Завод хлебобулочной и кондитерской продукции: восстановление после криптовируса и собственная CRM

Завод хлебобулочной и кондитерской продукции в Молдове — печенье, торты, хлеб. Клиент пришёл к нам не превентивно, а в момент кризиса: производственный контур пережил атаку криптовируса. Зашифрованы рабочие станции и часть Windows-серверов, остановлена операционка, пострадало несколько участков.

Хорошая новость, которую видно только когда плохое уже случилось: учётная система предприятия — UNA на базе Oracle под Linux — атакой не была затронута. Это не случайность, а следствие архитектурного разделения: учётная база жила на Linux и в отдельном сегменте, и шифровальщик до них не дотянулся. Это позволило избежать самого болезненного — потери данных.

Источник заражения был идентифицирован достаточно быстро — фишинговое письмо на корпоративный ящик. Поэтому работа шла по двум фронтам одновременно: восстановить операционку и закрыть конкретный вектор, через который пришла беда.

Кризисное реагирование и параллельное укрепление, чтобы повторение стало значительно менее вероятным:

• Восстановить производственный контур — очистить заражённые рабочие станции, перенастроить серверы, вернуть людей за рабочие места.
• Перестроить сеть с правильным сегментированием и контролем трафика на современном межсетевом экране.
• Поставить XDR-защиту эндпоинтов: непрерывная телеметрия, корреляция событий, автоматическая изоляция при подозрительном поведении.
• Закрыть исходный вектор атаки — запустить защищённый почтовый сервер с фильтрацией фишинга, вредоносных вложений и опасных ссылок.
• Подготовить переход в облако — клиент пока работает на собственных локальных серверах, и мы обсуждаем перенос на нашу облачную платформу по той же модели, по которой мы сделали это для других клиентов аналогичного масштаба.
• В рамках группы Garm — разработать клиенту собственную CRM-систему силами проекта RedBox: управление клиентами, SMS-оповещения, операционный учёт.

Кризисное реагирование

Первая фаза — остановить распространение и восстановить работу. Заражённые рабочие станции вычищены, часть переустановлена с эталонных образов. Зашифрованные данные восстановлены из имеющихся копий, насколько это было возможно. Проведена инвентаризация: какие учётки скомпрометированы, какие пароли подлежат обязательной смене, какие сервисы требуют переконфигурации.

Что спасло клиента: UNA на Oracle/Linux в отдельном сегменте

Самый ценный для бизнеса актив — учётная система UNA, работающая на Oracle под Linux, — оказалась нетронута. Шифровальщик распространялся по Windows-сегменту и не имел доступа к Linux-серверу с UNA. Это типичный пример того, почему архитектурное и платформенное разделение критичных систем — не теоретическая «лучшая практика», а вполне практический способ ограничить ущерб от инцидента.

Новая сеть и FortiGate

Сеть перестроена с правильной сегментацией: производственный контур, офисные рабочие места, серверный сегмент, гостевая сеть и доступ извне разнесены на отдельные VLAN с контролируемым трафиком между ними. На периметре установлен FortiGate — фильтрация трафика, контроль приложений, контроль исходящих обращений к подозрительным узлам. Если бы такой контроль был раньше — у криптовируса было бы значительно меньше возможностей «дозвониться» до управляющего сервера и до сетевых соседей.

XDR-защита эндпоинтов

На все рабочие станции и серверы развёрнут XDR: непрерывная телеметрия, корреляция событий, автоматическая изоляция узла при подозрительном поведении. В отличие от классического антивируса, XDR смотрит не на «сигнатуру файла», а на цепочку поведения: подозрительный процесс, доступ к сетевому ресурсу, попытка шифрования файлов — и реагирует до того, как ущерб станет массовым.

Закрытие источника: новый почтовый сервер с защитой от фишинга

Поскольку первоначальный вектор был именно email, поднят новый почтовый сервер с современной защитой: фильтрация фишинговых писем, проверка вложений в песочнице, переписывание ссылок и проверка их в момент клика, защита от подмены отправителя (SPF / DKIM / DMARC). Это закрывает не «всё на свете», но именно тот класс атак, через который попал в инфраструктуру криптовирус.

Локальные серверы и переговоры о переходе в облако

На текущем этапе клиент остаётся на собственных локальных серверах. Параллельно мы обсуждаем перенос инфраструктуры в нашу облачную платформу по той же модели, по которой это уже сделано для других наших клиентов: предсказуемый SLA, серверы последнего поколения с NVMe и DDR5, единый мониторинг, проверяемые бэкапы, отказоустойчивость на уровне платформы. Аргументация — на нашем же опыте: показываем клиенту, что в реальных проектах это получилось без существенного роста стоимости и с заметным приростом производительности.

CRM от проекта RedBox: внутри группы Garm

Параллельно с инфраструктурной работой клиенту понадобилась собственная CRM-система: управление клиентами, история коммуникаций, SMS-оповещения, операционный учёт под профиль производства и розницы. Эту задачу взял на себя проект RedBox — направление группы Garm по разработке заказного программного обеспечения. Получилась цельная история: одна группа компаний делает и инфраструктуру, и софт под заказчика; коммуникация между специалистами идёт напрямую, без переброски между разными подрядчиками.

Почему это работает: полный спектр группы Garm

Это не маркетинговая фраза, а наблюдение из реальных проектов: когда инфраструктуру и заказное ПО делает одна группа компаний, у клиента исчезает целый класс боли — споры между подрядчиками, потеря контекста при передаче между командами, разнобой в SLA. Группа Garm закрывает несколько направлений (системное администрирование, ИБ, заказная разработка, консалтинг, vCIO), и в проектах, где востребовано несколько направлений сразу, для клиента это обычно проще, быстрее и дешевле, чем работать с тремя-четырьмя независимыми компаниями.

Результат

• Производство восстановлено — рабочие места, серверы, операционка вернулись в строй.
• Учётная система UNA сохранена — благодаря архитектурному разделению (Oracle на Linux в отдельном сегменте) критичные данные пережили атаку без потерь.
• Сеть перестроена с FortiGate на периметре и сегментацией внутри — контролируемый трафик вместо «как сложилось».
• XDR на эндпоинтах — реакция на подозрительное поведение, а не только на сигнатуры.
• Новый почтовый сервер закрывает изначальный вектор атаки.
• CRM от RedBox запущена и обслуживает работу с клиентами и SMS-оповещения.
• Перенос в облако — в работе, по модели, проверенной на других проектах.