ランサムウェアを防ぐためにWindowsファイルサーバーでFSRMを使用する

次のステップは、作業中に暗号化マルウェアによって作成された、既知の拡張子とファイル名を含むファイルのグループを作成することです。

このリストは、FSRMコンソールで作成できます。これを行うには、ファイルスクリーニング管理->ファイルグループを展開します ファイルグループの作成を選択します 。

グループ名を指定する必要があります（たとえば、暗号ファイル ）そして、含めるファイルを使用して、既知のすべての拡張子をリストに入力します フィールド。

ランサムウェアによって作成される既知のファイル拡張子のリストは非常に長いため、PowerShellを使用して作成する方が簡単です。

Windows Server 2012では、PowerShellを使用して次のようにファイルグループを作成できます。

New-FsrmFileGroup -Name "Crypto-files" –IncludePattern @("_Locky_recover_instructions.txt","DECRYPT_INSTRUCTIONS.TXT", "DECRYPT_INSTRUCTION.TXT", "HELP_DECRYPT.TXT", "HELP_DECRYPT.HTML", "DecryptAllFiles.txt", "enc_files.txt", "HowDecrypt.txt", "How_Decrypt.txt", "How_Decrypt.html", "HELP_RESTORE_FILES.txt", , "restore_files*.txt", "restore_files.txt", "RECOVERY_KEY.TXT", "how to decrypt aes files.lnk", "HELP_DECRYPT.PNG", "HELP_DECRYPT.lnk", "DecryptAllFiles*.txt", "Decrypt.exe", "AllFilesAreLocked*.bmp", "MESSAGE.txt","*.locky","*.ezz", "*.ecc", "*.exx", "*.7z.encrypted", "*.ctbl", "*.encrypted", "*.aaa", "*.xtbl", "*.abc", "*.JUST", "*.EnCiPhErEd", "*.cryptolocker","*.micro","*.vvv")

Windows Server 2008 R2では、filescrn.exeを使用する必要があります：

filescrn.exe filegroup add /filegroup:"Crypto-files" /members:"DECRYPT_INSTRUCTIONS.TXT|DECRYPT_INSTRUCTION.TXT| DecryptAllFiles.txt|enc_files.txt|HowDecrypt.txt|How_Decrypt.txt| How_Decrypt.html|HELP_TO_DECRYPT_YOUR_FILES.txt|HELP_RESTORE_FILES.txt| HELP_TO_SAVE_FILES.txt|restore_files*.txt| restore_files.txt|RECOVERY_KEY.TXT|HELP_DECRYPT.PNG|HELP_DECRYPT.lnk| DecryptAllFiles*.txt|Decrypt.exe|ATTENTION!!!.txt|AllFilesAreLocked*.bmp| MESSAGE.txt|*.locky|*.ezz|*.ecc|*.exx|*.7z.encrypted|*.ctbl| *.encrypted|*.aaa|*.xtbl|*.EnCiPhErEd|*.cryptolocker|*.micro|*.vvv| *.ecc|*.ezz|*.exx|*.zzz|*.xyz|*.aaa|*.abc|*.ccc|*.vvv|*.xxx| *.ttt|*.micro|*.encrypted|*.locked|*.crypto|*_crypt|*.crinf| *.r5a|*.XRNT|*.XTBL|*.crypt|*.R16M01D05|*.pzdc|*.good| *.LOL!|*.OMG!|*.RDM|*.RRK|*.encryptedRSA|*.crjoker| *.LeChiffre|*.keybtc@inbox_com|*.0x0|*.bleep|*.1999| *.vault|*.HA3|*.toxcrypt|*.magic|*.SUPERCRYPT|*.CTBL|*.CTB2|*.locky"

https://www.bleib-virenfrei.de/ransomware/

https://fsrm.experiant.ca/api/v1/combined

2番目のケースでは、Invoke-WebRequest

new-FsrmFileGroup -name "Anti-Ransomware File Groups" -IncludePattern @((Invoke-WebRequest -Uri "https://fsrm.experiant.ca/api/v1/combined").content | convertfrom-json | % {$_.filters})

または、準備ができたファイルcrypto_extensions.txtを使用します。このファイルをディスクに保存し、作成したFSRMファイルグループを更新することができます：

$ext_list = Get-Content .\ransomware_extensions.txt
Set-FsrmFileGroup -Name "Crypto-files" -IncludePattern ($ext_list)

ファイル画面テンプレートの構成

新しいファイル画面テンプレートを作成して、FSRMがこれらのファイルを検出した場合に実行する必要のあるアクションを決定します。これを行うには、FSRMコンソールでファイル画面の管理->ファイル画面テンプレートに移動します。 。 ファイル画面テンプレートの作成を選択して、新しいテンプレートを作成します 。

[設定]タブで、テンプレート名「 Block_crypto_files」を指定します 」、スクリーニングタイプアクティブスクリーニング （これらのファイルタイプの保存を許可しないでください）そしてファイルグループのリストで暗号ファイルを選択します。

電子メールメッセージ タブで、電子メール通知の送信を有効にし、メッセージの件名と本文のテキストを指定します。

イベント ログ タブで、ユーザーの名前のみを指定するメモを使用してシステムログにエントリを作成することを確認します： [Source Io Owner]

コマンド タブで、これらのファイルタイプのいずれかが検出された場合の対処方法を選択できます。後で説明します。

変更を保存します。もう1つのテンプレートがリストに表示されます。