壁紙が変わり、メモが表示される頃には、攻撃の面白い部分は終了しており、侵入者は通常は数日間の間は内部にいます。これが悪い週か実存的なイベントかを決めるのは、事前に準備したものに完全に依存しています。最初の 48 時間が実際にどのように実行されるかを以下に示します。
時間 0: 調査ではなく隔離する
「何が起こったのか」を調べるための最初の本能は、ダメージを広げます。正しい最初の動きは隔離です。必要に応じてサイトのアップリンクを切断し、バックアップ サーバーのネットワークを最初に切断します（これは王冠の宝石のターゲットです）。そして、後の分析のために 1 つの感染マシンを手付かずのまま保存します。これには、ビジネスを切断する権限を持っている人を事前に知ることが必要です。その名前を今日書き留めてください。
時間 1～12 時間: まだ残っているものを確立する
これからはすべて 1 つの質問に依存しています。クリーンで、到達可能で、復元可能なコピーがありますか？オフサイト コピーが不変であり、復元訓練が実際のタイミングを与えた場合、侮辱の立場から攻撃者と交渉しています。バックアップがマップされたドライブ上にある場合、それらも暗号化されており、48 時間はまったく異なるように見えます。
時間 12～48 時間: 正しい順序で再構築する
最初の ID（ドメイン コントローラー、パスワード リセット）、次にコア サービス、次にエンドポイント。クリーン ネットワーク上に、検証済みイメージから。ユーザー ファイルを最初に、まだ侵害されているネットワークに復元することは、ビジネスが 1 週間に 2 回暗号化される方法です。誰もパニックになっていないときに合意された書面による復元順序は、単一のセキュリティ製品よりも価値があります。
5 つの準備
1つ目：攻撃者が到達できないオフサイトコピー。2つ目：タイミング付きの復旧訓練。3つ目：事前に指名した隔離判断者。4つ目：1つの盗まれたパスワードですべてを支配できないよう権限を削減すること。5つ目：印刷されたワンページの実行手順 — すべてが他と一緒に暗号化されるためwikiは使えません。これら5つはいずれも高額ではなく、すべて1回の身代金支払いより安いです。当社のランサムウェア対策ページで構築方法をご説明しています。