Ransomware: 48 jam yang menentukan segalanya

Pada saat wallpaper berubah dan catatan muncul, bagian menarik dari serangan sudah berakhir — penyerang biasanya telah berada di dalam selama berhari-hari. Yang menentukan apakah ini minggu buruk atau acara yang menggoyahkan keberadaan adalah sepenuhnya tentang apa yang Anda siapkan sebelumnya. Berikut cara 48 jam pertama sebenarnya berjalan.

Jam nol: isolasi, jangan menyelidiki

Naluri pertama — mengorek mesin terinfeksi untuk "melihat apa yang terjadi" — menyebarkan kerusakan. Langkah pertama yang benar adalah isolasi: cabut uplink situs jika diperlukan, potong jaringan server cadangan terlebih dahulu (ini adalah target mahkota permata), dan pertahankan satu mesin terinfeksi tetap utuh untuk analisis nanti. Ini memerlukan mengetahui sebelumnya siapa yang memiliki otoritas untuk memutuskan bisnis. Tulis nama itu hari ini.

Jam 1–12: tentukan apa yang masih Anda miliki

Semuanya sekarang tergantung pada satu pertanyaan: apakah Anda memiliki salinan yang bersih, dapat dijangkau, dan dapat dipulihkan? Jika salinan off-site Anda immutable dan latihan pemulihan Anda memberikan waktu nyata, Anda bernegosiasi dengan penyerang dari posisi penghinaan. Jika cadangan Anda ada di drive yang dipetakan, mereka juga dienkripsi, dan 48 jam terlihat sangat berbeda.

Jam 12–48: bangun kembali dalam urutan yang benar

Identitas dulu (pengontrol domain, pengaturan ulang kata sandi), kemudian layanan inti, kemudian endpoint — ke jaringan bersih, dari citra terverifikasi. Memulihkan file pengguna terlebih dahulu ke jaringan yang masih dikompromikan adalah bagaimana bisnis mendapat enkripsi dua kali dalam satu minggu. Pesanan pemulihan tertulis, disepakati ketika tidak ada yang panik, bernilai lebih dari produk keamanan apa pun.

Lima persiapan

Satu: salinan luring yang tidak dapat dijangkau penyerang. Dua: latihan pemulihan dengan waktu terukur. Tiga: pengambil keputusan isolasi yang dinamai sebelumnya. Empat: pengurangan privilege sehingga satu kata sandi yang dicuri tidak dapat menguasai semuanya. Lima: runbook satu halaman yang dicetak — karena wiki akan dienkripsi bersama semuanya. Tidak satu pun dari lima ini mahal; semuanya lebih murah daripada satu pembayaran klaim. Halaman pertahanan ransomware kami menjelaskan cara kami membangunnya.