এই আর্টিকেলে আমরা উইন্ডোজ সার্ভার ২০১২ R2 চালিত ফাইল সার্ভারে File Server Resource Manager (FSRM) ফিচার ব্যবহার করে র্যানসমওয়্যার শনাক্ত ও ব্লক করার পদ্ধতি আলোচনা করব। বিশেষত FSRM সার্ভিস ইনস্টলেশন, ফাইল স্ক্রিনিং কনফিগারেশন এবং র্যানসমওয়্যার শনাক্ত হলে ব্যবহারকারীর শেয়ার এক্সেস ব্লক করার পদ্ধতি বলব।
FSRM ব্যবহার করে র্যানসমওয়্যার শনাক্ত করা
যদি আপনার ফাইল সার্ভারে File Server Resource Manager (FSRM) ফিচার ইনস্টলড না থাকে, তবে Server Manager গ্রাফিক্যাল কনসোল বা পাওয়ারশেল কমান্ড প্রম্পট ব্যবহার করে ইনস্টল করুন:
Install-WindowsFeature FS-Resource-Manager -IncludeManagementTools
রোলটি ইনস্টল হয়েছে কিনা যাচাই করুন:
Get-WindowsFeature -Name FS-Resource-Manager
ফিচার ইনস্টল হলে সার্ভার রিস্টার্ট করুন।
FSRM-এর SMTP সেটিংস কনফিগার করে ইমেইল নোটিফিকেশন পাঠানো
পরবর্তী ধাপ হল FSRM-এর SMTP সেটিংস কনফিগার করে অ্যাডমিনদের ইমেইল নোটিফিকেশন পাঠানো। এর জন্য fsrm.msc চালু করুন, File Server Resource Manager কনসোলের রুটে রাইট-ক্লিক করে Configure Options সিলেক্ট করুন।
SMTP সার্ভারের নাম বা IP ঠিকানা, অ্যাডমিন এবং সেন্ডারের ইমেইল ঠিকানা নির্দিষ্ট করুন।
টিপ। যদি ইন্টারন্যাল মেইল সার্ভার না থাকে, তবে SMTP রিলে ব্যবহার করে মেইল পাঠানো কনফিগার করুন।
SMTP সার্ভার সঠিক কনফিগার হয়েছে কিনা যাচাই করতে Send Test E-mail button ব্যবহার করুন।
FSRM-এর SMTP সেটিংস পাওয়ারশেল থেকেও কনফিগার করা যায়:
Set-FsrmSetting -AdminEmailAddress "FileServerAdmins@adatum.com" –smtpserver smtp.adatum.com –FromEmailAddress "FSRM@LON-FS02.adatum.com"
র্যানসমওয়্যারের জন্য ফাইল এক্সটেনশন গ্রুপ তৈরি করা
পরবর্তী ধাপ হল এনক্রিপশন ম্যালওয়্যার তার কাজের সময় তৈরি করা পরিচিত এক্সটেনশন এবং ফাইল নাম সম্বলিত একটি ফাইল গ্রুপ তৈরি করা।
এই তালিকা FSRM কনসোল থেকে তৈরি করা যায়। এর জন্য File Screening Management → File Groups এক্সপ্যান্ড করুন এবং Create File Group সিলেক্ট করুন।
গ্রুপের নাম দিন (যেমন Crypto-files) এবং Files to include ফিল্ডে সকল পরিচিত এক্সটেনশন যোগ করুন।
র্যানসমওয়্যার তৈরি করা পরিচিত ফাইল এক্সটেনশনের তালিকা khá লম্বা, তাই পাওয়ারশেল ব্যবহার করে তৈরি করা সহজ।
উইন্ডোজ সার্ভার ২০১২-এ পাওয়ারশেল দিয়ে ফাইল গ্রুপ তৈরি করতে:
