บทความนี้จะอธิบายวิธีใช้ฟีเจอร์ของ File Server Resource Manager (FSRM) บน File Server ที่รัน Windows Server 2012 R2 เพื่อตรวจจับและบล็อก Ransomware โดยเฉพาะการติดตั้งบริการ FSRM การตั้งค่า File Screening และการบล็อกการเข้าถึง Share ของผู้ใช้เมื่อตรวจพบ Ransomware
การติดตั้ง FSRM
หากยังไม่ติดตั้ง FSRM ให้ติดตั้งผ่าน Server Manager หรือ PowerShell:
Install-WindowsFeature FS-Resource-Manager -IncludeManagementTools
ตรวจสอบการติดตั้ง: Get-WindowsFeature -Name FS-Resource-Manager แล้วรีสตาร์ทเซิร์ฟเวอร์
ตั้งค่า SMTP ของ FSRM เพื่อส่งอีเมลแจ้งเตือน
เปิด fsrm.msc คลิกขวาที่รากของคอนโซล → Configure Options ระบุ SMTP Server, อีเมล Admin และ Sender จาก PowerShell:
Set-FsrmSetting -AdminEmailAddress "FileServerAdmins@adatum.com" –smtpserver smtp.adatum.com –FromEmailAddress "FSRM@LON-FS02.adatum.com"
สร้าง File Group สำหรับ Ransomware
สร้างกลุ่มไฟล์ที่มี Extensions และชื่อไฟล์ที่ Malware เข้ารหัสสร้างขึ้นระหว่างทำงาน ในคอนโซล FSRM: File Screening Management → File Groups → Create File Group ตั้งชื่อกลุ่ม (เช่น Crypto-files) และเพิ่ม Extensions ที่รู้จัก
รายการ Extensions ยาวมาก สร้างด้วย PowerShell ง่ายกว่า:
New-FsrmFileGroup -Name "Crypto-files" –IncludePattern @("_Locky_recover_instructions.txt","DECRYPT_INSTRUCTIONS.TXT", "*.locky","*.ezz", "*.ecc", "*.exx", "*.encrypted", "*.aaa", "*.xtbl", ...)
ใน Windows Server 2008 R2 ใช้ filescrn.exe แทน
Tip ใช้รายการ Extensions อัปเดตจาก:
https://www.bleib-virenfrei.de/ransomware/
https://fsrm.experiant.ca/api/v1/combined
ดาวน์โหลดรายการล่าสุดมาใช้ได้ด้วย:
new-FsrmFileGroup -name "Anti-Ransomware File Groups" -IncludePattern @((Invoke-WebRequest -Uri "https://fsrm.experiant.ca/api/v1/combined").content | convertfrom-json | % {$_.filters})
ตั้งค่า File Screen Template
สร้าง Template ใหม่: File Screen Management → File Screen Templates → Create File Screen Template
- ชื่อ: Block_crypto_files
- Screening Type: Active screening (ห้ามบันทึกไฟล์ประเภทนี้)
- File Group: เลือก Crypto-Files
แท็บ E-mail Message: เปิดการส่งอีเมลแจ้งเตือน แท็บ Event Log: ติ๊กบันทึก Log ระบุชื่อผู้ใช้ [Source Io Owner] แท็บ Command: กำหนดการดำเนินการเมื่อตรวจพบ (จะอธิบายต่อไป)
นำ Template ไปใช้กับ Disk หรือ Folder
ในคอนโซล FSRM สร้าง Rule ใหม่ Create File Screen ระบุ Path ของ Disk หรือ Directory ที่ต้องการป้องกัน เลือก Template Block_crypto_files
บล็อกผู้ใช้ที่ติด Ransomware อัตโนมัติ
ใช้สคริปต์สำเร็จรูป: Protect your File Server against Ransomware by using FSRM and Powershell (https://gallery.technet.microsoft.com/scriptcenter/Protect-your-File-Server-f3722fce) สคริปต์นี้จะวิเคราะห์ Event Log และปฏิเสธสิทธิ์การเขียนไฟล์ของผู้ใช้ที่พยายามเขียนไฟล์ห้าม → บล็อกการเข้าถึง Share ของผู้ใช้ที่ติดไวรัส
ดาวน์โหลดสคริปต์ แตกไฟล์ไว้ที่ C:\ คัดลอก SubInACL (เครื่องมือเปลี่ยนสิทธิ์ Share) ไว้ที่เดียวกัน ไฟล์ที่ต้องมี:
- RansomwareBlockSmb.ps1
- StartRansomwareBlockSmb.cmd
- subinacl.exe
แก้ไขใน PS Script: $SubinaclCmd = "C:\subinacl /verbose=1 /share \\127.0.0.1\" + "$SharePart" + " /deny=" + "$BadUser" และ if ($Rule -match "Crypto-Files")
ในแท็บ Command ของ Template: Run: c:\windows\system32\cmd.exe Arguments: /c "c:\StartRansomwareBlockSmb.cmd" รันเป็น Local System
ทดสอบการป้องกัน FSRM
สร้างไฟล์ใน Directory ที่ป้องกัน แล้วเปลี่ยน Extension เป็น .locky ที่ห้าม FSRM จะบันทึก Log Event ID 8215 (Source: SRMSVC) สคริปต์จะบล็อกสิทธิ์เข้าถึง Directory ของผู้ใช้นั้น ทดสอบสำเร็จ!
หากต้องการระดับการป้องกันสูงกว่า สามารถเปลี่ยนจาก Blacklist (ห้ามไฟล์ที่รู้จัก) เป็น Whitelist (อนุญาตเฉพาะไฟล์ที่อนุมัติ) FSRM เป็นชั้นป้องกันหนึ่งชั้น ไม่สามารถป้องกัน Ransorware ได้หมด ในบทความต่อไปจะอธิบายการกู้คืนไฟล์จาก VSS Snapshots และ Software Restriction Policies
