배경화면이 바뀌고 메모가 나타날 때쯤이면 공격의 흥미로운 부분은 이미 끝났습니다. 침입자는 보통 며칠 동안 내부에 있었습니다. 이것이 힘든 한 주가 될지 아니면 실존적 위기가 될지를 결정하는 것은 전적으로 당신이 미리 준비한 것에 따라 달려 있습니다. 첫 48시간이 실제로 어떻게 진행되는지 알아봅시다.
0시간: 조사하지 말고 격리합니다
첫 번째 본능인 "무엇이 일어났는지 보기" 위해 감염된 기계를 포클하면 손상이 퍼집니다. 올바른 첫 번째 조치는 격리입니다. 필요하면 사이트의 업링크를 끌어내고, 백업 서버의 네트워크를 먼저 자르고 (왕관 보석 목표입니다), 나중에 분석할 수 있도록 감염된 기계 하나를 그대로 보존합니다. 이를 위해서는 비즈니스 연결을 끊을 수 있는 권한이 있는 사람을 미리 알아야 합니다. 오늘 그 이름을 적어두세요.
1~12시간: 아직 남아 있는 것을 파악합니다
이제 모든 것은 한 가지 질문에 달려 있습니다. 깨끗하고 접근 가능하며 복구 가능한 사본이 있습니까? 오프사이트 사본이 불변이고 복구 드릴이 실제 타이밍을 제공했다면, 당신은 경멸하는 입장에서 공격자와 협상하고 있습니다. 백업이 매핑된 드라이브에 있었다면 암호화되어 있고, 48시간은 매우 다르게 보입니다.
12~48시간: 올바른 순서로 재구축합니다
ID 우선 (도메인 컨트롤러, 비밀번호 재설정), 그 다음 핵심 서비스, 그 다음 엔드포인트 — 깨끗한 네트워크에서 확인된 이미지로부터입니다. 여전히 손상된 네트워크에 사용자 파일을 먼저 복구하면 비즈니스가 한 주일에 두 번 암호화되는 방식입니다. 아무도 당황하지 않을 때 합의된 작성된 복구 순서는 어떤 단일 보안 제품보다 더 가치가 있습니다.
5가지 준비
공격자가 접근할 수 없는 오프사이트 복사본 하나. 타이밍을 포함한 복구 훈련 하나. 미리 지정된 격리 의사결정자 하나. 하나의 탈취된 암호가 모든 것을 장악하지 못하도록 권한을 축소하는 것 하나. 인쇄된 한 페이지짜리 런북 하나 — 위키가 모든 것과 함께 암호화되기 때문입니다. 이 다섯 가지 중 어느 것도 비용이 많이 들지 않습니다. 모두 한 번의 배상금보다 저렴합니다. 당사 랜섬웨어 방어 페이지에서 이를 구축하는 방법을 설명합니다.