New-FsrmFileGroup -Name "Crypto-files" –IncludePattern @("_Locky_recover_instructions.txt","DECRYPT_INSTRUCTIONS.TXT", "DECRYPT_INSTRUCTION.TXT", "HELP_DECRYPT.TXT", "HELP_DECRYPT.HTML", "DecryptAllFiles.txt", "enc_files.txt", "HowDecrypt.txt", "How_Decrypt.txt", "How_Decrypt.html", "HELP_RESTORE_FILES.txt", , "restore_files*.txt", "restore_files.txt", "RECOVERY_KEY.TXT", "how to decrypt aes files.lnk", "HELP_DECRYPT.PNG", "HELP_DECRYPT.lnk", "DecryptAllFiles*.txt", "Decrypt.exe", "AllFilesAreLocked*.bmp", "MESSAGE.txt","*.locky","*.ezz", "*.ecc", "*.exx", "*.7z.encrypted", "*.ctbl", "*.encrypted", "*.aaa", "*.xtbl", "*.abc", "*.JUST", "*.EnCiPhErEd", "*.cryptolocker","*.micro","*.vvv")
উইন্ডোজ সার্ভার ২০০৮ R2-এ filescrn.exe ব্যবহার করতে হবে:
filescrn.exe filegroup add /filegroup:"Crypto-files" /members:"DECRYPT_INSTRUCTIONS.TXT|DECRYPT_INSTRUCTION.TXT| DecryptAllFiles.txt|enc_files.txt|HowDecrypt.txt|How_Decrypt.txt| How_Decrypt.html|HELP_TO_DECRYPT_YOUR_FILES.txt|HELP_RESTORE_FILES.txt| HELP_TO_SAVE_FILES.txt|restore_files*.txt| restore_files.txt|RECOVERY_KEY.TXT|HELP_DECRYPT.PNG|HELP_DECRYPT.lnk| DecryptAllFiles*.txt|Decrypt.exe|ATTENTION!!!.txt|AllFilesAreLocked*.bmp| MESSAGE.txt|*.locky|*.ezz|*.ecc|*.exx|*.7z.encrypted|*.ctbl| *.encrypted|*.aaa|*.xtbl|*.EnCiPhErEd|*.cryptolocker|*.micro|*.vvv| *.ecc|*.ezz|*.exx|*.zzz|*.xyz|*.aaa|*.abc|*.ccc|*.vvv|*.xxx| *.ttt|*.micro|*.encrypted|*.locked|*.crypto|*_crypt|*.crinf| *.r5a|*.XRNT|*.XTBL|*.crypt|*.R16M01D05|*.pzdc|*.good| *.LOL!|*.OMG!|*.RDM|*.RRK|*.encryptedRSA|*.crjoker| *.LeChiffre|*.keybtc@inbox_com|*.0x0|*.bleep|*.1999| *.vault|*.HA3|*.toxcrypt|*.magic|*.SUPERCRYPT|*.CTBL|*.CTB2|*.locky"
টিপ। আপনি নিজে পরিচিত ফাইল এক্সটেনশনের তালিকা বানাতে পারেন বা নিচের পেজগুলো থেকে নিয়মিত আপডেট হওয়া রেডি তালিকা ব্যবহার করতে পারেন:
https://www.bleib-virenfrei.de/ransomware/
https://fsrm.experiant.ca/api/v1/combined
দ্বিতীয় কেসে, আপনি সরাসরি ওয়েবসার্ভার থেকে FSRM-এর জন্য আপডেটেড ফাইল এক্সটেনশনের তালিকা ডাউনলোড করতে পারেন Invoke-WebRequest ব্যবহার করে:
