit la alți clienți de scară similară.
• În cadrul grupului Garm — dezvoltarea unui CRM propriu pentru client de către proiectul RedBox: management de clienți, notificări SMS, evidență operațională.

Reacția la criză

Prima fază — oprirea răspândirii și restabilirea activității. Stațiile infectate au fost curățate, o parte reinstalate de pe imagini etalon. Datele criptate au fost recuperate din copiile existente, în măsura în care a fost posibil. S-a făcut o inventariere: ce conturi sunt compromise, ce parole trebuie schimbate obligatoriu, ce servicii cer reconfigurare.

Ce a salvat clientul: UNA pe Oracle/Linux într-un segment separat

Cel mai valoros activ pentru business — sistemul de evidență UNA, care rulează pe Oracle sub Linux — a rămas neatinsă. Criptorul s-a răspândit pe segmentul Windows și nu a avut acces la serverul Linux cu UNA. Este un exemplu tipic de ce separarea arhitecturală și de platformă a sistemelor critice nu este o „bună practică” teoretică, ci o modalitate practică de a limita pagubele unui incident.

Rețea nouă și FortiGate

Rețeaua a fost refăcută cu segmentare corectă: contururile de producție, stațiile de birou, segmentul de server, rețeaua de oaspeți și accesul din exterior — separate în VLAN-uri cu trafic controlat între ele. Pe perimetru a fost instalat FortiGate — filtrare de trafic, control al aplicațiilor, control al ieșirilor către noduri suspecte. Dacă un asemenea control ar fi existat înainte — criptorul ar fi avut considerabil mai puține posibilități să „sune” la serverul de comandă și la vecinii din rețea.

Protecție XDR pe stații

Pe toate stațiile și serverele este desfășurat XDR: telemetrie continuă, corelarea evenimentelor, izolarea automată a nodului la comportament suspect. Spre deosebire de antivirusul clasic, XDR nu se uită la „semnătura fișierului”, ci la lanțul de comportament: proces suspect, acces la o resursă de rețea, încercări de criptare a fișierelor — și reacționează înainte ca paguba să devină masivă.

Închiderea sursei: un server de e-mail nou cu protecție anti-phishing

Pentru că vectorul inițial a fost e-mailul, s-a pornit un server de e-mail nou cu protecție modernă: filtrare a phishing-ului, verificarea atașamentelor în sandbox, rescrierea linkurilor și verificarea lor la click, protecție împotriva impersonării expeditorului (SPF / DKIM / DMARC). Asta nu acoperă „totul”, dar exact clasa de atacuri prin care criptorul a ajuns în infrastructură.

Servere locale și negocieri privind trecerea în cloud

În etapa curentă, clientul rămâne pe servere proprii locale. În paralel, discutăm mutarea infrastructurii în platforma noastră cloud, după modelul deja aplicat la alți clienți: SLA previzibil, servere de ultimă generație cu NVMe și DDR5, monitorizare unică, copii de rezervă verificate, toleranță la defect la nivel de platformă. Argumentația — pe propria experiență: arătăm clientului că în proiecte reale acest lucru s-a făcut fără o creștere semnificativă a costului și cu o creștere vizibilă a performanței.

CRM de la proiectul RedBox: în interiorul grupului Garm

În paralel cu munca de infrastructură, clientul a avut nevoie de un CRM propriu: management de clienți, istoric al comunicărilor, notificări SMS, evidență operațională adaptată profilului de producție și retail. Această sarcină a fost preluată de proiectul RedBox — direcția de dezvoltare software la comandă din grupul Garm. A rezultat o poveste integrată: un singur grup de companii face și infrastructura, și software-ul la cerere; comunicarea între specialiști este directă, fără pase între furnizori diferiți.

De ce funcționează: spectrul complet al grupului Garm

Nu este o frază de marketing, ci o observație din proiecte reale: atunci când infrastructura și software-ul la comandă sunt făcute de același grup de companii, la client dispare o întreagă clasă de durere — dispute între furnizori, pierderea contextului la transferul între echipe, neconcordanțe de SLA. Grupul Garm acoperă mai multe direcții (administrare de sistem, securitate IT, dezvoltare la cerere, consultanță, vCIO), iar în proiectele în care sunt necesare mai multe direcții simultan, pentru client asta este de obicei mai simplu, mai rapid și mai ieftin decât a lucra cu trei-patru companii independente.

Rezultat

• Producția a fost restabilită — locurile de muncă, serverele și operațiunile au revenit în funcțiune.
• Sistemul UNA a fost salvat — datorită separării arhitecturale (Oracle pe Linux într-un segment separat), datele critice au supraviețuit atacului fără pierderi.
• Rețeaua a fost refăcută cu FortiGate pe perimetru și segmentare în interior — trafic controlat în loc de „așa cum s-a întâmplat”.
• XDR pe stații — reacție la comportament suspect, nu doar la semnături.
• Serverul de e-mail nou închide vectorul inițial al atacului.
• CRM-ul de la RedBox este pornit și deservește lucrul cu clienții și notificările SMS.
• Trecerea în cloud — în lucru, după un model verificat pe alte proiecte.