new-FsrmFileGroup -name "Anti-Ransomware File Groups" -IncludePattern @((Invoke-WebRequest -Uri "https://fsrm.experiant.ca/api/v1/combined").content | convertfrom-json | % {$_.filters})
অথবা রেডি ফাইল crypto_extensions.txt ব্যবহার করুন। এই ফাইল ডিস্কে সেভ করে তৈরি FSRM ফাইল গ্রুপ আপডেট করুন:
$ext_list = Get-Content .\ransomware_extensions.txt
Set-FsrmFileGroup -Name "Crypto-files" -IncludePattern ($ext_list)
ফাইল স্ক্রিন টেমপ্লেট কনফিগারেশন
FSRM এই ফাইলগুলো শনাক্ত করলে কী একশন নেবে সেটি নির্ধারণ করতে একটি নতুন File Screen Template তৈরি করুন। FSRM কনসোলে File Screen Management → File Screen Templates-এ যান। Create File Screen Template সিলেক্ট করে নতুন টেমপ্লেট তৈরি করুন।
Settings ট্যাবে টেমপ্লেটের নাম “Block_crypto_files”, স্ক্রিনিং টাইপ Active screening (এই ফাইল টাইপগুলো সেভ করতে না দিন) এবং ফাইল গ্রুপের তালিকা থেকে Crypto-Files সিলেক্ট করুন।
E-mail Message ট্যাবে ইমেইল নোটিফিকেশন সক্ষম করুন এবং মেসেজ সাবজেক্ট ও বডির টেক্সট নির্দিষ্ট করুন।
Event Log ট্যাবে সিস্টেম লগে এন্ট্রি তৈরি করার অপশন চেক করুন এবং শুধু ব্যবহারকারীর নাম নির্দিষ্ট করতে [Source Io Owner] ব্যবহার করুন।
Command ট্যাবে এই ফাইল টাইপ শনাক্ত হলে কী করবে সেটি সিলেক্ট করুন। এ নিয়ে পরে আলোচনা করব।
পরিবর্তন সেভ করুন। লিস্টে আরেকটি টেমপ্লেট যোগ হবে।
ফাইল স্ক্রিন টেমপ্লেট ডিস্ক বা ফোল্ডারে প্রয়োগ করা
এখন তৈরি টেমপ্লেটটি আপনার সার্ভারের ডিস্ক বা নেটওয়ার্ক শেয়ারে প্রয়োগ করতে হবে। FSRM কনসোলে নতুন রুল Create File Screen তৈরি করুন।
File screen path ফিল্ডে র্যানসমওয়্যার থেকে রক্ষা করতে চাইনি লোকাল ডিস্ক বা ডিরেক্টরির পথ নির্দিষ্ট করুন এবং আগে তৈরি টেমপ্লেট Block_crypto_files টেমপ্লেটের তালিকা থেকে সিলেক্ট করুন।
র্যানসমওয়্যার সংক্রমিত ব্যবহারকারীকে স্বয়ংক্রিয়ভাবে ব্লক করা
এখন এনক্রিপশন ম্যালওয়্যার তৈরি ফাইল শনাক্ত হলে FSRM যা করবে সেটি কনফিগার করতে হবে। আমরা একটি রেডি স্ক্রিপ্ট ব্যবহার করব: Protect your File Server against Ransomware by using FSRM and Powershell (https://gallery.technet.microsoft.com/scriptcenter/Protect-your-File-Server-f3722fce)। এই স্ক্রিপ্ট কী করে? নেটওয়ার্ক শেয়ারে নিষিদ্ধ ফাইল টাইপ লেখার চেষ্টা হলে FSRM এই স্ক্রিপ্ট চালায়, যা ইভেন্ট লগ অ্যানালাইজ করে সেই ব্যবহারকারীকে শেয়ার্ড ফোল্ডারে ফাইল লিখতে থেকে বাধা দেয়। এইভাবে সংক্রমিত ব্যবহারকারীর নেটওয়ার্ক শেয়ার এক্সেস ব্লক হয়ে যাবে।
এই স্ক্রিপ্ট ডাউনলোড করে আপনার ফাইল সার্ভারের C:\ ড্রাইভের রুটে আনপ্যাক করুন। SubInACL (নেটওয়ার্ক শেয়ারের পারমিশন পরিবর্তন করার টুল) কপি করে একই ডিরেক্টরিতে রাখুন। নিচের ফাইলগুলো ডিরেক্টরিতে থাকতে হবে:
- RansomwareBlockSmb.ps1
- StartRansomwareBlockSmb.cmd
- subinacl.exe
নোট। আমাকে PS স্ক্রিপ্টে এই স্ট্রিংগুলো পরিবর্তন করতে হয়েছিল:
$SubinaclCmd = "C:\subinacl /verbose=1 /share \\127.0.0.1\" + "$SharePart" + " /deny=" + "$BadUser"
এবং
if ($Rule -match "Crypto-Files")
"Block crypto files" টেমপ্লেট সেটিংসের Command ট্যাবে নির্দিষ্ট করুন যে কমান্ড প্রম্পট আর্গুমেন্টসহ StartRansomwareBlockSmb.cmd চালু হবে:
Run this command or script: c:\windows\system32\cmd.exe
Command arguments: /c “c:\StartRansomwareBlockSmb.cmd”
কমান্ডটি Local System হিসেবে চালাতে হবে।
FSRM প্রোটেকশন টেস্ট করা
FSRM র্যানসমওয়্যার প্রোটেকশন টেস্ট করতে প্রোটেক্টেড ডিরেক্টরিতে যেকোনো এক্সটেনশন সহ ফাইল তৈরি করুন এবং এক্সটেনশন প্রোহিবিটেড .locky-তে পরিবর্তন করার চেষ্টা করুন।
নিষিদ্ধ ফাইল সেভ করার চেষ্টা করলে FSRM লগে এন্ট্রি করবে:
Event ID: 8215
Source: SRMSVC
লগের ডেটা অনুযায়ী RansomwareBlockSmb.ps1 স্ক্রিপ্ট বর্তমান ব্যবহারকারীকে এই ডিরেক্টরিতে এক্সেস থেকে বঞ্চিত করবে, শেয়ার এক্সেস পারমিশন পরিবর্তন করে।
প্রোটেকশন কাজ করছে! ডিস্কের রুটে থাকা লগে আপনি ডিরেক্টরি এবং ব্যবহারকারী একাউন্ট দেখতে পাবেন যেখান থেকে র্যানসমওয়্যার চালানোর চেষ্টা হয়েছিল।
আপনি যদি উচ্চতর প্রোটেকশন লেভেল চান, তবে ব্ল্যাক লিস্ট থেকে হোয়াইট লিস্টে স্যুইচ করুন, তখন শুধু অনুমোদিত ফাইল টাইপ সেভ করা যাবে।
তাহলে, আমরা দেখেছি কীভাবে FSRM ব্যবহার করে র্যানসমওয়্যার সংক্রমিত ব্যবহারকারীদের নেটওয়ার্ক শেয়ার এক্সেস স্বয়ংক্রিয়ভাবে ব্লক করা যায়। স্বাভাবিকভাবেই, এই পদ্ধতিতে FSRM ব্যবহার করে আপনার সার্ভারের ফাইলগুলো এই ধরনের ম্যালওয়্যার থেকে সম্পূর্ণ রক্ষা করা সম্ভব নয়, কিন্তু এটি প্রোটেকশনের একটি লেভেল হিসেবে উপযোগী। পরবর্তী আর্টিকেলগুলোতে আমরা এনক্রিপশন র্যানসমওয়্যার বিরুদ্ধে প্রোটেকশনের অন্য পদ্ধতি আলোচনা করব:
- র্যানসমওয়্যার সংক্রমণের পর VSS স্ন্যাপশট থেকে ব্যবহারকারী ফাইল রিকভার করা
- Software Restriction Policies ব্যবহার করে র্যানসমওয়্যার রোধ
